PCI-DSS 4.0準拠に向けた準備

PCI-DSS要件をサポートするためのインフラストラクチャとプロセスを評価してください

新しいPCI DSS 4.0要件に関する重要な更新とスケジュール

PCI-DSS 4.0は、カード会員データのセキュリティ強化と、決済カード業界における最新のリスクおよび技術的進歩への対応を目的とした更新を導入します。これらの変更により、企業はセキュリティ目標の遵守を証明できる場合に、カスタマイズされたセキュリティ対策を実施することが可能となります。 さらに、多要素認証がカード会員データ環境内の全アクセスに拡大され、全ネットワークにおける暗号化が強化されます。加えて、継続的なリスク分析・軽減、およびセキュリティインシデントの早期検知・対応能力の向上に重点が置かれます。 これらの新たな要件には移行期間が設けられており、企業が新バージョンを導入する時間を確保しつつ、既存基準への準拠を維持できるよう配慮されています。

CISOが最新のPCI-DSS更新を優先すべき理由

これらの更新された基準の遵守は、規制順守にとって極めて重要であるだけでなく、新たなサイバー脅威やリスクから身を守るためにも不可欠です。これらの基準を導入することで、企業は違反行為に対する備えを整え、評判を守り、順守違反による高額な罰金を回避することが可能となります。

DSS 4.0の発効日：2024年3月；2025年3月まで更新。

PCI-DSS 4.0は、継続的なセキュリティプロセスを日常業務に組み込むことの重要性を強調している

コンプライアンスは単なる一時的な評価であってはならない。このアプローチは、組織内でセキュリティ意識と積極的なリスク管理の文化を促進すべきCISOにとって極めて重要である。PCI-DSS 4.0の導入は、安全な決済環境を支える堅牢なセキュリティ基盤を構築することで、ビジネス価値の向上にも寄与する。

御社の開発者は、準拠したソフトウェアを提供できる準備ができていますか？

開発者は、ソフトウェアセキュリティの最高水準を達成する上で不可欠な要素でありながら、その役割が十分に発揮されていない場合が多い。開発者はPCI DSS 4.0の全体像を理解し、ソフトウェア構築における標準的なアプローチの一環として、自ら管理・統合できる要素を把握することが重要である。

PCI DSSの要件6は、安全なソフトウェアの開発と保守に対する期待事項を規定する。

これには、安全な開発基準から開発者トレーニング、設定および変更管理に至るまで、数多くのテーマが含まれます。カード所有者データネットワーク（CHD）で使用されるソフトウェアを開発するすべての組織は、これらの規定を遵守しなければなりません。

要求事項6.2.2で規定されているように、カスタマイズされたソフトウェアおよび顧客固有のソフトウェアの開発に従事するソフトウェア開発要員は、少なくとも12ヶ月に1回、以下の方法で訓練を受ける：

• 職業上の職務および使用開発言語に関連するソフトウェアセキュリティについて。
• 安全なソフトウェア設計と安全なコーディング技術を含む。
• ソフトウェアの脆弱性を検出するためのセキュリティテストツールの使用を含む。

この基準はさらに、研修には少なくとも以下の要素を含めるべきであると定めている：

• 使用可能な開発言語
• 安全なソフトウェア設計
• 安全な暗号化技術
• コード内のセキュリティ脆弱性を検出するための技術／手法の活用
• 以前に修正されたセキュリティ脆弱性の再導入を防止する方法

さらに、開発者はすべての攻撃手法（要件6.2.4に記載）に精通している必要があります。これには、例として挙げられる攻撃カテゴリーのリストが含まれます：

• インジェクション攻撃（SQL、LDAP、XPathその他のコマンド、パラメータ、オブジェクト、エラー、またはインジェクション型の脆弱性を含む）。
• データおよびデータ構造に対する攻撃、これにはバッファ、ポインタ、入力データ、または共有データの操作を試みる行為が含まれる。
• 暗号技術の使用に対する攻撃、これには脆弱な、安全でない、または不適切な暗号実装、アルゴリズム、暗号スイート、または動作モードを悪用しようとする試みを含む。
• ビジネスロジックへの攻撃には、API、通信プロトコルおよびチャネル、クライアントサイド機能、その他のシステム／アプリケーション機能やリソースを操作することで、アプリケーションの特性や機能を悪用または回避しようとする試みが含まれます。これにはクロスサイトスクリプティング（XSS）およびクロスサイトリクエストフォージェリ（CSRF）が含まれます。
• アクセス制御メカニズムに対する攻撃、これには識別、認証、または認可メカニズムを回避または悪用しようとする試み、あるいはそのようなメカニズムの実装における脆弱性を悪用しようとする試みを含む。
• 要件6.3.1で定義されるように、脆弱性特定プロセスにおいて特定された「高リスク」の全脆弱性に対する攻撃。

Secure Code Warrior WarriorがPCI-DSS 4.0準拠達成を支援する方法

トレーニングにおいて最も効果的な選択肢は、アジャイルな学習プラットフォームです。これにより、安全なコードのための包括的な学習プログラムの副産物として、コンプライアンスが達成されます。Secure Code Warrior 、Secure Code Warrior 削減し、開発者の生産性を向上させます：

• PCIデータの保護方法に関する確固たる一貫した理解を提供します。知識のギャップを埋め、開発者が使用する言語やフレームワークに合わせた正確なトレーニングを提供します。詳細については、当社の学習プラットフォームをご覧ください。
• 継続的かつ測定可能な確立されたプロセスにより、スキルを検証し、トレーニングが確実に習得され実践に反映されることを保証します。開発者向けReady製品「セキュアコードトレーニングパス 」の詳細をご覧ください。
• アジャイル学習手法を用いたトレーニングの実施により、状況に応じたジャストインタイム学習を実現します。汎用的で頻度の低いトレーニングはもはや実用的ではなく、セキュリティギャップの削減にも望ましい効果をもたらしません。当社が支援するセキュリティギャップ対策の詳細をご覧ください。
• セキュリティ研修およびコーディング基準の文書化支援。PCI DSS監査における準拠証明に有用です。PCI DSS 4.0の詳細な分析については、当社のホワイトペーパー「PCI DSS 4.0の解明」をご覧ください。

‍