PCI DSSで定期的にやるべき10のこと

PCI DSSで定期的にやるべき10のこと Yuki Kawashima 2012/1/20

注意事項   本資料および筆者は、読者に対して何の保証もしません  抜粋、引用などはしていただいて構いませんが、すべて自己責任で行う必要があります  本資料は、あくまで著者の執筆時点での個人的な見解であり、所属もしくは関連する企業や組織、個人の見解を示すものではありません  本資料内の企業名、システム名、製品名は各社の登録商標もしくは商標です

本資料について   本資料は、PCI DSSで求められる要求事項のうち、年間を通して「定期的に」行うことが求められているものを抜粋し、概要を説明したものです。  要求事項として頻度が明記されているものと明記されていないものがあります。推奨値を記載していますがまったくの主観なので、あくまで参考情報ととらえて下さい  1項目に複数の要求事項を含めたものもあります。  「要件」を抜粋したものと、「テスト手順」（いわゆる「サブ要件」）を抜粋したものがあります。  詳細は必ずPCI DSS要件をご確認下さい。

本資料の読み方タイトル   要件もしくはテスト   定期的に実施するこ手順の抜粋と、そのポイント   頻度:年１回   定期的に実施すること、そのポイント   頻度:四半期に１回

1. ファイアウォールやルータのルールセットを最低6ヶ月毎にレビューする   要件1.1.6 ファイアウォールおよび   ファイアウォール／ルータのルーターのルールセットは少なくとルールセットのレビューを行うも6ヶ月ごとにレビューされる必要がある   ルールが変更されていない場合も実施して記録を残すこと   頻度：最低6ヶ月毎

2. パターンファイルやシグネチャ、エンジン、およびパッチを定期的に更新する   要件5.2. すべてのアンチウィルスメ   アンチウィルスソフトウェアのパカニズムが最新で、有効に実行されており、監査ログが生成されるターンファイル／エンジンを定期  要件6.1 すべてのシステムコンポー的に更新するネントとソフトウェアに、ベンダ提   頻度：未定義。1日1回推奨供の最新セキュリティパッチが適用され、既知の脆弱性から保護されて   公開された重要なパッチは基本いる。重要なセキュリティパッチは、 1ヶ月以内に適用する。重要でなリリース後1ヶ月以内にインストーい場合は3ヶ月以内で良い。ただルする。  要件11.4 侵入検知システムや侵入防し重要性を適切に判断している会止システムを使用して、カード会員議やその記録が重要。他の定例会データ環境との境界およびカード会議等の一部で検討しても良い員データ環境内の重要なポイントを通過するすべてのトラフィックを監   頻度：パッチ公開毎、1〜3ヶ月視し、侵害の疑いがある場合は担当   IDS/IPS等のシグネチャやエンジン者に警告する。すべての侵入検知おを定期的に更新する。よび防止エンジン、ベースライン、シグネチャを最新状態に保つ   頻度：未定義。1日1回推奨

3. 使われていない／不要なアカウントの削除、およびパスワード変更を90日毎に行う   要件8.5.5 少なくとも90日ごとに非   ユーザアカウントの棚卸を最低アクティブのユーザアカウントを削 90日毎に行い、使っていないア除/無効化するカウントの削除/無効化や、パ  要件8.5.9 少なくとも90日ごとにスワードを変更していないユーユーザパスワードを変更するザの強制パスワード変更フラグ設定等を行う。運用上問題なければ自動化して良いが、記録を残すとより良い   頻度:最低90日毎

4. 媒体の在庫ログを確認するため、少なくとも年1度、媒体の在庫調査を行う   要件9.9.1 すべての媒体の在庫ログ   テープなどの媒体の棚卸し（在庫調を適切に保持し、少なくとも年に一査）を最低年に１回行う度媒体の在庫調査を実施する   これを行わないと、紛失した、もしくは盗難にあった時などに検知できないため   CD/DVD等も使用しているのであれば対象と考えて良い   頻度: 最低年1回

5. すべてのシステム、アプリケーションなどのログを少なくとも一日に一度確認する   要件10.6 少なくとも日に一度、すべ   「すべての」ログを最低一日に一度てのシステムコンポーネントのログ確認する。ただし本当にすべてのロを確認する。ログの確認には、侵入グを人間の目で確認することは不可検知システム（IDS）や認証、認可、能なので、ある程度のフィルタリンアカウンティングプロトコルグを行い、危険と判断されたものを（AAA）サーバ（RADIUSなど）の毎日通知し、確認するようなフローようなセキュリティ機能を実行するで良い。サーバを含める必要がある。   確認した記録をとること注：要件10.6に準拠するために、ロ   しきい値をどのように設定しているグの収集、解析、および警告ツールかが文書化されていると良いを使用できる。   頻度: 最低1日1回

6. 無線機器およびシステム、アプリケーションに対するテストを定期的に行う   要件6.6 一般公開されているWebアプリケー   Webアプリケーションに対するツールもしくションは、常時、新しい脅威と脆弱性に対処は手動での脆弱性評価を最低年に1回行う   頻度: 最低年１回し、以下のいずれかの手法によって既知の攻   不正な無線アクセスポイントを検知するため撃から保護する必要がある。1)アプリケーの無線スキャンを実施、もしくは無線IDS/IPS ションのセキュリティ脆弱性を手動/自動で評を導入して監視する価するツールまたは手法によって、少なくと   頻度:スキャンは最低四半期に一回も年１回および何らかの変更を加えた後にレ   システム内の全てのIPアドレスに対して脆弱ビューする 2)手前にWebアプリケーション性スキャンを最低四半期に一回行う。外部はファイアウォールをインストールする ASVが実施する必要あり。内部はASVでなくても構わない  要件11.1 四半期ごとにワイヤレスアクセスポ   頻度:最低四半期に一回イントの存在をテストし、承認されていない   外部、内部含めすべてのIPアドレスに対してワイヤレスアクセスポイントを検出するペネトレーションテストを最低年1回行う。  要件11.2 内部および外部の脆弱性スキャンを   頻度:最低年1回少なくとも四半期に一度およびネットワークでの大幅な変更後に実行する   脆弱性スキャン、ペネトレーションテストの対象が多すぎる場合は段階的に実施。結果の  要件11.3 外部および内部のペネトレーションサンプリングや横展開を含む代替コントローテストを少なくとも年に一度および大幅なイルを検討しても良いが基本は全IPアドレスンフラストラクチャまたはアプリケーションのアップグレードや変更後に実行する

7. 重要なファイルの整合性を最低週一回チェックする   要件11.5 ファイル整合性監視ツール   ファイル整合性監視ツールによる整合性を導入して重要なシステムファイル、チェックを最低週に１回実施する構成ファイル、またはコンテンツ   「重要なシステムファイル、構成ファイル、コンテンツファイル」とは、「通常変更さファイルの不正な変更を担当者に警れないが、変更されるとシステムが侵害さ告し、重要なファイルの比較を少なれているもしくは侵害されている可能性がくとも週に一度実行するようにソフ発生する」ファイルとされている。各種設トウェアを構成する。定ファイル、ライブラリ、システムファイルなどが考えられる   製品にはよく各OS向けのテンプレートがあるので活用すると良い   頻度: 最低週に1度

8. 情報セキュリティポリシーを最低年に1回更新し、従業員を教育、同意書をとる   要件12.1.2 脅威、脆弱性、結果を識   最新のセキュリティ動向やシステム、別する年に一度のプロセスを正式な組織にそった情報セキュリティポリリスク評価に含めるシーを保ため、ポリシーはリスク評  要件12.1.3 （セキュリティポリシー価結果に基づき最低年１回更新するの）少なくとも年に一度含め、環境   頻度: 最低年１回の変化に合わせて更新する   セキュリティポリシーの更新にあわ  要件12.6.1 雇用時および少なくともせて、従業員への教育も行う年に一度担当者を教育する   情報の取り扱いやポリシーの内容を承諾した旨の同意書をとる   教育の実施および同意書について記録を残すこと   頻度: 最低年１回

9. 委託先のPCI DSS準拠ステータスを少なくとも年に一度確認する   要件12.8.4 少なくとも年１回サービ   カード情報を取り扱う業務、システスプロバイダのPCI DSS準拠ステームを外部に委託しているような場合、タスを監視するプログラムを維持す委託先のPCI DSSS準拠ステータスをる最低年１回確認する   論理的には、委託先が準拠していないとまういが、現実的には必ず準拠しているとも限らない   委託する業務の内容や取り扱う情報の種類に合わせる   カード情報取り扱い、およびPCI DSSへの準拠に関する責任分解点を明確にすること   頻度: 最低年１回

10. インシデント対応計画を少なくとも年に一度テストする   要件12.9.2 （インシデントレスポン   インシデントレスポンス計画を最低ス）計画を少なくとも年に一度テス年１回テストすることトする   テスト結果を記録し、問題があれば  要件12.9.4 観察とポリシーのレ計画に反映するビューを通じて、セキュリティ違反   頻度:最低年１回への対応を担当するスタッフが定期   インシデントレスポンス時の担当者的にトレーニングされていることをに定期的にトレーニングを行う確認する   四半期に１回くらい行うと良いかもしれないが、定義やトレーニング結果を文書化すると良い   頻度:未定義。四半期に1度程度を推奨

定期的にやるべき10のこと　まとめ No. やること頻度ファイアウォール、ルータのルール 1 •  すべてのファイアウォール、ルータについて最低6ヶ月に1回セットレビューアンチウィルス、IDS/IPSのシグネ •  アンチウィルス、IDS/IPSのシグネチャ、エンジンの更新は1日に1回(推奨) 2 チャ、エンジン更新 •  パッチの適用はパッチ公開から1〜3ヶ月以内不要アカウント削除、パスワード変 3 •  不要アカウントの削除、パスワード変更を最低四半期に1回更 4 媒体の棚卸し •  媒体の棚卸しを最低年１回 5 すべてのログの確認 •  すべてのログについて最低１日１回 •  Webアプリケーションの脆弱性評価を最低年１回無線AP検知、脆弱性スキャン、ペ •  不正な無線AP検知のための無線スキャンを最低四半期に一回 6 ネトレーションテスト •  脆弱性スキャンを最低四半期に１回 •  ペネトレーションテストを最低年に１回 7 重要なファイルの整合性チェック •  ファイル整合性のチェックを最低週１回情報セキュリティポリシー更新と教 •  情報セキュリティポリシーの更新を最低年１回 8 育 •  あわせて教育の実施と同意書を最低年１回 9 委託先のPCI DSS準拠状況チェック •  委託先のPCI DSS準拠ステータスチェックを最低年１回インシデント対応計画のテストと担 •  インシデントレスポンス計画のテストを最低年１回10 当者トレーニング •  担当者のトレーニングを四半期に１回(推奨)

http://il-all.blogspot.jp	312
http://il-all.blogspot.com	128
http://webcache.googleusercontent.com	6
http://il-all.blogspot.in	2
http://il-all.blogspot.ca	2
http://cache.yahoofs.jp	1
http://il-all.blogspot.co.at	1

PCI DSSで定期的にやるべき10のこと

by Yuki Kawashima

Accessibility

Upload Details

Usage Rights

7 Embeds 452

Statistics

PCI DSSで定期的にやるべき10のこと Presentation Transcript