アンチウイルスの監査ログを取得しなければならない

　PCI DSSは，クレジットカードのカード情報および取引情報を保護するために，六つの目的と，それに関する12個のデータ・セキュリティ要件を定めている。各要件では，要求事項を実現するための詳細な管理策を規定している。今回は，要件5と要件6の概要について説明する。

　この二つの要件の目的は「脆弱性を管理する仕組みを維持すること」である。この目的を実現するために，それぞれ「ウイルス対策」と「安全性の高いシステム開発・保守」を定めている。

　ソフトウエアの脆弱性を攻撃するウイルスなど悪意のあるソフトウエアは，従業員のメール利用，Webサイトの閲覧などの行為により内部ネットワークに持ち込まれる。システムを悪意のあるソフトウエアから保護するためには，悪意のあるソフトウエアを検知・除去・防護できるアンチウイルス・ソフトウエアの導入が基本となる。また，ウイルス対策の実施状況の確認やウイルスの発生状況を事後に確認するために，監査ログを取得することも必要である。

　一般的にコンピュータ・ウイルスと呼ばれているものには，「ウイルス」「ワーム」「トロイの木馬」などがある。その種類や攻撃手法は多種多様化している。また，近年のウイルスは巧妙で悪質な攻撃手法が増え，ウイルスによる脅威は衰えない状況である。そのため要件5.1では，ウイルスによる影響を受けやすいすべてのシステムに対し，アンチウイルス・ソフトウエアを導入し，システムの安全性確保を要求している。ウイルスに対する防御手段は様々あり，表1のように大別できる。

　要件5.2では，アンチウイルス・ソフトウエアのプログラム（検索エンジンやパターンファイルなど）が常に最新の状態であることに加え，監査ログの取得を定めている。監査ログに記録する情報および保管期間に関しては，要件10で定めている。

アンチウイルス・ソフトの導入だけでは不十分

　要件5.1では，“ウイルスによる影響を受けやすいすべてのシステムには，アンチウイルス・ソフトウエアを導入する”とあるが，それだけでは現実の環境においては十分な対策と言えない場合もある。例えば，何らかの不具合によりアンチウイルス・ソフトウエアが正常に動作しない場合や，未許可のコンピュータがネットワークに接続されるといった不測の事態が発生することがあるからだ。

　そのため，効果的な防御を実現するためには複数の種類の対策も併せて検討したほうがよい。例えば，コンピュータやサーバーが接続されているネットワーク経路上に，ウイルス侵入/感染拡大を防御するための「ゲートウェイ型」「ネットワーク型」のウイルス対策をそれぞれ講じることにより，よりセキュアな環境を実現できる。図1に，社内ネットワークにおけるウイルス防御策を示す。

図1●社内ネットワークにおけるウイルス防御策