ソフトウエアの変更管理手順を決めておかなければならない

　PCI DSSの要件6.3では，ソフトウエア・アプリケーションの開発において，開発ライフサイクル全体を通じて情報セキュリティの徹底を定めている。

　つまり，分析・設計フェーズから実装・テストフェーズを経て，保守・運用フェーズに至るまでのシステム開発ライフサイクルにおける情報セキュリティを考慮する必要がある。その一例として，セキュリティ・パッチの適用やソフトウエアの設定変更は実行前にテストすること，開発環境，テスト環境，本番環境は分離することなどが定められている。表4に，PCI DSSの要求項目と要件項番を示す。

　以下，開発ライフサイクルにおける情報セキュリティの実施内容について説明する。

　各ベンダーが提供するセキュリティ・パッチを適用する際，直ちに本番環境へ適用するのではなく，あらかじめテスト環境下でセキュリティ・パッチを適用し，動作上の問題がないことを確認した上で本番環境へ適用しなければならない。各ベンダーが提供するセキュリティ・パッチは，あくまで自社製品の脆弱性を修正したものであり，製品を利用する企業のシステム環境下での動作を保証するものではないためである。そのため，テスト環境下でセキュリティ・パッチの適用，システム全体の動作検証が必要となる。

　ソフトウエア・アプリケーションを開発する場合，開発環境，テスト環境，本番環境をそれぞれ独立した環境で用意する必要がある。そのうえで，各環境の役割を明確に分離し，本番データを開発・テスト環境で使用したり，本番環境に開発・テストで使用したテスト・データをそのまま残すようなことを防止しなければならない。これは，開発終了後の「バグの修正」「機能の追加」などの運用・保守段階でも同様に注意が必要である。

　PCI DSSでは，社内業務におけるソフトウエア開発のライフサイクルを定めているが，2008年4月にカスタマイズ不要のパッケージの支払いアプリケーションに対するセキュリティ基準を定めたPA-DSS（Payment Application Data Security Standard）がリリースされた。支払いアプリケーションを開発するソフトウエア・ベンダーは，PA-DSSに準拠することが求められる。

　要件6.4では，セキュリティ・パッチの適用およびシステム・ソフトウエアの設定変更を変更管理手順に従って実施することを定めている。

　カード会員データを扱うすべてのシステムで設定変更する場合，安全で確実に変更を実施するための標準化された手順を確立する必要がある。変更管理手順を確立するにあたり，ITILを活用するのもよいだろう。ITILで定められる変更管理は，システムの変更の許可と実装を変更管理プロセスに基づき確実に行うことであり，PCI DSSの要件を満たしている。ITILの変更管理プロセスを取り入れた変更管理ツールを活用することも有用である。

　また，PCI DSSでは，手順を確立するにあたって四つの要件が含まれていることを求めている。表5で，それぞれの要件について説明する。

　以上の変更管理プロセスが確実に適用されるように運用体制を整備し，変更管理プロセスを文書化して維持・管理する必要がある。参考までに表6に，PCI DSSで作成が求められている文書について示す。

　PCI DSSにおいて作成が求められている文書類は，概ねISMSで作成が求められている文書類と同類であるが，ファイアウオール設定基準（要件1.1）などの技術的に詳細な項目が要求事項に含まれている点に特徴がある。