PCI-DSS 4.0への対応は予想以上に早く訪れます。これは、組織のサイバーレジリエンスを向上させる絶好の機会です。

本記事の一部は Security Boulevard に掲載されたものです。内容を更新し、転載しています。

今年初め、PCIセキュリティ基準委員会（PCI SSC）は、PCIデータセキュリティ基準（PCI DSS）のバージョン4.0を発表しました。組織が4.0に完全準拠する必要があるのは2025年3月までですが、このアップデートはこれまでで最も変革的なものであり、多くの企業は複雑なセキュリティプロセスや技術スタックの要素を評価し、場合によってはアップグレードすることが求められます。さらに、役割に応じたセキュリティ意識向上トレーニングの実施や、開発者向けの定期的なセキュアコーディング教育も必要となります。

これは、BFSI（銀行・金融サービス・保険）業界の企業にとって、セキュリティプログラムを大幅に向上させ、人を中心としたサイバーレジリエンスの新たな時代を切り拓く絶好の機会です。

PCI DSS 4.0への対応における最大の課題は何でしょうか？

組織のセキュリティプログラムが、そのビジネスニーズや利用可能なリソースに固有の複雑さを伴う包括的なものであるのと同様に、新しいPCI DSS基準も非常に広範囲をカバーしています。しかし、この基準はセキュリティ要件を満たすためのアプローチにおいて柔軟性を重視する方向へ明確にシフトしており、ツール、脅威、戦略、コンプライアンス対策が瞬時に変化し得る業界において、これは重要な意味を持ちます。

PCI DSS 4.0は、強固なセキュリティのベストプラクティスを実現する方法は一つではないという考え方を採用しています。これは事実ですが、セキュリティ成熟度が高い組織に最も適しているように見受けられ、特に自社の内部セキュリティ成熟度を現実的に評価できていない組織にとっては、誤解や失敗の余地を多く残しています。最終的に企業は、セキュリティを一度設定して終わりにするものではなく、継続的かつ進化し続けるプロセスとして取り組む覚悟が必要です。組織全体でセキュリティ意識を高めるというコミットメントを伴う、強力なセキュリティ文化が不可欠です。

そして、コードレベルのツールを扱う開発チームは、デジタル資産や取引を扱うあらゆるビジネス環境において、準拠した安全なソフトウェアを提供できるよう備えておく必要があります。

貴社の開発者は、コンプライアンスに準拠したソフトウェアを提供できる準備ができていますか？

開発者は、ソフトウェアセキュリティの卓越性を達成する上で不可欠な存在であり、これは単なるPCI DSSコンプライアンスの枠を超えて非常に重要です。開発者がPCI DSS 4.0の全体像を把握し、自分たちが制御できる範囲を理解した上で、ソフトウェア構築のデフォルトのアプローチとしてセキュリティを統合することが極めて重要です。

開発チームにとって最も関連性の高い変更点は、主に以下の3つの領域に分類できます。

• 認証： アクセス制御の実行可能な計画は、常にPCIコンプライアンスの重要な要素でしたが、バージョン4.0ではこれが一段と強化され、内部および外部の両面で慎重な実装が求められます。多要素認証（MFA）が標準となり、パスワードの複雑性やタイムアウトに関するルールも強化されます。
  
  認証およびアクセス制御のセキュリティ問題は、現在、一般的な開発者が直面する可能性が最も高い課題となっており、実際のコード内でこれらの問題を特定し修正できるよう、精度の高いトレーニングを実施することが不可欠です。
  
  
• 暗号化と鍵管理： 私たちは、オンラインバンキングなど、複数のアクセスポイントを通じて最も機密性の高い情報にアクセスできる世界で活動しています。このような高価値データがリスクにさらされているため、暗号化と強力な暗号技術の実践は必須です。開発者は、情報がどこで送信され、ユーザーがどのようにアクセスできるかを常に把握し、万が一情報が流出した場合でも、脅威アクターが読み取れないようにする知識を備えておく必要があります。
  
  
• 悪意のあるソフトウェア：以前のガイドラインでは、悪意のあるコードからソフトウェアを保護するセキュリティ管理は「アンチウイルスソフトウェア」と呼ばれていましたが、これはウイルス以上の脅威から保護すべき多層的なアプローチを過度に単純化しています。アンチマルウェアソリューションは必要な場所に適用し、継続的なログ記録と監視が義務付けられています。
  
  また、開発者が脆弱なコンポーネントを特定するための学習経路を持つことも不可欠です。特に、ほとんどのコードベースが少なくとも一部はサードパーティのコードに依存している現状ではなおさらです。

開発者にとって「十分な」トレーニングとは何を指すのでしょうか？

以前の推奨事項と同様に、PCI DSS 4.0では開発者に対して「少なくとも」年1回のトレーニングを提案しています。しかし、年に1回のタッチポイントで安全なソフトウェア作成が十分であるという考え方は、到底不十分であり、より安全で準拠したソフトウェアの実現にはつながりそうにありません。

開発者の教育は、OWASP Top 10の基礎知識から始め、言語に関連する脆弱性やビジネス上重要な脆弱性を含めるべきです。これは継続的なプログラムの一部であるべきであり、スキルを積み重ね、セキュリティをソフトウェア開発の初期段階だけでなく、開発者のマインドセットや役割へのアプローチにも組み込むことを目指すべきです。さらに、役割と責任は開発チームとそのマネージャーの間で明確にする必要があります。セキュリティは共有の責任ですが、期待値を文書化し、適切に満たせるようにすることが公平です。

PCI DSS 4.0コンプライアンスへの準備期間を活用すれば、組織全体のセキュリティ文化を大幅に改善することが可能です。これは、これまでで最もセキュリティ意識の高い開発チームを育成するための肥沃な土壌となります。

‍