2010年10月29日8:40
決済アプリケーションセキュリティ基準「PA-DSS」入門 第3回（3/4）
要件6. ワイヤレス送信の保護
ワイヤレステクノロジの安全な実装
本要件は、決済アプリケーションがワイヤレスを使用する際に対応しなければならない。逆に、ワイヤレスを全く使用しないアプリケーションでは、本要件は対象外となる。
・ワイヤレス機器でデフォルト設定を使用しない
・WEPを使用せず、WPA2 Enterpriseなどの安全な認証、伝送手法を使用する
ワイヤレス機器の設定で変更しなければならないデフォルト値として想定できるのは、SNMPコミュニティ文字列や暗号化キー、もしくはWebインターフェースのログインIDやパスワードなどが考えられる。機器によって設定可能なパラメータは異なることから、決済アプリケーションをインストールするハードウェアや同時に導入されるワイヤレスアクセスポイントで利用可能な設定項目をリストアップし、デフォルト値を変更するよう構成するのが良いだろう。なお、WEPが既知の脆弱性を持っていることは明白である。要件上も、‟2010年6月30日以降”の使用は許容されていない。
また、ワイヤレステクノロジに関して、PCI SSCより‟PCI DSS Wireless Guidelines”が公開されている。
https://www.pcisecuritystandards.org/education/info_sup.shtml
POS端末上で稼働するアプリケーションを含め、決済アプリケーションはワイヤレステクノロジと組み合わせて提供されることが少なくない。このガイドラインは上記に限らず、PCI DSSやPA-DSSで求められるワイヤレステクノロジに関する解釈を詳しく解説したものであるため、ご一読されることをお勧めする。
⇒⇒決済アプリケーションセキュリティ基準「PA-DSS」入門 第3回（4/4）へ
⇒⇒決済アプリケーションセキュリティ基準「PA-DSS」入門 第3回（1/4）へ戻る
