ソリューション・サービス
ISMSとどこが違うのか
ISMSとどこが違うのか
情報セキュリティの公的な認証としては、ISMS(ISO27001)が一般によく知られています。 企業の保有する情報をイメージで表すと下図のようになりますが、企業情報全般の中に個人情報があり、クレジットカード情報は個人情報が含まれた、企業が守るべき重要な情報といえます。ISMSは企業情報全般に対して、充分なセキュリティが施されている仕組みがあることを、公的に認証するものですから、ISMSに合格しているなら、特にPCIDSSは必要ないのではないか、という考え方もあります。 では、クレジットカード情報を保護するうえで、どうしてPCIDSSが必要なのかを見ていきましょう。
ISMSより具体的で深さが要求される
PCIDSSはネットワークの安全確保を中心に、カード会員データの保護、アクセス制御手法など12の要件に基づいた、具体的な要求事項で構成されています。ISMS（ISO27001）やプライバシーマークのマネジメントシステム(JISQ15001)と比較すると、PCIDSSはクレジットカード情報保護の範囲に特化し、かつ深さが要求されているのが特徴です。
例えば、情報にアクセスするためのパスワードについて、各ユーザーにどのようなルールで設定させればよいか、という基準をISMSと比較してみましょう。
ISMSでは要求事項9.(3).�，法⊆，里茲Δ暴颪�れています。
- パスワードの選択及び使用に際して、正しいセキュリティ慣行に従うことを、利用者に要求すること。
では「正しいセキュリティ慣行」とは何なのでしょうか。それは各企業の事業内容や業務の形態、守るべき情報の重要度によっても異なるため、具体的に定めていないのです。それぞれの企業が、自社の状況やリスクの度合いを洗い出し、合理的な判断のもとにルールを決めて、社内に徹底すればよい、という考え方がISMSです。
これは、企業側が主体性と自己責任意識をもってルールを定めるには、有効な考え方といえますが、すべてのセキュリティに100％の完璧を求めることは難しく、リスクとコストのバランスも考えなければなりません。
すべてに万全を期せば、確かに安全性は高くなりますが、「鶏肉に牛刀」のようなコストの使い方では、過剰な投資になったり、効率性の問題が発生したりする弊害が大きくなってしまいます。
具体的な目安となるPCI DSSの要求基準
ではこのパスワードの設定に関する、PCI DSSの要求事項を見てみましょう。8.5.9ほか、いくつかの項目で細かく書かれています。
- 数字と英字の両方を含むパスワードを使用する。
- パスワードの長さは、少なくとも７文字にする。
- パスワードは少なくとも90日ごとに変更する。
- 直近４回使用されたパスワードは、新しいパスワードとして使用できないようにする。
- ユーザーＩＤのロックアウトにより、連続したアクセス試行を６回以内に制限する。
- ロックアウト時間は最低30分間、またはアドミニストレーターが許可するまでとする。
- セッションのアイドル時間が15分を超えた場合、パスワードの入力を再び要求する。
クレジットカード事業者以外にもPCIDSSが浸透中
クレジットカード情報の取扱いについては、前述のすべての項目に従って、パスワードを運用することが求められますが、クレジットカード事業者でない一般企業にとっても、これらの具体的な基準を目安にすることによって、自社の情報に対してはどこまでのレベルで設定すればよいか、合理的な判断がしやすくなります。
また、最も保護するべき個人情報であるクレジットカード情報なら、ここまでやれば国際基準として合格、というPCIDSSをもとにすることで、自社の情報セキュリティポリシーのレベルを定めた根拠にすることができ、対外的な説明もしやすい、というメリットがあります。ISMSに適合したセキュリティ基準を作る上でも、PCI DSSは有効な判断基準になるでしょう。
こうした理由で、クレジットカード事業者以外でも、いまPCI DSSを参考基準として応用する企業が増えてきているのです。
PCI DSSのデータセキュリティ基準
PCI DSSのデータセキュリティ基準では
- ネットワークの構築・維持
- カード会員データの保護
- プログラムの脆弱性対応
- アクセス制御の手法
- ネットワークの定期監視
- セキュリティポリシーの整備
PCIDSSでは、クレジットカード情報の安全を守る目的のために、セキュリティ対象が狭められていますので、表現がより具体的になっていることが特徴になっています。これに対してISMS(ISO27001)の場合は汎用性が求められているので、表現は総括的になっているともいえます。
2のカード会員データの保護に関して具体的にいえば、「カード会員データを伝送する場合は、SSL/TLS、IPSEC等で暗号化しなさい」と表現されています。また、カード番号の送信は「暗号化されていない状態で、電子メールを通じて送信してはならない」と表現され、カードのセキュリティ上の取扱いについて具体的な表現をしています。
IT面では、さらに細かい要求基準が…
ITに関する部分で、さらに細かい要求基準として表現されているのが、5. ネットワークの定期監視です。ISMSでは「監査ログ取得」として「利用者の活動、例外処理、及び情報セキュリティ事象を記録した監査ログを取得すること、また、将来の調査及びアクセス制御の監視を補うために合意された期間、保持すること」となっています。
| データ名 | データ要素 | 保管 | 保護 | PCI-DSS （要件3.4） |
|---|---|---|---|---|
| カード会員データ | カード番号（PAN） （Primary Account Number） （通常、16桁の番号） | YES | YES | YES |
| カード会員氏名※ | YES | YES※ | NO | |
| サービスコード※ | YES | YES※ | NO | |
| 有効期限※ | YES | YES※ | NO | |
| 機密認証データ※※ | 磁気ストライプデータすべて | NO | N/A | N/A |
| CVC2/CVV2/CID/CAV2 | NO | N/A | N/A | |
| 暗証番号（PIN）/PINブロック | NO | N/A | N/A |
- ※
- カード会員名、サービスコード、有効期限の保護についてはPANとともに保存されている場合、保護対象となります。
- ※※
- オーソリゼーション（承認）後の保管はNOです。
一方、PCI DSSでは
- イベントを追跡するための自動監査証跡を導入する。
- 監査証跡履歴は1年間保管し、最低3ヶ月間はオンライン閲覧利用ができるようにする。
- ネットワークインフラとアプリケーションのペネトレーションテストは1年に1回は行う。
- ファイル完全性監視ソフトウェアを導入し、1週間に1回は実行する。
- ネットワーク脆弱性スキャンは四半期ごとに実行する。
次の図では脆弱性スキャンとペネトレーションテスト（攻撃・侵入テスト）の条件を表にしています。
