適切なサポートがあれば、開発者は組織を優れたPCI DSS 4.0準拠へと導くことができます

この記事のバージョンは最初に DZoneに掲載されました。ここでは更新・公開されています。

ペイメントカード業界データセキュリティ基準（PCI DSS）バージョン4.0は、電子決済（大多数を占める）を受け入れるあらゆる企業や組織のセキュリティに関して、ほぼすべてを変えるでしょう。この更新は間違いなく多くの企業にとって変革的なものであり、多くのセキュリティプロセスのアップグレードを要求し、暗号化、認証、アクセス制御、鍵管理、その他の分野で新たな保護策の導入を促す可能性があります。これらの分野ではこれまで進展が遅れていたかもしれません。

新たな要件の複雑さにより、各組織が完全に準拠できるのは2025年3月までとなります。しかしこの期限は、多くの人が認識しているよりも早く到来します。実際、多くの先見性のある企業は現在、開発者が未確定のコンプライアンス環境を乗り切れるよう対策を講じています。

標準的なトレーニングを超越する

組織の開発者は、そのインフラストラクチャの大部分を支えるコードを記述しているため、新たなPCI DSS 4.0要件を実施する際の適切な出発点となります。しかし、更新されたセキュリティ意識向上プログラムの一環として、大半の開発者はスキル向上のための戦略的支援を必要とするでしょう。これは、新たな基準の実施と維持に必要な高度なセキュリティレベルを実現するための経験を確保するためです。

実際、PCI DSS 4.0の要求事項12.6.2は、組織が正式なセキュリティ計画を実施し、最新の脅威情報と防御技術を用いてそれを更新するよう指導しています。旧基準では、基本的なセキュリティ計画や、単なる「チェックリスト形式」の年次コンプライアンス研修さえも目的を達成していました。しかし、この新基準の要求はそれをはるかに超えており、セキュリティ研修計画が企業環境における特定の脅威や脆弱性に対応することを求めています。例えば、ID盗難が組織にとって重大な問題である場合、トレーニングではこの問題に対処する必要があります。

明らかに、実際の観点からも新たな基準遵守の観点からも、最低限のトレーニングではもはや不十分です。むしろ組織は、開発者に包括的で柔軟な学習経路を提供し、セキュリティのベストプラクティスを実際の日常業務に適用する方法を教える必要があります。最低限のコンプライアンス作業を超え、開発者がセキュリティを真に理解するために必要なリソースを提供することで、組織は開発者がPCI DSS 4.0を遵守しつつ、より優れた総合的なセキュリティ判断を下せるよう支援できます。

良い知らせは、PCI DSS 4.0の多くの新要件が、認証、暗号化、アクセス制御、鍵管理など、開発者の多くが既に精通している領域を対象としていることです。開発者に適切で関連性が高く、馴染みのあるリソースを提供してスキル向上を図れば、組織はPCI DSS 4.0の新たな基準とより大きな責任に対応できるよう、開発者をより容易に準備させることができます。

PCI DSS 4.0 を基盤として、全体的なセキュリティを強化する

優れたセキュリティ教育を通じて開発者のニーズを満たすことが、新しいPCI DSS 4.0基準を順守する上で成功の鍵となるでしょう。しかし、組織をより良いサイバーセキュリティへと導く取り組みは、必ずしもそこで終わるわけではありません。確かにこれらの要件は厳格ですが、大半の組織が準拠に向けて努力する必要がある以上、この取り組みをより包括的なセキュリティ意識向上とトレーニングの足掛かりとして活用しない理由はありません。これにより組織はコンプライアンス要件を満たせるだけでなく、ベストプラクティスを優先し、全員が「安全第一」という共通目標に向かって努力する積極的なセキュリティ文化の醸成を開始できるのです。

もちろん、学習曲線は存在しますが、開発者はその努力を惜しまないでしょう。エバンスのデータ調査によると、世界中で活動する1,200人以上のプロフェッショナル開発者の大多数が、安全なコードの作成と組織内でのより良いセキュリティ文化の構築という概念を支持しています。明らかに、大半の開発者は開発プロセスにおいて戦略的にセキュリティコーディングへ移行し、セキュリティの優先順位を再定義することを歓迎しています。

PCI DSS 4.0で規定されたセキュリティ強化は、企業がセキュリティのベストプラクティスとトレーニングへの投資を改善し、組織内でより優れた総合的なセキュリティ文化を受け入れるための絶好の機会を提供する。

開発者向け企業が、安全なコーディングスキルと関連ツール・トレーニングを組み合わせる計画に投資すれば、開発者はより高いセキュリティ成熟度を容易に達成できます。これにより、開発者がより良い意思決定を促進するセキュリティ文化が醸成され、組織全体のセキュリティ態勢が改善されます。その効果は、厳格な新規PCI DSS 4.0基準をはるかに超える可能性すらあります。