【PCI DSS認証取得支援】グローバルセキュリティエキスパート株式会社

PCI DSSは、クレジットカード情報を取り扱う組織を対象としたセキュリティ要件（基準）であり、年間の取引件数が多い組織（ＶＩＳＡの例：　年間600万件以上）は、PCI DSSへの準拠認定が義務づけられています。

（※義務化については、VISA，MasterCard，American Expressのカードブランドが先行実施していますが、他のカードブランドも今後追従していくことが予想されます）

また、昨今のクレジットカード情報を含む個人情報の漏えい事件は、記憶媒体の大容量化やネットワークの大規模化、高速化に伴い、一度に漏えいする（窃取される）件数が増加する傾向にあり、クレジットカードを取り扱う組織にとって最も深刻なリスクの一つとなっています。

さらに、PCI DSSは一度準拠認定すれば終わりではなく、QSA（訪問審査機関）による年１回の継続的な審査を受けなければなりません。

※2010年8月現在、PCI DSSのバージョンはv1.2ですが、2010年10月にv2.0への改版が予定されています。
　改版に伴い、セキュリティ要件（基準）が変更される可能性があるため、最新バージョンへの対応も
　必要となってきます。

■PCI DSS準拠認定に向けた想定課題

◎ そもそも準拠認定を受ける業務、システムの「対象範囲（スコープ）」が分からない。

◎ 技術的なセキュリティ要件が多く、管理範囲も多岐にわたるPCI DSSのセキュリティ要件が
　　十分に理解できない。
　　また、どこから着手して良いか見当がつけられずに、計画的に推進できなくなり、非効率的な
　　対応を強いられる恐れがる。（無用なコスト・時間の増加）

◎ 技術的及びコストの観点から実現困難なPCI DSSの特定のセキュリティ要件について、
　　どのような代替コントロールで対応すべきか思い浮かばない。　
　（すべてのPCI DSSのセキュリティ要件を、オリジナル要件のままで対応している組織は存在
　　しないと言われています。　代替コントロールをうまく活用することで組織の実情に即した
　　 PCI DSSとなり、実効性の確保に繋がっていきます）

◎ PCI DSSの各要件は、技術的セキュリティを始めとし、専門知識が無いと理解の難しい事項
　　が少なくありません。そのため、各要件を曲解したり、拡大解釈してしまいやらなければな

　　らない対策が不十分であったり、逆にやり過ぎてしまう恐れがあります。

　　（年１回、QSAが実施する訪問審査時においても多大な苦労を強いられてしまいます）