PCI-DSS 4.0コンプライアンスへの備え

PCI-DSS要件をサポートするためのインフラとプロセスの評価

PCI-DSS 4.0の新要件に関する重要なアップデートとスケジュール

PCI-DSS 4.0は、カード会員データのセキュリティを強化し、決済カード業界における現在のリスクや技術の進歩に対応するための更新を導入しています。この改訂により、組織はセキュリティ目標への準拠を実証できればカスタマイズされたセキュリティ対策を採用できるようになり、カード会員データ環境へのすべてのアクセスに対する多要素認証の拡大や、ネットワーク全体での暗号化の強化が図られます。さらに、継続的なリスク分析と緩和、およびセキュリティインシデントのタイムリーな検知と対応能力の向上に重点が置かれています。これらの新要件には移行期間が設けられており、組織は既存の基準に準拠しつつ、新しいバージョンへの対応を進めることができます。

CISOが最新のPCI-DSSアップデートを優先すべき理由

これらの更新された基準を遵守することは、コンプライアンスの維持だけでなく、新たに出現するサイバー脅威やリスクから保護するためにも不可欠です。これらの基準を実装することで、組織は侵害に対する回復力を高め、評判を守り、コンプライアンス違反による高額な罰金を回避することができます。

DSS 4.0の有効日：2024年3月。2025年3月までに完全適用。

PCI-DSS 4.0は、日々の業務プロセスに継続的なセキュリティプロセスを統合することの重要性を強調しています

コンプライアンスは、一度限りの評価で終わらせることはできません。このアプローチは、組織内でセキュリティ意識の文化を醸成し、プロアクティブなリスク管理を担うCISOにとって極めて重要です。PCI-DSS 4.0を採用することは、安全でセキュアな決済環境を支える強固なセキュリティインフラを構築し、ビジネス価値の向上にもつながります。

貴社の開発者は、コンプライアンスに準拠したソフトウェアを提供できる準備ができていますか？

開発者は、ソフトウェアセキュリティの卓越性を達成するために不可欠な存在でありながら、十分に活用されていないことがよくあります。開発者がPCI-DSS 4.0の全体像を理解し、ソフトウェア構築の標準的なアプローチとして何を制御し、何を統合できるかを把握することが極めて重要です。

PCI-DSSの要件6では、セキュアなソフトウェアの開発と保守に関する期待事項が概説されています

これには、セキュアな開発基準から開発者トレーニング、構成管理、変更管理に至るまで、多岐にわたる項目が含まれます。カード会員データネットワーク（CHD）で使用されるソフトウェアを開発するすべての組織は、これらの義務を遵守する必要があります。

要件6.2.2で概説されているように、特注ソフトウェアやカスタムソフトウェアに携わるソフトウェア開発担当者は、少なくとも12か月に1回、以下のトレーニングを受ける必要があります：

• 職務および開発言語に関連するソフトウェアセキュリティについて。
• セキュアなソフトウェア設計およびセキュアコーディング技術を含む。
• ソフトウェアの脆弱性を検出するためのセキュリティテストツールの使用方法を含む。

同基準では、トレーニングに少なくとも以下の項目を含めるべきであるとさらに概説しています：

• 使用している開発言語
• セキュアなソフトウェア設計
• セキュアコーディング技術
• コード内の脆弱性を発見するための技術・手法の使用
• 一度解決した脆弱性の再導入を防ぐためのプロセス

さらに、開発者は（要件6.2.4で概説されている）すべての攻撃手法に精通している必要があります。これには、例として挙げられる攻撃カテゴリのリストが含まれます：

• SQL、LDAP、XPath、またはその他のコマンド、パラメータ、オブジェクト、フォールト、あるいはインジェクション型の欠陥を含むインジェクション攻撃。
• バッファ、ポインタ、入力データ、または共有データの操作を試みるものを含む、データおよびデータ構造に対する攻撃。
• 脆弱で安全でない、または不適切な暗号化実装、アルゴリズム、暗号スイート、または動作モードを悪用しようとするものを含む、暗号化利用に対する攻撃。
• API、通信プロトコルやチャネル、クライアント側の機能、またはその他のシステム/アプリケーションの機能やリソースを操作することで、アプリケーションの機能や特性を悪用または回避しようとするものを含む、ビジネスロジックに対する攻撃。これにはクロスサイトスクリプティング（XSS）やクロスサイトリクエストフォージェリ（CSRF）が含まれます。
• 識別、認証、または認可のメカニズムを回避または悪用しようとするもの、あるいはそれらのメカニズムの実装における弱点を悪用しようとするものを含む、アクセス制御メカニズムに対する攻撃。
• 要件6.3.1で定義されている脆弱性特定プロセスにおいて特定された、あらゆる「高リスク」の脆弱性を介した攻撃。

Secure Code WarriorがPCI-DSS 4.0コンプライアンス達成を支援する方法

最も効果的なトレーニングの選択肢は、コンプライアンスが包括的なセキュアコーディング学習プログラムの副産物となるような、アジャイルな学習プラットフォームです。具体的には、Secure Code Warriorは以下の方法で、貴社の脆弱性削減と開発者の生産性向上を支援します。

• 知識のギャップを埋め、開発者が使用する言語やフレームワークに合わせた精密なトレーニングを提供することで、PCIデータを安全に保つための強固で一貫した理解を促進します。詳細は学習プラットフォームをご覧ください。
• トレーニングが確実に吸収され、実践されていることを確認するための、継続的かつ測定可能なスキル検証プロセスを提供します。開発者向けのセキュアコーディング学習パスについて詳しくはこちらをご覧ください。
• 必要な時に文脈に沿った短い学習を提供する、アジャイルな学習手法でトレーニングを実施します。一般的で頻度の低いトレーニングはもはや有効ではなく、脆弱性削減に望ましい影響を与えることはできません。当社のサポート対象の脆弱性
• について詳しくはこちらをご覧ください。PCI DSS 4.0の全貌ホワイトペーパーで、PCI-DSS 4.0の詳細な内訳をご確認ください。

‍