PCI DSS のコンプライアンスレベル：意味と適格条件

PCI DSS のコンプライアンスレベルを一目で

加盟店レベル 1〜4 の概要

Payment Card Industry Data Security Standard（PCI DSS）は、年間のカード取引量と全体的なリスクへの露出度に基づいて組織を4つの加盟店レベルに分類し、適切な検証要件を決定します。自社のコンプライアンスレベルを理解することは、義務を満たし、カード決済を処理できる能力を維持するために適切なセキュリティ対策を講じ続けるうえで重要です。

レベル 1 の加盟店は、取引量が最も多く、通常は年間 600 万件超の取引を処理し、最も厳しい検証要件が適用されます。レベル 2 の加盟店は、レベル 1 より少ないものの高い取引量を扱い、通常は年間 100 万〜600 万件のカード取引で、追加の監督のもとで自己評価により検証されます。レベル 3 の加盟店は、一般的に中堅規模の電子商取引企業で、通常 2 万〜100 万件のカード取引を処理し、自己評価によって検証されます。レベル 4 の加盟店は、取引量が最も少ない小規模事業者で、年間の電子商取引が 2 万件未満、または年間の総取引が最大 100 万件までであり、自己評価により検証され、最もシンプルなコンプライアンス義務が適用されます。

他の組織（サービスプロバイダー）に代わってカードデータを処理または保存する組織は、検証要件に関して、加盟店（merchant）の検証とは異なる別の2段階システムに従い、年間のカード取引量に依存します。レベル1のサービスプロバイダーは、年間30万件を超える取引を処理する、または第三者のためにカード会員データを保存します。レベル2のサービスプロバイダーは、年間30万件未満の取引を処理します。

あなたのレベルが重要な理由

あなたのコンプライアンスレベルは、組織がどのようにコンプライアンスを検証する必要があるか、またそれを維持するためにどれだけの手間がかかるかを直接左右します。加盟店（merchant）のレベルは、組織が適格なセキュリティ評価者（Qualified Security Assessor）によってコンプライアンス報告書（Report on Compliance, ROC）を完了させるべきか、または自己評価質問票（Self-Assessment Questionnaire, SAQ）を行うべきかを定義するだけでなく、維持すべきコンプライアンス証拠の深さと種類も定めます。

加盟店（merchant）のレベルが高いほど、より多くの文書化された証拠と、セキュリティ管理策の定期的なテストが求められます。たとえば、レベル1の加盟店では、適格なセキュリティ評価者（Qualified Security Assessor, QSA）が署名した正式なコンプライアンス証明書（Attestation of Compliance, AOC）が必要です。コンプライアンスは継続的な義務ですが、加盟店レベルは、Approved Scanning Vendor（承認済みスキャンベンダー）による四半期ごとのネットワークスキャンのように、評価がどれくらいの頻度で必要になるかにも影響します。カードブランドや加盟銀行（acquiring banks）は、コンプライアンスレベルに基づいて追加要件を課す場合があります。規制当局の期待に応え、罰則を回避し、カード会員データの保護に必要なデューデリジェンス（適正評価）を効率的に示すためには、コンプライアンスレベルを正しく特定し、維持することが極めて重要です。

カードブランドが PCI DSS 準拠レベルを決める方法

取引量の基準（閾値）

カードブランドは主に、年間のカード取引量を用いて組織の準拠レベルを決定します。これらの基準（閾値）は、PCI DSS 準拠を維持するために組織が従う必要のある検証および報告の体制がどのようなものかを判断するのに役立ちます：

• レベル 1： 全チャネル（店頭およびオンライン）で年間 600 万件を超える取引を処理する加盟店
• レベル 2： 年間で 100 万件から 600 万件の取引を処理する加盟店
• レベル 3: 年間で 20,000 件から 100 万件の e コマース取引を処理する加盟店
• レベル 4: 年間の e コマース取引が 20,000 件未満、または全チャネル合計で最大 100 万件の取引を処理する加盟店

レベル 1 の加盟店は通常、有資格のセキュリティ評価者（QSA）による年1回のオンサイト評価が必要です。一方、下位レベルでは、質問票（SAQ）を用いた自己評価に加え、四半期ごとのネットワークスキャンなどの追加要件が求められます。

侵害およびインシデントのエスカレーション

年間の取引量は、コンプライアンス（遵守）レベルを設定する際の主要な要因ですが、それだけではありません。カードブランドは、決済エコシステムに対するリスクが高いと判断した場合、いかなる加盟店でもレベル 1 へ手動でエスカレーションできる権利を留保しています。加盟店が、カード会員データを侵害したデータ侵害またはセキュリティインシデントを被った場合、カードブランドは取引量に関係なく、その加盟店をレベル 1 に引き上げることができます。さらに、カードブランドが、安全管理の不十分さ、コンプライアンスの証拠不足といった体系的な脆弱性、または取引パターン、業種、もしくは不正履歴に基づく高リスクなプロファイルを特定した場合、レベル 1 の検証要件を義務付けることができます。

アクワイアリングバンクの役割

カードブランドがグローバルなセキュリティ基準を定めていても、PCI DSS のレベルを割り当てる最終権限はアクワイアリングバンクにあります。アクワイアリングバンクは、組織の適切な加盟店レベルが確保されていることを保証する責任を負い、実際の取引データおよびカードブランド固有の基準を確認して、準拠レベルを評価します。アクワイアラーは、Attestation of Compliance、SAQ、Reports on Compliance などのコンプライアンス検証書類を収集・レビューし、カードブランドの最低基準を超える追加要件を課すことも可能です。Visa、Mastercard、Discover、American Express などの異なるカードブランドでは、PCI 準拠レベルの閾値がわずかに異なります。複数のブランドで処理する加盟店は、すべてのカードブランドのコンプライアンスレベルに従う必要があり、アクワイアリングバンクがこれらの要件を仲介し、施行します。

4つの加盟店レベル：要件とエビデンス

レベル1：最高の保証

対象者： 年間で全チャネルを合算して 600 万件を超えるカード取引（カード提示、電子商取引、郵送または電話による注文）を処理している加盟店。購入、返金、クレジット、承認など、あらゆる取引タイプを含みます。さらに、取引量にかかわらず、データ漏えいが発生しデータが侵害された経験がある加盟店、またはリスク評価、過去のコンプライアンス違反、または実質的に高いリスクを伴うビジネスモデルに基づいてカードブランドからレベル 1 に指定されている加盟店も該当します。

検証要件： PCI DSS Level 1 の準拠は最も高いリスク露出を意味するため、最も厳格な検証が必要です：

レベル 2：基本的に QSA なしの高量

該当するのは： 中〜大規模のEC小売事業者、地域の小売チェーン、多店舗展開のホテルおよびレストランなどの Level 2 の加盟店は、実質的に大きなリスクを伴いますが、買収（アクワイアリング）銀行から別途指示がない限り、自ら検証することが認められます。

検証要件：

注：買収（acquiring）銀行またはカードブランドは、リスク・プロファイル、セキュリティ侵害の履歴、複雑なインフラストラクチャ、または不十分なコンプライアンス態勢に基づき、レベル2の加盟店に対して完全なROCおよびQSA主導の評価を要求する場合があります。

レベル 3：中堅市場の電子商取引に重点

該当するのは： 年間で 20,000 件から 100 万件の電子商取引（e-commerce）取引を処理している加盟店。特に、Card-Not-Present（CNP）のシナリオがあるなど、オンラインでの存在感が大きい加盟店が対象です。

検証要件： レベル3の加盟店には、成長中の電子商取引事業、決済連携を備えたSaaS企業、デジタル・マーケットプレイス、サブスクリプション型の事業などが一般的に含まれます。これらの加盟店は、次の検証を提示する必要があります：

レベル4：小規模加盟店のベースライン

対象者： 年間で電子商取引（e-commerce）の取引が 20,000 件未満、またはすべてのチャネルの合計取引数が最大 100 万件までの加盟店は、レベル 4 のコンプライアンス対象となります。

検証要件： レベル 4 の加盟店には、通常、小規模な事業者、地域の小売店舗、単一拠点のホテルおよびレストラン、ならびに小規模なオンライン小売事業者が含まれます。以下の検証を完了する必要があります：

よくある誤解： Level 4 の加盟店は、ファイアウォールや暗号化技術を使って安全なネットワークを維持すること、カード会員データ（cardholder data）を保護すること、脆弱性管理（vulnerability management）など、適用可能なすべての PCI DSS 要件を満たす義務があります。 アクセス制御、継続的なモニタリング、ネットワークテストです。レベルが影響するのは検証方法のみであり、安全上の義務ではありません。

サービス提供者の PCI DSS レベル

二層のサービス提供者モデル

サービス提供者は、加盟店に代わってカード会員データ（cardholder data）を保存、処理、または送信するため、決済処理のエコシステムにおいて重要な役割を担っており、カード会員データのセキュリティに影響を与える可能性があります。加盟店は4つのコンプライアンス・レベルに分類される一方で、サービス提供者は、複数のクライアントにまたがる共同責任（shared responsibility）という役割を担うため、厳格な検証要件を伴う2層の分類モデルに従います。

Level 1 のサービス提供者： 加盟店に代わって年間 300,000 件を超えるカード取引を処理、保存、または送信するすべての組織、または取引量に関係なく決済カードブランドによって特別に指定されたすべての組織です。これらのサービス提供者は、ROC のために Qualified Security Assessor（QSA）によって実施されるオンサイト監査（on-site audit）を受け、AOC を提出し、四半期ごとの ASV スキャンを行い、義務付けられた年1回のペネトレーションテスト（annual penetration testing）を実施しなければなりません。このカテゴリのサービス提供者には、通常、決済ゲートウェイ（payment gateways）、マネージドサービス提供者（managed service providers）、クラウドおよびホスティング提供者（cloud and hosting providers）が含まれます。

レベル2サービスプロバイダー： 年間の総取引件数が300,000件未満で、かつカードブランドによってレベル1サービスプロバイダーに指定されていない、あらゆる組織です。レベル2サービスプロバイダーは、PCI DSSのすべての要件に対応するため、サービスプロバイダー向けの年次SAQ Dを通じて検証要件を満たし、AOCを提出し、四半期ごとのASVスキャンレポートを提供し、年次のペネトレーションテストを実施しなければなりません。

サービスプロバイダーを検証するのは誰か

サービスプロバイダーのコンプライアンスは、契約上の義務やリスクの考慮に応じて、複数の仕組みによって検証できます：

• 自己検証 vs. QSA： レベル1プロバイダーは外部のQSAによって検証される必要がありますが、レベル2プロバイダーはSAQ Dを使用して自己検証することができます。ただし、提供されるサービスの機微性によっては、クライアント、加盟店、またはカードブランドが、QSA署名付きのROCを依然として要求する場合があります。場合によっては、共有責任の性質により、加盟店のQSAが加盟店自身のPCI評価の際にサービスプロバイダーのコントロールを確認します。
• カードブランドのコンプライアンス・レジストリ： VisaやMastercardのような著名なカードブランドは、コンプライアンスに準拠したサービスプロバイダーの公式リストを維持しています。加盟店は、それらのサービスプロバイダーのみを使用することが推奨され、しばしば求められます
• 加盟店の責任： 加盟店は、自社のサービス提供事業者の一覧を維持し、サービス提供事業者と書面による契約を締結し、サービス提供事業者のコンプライアンス状況を少なくとも年1回は検証する責任を負います。コンプライアンスに準拠したサービス提供事業者を利用しなかったとしても、その PCI の義務が他者に移転することはありません。加盟店は引き続き、カード会員データの保護について責任を負います

自社環境に合った適切な SAQ を選ぶ

SAQ 選択マトリクス

自己評価質問票（Self-Assessment Questionnaires）は、PCI Security Standards Council（PCI SSC）が定義した検証ツールであり、加盟店およびサービス提供事業者が PCI DSS の適合状況を自己評価できるよう支援するためのものです。適切な SAQ は、加盟店がカード会員データをどのように受け取り、処理し、送信し、保存するかによって決まります。

スコープ・クリープを防ぐコツ

間違った SAQ タイプを選ぶと、コンプライアンスの負担が増え、セキュリティ上のギャップが生じ、監査で却下される可能性があります。

支払いフローを整理してください： カード会員データが組織に入ってくるすべてのポイント、どのように処理・保存され、環境のどこから外に出るのかを文書化してください。バックアップ システム、ログ、アーカイブなど、データの取得と処理に関わるすべてのシステムとサービスを特定します。

カード会員データの接点を理解する： インフラのどの部分でもカード会員データに触れている場合、SAQ タイプがより軽い SAQ から SAQ D に切り替わる可能性があります。カード会員データを保存、処理、または送信するシステムがあれば、カード会員データのセキュリティに影響を与えます。さらに、カード会員データ環境にアクセスできるシステムや、CDE と同じネットワーク セグメント上にあるシステムも考慮してください。

セグメンテーションを使用する： 適切なネットワークおよびシステムのセグメンテーションにより、PCI DSS の適用範囲を縮小でき、コンプライアンス対応に必要な作業量を減らせます。ファイアウォールと VLAN を使用して、支払い端末または POS システムを企業ネットワークの他の部分から分離してください。変更は必ず文書化し、継続的なコンプライアンスを支えるために有効性を定期的に検証してください。

QSA に相談する： 小売店と電子商取引の両方のサービスを提供している加盟店は、複数の SAQ を完了する必要があったり、単一の SAQ D が必要になったりする場合があります。過剰または不足したコンプライアンス対応を防ぐうえで役立つ QSA を関与させるのは、常に良い考えです。

スコープから証拠へ：レベルごとに監査人が期待すること

スコーピングとドキュメント

PCI DSS 準拠を評価する監査人は、まずスコープの妥当性確認と基礎となるドキュメントに注目します。なぜなら、関連する証拠のすべてが、カード会員データ環境（Cardholder Data Environment、CDE）の正確な定義に依存しているからです。

正確な CDE スコーピング： 監査人は、カード会員データを保存、処理、または送信するすべてのシステム、ネットワーク、拠点の明確な特定を求めます。CDE の明確な境界は文書化されていなければなりません。POS端末、支払いゲートウェイ、データベースなど「スコープ内」に含まれるシステムと、「スコープ外」にされるシステムは、ネットワーク分割やファイアウォール規則といった除外の根拠（除外証拠）を提示する必要があります。CDE のスコーピングは、少なくとも年に1回、また CDE または関連するインフラに重大な変更があった後は必ず見直しが行われなければなりません。

データフロー図： DFD では、入口ポイントから内部での移動、保存、そして出口ポイントまでのカード会員データのエンドツーエンドの移動を示さなければなりません。DFD には、簡潔な説明付きの高レベルおよび詳細なデータフローを含める必要があります。さらに、暗号化された経路と暗号化されていない経路を区別して表示し、IPアドレスとホスト名を持つ実際の機器に対応付け（マッピング）る必要があります。

ネットワーク分割（セグメンテーション）に関するドキュメント： 特定のサーバーやデバイスがスコープ外（out of scope）であると主張される場合、CDEが影響を受けていないことを示す技術的な証拠を、ドキュメントに含める必要があります。たとえば、CDEと非CDEネットワーク間のネットワークトラフィックを制限するファイアウォール設定、ネットワークを論理的に分離するVLAN設定、そして年次のペネトレーションテスト結果などです。

システムインベントリ： CDEに影響を与え得るすべての項目について、サーバー、ワークステーション、ネットワーク機器、端末など、あらゆるIT資産の完全で最新のインベントリを文書化する必要があります。ここには、導入済みのOS、アプリケーション、バージョン、パッチレベルを含めます。システムの更新、パッチ、ハードウェアの退役についての証拠としてログを示せるように、変更管理メカニズムを実装する必要があります。

時刻同期： 時刻の同期はログの相関分析およびフォレンジック分析に不可欠であるため、すべてのシステムは Network Time Protocol (NTP) を用いて正確で同期された時刻を維持する必要があります。ドキュメントには、時刻同期が成功したことを示すための裏付けログとともに、NTP サーバーの設定、時刻ソース、および同期の頻度（設定）を含めるべきです。

レベル別の主要アーティファクト

レポートのレベルによって必要な証拠の種類や深さは異なりますが、主要なアーティファクトは一貫しています。違いがあるのは、検証方法のみで、これは商店（merchant）のレベルに基づいて変わります。以下は、すべてのレベルで監査人が共通して期待するアーティファクトです：

• 情報セキュリティポリシー： 十分に文書化された セキュリティポリシー 適用可能なすべての PCI DSS 要件を網羅し、許可された利用ポリシー、データ保持ポリシー、暗号化キー管理メカニズム、リモートアクセスポリシー、変更管理ポリシー、物理的セキュリティ、そしてインシデント対応手順を含みます
• アクセス制御のドキュメント： ユーザー アクセスポリシー どのシステムおよびデータに誰がアクセスできるかを示すレポート、ロールベースアクセス制御（RBAC）の実装状況、ならびにロールと権限が最小権限の原則に従っているかどうか。CDE 内のすべてのアクセス経路で多要素認証（MFA）を強制し、セッション記録を伴う特権アクセス管理メカニズムを用意し、CDE への管理者アクセスについて完全な監査証跡を残します
• ファイル整合性監視（FIM）ログ： 重要なシステムファイルおよび設定が、未許可の変更について監視されていることを示す証拠。FIM のアラートやレポート、ベースライン設定の定義、ならびに正当な変更に関する調査記録を含みます
• ユーザーアクセスの棚卸し： ユーザーアカウントおよび管理者アカウントの定期的なレビュー。部門責任者が承認（署名）したレポート、過剰な権限に対する是正の証拠、および退職したユーザーのアクセス権の削除を含みます
• 脆弱性スキャン結果： 四半期ごとに、社内のスキャンツールおよび外部の Approved Scanning Vendors（ASV）によって作成されるレポート。高リスクの脆弱性が見つからなかったこと、または脆弱性がパッチ適用され、再スキャンで脆弱性が解消されたことを示します
• ペネトレーションテストレポート： 内部または外部のペネトレーションテスト結果に関する正式なレポートであり、ネットワーク層のテスト、アプリケーション層のテスト、セグメンテーションの検証を含みます。調査結果（所見）は、深刻度（severity rating）付きで脆弱性を明確に特定し、再テスト後に修正（remediation）の妥当性を検証すべきです
• インシデント対応手順： セキュリティインシデントを処理するための、文書化された計画であり、インシデントの分類方法、エスカレーション（上申）ルート、対応チームの役割と責任、コミュニケーションの手順（プロトコル）、フォレンジック証拠の収集手順、ならびに事業継続（ビジネス・コンティニュイティ）の措置を含みます
• 変更管理記録： システムおよびアプリケーションに対して行われた変更の完全な監査証跡であり、変更要求（change request）フォーム、リスク評価（risk assessment）フォーム、承認記録、導入後の検証、ならびに緊急手順を実行したことの正当性（justifications）を含みます

Netwrix の監査およびコンプライアンス機能により、組織は PCI DSS のすべての要件について、正確なスコープ定義と データ発見 からアクセス制御や多要素認証、 privileged access management 、そして広範なログ記録と継続的な監視まで、エビデンスを生成するのに役立ちます。自動化されたデータ発見機能は、Primary Account Numbers (PAN) およびその他の機微なカード会員データを検出して分類します。データの最小化は、安全な削除プロセスを支えるために、期限切れまたは過剰に保持されているカード会員データを特定するのに役立ちます。定期的なユーザーアクセスレビューキャンペーンは、最小特権の原則を徹底することで CDE へのアクセスを制限し、アクセス証明（access attestation）を自動化します。Netwrix のソリューションは、ユーザーの活動、システムの変更、アクセスイベントに関する包括的な 監査証跡 を取得し、これらのログおよびコンプライアンスレポートを PCI DSS 要件を満たすためにエクスポートできる機能も備えています。

レベルの変化：上がる／下がるためのトリガー

レベル変更のトリガー

PCI DSS の準拠レベルは固定されたものではありません。カードブランドまたはアクワイアリングバンク（加盟店を受ける銀行）の判断、ビジネス活動、リスクイベントに応じて上下に変動します。加盟店およびサービスプロバイダーの準拠レベルは、主に年間の取引量によって決まります。たとえばホリデーシーズン中のマーケティングキャンペーンによって取引量が大幅に増え、取引 600 万件の基準を超えた場合、アクワイアリングバンクは、加盟店に対して、今後は PCI DSS Level 1 の準拠要件を満たし、その報告が必要になることを通知します。

同様に、加盟店の取引量が大幅に減少した場合、準拠レベルを引き下げる資格が得られる可能性があり、それにより監査の複雑さとコストを削減できます。M&A（合併・買収）では複数の加盟店の取引量をまとめることができ、また、買収によって継承された新しい決済チャネルやブランドが、総取引件数に影響する場合があります。

あらゆるセキュリティインシデントやデータ漏えいは、カードブランドまたはアクワイアリングバンクによる厳格なコンプライアンス対応を引き起こし得ます。これによりレベルが引き上げられ、場合によっては、コンプライアンスレベルを通常の状態に戻す前に、フォレンジック調査と是正（リメディエーション）対応が必要になることがあります。商社が新しい第三者のサービスプロバイダーを利用し始めたり、外部委託の支払い処理を変更したりすると、コンプライアンスレベルに影響する可能性があります。たとえば、外部委託の支払いページから部分的にホストされたモデルへ移行するとコンプライアンス上の義務が高まる一方、自社の支払い管理サービスから外部委託の支払い処理へ移行することで、コンプライアンス上の義務が簡素化されることもあります。カードブランドは、高い不正率、繰り返される非準拠、または高リスクなビジネスモデルを理由として、いかなる加盟店またはサービスプロバイダーも再分類できる権利を留保しています。

ガバナンスのベストプラクティス

コンプライアンスは一度きりの取り組みではなく、継続的なプロセスです。突発的な不備を防ぐために、組織は PCI compliance level で求められるコントロールとポリシーを、ビジネスのガバナンスモデルに統合する必要があります。

不意打ちを避けましょう： 四半期ごとまたは月ごとに取引量を追跡することで、加盟店は次のレベルに到達しそうな時期を、その出来事が起きる前に予測できます。再分類のための取引証拠を維持してください。たとえば、新しいチャネル追加に関するデータフロー図、インシデントログ、そしてセキュリティ侵害が発生した場合の是正（リメディエーション）記録などです。

検証の計画： レベル 2 からレベル 1 に移行するには、Qualified Security Assessor (QSA) を雇用する必要があり、CDE を確保するための技術コストが発生します。これらの変更には、適切な予算確保と、スタッフや機器などのリソースが正しく配分されることを保証するために、十分かつ効率的な計画が必要です。

先回りのコミュニケーション： 貴社の acquiring bank と透明性のある関係を維持してください。合規レベルの変更が予期せず発生した場合に、セキュリティコントロールの導入時期について交渉するのに役立ちます。新しい e コマースプラットフォームの開始、トークナイゼーション（tokenization）の変更、または決済ゲートウェイの置き換えを行う前に、必ず acquirer に通知してください。

レベル別のよくある落とし穴と、それを回避する方法

レベル1の落とし穴

不十分な Privileged Access Management: レベル1のカード会員環境および関連インフラには、攻撃対象領域を減らすための厳格なアクセス制御が必要です。包括的な access management は、カード会員データのセキュリティにおける重要な要素です。よくある問題には、共有の管理者アカウントの使用、管理またはサービスアカウントおよびリモートアクセスに対する MFA の未導入、過剰な常駐特権、ユーザーアクセスのレビューキャンペーンの欠如、最小権限の原則に従っていないロールベースアクセス制御（RBAC）、および管理者アクティビティに対する監視の欠如などがあります。

不十分なログ記録: ログは、データ漏えいイベントのフォレンジック調査、およびセキュリティ対策の有効性を検証するうえで重要な役割を果たします。よくある問題として、認証失敗の重要なイベント、特権昇格、またはデータアクセスなどの認証の痕跡が欠落していることが挙げられます。ログは収集されているものの、自動分析と保存のための集中基盤に集約されていません。ログは存在しているが、特定のアカウントに紐づく一意のIDに基づいてイベントの痕跡を区別できません。

セグメンテーションの有効性: よくある問題として、CDE にアクセスできないことを示す根拠がないまま「スコープ外」とラベル付けされたネットワーク、年間の侵入テスト報告書がないこと、そしてネットワークアクセスを許可してしまう誤ったファイアウォールルールが挙げられます。

変更管理の証跡: よくある問題として、適切な承認なしで実施された緊急変更の記録、実装後に PCI への影響が評価されていないこと、適切なバックアップなしでのハードウェア／ソフトウェアのアップグレードまたは交換、そして正当な変更管理イベントの後にセキュリティ態勢の評価レポートがないことなどが挙げられます。

レベル 2〜4 の落とし穴

誤った SAQ の選定： 店舗（加盟店）は、自社の環境では実際にはより詳細で関連性の高い技術的評価が必要であることに気づかないまま、最も簡単または最も短い Self-Assessment Questionnaire (SAQ) を選びがちです。誤った SAQ タイプを選ぶと、特に決済フローが誤解され、文書に不正確に反映されている場合、コンプライアンス評価が不完全になります。SAQ を選定する前に、決済カードのデータフロー全体を必ずマッピングし、PAN が送信・処理・保存される場所を文書化し、第三者プロセッサの統合手法を確認してください。迷った場合は、必ず SAQ の選定ガイドを参照するか、QSA を雇って SAQ 選定プロセスを支援してもらってください。

四半期ごとの ASV スキャンの見落とし： 脆弱性スキャンは、Approved Scanning Vendor (ASV) が 90 日ごとに実施する必要があります。加盟店は、それが年1回の作業だと想定したり、またはコンプライアンス状態を維持するために、スキャンで特定された脆弱性を期限内に是正（修正）しなかったりします。毎四半期の最初の月に必ずスキャンを予定し、特定された脆弱性を是正するための十分な時間を確保してください。さらに、是正作業の後に再スキャンを行い、同じ四半期が終わる前に合格レポートを得られるようにします。期限の 2〜3 週間前にカレンダーのリマインダーを設定し、是正期限を追跡してください（高リスクの脆弱性は 30 日）。スキャン結果と是正の証跡を文書で保持し、四半期ごとのスキャンには PCI SSC 承認のスキャンベンダーのみを使用してください。

ログおよびエクスポート内の PAN： Primary Account Number (PAN) の情報は、アプリケーションログ、カスタマーサポートのチャット記録、音声通話の録音、CRM のエクスポート、または会計部門が使用する CSV のエクスポートなど、本来保存されるべきでない場所に漏えいする可能性があります。自動化された data discovery tools を使用して、少なくとも年 1 回、インフラに未暗号化の PAN が含まれていないかスキャンしてください。ソフトウェアによってカード番号がマスキングされ、最初の 4 桁または最後の 4 桁のみが表示されるようにします。PAN を切り詰める（トランケートする）ために、エクスポート機能やレポーティングツールを見直し、デバッグログに機微情報を保存しないように安全なコーディング実践について開発者を教育してください。さらに、未暗号化の機微情報がないかを特定するために、ログを定期的に確認してください。

Netwrix があらゆるレベルで PCI DSS を加速するポイント

要件 3：保存されたカード会員データを保護する

Netwrix Data Security Posture Management ソリューションは、ハイブリッド環境全体で自動化されたデータ発見と分類を行い、Primary Account Numbers（PAN）やその他の機微なカード会員データを特定できるようにします。データの分類は、単純なキーワード照合ではなく、複合語の処理と統計分析を用いて実施されます。自動化されたレダクション機能により、業務上の表示ニーズがない場合はカードの数字をマスクします。データの最小化と保管（保持）状況の追跡により、必要なカード会員データのみが保存され、不要なデータは保持されないことが示されます。自動化されたワークフローにより、組織は不安全な場所にある機微データを隔離（quarantine）し、グローバルアクセスグループから権限を削除することも支援します。

要件 7 と 8：アクセス制御と認証

Netwrix Identity Governance ソリューションは、オンプレミスおよびクラウド環境にまたがって、ユーザー、サービスアカウント、管理者アカウントの権限を可視化します。特権のアテステーション（Privilege attestation）レポートは、最小権限の徹底と、カード会員環境へのアクセスが厳密にロールベースであり、かつ文書化されていることを保証するために、ユーザー権限を証明します。Identity governance ソリューションは、ユーザー ID のライフサイクルを自動化し、すべての人が固有の ID を持ち、その固有の ID であらゆる活動が追跡され、疑わしい活動や退職（termination）の場合にはアクセスを即時に取り消せるようにします。 Privileged account monitoring の機能により、組織は CDE 内の特権セッションを監視・記録し、不正な変更やデータの持ち出し（exfiltration）試行を検知できます。

要件 10：ログ記録と監視

Netwrix Auditor は、ファイル システム、Active Directory、クラウド サービスを含むハイブリッド インフラ全体で、統合された監査（auditing）とアクティビティ監視の機能を提供します。変更追跡（Change tracking）ソリューションは、ファイル整合性監視（FIM）の機能を統合して、重要なシステム ファイルやセキュリティ設定への不正な変更を検出し、ログ データが変更された場合にアラートを生成します。Netwrix のソリューションは、エクスポート可能で監査に対応したログおよびレポートを提供し、Attestation of Compliance と Report on Compliance の提出における証拠として活用できるため、監査準備にかかる時間を大幅に削減します。

要件 6 および 11：セキュアなシステムとテスト

Netwrix Change Tracker はシステム構成を継続的に追跡し、セキュリティ基準（security baselines）から逸脱する誤設定（misconfigurations）を検出し、サーバー、エンドポイント、ネットワーク デバイスが常に安全な状態を維持できるようにします。変更前後の構成値（before-and-after configuration values）による変更追跡（Change tracking）では、何が、いつ、誰によって変更されたのかを示すことで、CDE に関する包括的で証拠に基づいたレポートを提供します。これらの証拠に基づいたレポートは、安全なシステム保守、構成の一貫性の検証、そして PCI のスキャンおよびテスト要件を満たすための継続的なテストを支援します。

PCI DSS Level 1 の深掘り（企業およびサービス プロバイダー向け）

Level 1 に対する追加の厳格さ

Level 1 の加盟店およびサービスプロバイダーは、決済エコシステムへのリスクが最も高いことを理由に、より厳格な精査の対象となります。Level 1 では、PCI 準拠（compliance）の 12 の中核要件を超えて取り組むことが求められます。検証要件を適切に満たすために、強化された統制、文書化された規律（運用ルール）、および継続的なモニタリングを実装する必要があります。

サンプリング戦略に関する考慮事項： 企業に数百〜数千のインフラストラクチャ要素がある場合、QSA はそれらをすべて個別に評価できません。PCI DSS では、特定の 1 つのサンプリング式（公式）を必須としていませんが、Level 1 の監査では、本質的に、CDE、セグメンテーション制御、アクセス制御、ログ記録など最も重要なシステムに対して代表性のあるサンプリングが求められます。設定が同一のシステムをグループ化して、サンプリングを標準化してください。サンプリングには、カード会員データ（cardholder data）を取り扱うすべての業務プロセスおよびすべての地理的ロケーションを含める必要があります。サンプリング手法の文書を維持し、母集団の定義、選定基準、統計的根拠（statistical justification）、ならびに、QSA に対して完全性を示す証拠とともに、サンプルが特定の PCI 要件にどのようにトレース可能か（traceability）を含めてください。サンプリングで不具合（failure）が判明した場合は、テスト範囲を拡大するか、システムクラス全体を評価します。Level 1 の事業体は、単一の代表的なシステムがクラス全体をカバーすると想定することは避けるべきです。

拡張されたペネトレーションテスト範囲： Level 1 の事業体は、毎年、社内ネットワーク、境界（perimeter）ネットワーク、VPN、クラウド基盤、API、エンドポイントをテスト範囲に含める必要があります。また、新しいハードウェアの追加、ソフトウェアのアップグレード、新しいクラウド基盤への移行など、ネットワークに重大な変更があった場合も同様です。少なくとも、ターゲットを絞ったペネトレーションテストを再度実施することが求められます。組織は、防火壁（firewall）のルールや VLAN の隔離（isolation）などの証拠によって、ネットワークのセグメンテーション（segmentation）を証明しなければなりません。認証（authentication）および認可（authorization）プロセスは、内部ユーザーの視点と外部攻撃者の視点の両方から評価する必要があります。是正（remediation）後は、脆弱性が解消されたことを確認するために、ターゲットを絞った再テストが必要です。

証拠リポジトリのベストプラクティス： Level 1 の監査では、数千件の証拠が必要になることがあります。組織はスプレッドシートから脱却し、集中型のデータ リポジトリを使ってプロセス全体を自動化できる、適切な Governance, Risk and Compliance (GRC) ツールへ移行する必要があります。ポリシー、設定ファイル、ログ、手順（procedures）など、各要件に対するベースライン成果物を生成するために自動化ツールを活用してください。証拠は 12 の PCI DSS 要件およびサブ要件に従って整理します。すべての設定（configurations）とポリシー（policies）について日付付きの版を維持し、ロールベースのアクセス権限の詳細、四半期ごとのスキャンレポート、ログ分析、ファイル完全性監視（file integrity monitoring）のアラート、ファイアウォールルール、暗号化の実装（encryption implementations）を管理してください。

継続的なコンプライアンス： これまでの「ある時点での」コンプライアンスとは異なり、PCI DSS は継続的なセキュリティを重視しています。レベル 1 の組織では、継続的な監視をあらゆる業務プロセスに組み込む必要があります。四半期ごとの外部 ASV の脆弱性スキャンおよび内部の脆弱性スキャンに加えて、ログは毎日、または少なくとも週 2 回は見直し、集計分析のために SIEM ツールを導入する必要があります。ファイルの完全性監視のために、リアルタイムのアラート生成メカニズムを導入してください。CDE におけるすべての変更について、文書化された承認を伴う正式な変更管理プロセスを用意する必要があります。月次で、ユーザーアクセスのレビューキャンペーンを実施し、ファイアウォールおよびルーターのルールを見直し、サービス提供者のコンプライアンスを検証する必要があります。

整理されたドキュメントを維持する： 組織は監査シーズンを待ってはいけません。適切なバージョン管理と要約の変更履歴を備えたうえで、年間を通じて 12 件の PCI DSS 要件すべてについて、定期的にドキュメントを作成・更新する必要があります。QSA の最初のタスクは、多くの場合スコープ（対象範囲）の特定です。文書化されていないシステムや要件が見つかった場合、監査は最も可能性が高く遅延するか、失敗します。

QSA と連携する

レベル 1 の検証には、外部の Qualified Security Assessor（QSA）が必要です。ただし、QSA は監査人として見るのではなく、リスクを低減するためのパートナーとして捉えるべきです。成功させるには、事前の準備と、このプロセスから得られる成果を最大化するための効率的な連携が欠かせません。

証拠を事前に準備する： 組織は、ROC テンプレートを用いて内部評価を実施し、ギャップを特定する必要があります。各要件を対応する証拠と結び付けるチェックリストを作成してください。データフローダイアグラムを含む、完全で最新の資産インベントリを用意し、スコーピング（範囲選定）に関する文書には、範囲を正当化するための詳細なネットワーク分割（セグメンテーション）を含める必要があります。

明確なコミュニケーションチャネルを確立する： QSA の調整のために、単一の窓口担当者を指名します。各要件領域ごとに、詳細を説明できる担当分野の専門家を特定してください。電子メール、ビデオ会議、ドキュメントポータルなど、優先する連絡手段を設定します。事前の監査ウォークスルーセッションを実施し、証拠提出依頼に関する紛争や遅延が発生した場合のエスカレーション（上申）経路を定義し、証拠提出依頼の対応リードタイムも、例えば 48 時間または 72 時間のように定めておきます。

指摘事項には速やかに対応する： 監査中に QSA がギャップを見つけた場合は、現地にいる間にすぐに是正（remediate）を試みてください。多くの場合、最終 ROC で非準拠（non-compliance）のステータスではなく、無事にパスできる結果につながります。是正プロセスは正式に行うべきで、例えば、指摘事項の内容を理解したことを受領確認すること、なぜ非準拠が発生したのかの根本原因分析を行うこと、そしてスクリーンショット、設定の詳細、新しいポリシーなどの証拠とともに、問題を是正するために実施した対応策を文書化することが含まれます。

次のステップ：PCI DSS 準拠レベルを検証する

アクションプラン

自社の加盟店またはサービスレベルを理解することは、PCI DSS 準拠にとって非常に重要です。レベルを正しく評価できたら、今後の準拠の道筋は、検証（validation）、証拠（evidence）、そして継続的な監視（continuous monitoring）に焦点を当てます。

あらゆるレベルでPCI DSSのコンプライアンスを効率化する準備はできていますか？Netwrix PCI DSS solution page をご覧いただき、マッピングされたレポートのサンプルを確認し、当社のデータセキュリティと監査機能が検証をどのように加速するかを発見してください。