第6回 PCI DSS対応の難しさは「あいまいさ」？
川島 祐樹
NTTデータ・セキュリティ株式会社
コンサルティング本部 PCI推進室
CISSP
2009/8/7
QSAは偉い？
第4回「Apacheセキュリティチェック、PCI DSSの場合」と第5回「カード情報システムでのIIS、QSAはどう見る？」では、Windows上で稼働するIIS、およびLinux上で稼働するApacheを、QSAとしてどのようなことを確認するのかを解説しました。OSは違っても、確認を行う観点は同じであることをご理解いただけたかと思います。ただし、読者の皆様の中にはこのように感じられた方もいらっしゃるのではないでしょうか――「QSAって、ずいぶん偉いんだなあ……」と。
確かに、「セキュリティの専門家として、QSAが最終的な判断をしなければならない」という状況は少なくありません。ただし、QSAがそう言ったからもう曲げられないということはありませんし、QSAの判断であっても、その判断を行った理由があるはずです。QSAによる判断結果に納得がいかなければ、必ず納得のいくまで説明を求めてください。つまり、QSAは、決して偉いわけでもありませんし、独断で何かを決定できる立場でもありません。
QSAは、PCI DSSに準拠しようとする企業に対して、セキュリティレベルを高めることに最善を尽くすという使命を持つ、セキュリティの専門家です。分からないことや納得できないことがあれば、小さなことでも解消しながら準拠を目指していただければと思います。
基準に残るあいまいさ、それが問題
第4回、第5回の内容ですが、実はPCI DSSには細かく書いていない部分を解説していました。PCI DSSで求められている、不要なサービスを停止することや、不要なモジュールを削除することといった要件を、具体的なOSやアプリケーションで考えたときに、どのような点に注意を向けるべきかを紹介しました。
PCI DSSはあくまで基準ですので、具体的な数値やパラメータで表せるものは記述されていますが、やはりOSに依存する部分、アプリケーションに依存する部分、もしくは業務や環境全体に依存している部分など、さまざまな部分にあいまいさが残っています。PCI DSSは時間がかかるしお金もかかる、準拠がすごく難しい、という声も耳にしますが、手を付けはじめてみると、その本当の難しさは、PCI DSSのあいまいな部分にあることに気付かれることと思います。
例えば、「PCI DSSは非常に具体的な要件です」といううたい文句がよく使われます（筆者も使います）。ただし、こうした説明の際に引き合いに出されるのは、パスワードの要件であることがほとんどです。7文字以上、英字と数字の両方を使い、90日ごとに変更しなければなりません、といったものです。この具体性にはメリットとデメリットがあります。
メリットは、「考えなくてよい」ことです。もしパスワードの文字数が決められていなければ、自分たちで決めなくてはなりません。OSのパスワードの保管の仕組みを考慮したり、クラックされやすいパスワードについて調べたり、といったことが必要になるかもしれません。しかし、もう決まってしまっていれば、「PCI DSSでそう求められているから」の一言で済んでしまいます。これは掛かる時間や責任のありかにおいて、非常に大きなメリットとなるはずです。
デメリットとしては、「融通がきかない」という点が挙げられます。システム上の何らかの制約で、どうしても、「6文字以上」という設定にしかできない場合があるかもしれません。または、90日ごとに変更できず、どうしても120日ごとにしか変更できないかもしれません。このようなとき、基となる要件の値をクリアできないことで発生するリスクや、それをカバーする対策を考える、などといったことが必要になり、非常に面倒なことになります。「たった1文字足りない」だけで。
ここで述べたいのは、PCI DSSの要件とテスト手順は決して全体を通して具体的なわけではないこと、例え具体的であったとしても、場合によってはその具体性が障壁となりうること、そして本当の難しさは基準のあいまいさにあること、の3点です。落ち着いて、自システム、環境に照らし合わせ、意図されているリスクを見極めることが大切です。
 |
2/4 |
 |
| Index | |
| PCI DSS対応の難しさは「あいまいさ」？ | |
| Page1 PCI DSSは動き続ける |
|
 |
Page2 QSAは偉い？ 基準に残るあいまいさ、それが問題 |
| Page3 PCI DSSの要件、あいまい表現トップ3 |
|
| Page4 あいまいさを克服するためには 「PCI DSSに準拠するための3つの重要なポイント」とは |
|
 |
オール・ザッツ・PCI DSS 連載インデックス |
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。
 |
|
|
|
|
