準拠の継続率が低いPCI DSS、カード情報を漏洩した企業の要件6・10準拠は皆無（ベライゾン） | ScanNetSecurity
2022.08.13（土）
コンテンツ
注目検索ワード
ホーム › 調査・レポート・白書 › 調査・ホワイトペーパー › 記事

準拠の継続率が低いPCI DSS、カード情報を漏洩した企業の要件6・10準拠は皆無（ベライゾン）

ベライゾンは5月14日、2015年のペイメントカード業界コンプライアンス調査報告書に関する記者発表会を行った。前年を上回る約6割の企業が何かしらのPCI DSS要件に準拠していたことが明らかになったが、全ての要件をクリアし、完全に準拠している企業は約2割に留まった。

調査・レポート・白書 調査・ホワイトペーパー
ベライゾンジャパン合同会社は5月14日、2015年のペイメントカード業界コンプライアンス調査報告書に関する記者発表会を行った。発表された調査結果によると、前年を上回る約6割の企業が何かしらのPCI DSS要件に準拠していたことが明らかになったが、全ての要件をクリアし、完全に準拠している企業は約2割にとどまったという。

調査は、2012年から2014年までの3ヶ年のデータをカバーし、ベライゾンのPCI認定セキュリティ審査員チームが世界30か国以上の企業を対象に実施したPCI DSSアセスメントの結果となっている。

発表を行った同社の事業開発部部長 岡田正人氏は、消費者の69％がデータ漏洩／侵害が見つかった企業の利用を控える傾向にあり、日本国内の消費者はさらにシビアに反応すると話す。その一方で、カード決済の件数と金額が増加傾向にあるだけでなく、決済に関するテクノロジーがモバイルやクラウドなど複雑化する中、攻撃対象は拡大し続けているのが現状だ。

調査報告書にまとめられたのは主に3点。まず、PCI DSSコンプライアンスに完全に準拠している企業の場合でも、持続可能性が低いという点だ。準拠状況の検証に合格した企業を対象に、ベライゾンが12か月以内に再度中間評価を行ったところ、完全準拠を維持していた企業は1/3に満たなかったという。特に要件2の「システムパスワードおよびその他のセキュリティパラメータにベンダ提供のデフォルト値を使用しない」という内容については、再評価時も準拠状態にあった企業は37％まで落ち込んだ。

次に、データ漏洩／侵害が発生した企業は、PCI DSSコンプライアンスの要件6および要件10に問題を抱えていることが明らかになった。セキュアなシステムを維持することが求められる要件6、そしてアクセスを追跡し監視することが求められる要件10の準拠率はそれぞれ64％と76％。ただ、ベライゾンがフォレンジック調査を行った企業の中でデータ漏洩／侵害が発生した時点で2つの要件に準拠していた企業は皆無だったという。セキュアなシステムの維持、アクセス追跡および監視の重要性がデータによって裏付けされた。

3点目は、産業別の準拠状況だ。米国の小売り大手TargetやHome Depotなどの漏洩事件に敏感に反応した小売業界においても、2012～2014年の中間評価でPCI DSSの全ての要件に準拠しているのは全産業平均同様の12％にとどまった。また、決済エコスシテムの中心にある金融サービス業界においては全産業平均に劣る8％、カード決済が多いホテルなどを含む接客業および観光業界は4％という結果になった。カード決済の件数と金額が増加し、データ漏洩／侵害が表面化し続ける現在においても、PCI DSSコンプライアンスを主要なタスクと位置付ける企業は少ないようだ。

PCI DSSに対するアプローチについて岡田氏は、カードデータのリスクを効果的に管理する必要があると説明する。準拠のためのコストや作業負荷を削減するためにも、守るべきデータの範囲を制限することが大切だという。保有するデータの削減と難読化、カード会員データの処理のアウトソーシング、ネットワーク環境の分離など、負担を削減するための対応が必須のようだ。

PCI DSSの準拠状況は、グローバルで見ても日本は最低レベルだと岡田氏は解説する。日本人の監査員もおり、日本語対応もされていることから、言語面での妨げはない。今後は、小売、金融、サービス・観光業界だけでなく、メディア・エンターテインメントや保険業界においても注力すべきコンプライアンスとして、国内企業の注目を集めることができるかに注目したい。
《湯浅 大資》

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

複数の Qualcomm 製品に複数の脆弱性 画像

複数の Qualcomm 製品に複数の脆弱性
第2のCobalt Strikeか／韓国タクシー会社 迅速な身代金支払と事実公表／医療分野への攻撃が世界的傾向 ほか [Scan PREMIUM Monthly Executive Summary] 画像

第2のCobalt Strikeか／韓国タクシー会社 迅速な身代金支払と事実公表／医療分野への攻撃が世界的傾向 ほか [Scan PREMIUM Monthly Executive Summary]
Microsoft Windows において WOW64 版の Microsoft iSCSI サービスバイナリで DLL Hijacking による UAC Bypass が可能となる手法（Scan Tech Report） 画像

Microsoft Windows において WOW64 版の Microsoft iSCSI サービスバイナリで DLL Hijacking による UAC Bypass が可能となる手法（Scan Tech Report）
イエラエ CSIRT支援室 第 30 回 Apache Spark OSコマンドインジェクションの脆弱性(CVE-2022-33891)について 画像

イエラエ CSIRT支援室 第 30 回 Apache Spark OSコマンドインジェクションの脆弱性(CVE-2022-33891)について
Unboundの脆弱性情報が公開 画像

Unboundの脆弱性情報が公開
muhttpdにディレクトリトラバーサルの脆弱性 画像

muhttpdにディレクトリトラバーサルの脆弱性

インシデント・事故 記事一覧へ

社員名を詐称したメールを開封し添付ファイルを実行、従業員3名のパソコンがEmotetに感染 画像

社員名を詐称したメールを開封し添付ファイルを実行、従業員3名のパソコンがEmotetに感染
児童の遅刻・欠席一覧を誤って保護者に配布、今後は紙への印刷をやめパソコンによる閲覧に切り替え 画像

児童の遅刻・欠席一覧を誤って保護者に配布、今後は紙への印刷をやめパソコンによる閲覧に切り替え
「かながわ旅割」事業に参加する旅行事業者宛てのメールを誤送信、193社分のメールアドレスが流出 画像

「かながわ旅割」事業に参加する旅行事業者宛てのメールを誤送信、193社分のメールアドレスが流出
小中学校の校務ネットワークにランサムウェア攻撃 画像

小中学校の校務ネットワークにランサムウェア攻撃
コロナ療養証明書を別患者に誤発送、データベース入力を誤り チェック時も修正されず 画像

コロナ療養証明書を別患者に誤発送、データベース入力を誤り チェック時も修正されず
WDBホールディングスグループのネゾットでも障害発生、メールシステムやファイルサーバにアクセスできない障害 画像

WDBホールディングスグループのネゾットでも障害発生、メールシステムやファイルサーバにアクセスできない障害

調査・レポート・白書 記事一覧へ

地政学リスクが日本企業のIT調達に影響 画像

地政学リスクが日本企業のIT調達に影響
IT資産の脆弱性管理、「Tenable.io」による自動化について解説 画像

IT資産の脆弱性管理、「Tenable.io」による自動化について解説
現在も 12 ％が業務で Internet Explorer を使用 画像

現在も 12 ％が業務で Internet Explorer を使用
医療機関向け「Oracle Cloud Infrastructure対応セキュリティ・リファレンス」公開 画像

医療機関向け「Oracle Cloud Infrastructure対応セキュリティ・リファレンス」公開
OT導入組織の78%が3回以上の侵害を経験、生産性に影響する運用停止は半数に至る 画像

OT導入組織の78%が3回以上の侵害を経験、生産性に影響する運用停止は半数に至る
Proofpoint Blog 第15回「サイバー攻撃騒動の 1 年を『The Human Factor 2022 Report』で振り返る」 画像

Proofpoint Blog 第15回「サイバー攻撃騒動の 1 年を『The Human Factor 2022 Report』で振り返る」

研修・セミナー・カンファレンス 記事一覧へ

よみがえる幽霊(Spectre)、Wasmサンドボックス回避 ほか ～ FFRI 鵜飼裕司の Black Hat USA 2022 注目セッション 画像

よみがえる幽霊(Spectre)、Wasmサンドボックス回避 ほか ～ FFRI 鵜飼裕司の Black Hat USA 2022 注目セッション
Security Blue Note 第8回「8ヶ国チームで準優勝した爽快感 ～ ICC 2022 Athens レポート」 画像

Security Blue Note 第8回「8ヶ国チームで準優勝した爽快感 ～ ICC 2022 Athens レポート」
経産省、初心者向け「第5回サイバーセキュリティ・リレー講座」開講 画像

経産省、初心者向け「第5回サイバーセキュリティ・リレー講座」開講
SST、セキュリティ・キャンプ応援のレトルトカレー配布 画像

SST、セキュリティ・キャンプ応援のレトルトカレー配布
「セキュリティ・ミニキャンプ in 山梨 2022」にイエラエ三村聡志氏登壇 画像

「セキュリティ・ミニキャンプ in 山梨 2022」にイエラエ三村聡志氏登壇
TwoFiveとデジサート、なりすましメール対策セミナー開催 ～ DMARCとVMCの導入と運用 画像

TwoFiveとデジサート、なりすましメール対策セミナー開催 ～ DMARCとVMCの導入と運用

製品・サービス・業界動向 記事一覧へ

GMOサイバーセキュリティ byイエラエがクレジットカード情報漏えい事故調査機関「PFI」に認定 画像

GMOサイバーセキュリティ byイエラエがクレジットカード情報漏えい事故調査機関「PFI」に認定
経済安全保障AIソリューションの持ち株支配の解析指標が特許査定を取得 画像

経済安全保障AIソリューションの持ち株支配の解析指標が特許査定を取得
CrowdStrikeとネットワールドがディストリビューター契約 画像

CrowdStrikeとネットワールドがディストリビューター契約
ｆｊコンサルティングとSST、「PCI DSS v4.0対応アプリケーション開発者向け年次オンライントレーニングコース」提供 画像

ｆｊコンサルティングとSST、「PCI DSS v4.0対応アプリケーション開発者向け年次オンライントレーニングコース」提供
LogStareのSOCの窓 第7回「社内ネットワークで『嵐』が起きた日」 画像

LogStareのSOCの窓 第7回「社内ネットワークで『嵐』が起きた日」
「漫画村」運営者に総額19億円の損害賠償を求め提訴、17作品で19億2,960万2,532円に 画像

「漫画村」運営者に総額19億円の損害賠償を求め提訴、17作品で19億2,960万2,532円に

おしらせ 記事一覧へ

【当選確率3倍】2022年 CrowdStrike カレンダープレゼント 画像

【当選確率3倍】2022年 CrowdStrike カレンダープレゼント
創刊23周年記念イベント「ハッカージャーナリスト誕生譚」オンライン公開インタビュー 11/18 開催 画像

創刊23周年記念イベント「ハッカージャーナリスト誕生譚」オンライン公開インタビュー 11/18 開催
Scan PREMIUM 創刊23周年記念キャンペーン実施中 画像

Scan PREMIUM 創刊23周年記念キャンペーン実施中
ScanNetSecurity 創刊23周年御礼の辞（上野宣） 画像

ScanNetSecurity 創刊23周年御礼の辞（上野宣）
セキュリティ業界最強の「ヤバイＴシャツ屋」でも売っていないもの ～ 2021年 CrowdStrike カレンダー読者プレゼント 画像

セキュリティ業界最強の「ヤバイＴシャツ屋」でも売っていないもの ～ 2021年 CrowdStrike カレンダー読者プレゼント
ScanNetSecurity システム更新のお知らせ 画像

ScanNetSecurity システム更新のお知らせ
Page Top
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。（写真：ScanNetSecurity 名誉編集長 りく）
×