pci-dss-scoping

PCI DSS のスコープ設定

適切なスコープ設定が PCI DSS の 80％を占めます。まず、データフローを正確に把握してください。

1. カード会員データを特定する

• 決済経路全体をたどります：取得 → 転送 → 処理 → 保存 → 破棄
• PAN の保存場所：データベース、ログ（ログのサニタイズ！）、バックアップ、メール／チケットシステム、開発／テスト環境
• PAN が表示されるすべての場所で切り捨て／マスキングを確認し、認証後に SAD（機密認証データ）が保持されないことを確認します

2. CDE を定義する

• カード会員データ環境：CHD を保存／処理／転送するすべてのシステムと、接続されているシステム
• 接続されているシステムを特定します：セキュリティに影響するシステム（AD、DNS、NTP、監視などの共有サービス）と、CDE のセキュリティに影響を与える能力に基づいてセキュリティに影響する、またはしないシステム
• セグメンテーションが証明されるまでは、CDE に接続する可能性のあるすべてのものがスコープに含まれます

3. セグメンテーション（スコープを縮小する鍵）

• セグメンテーション制御を文書化します：ファイアウォール、ネットワークアクセス制御、CDE 用の個別の認証情報／特権アカウント
• セグメンテーション侵入テストは必須です（v4.0）：スコープ外のゾーンから、両方向で CDE の境界が保たれていることを確認します
• セグメンテーションがない場合、ネットワーク全体が CDE になります。通常、セグメンテーションを実施するよりも費用がかかります。

4. 要件のマッピング（v4.0 の主なポイント）

• 要件 1／2：ネットワーク制御、安全な構成（「定義されたアプローチ」の目標が新たに設定されました）
• 要件 3：保存されたアカウントデータの保護、暗号化のインベントリと鍵管理（3.6／3.7 が拡充）
• 要件 4：転送中の強力な暗号化 — v4.0 の新要件：オープンネットワーク経由の PAN は判読不能にする必要があります（4.2.1）
• 要件 8：CDE へのすべてのアクセスに MFA を適用（8.4 が管理者以外にも拡大）
• 要件 10／11：ログ記録とテスト、頻度をカスタマイズするための対象を絞ったリスク分析（11.3.x）
• 要件 12：ポリシー、サードパーティ／サービスプロバイダー管理、カスタマイズしたアプローチの文書化

5. 証拠の準備

• ASV スキャンレポート、内部／外部の侵入テストレポート、セグメンテーション侵入テスト
• 四半期ごとのスキャン、構成標準、鍵管理記録、トレーニング記録
• 「該当なし」の要件については、代替統制のワークシート

成果物

データフロー図、対象範囲内／対象範囲外の根拠を示したスコープ文書、セグメンテーションテスト計画、要件の証拠マトリックス。