• BPnet
  • ビジネス
  • IT
  • テクノロジー
  • 医療
  • 建設・不動産
  • TRENDY
  • WOMAN
  • ショッピング
  • 転職
  • ナショジオ
  • 日経電子版
  • PR

  • PR

  • PR

  • PR

  • PR

セキュリティ基準「PCI DSS」

認証データは削除しなければならない

2008/06/24 ITpro

 PCI DSSが対象とする守るべきデータは,カード会員データとセンシティブ認証データである。その概要についてはPCI DSS「序文」に記述されている。要件3では,これらのデータについてシステム上保存する範囲を最小化し,データが盗まれた場合のリスクの軽減を図っている。守るべきデータの詳細及び保存範囲については要件3.2に記述されている。

3.2 オーソリゼーション後に(データが暗号化されていたとしても)センシティブ認証データを保管しない。センシティブ認証データとは、以下3.2.1 から3.2.3 に列挙されるデータを含む。

3.2.1 磁気ストライプの全ての情報(カードの裏面、チップ内、その他に存する)は保管しない。このデータはまた、全トラック、トラック、トラック1、トラック2、磁気ストライプデータ、とも呼ばれる。通常業務の範囲内として、磁気ストライプのデータ要素であるカード会員名、カード番号、有効期限、サービスコードは保管が必要である可能性がある。リスクを最小限にするためには、業務上必要なデータ要素のみを保管するようにする。カード・ベリフィケーション・コードもしくは値やPVVデータ要素を決して保管してはならない。

3.2.2 非対面取引の確認に使用されるカード・バリデーション・コード(カードの前面もしくは裏面に印刷された3桁または4桁の値)を保存しない。

3.2.3 PIN(暗証番号=personal identification number)もしくは暗号化されたPINブロックを保存しない。

 ここでは実際のクレジットカード使用時に処理されるデータを基に,守るべきデータの詳細及び保存範囲について説明する。図3は,一般的なクレジットカードに記載されている情報である。一つずつ見ていこう。

図3●一般的なクレジットカードに記載されている情報
図3●一般的なクレジットカードに記載されている情報

(1)磁気ストライプ:システム的なチェック情報。ただしPIN(暗証番号)情報は含まない。

(2)カード会員名:敬称(Ms,Mr.,Mrs.,Drなど)と姓名のセパレータ2桁を含む,26桁で表されるカード保持者のアルファベット表記。

(3)カード番号:カードごとにユニークな番号で,一般的には16桁の数字。

(4)有効期限:西暦年と月をYYMM形式の4桁で表す。

(5)サービスコード:カード発行会社が該当カードに対して定義する,磁気ストライプ情報の読み出しの方法や制約。3桁または4桁の数値で表される。

(6)カード・ベリフィケーション・コード:カードの検証用コード。

(7)PVV(PIN Verification Value):入力されたPINの検証用コード。

(8)カード・バリデーション・コード(Card Validation Code):3桁あるいは4桁の数字で,カードの偽造や改ざんを検出するために使用。カード会社によっては別の名称を用いる。
 【例】CVC(Card Validation Code):Masterカード
 【例】CVV(Card Verification Value):VISAカード

 入力データとして,下記の二つがある。

(9)PIN(Personal Identification Number):暗証番号。

(10)PINブロック:PINを伝送用にまとめた単位。

 センシティブ認証データという呼び方がある。これは「(1)磁気ストライプ」「(8)カード・バリデーション・コード」「(9)PIN(Personal Identification Number)」「(10)PINブロック」の総称である。

暗号化しても解読されるリスクはゼロではない

 リスクを軽減するための最後の砦は,保存データの最小化である。センシティブ認証データは保存してはいけないのである。

 強固な暗号でデータを判読不可能にしていたとしても,解読される可能性はゼロではない。しかし,システム上保存しているデータが必要最小限のものならば,解読されたとしても傷は浅くて済むからである(表2)。

表2●保存データの範囲
  データ要素 保存可否
カード会員データ カード番号(PAN) 業務上必要なデータ要素のみ保存可
カード会員名 業務上必要なデータ要素のみ保存可
サービスコード 業務上必要なデータ要素のみ保存可
有効期限 業務上必要なデータ要素のみ保存可
センシティブ認証データ 全磁気ストライプ情報 保存不可
カード・ベリフィケーション・コード 保存不可
PVV 保存不可
カード・バリデーション・コード 保存不可
PIN 保存不可
PINブロック 保存不可

データを安全に廃棄する

 システムの運用上軽視されやすいのがデータの安全な廃棄である。しかし,データの廃棄が十分でないと,廃棄データの中から重要な情報を取り出されてしまう恐れがある。要件3.1には,データの保存は最小限に抑えるデータ保管ポリシーを定義することが示されている。

3.1 保管するカード会員データを最小限に抑える。データの保管と廃棄に関するポリシーを作成する。データ保管ポリシーに従って,保存する情報量と保存期間を,業務上,法律上,規制上必要な範囲に限定する。

 カード会員データの廃棄を確実にするためには,例えばデータ消去ツールのような専用の媒体処理装置の導入を検討すべきである。さらに,大量の媒体を処理する必要がある場合には,専門業者に委託することも考慮したい。

 画面に表示するデータを最小化すべきことも定められている。

3.3 カード番号は全体を表示させない(最大でも,最初の6桁と最後の4桁のみを表示)。

 要件3.3は,カード番号の一部のみを表示する,または保管する方法を指す。例えばオンラインショッピングで,利用者に対して登録された自分のカード番号を確認する画面を表示する場合,16桁のカード番号の一部のみを数字で表示し,残りはXや*の文字に置き換えて表示するという方法がそれに当たる。

山岸 毅彦
ネットワンシステムズ 営業推進グループ セキュリティ事業推進本部 コンサルティング部 第1チーム
大手ERPベンダーを経て,2008年1月,ネットワンシステムズ入社。前職では,SOA,SCM機能の開発を担当。パッケージ・ソフトウエアにおけるPCI DSSの適用に携わる。現在は, PCI DSSおよびISO27001の視点から情報セキュリティ向上のためのコンサルティングを行う。PMP(プロジェクト マネジメント プロフェッショナル)。

あなたにお薦め

連載新着

連載目次を見る

今のおすすめ記事

ITpro SPECIALPR

What’s New!

経営

アプリケーション/DB/ミドルウエア

クラウド

設計/開発

サーバー/ストレージ

ネットワーク/通信サービス

セキュリティ

もっと見る