PCI DSS（Payment Card Industry Data Security Standard）は、クレジットカード情報の保護を目的に策定された、クレジットカード業界の国際的な情報セキュリティ基準です。2024年6月11日に、発行元であるPCI SSC（PCI Security Standards Council）よりPCI DSS v4.0からv4.0.1へのアップデート情報が公開されました。このブログでは、PCI DSS v4.0.1の主な変更点とその影響について、PCI SSCが公開しているPCI DSS Summary of changes (v4.0 to v.4.0.1) をベースに解説します。
※最新のPCI DSS基準書、PCI DSS Summary of ChangesはPCI SSCサイトからダウンロード可能です。
https://www.pcisecuritystandards.org/document_library/
※本ブログ執筆時点でPCI DSS v4.0.1、および、PCI DSS Summary of changesの日本語版は公表されておりません。本ブログにおいて当該資料から引用している文言は筆者にて邦訳したものとなります。
PCI SSCより公表されたタイムラインによると、v4.0.1は即時有効であり、2024年8月現在ではv4.0とv4.0.1が並行して有効である状況となっています。なお、v4.0は2024年12月31日に廃止となることも併せて公表されています。
v4.0.1への切り替え対応が必要ではありますが、今回のアップデートで新しく追加、または、削除された要件はなく、主な変更点は書式の変更や誤植の修正と一部の要件の詳細化や表現の明確化となっています。
※出典：PCI SSC 「PCI DSS v4.0 Development Timeline」
本項では、今回のアップデートの中で準拠対応に影響する可能性が想定される変更点を2つ抜粋して紹介します。今回のアップデートの全内容について確認したい場合は、PCI SSCが公開しているブログ※やPCI DSS Summary of Changesなどの文書をご参照ください。
v4.0ではカード会員データ環境（CDE）への全てのアクセスに多要素認証（MFA）を実装することが要求されていましたが、v4.0.1へのアップデートに際しては下記２点の変更点がありました。
また、関連する変更として、付録Gの用語集に下記用語が追加されています。
v4.0ではサードパーティサービスプロバイダ（TPSP）の管理として書面による契約書を維持することが要求されていました。同要件の「適用に関する注意事項」では、「TPSPがPCI DSS要件を満たしている証拠（例えば、PCI DSSコンプライアンスに関する証明書（AOC）や企業のウェブサイト上の宣言）は、この要件で指定されている書面による契約書と同じものではない。」と記載がありましたが、今回のアップデートにより書面（契約書など）として認められない例が追加されました。
追加された書面（契約書など）として認められないエビデンスの例
※「PCI DSS 準拠証明書（AOC）」と「企業のウェブサイト上の宣言」についてはv4.0から引き続き書面（契約書など）として認められません。
※v4.0では認められない例の記載がありませんでしたが、「PCI DSS 準拠証明書（AOC）」と「企業のウェブサイト上の宣言」と合わせて追加されました。
PCI DSS v4.0からv4.0.1へのアップデートでは、新しく追加、または、削除された要件は無いため、大きな影響を受ける可能性は低いと言えます。しかしながら、今回変更のあった一部要件の詳細化や表現の明確化による要件解釈の変化から、対策方針に変更が発生する可能性はありますので、v4.0.1への準拠対応が未確認の場合にはお早めに確認することをオススメ致します。また、v4.0.1へのアップデートとは別にベストプラクティス要件への対応期限も2025年3月31日と迫ってきています。
PCI DSSの準拠について何かお困りの点がございましたらQSA（PCI DSS審査員）資格を有する弊社コンサルタントにご相談いただくことも可能ですので、ぜひお問い合わせください。