2010年10月29日8:30
決済アプリケーションセキュリティ基準「PA-DSS」入門 第3回（2/4）
要件5続き：Webインターフェースを持っている場合
OWASPのTOP10ガイドラインにしたがって開発する
続いて要件5.2では、決済アプリケーションがWebインターフェースを持っている場合、OWASPのTOP10ガイドラインにしたがって開発することが求められている。決済アプリケーションが、Webアプリケーションではない、もしくはWebアプリケーションが使用するモジュールなどではない場合は、本要件は対象外となる。
OWASP Top Ten Project: http://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project
このTop10は、Webアプリケーションのもつセキュリティリスクの高いものから上位10項目が挙げられている。最新のOWASP Top10は2010年版であるのに対し、PA-DSSは2009年に公開されたものであり、項目に差異が生じているが、この場合はPA-DSSに記載されているものではなくOWASPの最新版に基づいた対策が必要だ。
■ソフトウェア変更時は、管理者による承認、影響範囲の分析、本番機能のテスト、戻し手順をもって変更を適用すること（5.3）
ソフトウェアに変更を加える際は、管理者による承認、影響範囲の分析、本番機能のテスト、戻し手順を含む変更管理手順に則って実施することが求められる。これらが存在しない状態でソフトウェアに変更が加えられ、リリースされてしまうと、過失や故意を問わず、不正なコードが混入したり、脆弱なサブシステムやモジュールが組み込まれてしまったり、という可能性があるためである。企業向けのアプリケーション開発やシステム構築を行っている企業にとっては実施して当然といえる要件だが、今一度、抜けがないかを確認することをお勧めする。
■ペイメントアプリケーションは安全でないサービスやプロトコルの使用もしくは要求してはならない（5.4）
まず、ペイメントアプリケーションでは、ファイル共有やTelnet、FTPを使用してはならない旨が要求されている。これらのサービス、プロトコルは一例に過ぎないため、安全でないサービスやプロトコルはこれらに限らない。どのように安全かどうかを判断するかについては、認証の仕組みや認証に使用される情報の暗号化、伝送される情報の暗号有無などを考慮するのが良いだろう。また、ペイメントアプリケーション本体だけでなく、関連するモジュールや他システムが安全でないサービスやプロトコルを使用することを‟要求する”ことも禁止される。つまり、ペイメントアプリケーションと連携して通信を行うシステムがFTPを使用することを想定しており、他システムがFTPを使用しないとペイメントアプリケーションが正しく動作しない、といったことがないようにしなくてはならない。つまり、アプリケーション単体のセキュリティだけでなく、実装する環境や運用のことも踏まえて設計しなければならない。PA-DSS認定アプリケーションは、顧客のPCI DSS準拠を助けるものであり、PCI DSS準拠を阻害してはならないという考え方を、明確にあらわしている要件の1つでもある。
⇒⇒決済アプリケーションセキュリティ基準「PA-DSS」入門 第3回（3/4）へ
⇒⇒決済アプリケーションセキュリティ基準「PA-DSS」入門 第3回（4/4）へ
