mcpField
I
implementing-pci-dss-compliance-controls

implementing-pci-dss-compliance-controls

github.com/mukul975セキュリティ35.2k67 回インストール8 週間前に更新
リポジトリ

implementing-pci-dss-compliance-controls について

PCI DSS 4.0.1 の管理策を計画・実装するスキルです。カード会員データを扱うチーム向けに、対象範囲の特定、ネットワークとデータの保護、アクセス制御、監視、準拠の証跡作成を案内します。

主な機能

  1. 01カード会員データ環境の範囲特定
  2. 02ネットワークとシステムのセキュリティ対策
  3. 03保存・転送中のカードデータ保護
  4. 04ID、アクセス、物理的な制御の実装
  5. 05準拠状況の監視、テスト、記録

活用シーン

  1. 01PCI DSS 要件とのギャップ評価
  2. 02カード会員データ環境のセキュリティ対策計画
  3. 03評価資料と準拠証跡の準備
  4. 04継続的な監視とテストの改善

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill implementing-pci-dss-compliance-controls

インストール後、Claude Code で/implementing-pci-dss-compliance-controlsを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py

詳細

PCI DSS 準拠管理策の実装

概要

PCI DSS 4.0.1 は、カード会員データを保存、処理、または送信する組織に対し、6 つの管理目標にわたる 12 の要件を定めています。PCI DSS 3.2.1 が 2024 年 4 月に廃止され、51 の新しい要件が 2025 年 3 月 31 日に必須となることを受け、このスキルでは、新しいカスタマイズされた検証アプローチ、強化された認証、継続的な監視管理策を含むすべての要件の実装について説明します。

使用するタイミング

  • お使いの環境で pci dss 準拠管理策の実装機能を導入または設定する場合
  • 準拠要件に沿ったセキュリティ管理策を確立する場合
  • この領域のセキュリティアーキテクチャを構築または改善する場合
  • この実装を必要とするセキュリティ評価を実施する場合

前提条件

  • 決済カード処理フローとカード会員データ環境（CDE）に関する理解
  • ネットワークセグメンテーションとセキュリティアーキテクチャに関する知識
  • スコープを定めるためのカード会員データ環境へのアクセス
  • PCI 準拠の検証レベル（加盟店レベル 1～4、サービスプロバイダーレベル 1～2）に関する理解

基本概念

管理目標ごとの PCI DSS 12 要件

セキュアなネットワークとシステムの構築および維持

  1. ネットワークセキュリティ管理策（ファイアウォール、NSC）を導入し、維持する
  2. すべてのシステムコンポーネントにセキュアな設定を適用する

アカウントデータの保護 3. 保存されたアカウントデータを保護する（暗号化、トークン化、切り捨て） 4. 送信中のカード会員データを強力な暗号化で保護する

脆弱性管理プログラムの維持 5. すべてのシステムとネットワークを悪意のあるソフトウェアから保護する 6. セキュアなシステムとソフトウェアを開発し、維持する

強力なアクセス制御対策の導入 7. 業務上知る必要がある場合に限り、システムコンポーネントとカード会員データへのアクセスを制限する 8. ユーザーを識別し、システムコンポーネントへのアクセスを認証する 9. カード会員データへの物理的なアクセスを制限する

ネットワークの定期的な監視とテスト 10. システムコンポーネントおよびカード会員データへのすべてのアクセスを記録し、監視する 11. システムとネットワークのセキュリティを定期的にテストする

情報セキュリティポリシーの維持 12. 組織のポリシーとプログラムによって情報セキュリティを支援する

PCI DSS 4.0 の主な変更点
  • カスタマイズされたアプローチ：定義済みアプローチに代わるもので、目標ベースの検証を通じてカスタム管理策を設計できます
  • すべての CDE アクセスに対する MFA：管理者だけでなく、カード会員データへのすべてのアクセスに適用範囲が拡大されます（要件 8.4.2）
  • 対象を絞ったリスク分析：柔軟な要件に対し、組織が独自にリスク分析を実施します
  • 認証付き脆弱性スキャン：内部スキャンでは認証付きスキャンを使用する必要があります（要件 11.3.1.1）
  • フィッシング対策メカニズム：フィッシングを検知し、保護するための技術的管理策（要件 5.4.1）
  • 監査ログの自動レビュー：監査ログをレビューする自動メカニズム（要件 10.4.1.1）

ワークフロー

フェーズ 1：スコープ設定と評価（第 1～4 週）
  1. すべてのカード会員データフローを特定する（カード提示あり、カード提示なし、保存）
  2. カード会員データ環境（CDE）の境界を定義する
  3. ネットワークセグメンテーションの有効性を検証する
  4. 準拠検証レベルを決定する
  5. 12 のすべての要件を対象に PCI DSS ギャップ評価を実施する
フェーズ 2：ネットワークとシステムのセキュリティ（第 5～12 週）
  1. ネットワークセキュリティ管理策を導入し、設定する（要件 1）
  2. CDE のスコープを最小化するためにネットワークセグメンテーションを実装する
  3. CIS ベンチマークを使用してシステム設定を強化する（要件 2）
  4. 外部公開 Web アプリケーションに WAF を導入する（要件 6.4.1）
  5. スコープ内のすべてのシステムにマルウェア対策を導入する（要件 5）
フェーズ 3：データ保護（第 13～20 週）
  1. 保存されたカード会員データの暗号化を実装する（要件 3）
  2. 可能な場合はトークン化を導入してスコープを縮小する
  3. すべてのカード会員データの送信に TLS 1.2 以降を適用する（要件 4）
  4. 鍵管理手順を実装する
  5. 暗号化されていないカード会員データの場所を特定するため、データ検出ツールを導入する
フェーズ 4：アクセス制御（第 21～28 週）
  1. 業務上知る必要がある場合に基づいて RBAC を導入します（要件 7）
  2. CDE へのすべてのアクセスに MFA を導入します（要件 8）
  3. すべてのユーザーに一意のユーザー ID を設定します
  4. PCI DSS 4.0 の要件を満たすパスワードポリシーを適用します
  5. CDE 施設に物理的なアクセス制御を導入します（要件 9）
フェーズ 5：監視とテスト（第 29～36 週）
  1. すべての CDE コンポーネントに一元化されたログ記録を導入します（要件 10）
  2. 自動化されたログレビューの仕組みを導入します
  3. 内部および外部の脆弱性スキャンを実施します（要件 11）
  4. ペネトレーションテストを実施します（内部および外部）
  5. 重要なファイルにファイル整合性監視（FIM）を導入します
フェーズ 6：ポリシーとガバナンス（第 37～42 週）
  1. 包括的な情報セキュリティポリシーを策定します（要件 12）
  2. フィッシング対策を含むセキュリティ意識向上トレーニングを実施します
  3. カード会員データに特化したインシデント対応計画を策定します
  4. 柔軟な要件に対する対象を絞ったリスク分析を実施します
  5. 評価に向けて、すべての統制を文書化し、妥当性を確認します

主な成果物

  • CDE の範囲に関する文書とネットワーク図
  • 自己評価質問票（SAQ）または準拠性報告書（ROC）
  • 準拠証明書（AOC）
  • 四半期ごとの ASV スキャンレポート
  • 年次ペネトレーションテストレポート
  • リスク評価に関する文書
  • セキュリティポリシーと手順書

よくある落とし穴

  • ネットワークセグメンテーションが不十分なために発生するスコープの拡大
  • 承認後に禁止データ（CVV、完全なトラックデータ）を保存すること
  • 新たな必須要件の 2025 年 3 月の期限を逃すこと
  • PCI DSS を継続的なセキュリティではなく、年次のコンプライアンスとして扱うこと
  • クラウド環境やコンテナ環境を CDE の範囲に含めないこと

参考資料

コメント

Markdown 対応