PCI DSS Vesion2.0 徹底解説

~12要件の詳細解説と代替コントロールの策定ガイド~
カード加盟店必読
クレジットカード情報の漏洩を防ぐ国際セキュリティ基準「PCIデータセキュリティ基準(PCI DSS)」最新バージョン準拠のためのAtoZ

本書はPCI DSS Ver2.0の詳細を解説した唯一の日本語書籍です。2010年3月にVer1.2の解説本を出版し、2011年9月に本書の紙版を出版しましたが、好評につき今回からは電子書籍版を開始しました。コンサルタントの方などは、紙版の書籍を顧客訪問時に携行するのは負担が大きいため、iPadなどのタブレットに入れて携行していただくことをお勧めしております。

本書の目的は、次の4点に集約できます。1点目の目的は「ペイメントカード業務及びPCIデータセキュリティ基準(PCI DSS)制度の理解」であり、前提知識となるペイメントカード業務における情報とお金の流れ、そしてPCI DSSの制度そのものについて、概略を理解することです。
2点目の目的は「PCI DSS準拠にあたり事前準備項目の理解」となり、自社で準拠を進める、あるいはコンサルタント、SIベンダー、セキュリティベンダーの立場として、顧客企業をサポートするいずれの立場でも、どのような準備が必要なのかをつかんでいただきます。
3点目の目的は「PCI DSS要件の詳細理解」である。本書の中心部分で、各要件の詳細を理解する。PCI DSS Version 2.0は米国現地時間の2010年10月28日に発効され、和訳版は日本時間の2010年12月24日に発表されましたが、米国PCIセキュリティ審議会(PCISSC)から発行される要件書の和訳がこなれていない、用語の揺れなどもあり、分かりにくい部分も残っております。また、PCISSCが主催するセミナーも英語圏が主体で、国内の開催頻度は低い状況です。関連文書の翻訳も、日本語の優先順位が低い実情があります。
また、各要件は他のISO規格などと比較し具体的に書かれているものの、それでも解釈には幅があり、自社で適用する場合は判断に迷う箇所も出てきます。本書では、できる限り読者の疑問を残さないことを目的とし、より具体的かつ詳細な解説を試みています。
4点目の目的である「代替コントロールの理解」は、実際の準拠に際して重要な要素です。
PCI DSSは非常に具体的な基準ですが、裏を返せば柔軟性がないといえます。例えば、「データベースを、安全なある一定のアルゴリズムで暗号化する」といった要件に対しては、使用しているメインフレーム上のデータベースに対応したパッケージソフトが存在しない、運用上負荷がかかりすぎ事実上対応することが困難である、などの課題も出てきます。こうした場合、「代替コントロール」は背後にある要件の「目的」をよく理解した上で、その目的を達成できるのであれば、他の適用方法で対処することも可能とする手法です。