適切なサポートがあれば、開発者は組織をPCI DSS 4.0の優れたコンプライアンスへと導くことができます。
本記事は、DZoneに掲載された記事を基に、更新および転載したものです。
PCI DSS（PCIデータセキュリティ基準）バージョン4.0は、セキュリティのあり方を根本から変えることになります。電子決済を導入しているあらゆる企業や組織にとって、これは例外ではありません。このアップデートは多くの企業にとって変革をもたらすものであり、暗号化、認証、アクセス制御、鍵管理など、これまで対応が遅れていた分野を含め、多くのセキュリティプロセスの刷新や新たな保護対策の導入が求められることになります。
新しい要件は複雑であるため、組織には2025年3月までの完全準拠が求められています。しかし、その期限は予想以上に早く訪れるでしょう。実際、先見の明のある多くの企業は、開発者がこの新たなコンプライアンス環境に適応できるよう、すでに準備を進めています。
形式的なトレーニングを超えて
組織のインフラの多くは開発者が書くコードに依存しているため、PCI DSS 4.0の新しい要件を実装する上で、開発者を起点とするのは理にかなっています。しかし、ほとんどの開発者にとって、セキュリティ意識向上プログラムの一環としてスキルアップを図るには、戦略的なサポートが必要です。これにより、新基準で求められる高度なセキュリティを実装・維持するために必要な経験を確実に身につけることができます。
実際、PCI DSS 4.0の要件12.6.2では、組織に対して正式なセキュリティプログラムを導入し、最新の脅威情報や防御技術を取り入れて常に更新し続けるよう求めています。旧基準では、基本的なセキュリティプログラムや「チェックリストを埋めるだけ」の年次コンプライアンストレーニングで十分でした。しかし新基準では、企業の環境固有の脅威や脆弱性に対処するトレーニングが義務付けられるなど、より高いレベルが求められます。例えば、ID盗難が組織にとって大きな課題であれば、トレーニングでその対策を扱う必要があります。
最低限のトレーニングでは、実務面でも新基準への準拠という点でも、もはや不十分であることは明らかです。組織は開発者に対し、セキュリティのベストプラクティスを日々の実務にどう適用するかを学べる、包括的かつアジャイルな学習経路を提供する必要があります。最低限のコンプライアンス対応にとどまらず、セキュリティを真に理解するために必要なリソースを提供することで、開発者はより適切なセキュリティ判断を下せるようになり、PCI DSS 4.0への準拠も確実なものとなります。
幸いなことに、PCI DSS 4.0の新しい要件の多くは、認証、暗号化、アクセス制御、鍵管理など、開発者がすでに馴染みのある分野を対象としています。開発者に適した、関連性の高い、使い慣れたリソースを提供してスキルを向上させることで、組織はPCI DSS 4.0が求める新しい基準や責任の増大に対して、より容易に準備を整えることができます。
PCI DSS 4.0をセキュリティ強化の足がかりにする
PCI DSS 4.0への準拠には、開発者のニーズに応える優れたセキュリティ教育が不可欠ですが、組織のサイバーセキュリティ向上に向けた取り組みはそこで終わるべきではありません。要件は厳格ですが、多くの組織が準拠に向けて努力を強いられる今こそ、それを組織全体のセキュリティ意識とトレーニングを向上させる絶好の機会と捉えるべきです。これにより、コンプライアンスを満たすだけでなく、ベストプラクティスを優先し、組織全員が「セキュリティ第一」という共通の目標に向かって取り組む、前向きなセキュリティ文化を醸成することができます。
学習曲線は確かに存在しますが、開発者もこうした取り組みを歓迎するはずです。世界中のプロの開発者1,200人以上を対象としたEvans Dataの調査では、圧倒的多数がセキュアなコードの作成や、組織内でのより良いセキュリティ文化の構築を支持すると回答しています。開発者の多くが、セキュアコーディングへの戦略的かつ支援的な移行と、開発プロセスにおけるセキュリティの優先順位の見直しを歓迎していることは明らかです。
PCI DSS 4.0が義務付けるセキュリティのアップグレードは、企業がセキュリティのベストプラクティスやトレーニングに投資し、組織全体でより良いセキュリティ文化を育むための絶好の機会となります。
企業がセキュアコーディングのスキルと関連ツールやトレーニングを統合できるプログラムに投資すれば、開発者はより高いレベルのセキュリティ成熟度を達成しやすくなります。これは結果として、開発者がより適切な判断を下せるセキュリティ文化の醸成につながり、PCI DSS 4.0の厳格な新基準をはるかに超えて、組織全体のセキュリティ体制を強化することになります。
AI主導の開発をリリース前にガバナンスする
AIを活用したリスク測定、コミット時のセキュアコーディングポリシーの強制、そしてSDLC全体を通じたセキュアなデリバリーの加速を実現します。
他のブログ記事を見る
セキュアコーディング、AIガバナンス、ソフトウェアリスク管理に関する専門的なコンテンツをご覧ください。
%252520%252520(3).avif)
Supercharged Security Awareness: How Tournaments are Inspiring Developers at Erste Group
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Security as culture: How Blue Prism cultivates world-class secure developers
Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed
.avif)
AIを活用した開発をリリース前にセキュアに
開発者のリスクを可視化し、ポリシーを適用することで、ソフトウェア開発ライフサイクル全体における脆弱性を未然に防ぎます。
