2010年4月14日  21:19
 
PCI DSS基準への対処は運用にも配慮

 ISMS、Pマークと併せてセキュリティレベルを保つ  

大手企業をはじめ中小企業・個人事業主など7,000サイト以上の決済代行を手がけているゼウスは、2009年9月にPCI DSS Ver.1.2の完全準拠を取得した。今回の審査で特に印象に残ったのは、レギュレーションの適用の厳格さだという。  

 要件3.4はアクセス制限で対処  

有効性とコストから判断  

 PCI DSS Ver.1.2で改定された項目には、カード保持者データを保護する「ファイアウォール/ルータ」の見直しサイクルの変更や、無線LAN暗号化技術「WEP(Wired Equivalent Privacy)」の使用禁止、コンピュータにアクセスするユーザーに個別のIDを割り当てる際の認証機能の一部変更などさまざまなものがある。  

ゼウスでは早くからPCI DSS Ver.1.2の審査に対する準備を進めてきた。要件5のアンチウイルスソフトウエアについては、windowsのほか、Linuxなどでの運用も前年にすでに試験運用を実施。要件11のペネトレーションテストの範囲が広がった点についても、サービス提供に大きな混乱もなく対応することができた。  

zeus1
代表取締役社長 地引一由氏

また、要件3.4 の暗号化に関しては、暗号化ではなくアクセス・コントロールという形を採った。「要件自体の持つ要求を満たすという事を考慮し、運用コストなどを考えるとアクセスコントロールを行った方が、より現実的と捉えました」(ゼウス システム部 北井征紀氏)という理由からだ。  

そのほかの項目に関しても、「PCI DSS Ver.1.2の審査に当たって、特に対応に苦労した点はありません」と北井氏は語っている。  

PCI DSS Ver.1.1からの項目に苦戦  

レギュレーションの厳格さを実感した  

実はゼウスがもっとも対応に苦しんだのは、むしろPCI DSS Ver.1.1ですでに設けられていた項目だったという。  

ゼウスは2007年10月にVer.1.1完全準拠を取得していたが、今回の審査ではPCI SSCのQSPプログラム(品質保証プログラム)により審査機関(QSA)の見る目が厳しくなったため、その時点では特に指摘されなかった項目について問われることが多く、その後のシステム改修作業のかなりのウエイトを占めるものとなった。  

zeus2
取締役 システム部 部長 竹本 亮氏

「例えば、会員情報の取り扱いなどは基準がかなり厳しくなったと感じました。社内で使用していたツールに会員情報のページがあるのですが、顧客のカード番号が表示されることが要件7の基準を満たす上で問題があるということでした。カード会員データへのアクセスは必要最小限の人数に絞り、しかもその人員も本当に必要だと認められた場合しかアクセスできない、ということが求められます。そのため、カスタマーサービスなど直接カード番号を取り扱う必要のない部署ではアクセスできないようにし、さらに経理が扱う場合にもあらかじめ定められた作業日のみアクセス可能にするよう指摘を受けました」(北井氏)  

要件2.2については、不要なスクリプト、ドライバ、サブシステムの削除などが徹底して求められた。  

「実際にサーバにログインし、内部のプログラムやログを1つひとつ確認しては細かいところまでチェック。特にカード番号を処理する部分では、事前に提出した書類をもとに、データベースの細部まで調べ上げ、質問は際限なく続きました」(システム部 係長・佐藤剛氏)  

同社は2004年からビザ・ワールドワイドのAISプログラムに参加するなど、早い段階からセキュリティの必要性を重視していたこともあり、PCI DSS Ver.1.1の審査の際は特に対応が難しいとは感じていなかった。審査機関も前回同様、変更はしていない。それだけに、基準のレギュレーションが前回よりずいぶん厳しくなったことについては想定外のことだったようだ。  

zeus3
システム部 北井征紀氏

目的はセキュリティレベルを維持・向上させること

PCI DSSは1つの目安にすぎない 

今後の対応についてだが、特にPCI DSSを意識したシステム変更などは考えていないという。  

代表取締役社長の地引一由氏によれば、「PCI DSSを取得することが目的ではなく、セキュリティのレベルを維持・向上させるためにPCI DSSを1つの基準として準拠しているのです。大切なのは、今後これらの基準を継続して遵守し続けるということ。そのためには運用面にも考慮した対応をすることが必要となります」とのこと。  

zeus4
システム部 係長 佐藤剛氏

ゼウスはPCI DSS だけでなく、ISMS認証、プライバシーマークも取得している。「弊社の決済代行業務が安心・安全であるということを加盟店へ強く印象付けるには、目に見える形での指標も有効だということです」(ゼウス 取締役 システム部 部長・竹本 亮氏)  

決済事業開始から10年、PCI DSS審査は全社をあげてセキュリティ強化への思いを新たにするきっかけともなったようだ。  

■PCI DSS準拠企業の事例一覧へ

関連記事

ペイメントニュース最新情報

【7/30(木)CREPiCO自治体向けWebセミナー】 公金収納率UP!業務効率UP!住民満足度向上!簡単・便利に口座登録! 「ペイジー口座振替受付サービス」~キャッシュカードさえあればOK~(セイコーソリューションズ)

国内最大級のクレジットカード情報データベース(アイティーナビ)

Spayd スマートフォン、タブレットがクレジット決済端末に!(ネットムーブ)

加盟店でのレジ係トレーニング用のテストクレジットカード発売開始。 ターミナルの設定確認にもご利用いただけます。(FIME JAPAN)

設立25年以上の実績を誇る決済サービスプロバイダ。クレジットカード決済をはじめ、対面・非対面問わず豊富な決済手段を取り揃え、ニーズに合わせて最適な決済方法をご提案します。(ゼウス)

オリジナルデザインで作れる、Amazonギフト券(トリニティ)

モバイル決済端末 (mPOS/SmartPOS) やQRコードリーダーをOEM/ODMでご提供します。お客様に代わってセキュリティ認定も取得可能です。(飛天ジャパン)

国内最大級の導入実績を誇る決済代行事業者(GMOペイメントゲートウェイ)

チャージバック保証、不正検知・認証システムなどクレジットカード不正対策ソリューションを提供(アクル)
PayBやWeChatPay/Alipay等のスマートフォン決済、 リアルタイム口座振替、信頼性の高い収納代行、送金など、 様々な決済ソリューションを提供(ビリングシステム)

ブランドプリペイド/デビット、クレジットの基幹プラットフォームを中心にご紹介、決済事業者様のデジタルトランスフォーメーションやFintechへの取り組みを強力にご支援します。(エクサ)

国内ICカードシェアNo.1(大日本印刷)

シンクライアント型電子決済サービス(トランザクション・メディア・ネットワークス)

「ハウス電子マネー/ギフトカードサービス」のニュース、導入事例のご紹介(富士通FIP)

決済情報コラムを好評連載中!「コンビニ収納ペーパーレス決済(番号方式)のわずかな、でも大事な違い」(NTTインターネット)

非対面業界唯一!!カード会社とダイレクト接続により、安心・安全・スピーディーで質の高い決済インフラサービスを提供。Eコマースの健全な発展に貢献する決済代行事業者(ソニーペイメントサービス)

不正決済対策の本質と弊社のサービス提供スタンス(スクデット)

世界最大のギフト・プリペイドサービス事業者(インコム・ジャパン)

全国180社以上の導入実績を誇る「CARD CREW PLUS」(ジィ・シィ企画)

カードシステムシェア70%の実績「NET+1」、不正検知システム国内導入実績NO,1「ACEPlus」(インテリジェントウェイブ)

PAGE TOP