pci-dss-specialist

PCI-DSS v4.0 スペシャリスト

ペイメントカード業界データセキュリティ基準バージョン 4.0（決済処理環境におけるカード会員データ保護のグローバル標準）への準拠を実装、評価、維持します。CDE のスコーピング、SAQ／ROC の選定、12 の全要件に対するギャップ評価、スコープの縮小（トークナイゼーション、P2PE、セグメンテーション）、および 2025 年 3 月 31 日に必須となった、適用開始日が将来に設定されていた v4.0 の管理策を対象とします。

主な機能

• コンプライアンス評価 — PCI DSS v4.0 の 12 の全要件に対してスコアを算出し、ギャップを特定して、是正措置の優先順位を設定します（pci_compliance_checker.py）
• スコーピングと SAQ の選定 — カード会員データ環境をマッピングし、接続システムおよびセキュリティに影響を与えるシステムを分類して、適切な SAQ の種類または ROC の要件を判断します（pci_scope_analyzer.py）
• スコープの縮小 — トークナイゼーション、P2PE、ネットワークセグメンテーション、外部委託／iFrame による処理を利用して、システムをスコープから除外します
• v4.0 への対応状況 — CDE へのすべてのアクセスでの MFA、12 文字のパスワード、決済ページのスクリプト管理策（6.4.3／11.6.1）、フィッシング対策、ログレビューの自動化、対象を絞ったリスク分析
• インフラストラクチャ管理策 — ネットワークセグメンテーション、TLS／DNS、エンドポイント／POS、クラウド（AWS／Azure／GCP）、コンテナー、API のセキュリティ、暗号化キーのライフサイクル、DUKPT

使用するタイミング

次の語句が含まれる場合に使用します：「PCI DSS」、「決済カードのセキュリティ」、「カード会員データ」、「PCI 準拠」、「決済セキュリティ」、「PCI 評価」、「SAQ」、「ROC」、「QSA」、「クレジットカードのセキュリティ」、「決済処理のセキュリティ」、「トークナイゼーション」、「CDE のスコーピング」、「加盟店レベルのコンプライアンス」。

まず確認すること

評価またはスコーピングを実行する前に、以下の入力内容を確認してください。入力が不足している、または曖昧で、結果が変わる可能性がある場合は質問してください。結果に影響しない場合は、妥当なデフォルト値を使用し、使用した値を明示してください。

• ビジネスモデル／決済フロー： カードをどのように受け付けるか（e コマース、端末、P2PE、完全外部委託／iFrame）。CDE のスコープと適切な SAQ の種類が決まります。
• 加盟店／サービスプロバイダーのレベル： 年間取引件数。検証方法（SAQ または ROC）が決まります。
• CDE のスコープ： カード会員データを保存、処理、または送信するシステムと、接続システム。12 の要件のうち、どれが対象となるかが決まります。

リスト全体ではなく、このリクエストに最も関係する 2～3 項目について確認してください。ユーザーがすぐに結果を求めている場合は、結果を提示し、冒頭で前提を明示してください。

クイックスタート

# Check PCI compliance status (JSON report)
python scripts/pci_compliance_checker.py --input controls.json --output compliance_report.json

# Compliance gap report for stakeholders (Markdown)
python scripts/pci_compliance_checker.py --input controls.json --format markdown --output gap_report.md

# Determine SAQ type / analyze CDE scope
python scripts/pci_scope_analyzer.py --input business_model.json --output scope_report.json
python scripts/pci_scope_analyzer.py --input business_model.json --format markdown --output scope_analysis.md

--requirements 3,4,7,8 を実行すると、チェッカーの対象を特定の要件に絞り込めます。ツールの詳細、入力 JSON の形式、フラグの一覧は、以下のツールリファレンスを参照してください。

参考資料

タスクに合った参考資料を読み込みます。このファイルは簡潔に保ち、詳細は必要に応じて参照してください。

• references/requirements-and-changes.md — PCI DSS の概要、12 の要件の詳細（各要件の目的＋主なサブ要件＋実装ガイダンス）、および v4.0 の変更点と将来適用される要件の概要。要件の実装または説明時に参照してください。
• references/pci-dss-requirements-guide.md — 表形式の参考資料。すべてのサブ要件、テスト手順、v4.0 での変更状況を掲載しています。正確なサブ要件 ID や監査人によるテスト手順が必要な場合に参照してください。
• references/scoping-and-assessment.md — CDE の定義とシステム分類、スコープ縮小戦略、SAQ の種類と選択用ディシジョンツリー、評価の種類（SAQ／ROC／AOC）、加盟店およびサービスプロバイダーのレベル。スコープの決定や検証方法の選択時に参照してください。
• references/infrastructure-controls-and-roadmap.md — 技術的な管理策（セグメンテーション、DNS／TLS、エンドポイント／POS、クラウド、コンテナ、API、トークン化アーキテクチャ、鍵管理）と、12 か月間のコンプライアンス対応ロードマップ（5 フェーズ）。プログラムの構築や計画時に参照してください。
• references/pci-infrastructure-security.md — アーキテクチャの詳細：ネットワーク構成の参考図、クラウドごとの構築例、mPOS、E コマースのスクリプト管理策、Kubernetes マニフェスト。CDE インフラストラクチャの詳細設計時に参照してください。
• references/tools-validation-troubleshooting.md — ツールの全機能、入力 JSON 形式、CLI フラグの表、検証チェックポイント、トラブルシューティング表、成功基準。ツールの実行や作業の検証時に参照してください。

対象範囲と制限事項

対象範囲：

• PCI DSS v4.0／v4.0.1 の 12 の全要件に対するコンプライアンス評価
• ビジネスモデルと決済処理アーキテクチャに基づく SAQ の種類の判定
• 接続システムおよびセキュリティに影響するシステムの特定を含む CDE のスコープ決定
• 技術的な管理策（暗号化、アクセス制御、ログ記録、ネットワークセグメンテーション）の検証
• 要件ごとのギャップ分析と是正の優先順位付けを含むコンプライアンスのスコアリング
• スコープ縮小戦略の推奨（トークン化、セグメンテーション、P2PE）

対象外：

• 承認スキャンベンダー（ASV）による脆弱性スキャン（PCI SSC 承認の ASV ベンダーが必要）
• 認定セキュリティ評価機関（QSA）によるオンサイト評価、またはコンプライアンス報告書（ROC）の作成
• 決済アプリケーションのセキュリティ検証（PA-DSS／PCI SSF の対象範囲）
• PIN 取引セキュリティ（PTS）デバイス認証
• カードブランド固有のプログラム要件（Visa、Mastercard、Amex にはそれぞれ追加のプログラム規則があります）
• アクワイアリング銀行またはカードブランドとの契約上の義務に関する法的助言
• リアルタイムの取引監視または不正検知

統合ポイント

スキル	統合
infrastructure-compliance-auditor	PCI DSS 要件 1、2、4、10、11 を満たすネットワークセグメンテーション、TLS 設定、エンドポイントセキュリティ、ログ記録の管理策を検証します
nist-csf-specialist	CSF の機能は PCI DSS の要件に対応しています。統合管理策マトリクスを作成し、二重コンプライアンスプログラムに活用するには、管理策マッパーを使用してください
soc2-compliance-expert	SOC 2 の CC6（アクセス）、CC7（運用）、CC8（変更管理）は PCI DSS と大きく重複しています。共通の証跡を活用してください
information-security-manager-iso27001	ISO 27001 附属書 A の管理策は、PCI DSS コンプライアンスを支えるマネジメントシステムのフレームワークを提供します
nis2-directive-specialist	NIS2 と PCI DSS の両方の対象となる EU の事業体は、共通の管理策（暗号化、インシデント対応、アクセス制御）を対応付けられます