ISMS、Pマークと併せてセキュリティレベルを保つ
大手企業をはじめ中小企業・個人事業主など7,000サイト以上の決済代行を手がけているゼウスは、2009年9月にPCI DSS Ver.1.2の完全準拠を取得した。今回の審査で特に印象に残ったのは、レギュレーションの適用の厳格さだという。
要件3.4はアクセス制限で対処
有効性とコストから判断
PCI DSS Ver.1.2で改定された項目には、カード保持者データを保護する「ファイアウォール／ルータ」の見直しサイクルの変更や、無線LAN暗号化技術「WEP（Wired Equivalent Privacy）」の使用禁止、コンピュータにアクセスするユーザーに個別のIDを割り当てる際の認証機能の一部変更などさまざまなものがある。
ゼウスでは早くからPCI DSS Ver.1.2の審査に対する準備を進めてきた。要件5のアンチウイルスソフトウエアについては、windowsのほか、Linuxなどでの運用も前年にすでに試験運用を実施。要件11のペネトレーションテストの範囲が広がった点についても、サービス提供に大きな混乱もなく対応することができた。
また、要件3.4 の暗号化に関しては、暗号化ではなくアクセス・コントロールという形を採った。「要件自体の持つ要求を満たすという事を考慮し、運用コストなどを考えるとアクセスコントロールを行った方が、より現実的と捉えました」（ゼウス システム部 北井征紀氏）という理由からだ。
そのほかの項目に関しても、「PCI DSS Ver.1.2の審査に当たって、特に対応に苦労した点はありません」と北井氏は語っている。
PCI DSS Ver.1.1からの項目に苦戦
レギュレーションの厳格さを実感した
実はゼウスがもっとも対応に苦しんだのは、むしろPCI DSS Ver.1.1ですでに設けられていた項目だったという。
ゼウスは2007年10月にVer.1.1完全準拠を取得していたが、今回の審査ではPCI SSCのQSPプログラム（品質保証プログラム）により審査機関（QSA）の見る目が厳しくなったため、その時点では特に指摘されなかった項目について問われることが多く、その後のシステム改修作業のかなりのウエイトを占めるものとなった。
「例えば、会員情報の取り扱いなどは基準がかなり厳しくなったと感じました。社内で使用していたツールに会員情報のページがあるのですが、顧客のカード番号が表示されることが要件7の基準を満たす上で問題があるということでした。カード会員データへのアクセスは必要最小限の人数に絞り、しかもその人員も本当に必要だと認められた場合しかアクセスできない、ということが求められます。そのため、カスタマーサービスなど直接カード番号を取り扱う必要のない部署ではアクセスできないようにし、さらに経理が扱う場合にもあらかじめ定められた作業日のみアクセス可能にするよう指摘を受けました」（北井氏）
要件2.2については、不要なスクリプト、ドライバ、サブシステムの削除などが徹底して求められた。
「実際にサーバにログインし、内部のプログラムやログを1つひとつ確認しては細かいところまでチェック。特にカード番号を処理する部分では、事前に提出した書類をもとに、データベースの細部まで調べ上げ、質問は際限なく続きました」（システム部 係長・佐藤剛氏）
同社は2004年からビザ・ワールドワイドのAISプログラムに参加するなど、早い段階からセキュリティの必要性を重視していたこともあり、PCI DSS Ver.1.1の審査の際は特に対応が難しいとは感じていなかった。審査機関も前回同様、変更はしていない。それだけに、基準のレギュレーションが前回よりずいぶん厳しくなったことについては想定外のことだったようだ。
目的はセキュリティレベルを維持・向上させること
PCI DSSは1つの目安にすぎない
今後の対応についてだが、特にPCI DSSを意識したシステム変更などは考えていないという。
代表取締役社長の地引一由氏によれば、「PCI DSSを取得することが目的ではなく、セキュリティのレベルを維持・向上させるためにPCI DSSを1つの基準として準拠しているのです。大切なのは、今後これらの基準を継続して遵守し続けるということ。そのためには運用面にも考慮した対応をすることが必要となります」とのこと。
ゼウスはPCI DSS だけでなく、ISMS認証、プライバシーマークも取得している。「弊社の決済代行業務が安心・安全であるということを加盟店へ強く印象付けるには、目に見える形での指標も有効だということです」（ゼウス 取締役 システム部 部長・竹本 亮氏）
決済事業開始から10年、PCI DSS審査は全社をあげてセキュリティ強化への思いを新たにするきっかけともなったようだ。
