三井住友カード株式会社の更新審査（PCI DSS対策研究所）

三井住友カード株式会社では、インターネットサービス環境を対象に、2007年9月に国内カード会社として初となるPCI DSS Ver.1.1の認定を取得した。

特集 PCI DSS 対策研究所

2010年11月9日（火） 08時00分

三井住友カード株式会社では、インターネットサービス環境を対象に、2007年9月に国内カード会社として初となるPCI DSS Ver.1.1の認定を取得した。

また、同1.2の取得のための対応も進めている。同社ではその経験を生かして、加盟店にPCI DSSの認証取得の推奨を行っている。本稿は、2009年に実施された更新審査について話を聞いた。 (部署及肩書は取材当時)

三井住友カード株式会社
http://www.smbc-card.com/

●審査基準の厳密化に備え、今回は予備調査を実施

三井住友カードでは、PCI DSS Ver.1.2を取得するために2009年に予備調査を実施している。

「アメリカでPCI DSSに完全準拠していた企業から情報漏洩が起きたという経緯もあり、PCI SSCがQSAの審査結果を監査する体制がとられているようです。そのため、1.1の時のようにはいかないのではないかと予想したのが、今回、予備調査を実施した理由です。実際、1.1の時には証跡を求められなかった箇所でも、今回はかなり細かい点まで審査が及びました」（三井住友カードセキュリティー管理部グループマネージャー田添裕嗣氏）

脆弱性のスキャンや暗号化など、代替コントロールが必要になった箇所は前回より増え、セキュリティパッチの適用も厳密になったという。

「以前なら、口頭の確認だけで済んでいた部分も、今回は書類の確認が必要になりました。QSAとしては『やる以上は徹底してやる』という姿勢でしたね」（システム企画部グループマネージャー神野明久氏）

●ブランドの意向に沿う形で、カード会社もPCI DSSの審査対象に

そもそも、カード会社は厳密に言えばPCI DSSの審査対象ではなかった。しかし、VisaでVNP（ビザ・ネット・プロセッサー）というプログラムが制定され、プロセッサー、つまり他社のカードを受託しているカード会社もPCI DSSの準拠が必要になった。

「ブランドとしてはやはり、自ブランドカードで情報漏洩などが起こるという事態はなるべく避けたいわけです。そこで、まずはカード会社に徹底したセキュリティ態勢をとらせたいと考えた。その結果、PCI DSSのような目に見える形の規格を、しかも期限を決めて適用させようとしているのではないでしょうか」（田添氏）

カード会社にとっても、ブランドの信用は自社の存続にかかわる。さらに田添氏は「セキュリティの問題はカード業界全体の問題です。エンドユーザーからクレジットカードに対する信用を失わせてはいけない。そのためには、ブランドがどうとかではなく、やはり業界全体のインフラとして、PCI DSSを統一の規格とする意気込みで取り組んでいかなければいけないと思っています」と続ける。

●加盟店に対するサポートに意欲、業界全体の推進力に

次の段階としては、個々の加盟店にいかに浸透させていくかということになる。三井住友カードではブランドの要請を受け、加盟店にPCI DSSの認証取得の推奨を行っているが、同社セキュリティー管理部グループマネージャーの三好一也氏は「はじめからPCI DSSという規格の説明をするよりも、まずはセキュリティに対する認識をわれわれと同じレベルで持ってもらうことが大切だと考えています。特にインターネット上からのカード番号盗用には注意が必要です」と言う。

たとえば、ネット加盟店において、万が一個人情報が漏洩した場合、少なくとも10日～12日程度の業務停止を余儀なくされる。さらに、ユーザーへの謝罪として用意しなければいけない金額もばかにはならない。もちろんそういった時のために漏洩保険をかけているという加盟店もあるだろうが、その場合でも信用失墜によるその後の売り上げ減少は大きな痛手となるだろう。

「セキュリティを取り扱うということには、それだけのリスクがあるということをまずは意識していただきたいのです。そうしたリスクを未然に回避するためにPCI DSSのような規格があるとご説明しています」（前出田添氏）

ただPCI DSSは毎年審査があり、バージョンの更新も頻繁にあるため、加盟店にとっては負担が大きいのも事実だ。

「現実的な対処法として、カード情報をサーバの一箇所に集約させて審査の対象範囲を狭めることで審査コストを下げることができると思います。信用できる決済代行事業者様にカード情報を預けるといった方法もひとつのアプローチだと思います。われわれがPCI DSSの認証で経験したことを加盟店様に伝えて、できるだけ負担を減らすような方法を一緒に考える。そういったサポートをこれから力を入れてやっていきたいと思っています」（田添氏）

ブランドと加盟店をつなぐ位置にある同社が業界の連携を促し、気運を盛り上げていくことが、セキュリティに対する業界全体の取り組みの活性化につながると期待したい。

※三井住友カードは2010年3月25日付けで、カード会員向けインターネットサービス「Vpass（ブイパス）」において、PCI DSS Ver.1．2の遵守証明を取得した。

（※本記事はカード情報ポータルサイト payment navi からの転載です）

《ScanNetSecurity》

Scan PREMIUM 会員限定記事

Scan PREMIUM 会員限定記事特集をもっと見る

三井住友カード株式会社の更新審査（PCI DSS対策研究所）

Scan PREMIUM 会員限定記事

ガートナークラウドクッキング教室～ CCoE 構築の重要性

OWASP データブリーチ

悪夢の検証大英図書館ランサムウェア～過ちが語る普遍的な物語

AI アプリ標的ゼロクリックワーム開発／北韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

カテゴリ別新着記事

Scan PREMIUM 会員限定記事

ガートナー クラウドクッキング教室 ～ CCoE 構築の重要性

OWASP データブリーチ

悪夢の検証 大英図書館ランサムウェア ～ 過ちが語る普遍的な物語

AI アプリ標的 ゼロクリックワーム開発／北 韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追 ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

Proscend Communications 製 M330-W および M330-W5 に OS コマンドインジェクションの脆弱性

Oracle Java に攻撃された場合の影響が大きい脆弱性、修正プログラムの適用を呼びかけ

Ivanti Connect Secure と Ivanti Policy Secure Gateways に複数の脆弱性、1 月以降の状況を整理

Windows DNS の脆弱性情報が公開

バッファロー製無線 LAN ルータに複数の脆弱性

Palo Alto Networks 社製 PAN-OS GlobalProtect に OS コマンドインジェクションの脆弱性

インシデント・事故 記事一覧へ

東京高速道路のメールアカウントを不正利用、大量のメールを送信

組込み機器のイーアールアイに不正アクセス、スパムメール送信の踏み台に

インフォマート 公式 Facebook ページに不正ログイン

フュートレックにランサムウェア攻撃、本番環境への侵入形跡は存在せず

転職先で営業活動に活用、プルデンシャル生命保険 元社員 顧客情報持ち出し

東芝テックが利用するクラウドサービスに不正アクセス、取引先や従業員の個人情報が閲覧された可能性

調査・レポート・白書・ガイドライン 記事一覧へ

セキュリティ対策は株価を上げるのか ～ 株主総利回り（TSR）の平均値は高い傾向

被害額オレオレ詐欺の３倍 時間かけ信頼醸成「SNS型投資詐欺」～トビラシステムズ独自調査

プルーフポイント、マルウェア配布する YouTube チャンネル特定

IT部門か全員かそれとも政府か ～ サイバー攻撃から守る責任は誰にある？ KnowBe4 調査

初動対応者同士の情報共有が不可欠 ランサムウェア攻撃への対応

復旧失敗確率 3 分の 2、ランサムウェア身代金支払い ～ JIPDEC、ITR 調査

研修・セミナー・カンファレンス 記事一覧へ

ガートナー クラウドクッキング教室 ～ CCoE 構築の重要性

Reject 運用のポイント他 ～ 日本プルーフポイント「DMARC Conference 2024」5 月末 大手町で開催

韓国の 2024年 セキュリティ市場規模 8,000 億円見込 ～ SECON & eGISEC 2024 開催

エーアイセキュリティラボ、脆弱性診断の自動化・内製化のための無料ツールと AI 活用解説 4/18 セミナー開催

中高生サイバーセキュリティ競技会「CyberSakura」第3回、京都府立嵯峨野高等学校 チーム「HEXAGON」優勝

「引っかかるのは当たり前」が前提、フィッシングハンターが提案する対策のポイント ～ JPAAWG 6th General Meeting レポート

製品・サービス・業界動向 記事一覧へ

脆弱性診断自動化ツール「AeyeScan」の SSO 機能が SAML 認証に対応

セキュリティ診断会社と開発会社が業務提携 ～ SHIFT SECURITY とフォージビジョン

賞金総額 1 万ドル「LINE CTF 2024」GMOイエラエ 国内 1 位

警察庁、サイバー事案通報の統一窓口を設置

脆弱性診断自動化ツール「AeyeScan」にシングルサインオン機能、大規模ユーザーにも対応

ALSI、国産脅威インテリジェンスサービス「InterSafe Threat Intelligence Platform」提供

おしらせ 記事一覧へ

創刊25周年記念キャンペーンのノベルティが届きました！（25周年記念キャンペーンは本日終了です）

人気連載 Scan PREMIUM Monthly Executive Summary の岩{丼}先生の著作にサインいただきました [Scan PREMIUM 創刊25周年記念キャンペーン 読者特典]

Scan PREMIUM 創刊25周年記念キャンペーン実施中

ScanNetSecurity 創刊25周年御礼の辞（上野宣）

小説内に登場するバーで直筆サインをいただきました ～ 創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート ～ 創刊24周年キャンペーン実施のおしらせ

ガートナークラウドクッキング教室～ CCoE 構築の重要性

悪夢の検証大英図書館ランサムウェア～過ちが語る普遍的な物語

AI アプリ標的ゼロクリックワーム開発／北韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

脆弱性と脅威記事一覧へ

インシデント・事故記事一覧へ

インフォマート公式 Facebook ページに不正ログイン

転職先で営業活動に活用、プルデンシャル生命保険元社員顧客情報持ち出し

調査・レポート・白書・ガイドライン記事一覧へ

セキュリティ対策は株価を上げるのか～株主総利回り（TSR）の平均値は高い傾向

被害額オレオレ詐欺の３倍時間かけ信頼醸成「SNS型投資詐欺」～トビラシステムズ独自調査

IT部門か全員かそれとも政府か～サイバー攻撃から守る責任は誰にある？ KnowBe4 調査

初動対応者同士の情報共有が不可欠ランサムウェア攻撃への対応

復旧失敗確率 3 分の 2、ランサムウェア身代金支払い～ JIPDEC、ITR 調査

研修・セミナー・カンファレンス記事一覧へ

ガートナークラウドクッキング教室～ CCoE 構築の重要性

Reject 運用のポイント他～日本プルーフポイント「DMARC Conference 2024」5 月末大手町で開催

韓国の 2024年セキュリティ市場規模 8,000 億円見込～ SECON & eGISEC 2024 開催

中高生サイバーセキュリティ競技会「CyberSakura」第3回、京都府立嵯峨野高等学校チーム「HEXAGON」優勝

「引っかかるのは当たり前」が前提、フィッシングハンターが提案する対策のポイント～ JPAAWG 6th General Meeting レポート

製品・サービス・業界動向記事一覧へ

セキュリティ診断会社と開発会社が業務提携～ SHIFT SECURITY とフォージビジョン

賞金総額 1 万ドル「LINE CTF 2024」GMOイエラエ国内 1 位

おしらせ記事一覧へ

人気連載 Scan PREMIUM Monthly Executive Summary の岩{丼}先生の著作にサインいただきました [Scan PREMIUM 創刊25周年記念キャンペーン読者特典]

小説内に登場するバーで直筆サインをいただきました～創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート～創刊24周年キャンペーン実施のおしらせ