PCI DSS(Payment Card Industry Data Security Standard)とは、カード加盟店やサービスプロバイダ等が取り扱うカード会員情報や取引情報を安全に守るために、国際カードブランド5社(American Express、Discover、JCB、MasterCard、VISA)が共同で策定した、クレジット業界におけるグローバルセキュリティ基準です。
2024年6月に最新版 PCI DSS v4.0.1 が公開され、 2025年3月以降は すべての要件が完全義務化 されています。 v4.0では、従来の「チェックリスト型」から、継続的なセキュリティ運用(Continuous Security)を求める基準へと進化しました。
PCI DSS 認証取得が求められる企業
PCI DSSは、クレジットカード情報を保存・処理・送信する企業が中心となるセキュリティ基準です。 しかし、対象はそれだけに限られません。
カード会員データ環境(CDE)に接続するシステムを提供する企業や、 カード情報の取り扱いに間接的に関わるサービスを提供する企業も、 カード情報の安全性に影響を与える可能性があるため、PCI DSSの対象となります。
そのため、カード情報を直接扱う企業だけでなく、 クラウド事業者、ホスティング事業者、アプリケーション開発会社、ネットワーク事業者、アウトソーシング企業など、幅広い企業がPCI DSS準拠を求められる場合があります。
| 業界例 |
|---|
| 石油：ガソリンスタンド 金融：クレジットカード会社 流通：百貨店、スーパー、量販店 交通：鉄道、航空会社 通信/メディア：通信会社、オンラインゲーム会社 小売：ECサイト インフラ：水道、ガス、電気 |
PCI DSS v4.0以降では、カード情報を扱う範囲(CDE)を毎年、正式に文書化し、その妥当性を検証するプロセスが義務化されています。v4.0.1でもこの要件は維持されており、CDEの境界を曖昧にせず、一貫して厳密に管理することが求められます。
PCI DSS 12要件
PCI DSSでは、クレジットカード情報を安全に守るために、企業が満たすべきセキュリティ対策を 12の要件 としてまとめています。
この12要件は、「ネットワークの安全性」「アクセス管理」「ログ監視」「セキュリティ運用」など、カード情報を扱う企業が最低限守るべきルールを体系的に整理したものです。最新版の PCI DSS v4.0.1 では、これらの要件がより実践的で継続的なセキュリティ運用を求める内容へと強化されています。
特に重視されているポイントは次の3つです。
・継続的な監視：問題が起きてから気づくのではなく、常に異常を検知できる状態を保つ
・自動化：人手だけに頼らず、ツールや仕組みでセキュリティを維持する
・リスクベースの運用：企業の環境やリスクに応じて、必要な対策や頻度を柔軟に決める
つまり、PCI DSSは「チェックリストを埋めるだけの基準」ではなく、日々の運用を通じて安全性を維持することを重視する基準へと進化しているということです。
| PCI DSS12要件 | |
|---|---|
| 要件1 | ネットワークセキュリティコントロールの導入と維持 |
| 要件2 | すべてのシステムコンポーネントにセキュアな設定を適用する |
| 要件3 | 保存されたアカウントデータの保護 |
| 要件4 | 公共ネットワークでの送信時に、強力な暗号化技術でカード会員データを保護する |
| 要件5 | 悪意のあるソフトウェアからすべてのシステムおよびネットワークを保護する |
| 要件6 | 安全なシステムおよびソフトウェアの開発と維持 |
| 要件7 | 業務上、必要な範囲に基づくアクセス制限 |
| 要件8 | ユーザの識別とシステムコンポーネントへのアクセスの認証 |
| 要件9 | カード会員データへの物理アクセスを制限する |
| 要件10 | システムコンポーネントおよびカード会員データへのすべてのアクセスをログに記録し、監視する |
| 要件11 | システムおよびネットワークのセキュリティを定期的にテストする |
| 要件12 | 組織の方針とプログラムによって情報セキュリティをサポートする |
参照元：Payment Card Industry データセキュリティ基準
PCI DSS の中でも、特に対応が難しい「要件10」
PCI DSS v4.0.1への準拠対応には、さまざまなセキュリティ対策と継続的な運用が求められます。なかでも、多くの企業にとって対応の難易度が高いのが要件10です。
要件10では、システムコンポーネントおよびカード会員データへのアクセスをログに記録し、監視することが求められています。
単にログを取得するだけではなく、異常や疑わしい活動の検知、監査ログの保護、ログのレビュー、履歴の保持、時刻同期、ログ管理に関わるシステムの障害対応など、ログに関する幅広い対策が必要です。
そのため、要件10への対応では、ログを「取得する」だけでなく、収集・保管・監視・分析・レビューまで含めた一連のログ管理体制を構築することが重要になります。
また、日々大量に発生するログを継続的に扱う必要があることから、担当者の運用負荷も大きくなります。こうした要因から、要件10への対応を進める上では、ログ管理が大きな課題となります。
| PCI DSS 要件10(v4.0.1要約)：システムコンポーネントおよびカード会員データへのすべてのアクセスをログに記録し、監視すること | |
|---|---|
| 項番10.1 | システムコンポーネントおよびカード会員データへのすべてのアクセスをログに記録し、監視するためのプロセスとメカニズムが定義され、理解されている。 |
| 項番10.2 | 異常や疑わしい活動の検出、およびフォレンジック分析を支援するために、監査ログが実装されている。 |
| 項番10.3 | 監査ログは破壊や不正な改ざんから保護され、アクセスは業務上必要な者に限定されている。 |
| 項番10.4 | 監査ログは異常または疑わしい活動を特定するためにレビューされ、レビュー頻度はリスクに応じて定義される。 |
| 項番10.5 | 監査ログの履歴は保持され、分析に利用できる状態に保たれている。 |
| 項番10.6 | 時刻同期メカニズムにより、すべてのシステムが一貫した時刻設定を維持している。 |
| 項番10.7 | 重要なセキュリティ管理システムの障害を迅速に検知し、報告し、対応する仕組みが維持されている。 |
要件10 準拠における3つの課題
要件10への対応には、ログの収集・保管・活用が欠かせません。しかし、企業のIT環境ではさまざまなシステムや機器が稼働しており、ログを適切に管理するためには多くの課題があります。ここでは、要件10への対応を進める上で、多くの企業が直面する代表的な課題を3つ紹介します。
課題1.多種多様なログの収集・管理が困難
企業のシステム環境では、サーバ、ネットワーク機器、セキュリティ製品、アプリケーションなど、さまざまな場所からログが生成されています。
WindowsサーバではWindowsイベントログ、ネットワーク機器やファイアウォールではSyslog、アプリケーションでは独自形式のログなど、システムによってログの形式は異なります。
さらに、ログのフォーマットやタイムスタンプの形式も統一されているとは限りません。日付だけを見ても、「yyyy-mm-dd」のような形式もあれば、「dd/mm/yyyy」のような形式もあります。
要件10に対応するためには、こうした異なる形式のログを漏れなく収集し、横断的に検索・分析できる状態にする必要があります。
しかし、ログを収集するだけでなく、システムごとに異なるフォーマットを考慮して正しく解析・管理するには、一定の専門知識と仕組みが必要です。
また、複数のシステムにログが分散している場合、個別のシステムを確認するだけでは、複数のログを横断した調査や異常の把握が困難になります。
そのため、多種多様なログを一元的に収集し、検索・分析できる仕組みを構築することが重要です。
課題2.ログを安全に保全し続けることは容易ではない
ログ管理では、ログを収集するだけでなく、必要な期間にわたって安全に保全することも重要です。
ログが消失する原因には、攻撃者による隠ぺい工作や不正な削除、マルウェアやツールによる破壊、機器やサービスの障害、ストレージ容量の不足など、さまざまなものがあります。
特に攻撃者がシステムへの侵入を隠蔽しようとした場合、ログの改ざんや削除が行われる可能性があります。
また、ITシステムの規模が大きくなるほど、保護すべきログの量や範囲も増加します。適切な対策が行われていなければ「ログが改ざん・消失していること自体に気づけない」という問題につながる可能性もあります。
そのため、ログへのアクセスを適切に制御するとともに、改ざんや消失からログを保護し、必要な期間にわたって分析可能な状態で保全できる仕組みが求められます。
課題3.定常的なログ運用に伴う負荷が大きい
要件10では、監査ログをレビューし、異常または疑わしい活動を特定できる状態を維持することが求められています。
ただし、v4.0.1ではレビュー頻度を一律に「毎日」とするのではなく、リスクに応じて組織が適切な頻度を定義することが求められています。
いずれの場合でも、日々大量に生成されるログの中から必要な情報を探し出し、異常を確認し、必要に応じて追跡調査や分析を行うことは、担当者にとって大きな負担となります。
さらに、情シス部門などでは人手不足が課題となっている企業も多く、ログの収集・検索・レビュー・レポート作成などをすべて人手で行うことには限界があります。
そのため、ログの検索や集計、異常検知、アラート、レポート作成などを効率化・自動化し、継続的なログ運用にかかる負荷を軽減する仕組みが重要になります。
PCI DSS 準拠を支援するLogstorage
このように要件10への対応には、ログを統合的に管理できる仕組みが有効です。
Logstorageは、サーバやネットワーク機器など、企業内の情報システムから出力される大量のログデータを迅速・確実に収集し、安全に保管する純国産システムです。
2002年の販売開始以来、ログデータの収集・保管や分析・アラート出力を可能にする製品として、内部統制・情報漏洩・情報セキュリティ対策・システム障害対策・監査要件対応などの目的に応え続け、先進企業や官公庁など5,800社を超える導入実績をもち、統合ログ分野のデファクトスタンダードとなっている製品です。
【収集】テキスト形式で出力されるログは、すべて収集可能です。別途syslogサーバも不要です。
【保管】最大1/10に圧縮し、暗号化することで安全に保管できます。改ざんされた場合の検知も可能です。
【検知】システムの異常や不正処理をリアルタイムに捉え、シナリオに基づいてアラートの出力が可能です。
【分析】グラフィカルなUIで、クリック操作で直感的に、検索・集計・レポート操作が可能です。
PCI DSS要件10への対応では、ログを「取得すること」だけでなく、必要なログを漏れなく収集し、安全に保管し、継続的に監視・分析できる状態を維持することが重要です。Logstorageは、ログの収集・保管・検知・分析を一元的に行うことで、PCI DSS要件10への対応に伴うログ管理の負担軽減と、継続的なセキュリティ運用を支援します。
PCI DSS 要件10への対応方法をオンラインセミナーで解説
PCI DSS要件10への対応にはログ管理が必須ですが、これまでご紹介したように、ログの収集・保管・監視・分析などにはさまざまな課題があります。そこで、要件10への対応を検討している企業の皆様に向けて「PCI DSS v4.0で求められるログの管理要件を準拠するには」をテーマにしたオンラインセミナーを公開しています。
セミナー前半では「PCI DSS v4.0 準拠のためのログ管理のポイント」と題し、PCI DSS v4.0の基礎知識をはじめ、ログの収集・保管・活用における課題と対応策について解説します。セミナー後半では「PCI DSS要件10と準拠への課題について」と題し、要件10について詳しく解説します。
要件10を構成する7つのセクションや、要件10への準拠を進める上での課題など、ログ管理を中心により深く理解できる内容となっています。オンデマンド形式のため、ご都合のよいタイミングでご視聴いただけます。PCI DSS要件10への対応や、準拠に必要となるログ管理について詳しく知りたい方は、ぜひご覧ください。
※なお、本セミナーは「PCI DSS v4.0」をもとにした内容です。現在のガイドラインの内容とは一部異なる場合がありますので、あらかじめご了承ください。
