2010年9月30日10:00
第2回 カード会員データとセンシティブ認証データの保護（3）
NTTデータ・セキュリティ コンサルティング本部 PCI推進室 CISSP 川島祐樹
3. 安全な認証機能の提供
Need-to-Knowベースの
アクセス制御とパスワードの保護
本要件では、安全な認証機能の実装と、次要件のログ管理で必要となる一意のアカウントを割り当てるための対策が挙げられている。PCI DSSでいうところの要件8に該当する。PA-DSS準拠のための実装方法としてポイントとなるのは、導入直後の状態（‟Out of the box”）で管理アクセス、およびすべてのカード会員データへのアクセスについて、一意のアカウントを割り当てること（3.1）と、ペイメントアプリケーションからPCやサーバ、データベースなどへのアクセスに一意のアカウントを割り当て、デフォルトアカウントを使用しないこと（3.2）、また、それらのパスワードを保存する際は読み取り不能にすること（3.3）、からなる。アカウント管理をOS上で行うようなケースは、必要なアカウントに最低限のアクセス権を付与するよう注意することでおおよそ対応することができるが、特にアプリケーション上で独自にアカウントを管理する必要がある場合は、アクセス権の付与方法、パスワードの保存方法や保存先といった管理にも注意を払う必要があるだろう（図3）。
⇒⇒第2回 カード会員データとセンシティブ認証データの保護（4）へ
⇒⇒第2回 カード会員データとセンシティブ認証データの保護（1）へ戻る
