1. PCI DSSとは
PCI DSS（Payment Card Industry Data Security Standard）は、クレジットカード情報を取り扱う事業者に対して定められた国際的なセキュリティ基準です。加盟店から決済代行事業者まで、クレジットカード情報を保存・処理・伝送するすべての事業者が対象となり、年次の審査を通じて基準を満たしているかどうかが確認されます。
（PCI DSSの概要については「PCI DSSとはどんなもの？どうすれば取得できる？ユービーセキュアのQSA資格保有者が5つの疑問にずばり回答」もあわせてご確認ください。）
クレジットカード情報を取り扱う事業者にとって、PCI DSS審査は欠かせない取り組みです。一方で、審査を経験された方の多くは、毎年審査の時期になると「今年も審査の時期か」と身構えてしまうのではないでしょうか。
PCI DSSは、一度準拠すれば終わりという基準ではありません。年次審査では特に、訪問審査におけるインタビュー対応やエビデンス収集に大きな負担がかかるほか、審査期間外においても四半期ごとの脆弱性スキャンをはじめとする定期対応が必要となります。そのため、準拠状態を維持し続けることに負担を感じている方も少なくないのではないでしょうか。
だからこそ、基準を満たしているかどうかだけでなく、現場の負担を抑えながらどう進めるかという進め方自体が、準拠を長く維持するうえで重要になります。
本記事では、ユービーセキュアがQSA（Qualified Security Assessor：認定セキュリティ評価機関）として、日々の運用負担そのものを軽くするコンサルティングの視点も交えながら、お客様のPCI DSS審査に伴う負担を軽減したご支援の事例をご紹介します。
2. お客様からの実際のご相談内容
今回ご紹介するのは、既存システムについて他の審査会社から毎年PCI DSSの更新審査を受けてこられたお客様の審査会社乗り換えの事例です。新規システムの立ち上げを機に、ユービーセキュアへPCI DSS準拠についてご相談くださったことがきっかけでした。長年にわたり同じ審査会社に依頼を続けてこられ、他の審査会社の進め方を知る機会がこれまでなかったことから、既存システムの更新審査を通じて感じておられた課題を、新規システムの審査ではぜひ解消したいとのご意向をお持ちでした。
お客様が課題として強く感じておられたのは訪問審査における現地拘束時間の長さです。PCI DSS審査では、関係者へのインタビューやエビデンス確認が必要となるため、審査期間中は担当者が本来業務との両立に苦労するケースも少なくありません。お客様も毎年の審査対応に多くの工数を割いており「審査の品質は維持しながら、もう少し効率的に進める方法はないだろうか」という課題意識をお持ちでした。
近年は取引先等から、セキュリティ体制そのものについて説明を求められる機会も増えています。単にPCI DSSに準拠するだけでなく、セキュリティ対策の実効性や審査対応の品質にまで目を向ける事業者は今後さらに増えていくと考えられます。今回のお客様も同様の課題感をお持ちだったことから、審査の品質を保ちながら担当者の負担を減らすような審査の進め方をご提案いたしました。
3. 実施した支援内容
具体的には、ユービーセキュアが標準的に採用している以下の流れで支援を進めました。
図：支援の流れ
初回PCI DSS準拠までの評価プロセスを「PCI DSS準拠支援（GAP分析）」「PCI DSS準拠審査」の2つのフェーズに分割し、そのフェーズ内でお客様とユービーセキュアで役割分担を行いました。各フェーズの期間は、PCI DSS準拠支援で2か月程度、PCI DSS準拠審査全体で3か月程度であり、全体の所要期間は約5か月となります。なお、所要期間については、対象要件数や対象拠点数などの条件に応じて変動します。
PCI DSS準拠支援（GAP分析）
まず、審査の進め方や審査スコープについてお客様とすり合わせを行います。ネットワーク構成図やカードデータフロー図をもとに、ネットワーク構成・システム構成、カード情報の処理フロー、開発・運用体制、データセンターや運用ルームの利用状況を確認し、スコープを整理します。あわせて、各要件においてご準備いただく審査エビデンスの内容についてもこの段階で認識を合わせます。
スコープが固まった段階で、チェックシートを用いたヒアリングにより、PCI DSSの各要件で求められる対応と現状とのギャップを評価します。対策方針案はお客様ご自身にも記入いただき、実態に即した現実的な計画になるよう担当QSAとすり合わせます。評価結果は表にまとめてお渡しし、どこから着手すべきかが一目で分かるようにしています。この段階で課題の全体像と優先順位を洗い出しておくことで、後続の審査で想定外の指摘が積み上がる事態を防げます。また、単にその場の指摘に対応するだけでなく、翌年以降の運用負担が軽くなるような対応方針もあわせてご提案しており、これが審査対応にとどまらないコンサルティング的な支援の一つになっています。
お客様には審査エビデンスとして、ネットワーク構成図、システム設計書、運用要領書、ソフトウェア・ハードウェアインベントリ、各種機器の設定ファイル（Config）などをご準備いただきます。どのような資料を準備すればよいかは事前に一覧化してお渡しするため、準備すべき項目が早い段階で明確になり、担当部署ごとに役割分担して並行して準備を進めていただくことも可能です。またこの段階で「そもそも存在しない資料」に気づけることも多く、新規作成の時間を確保したうえで審査に臨んでいただけます。
PCI DSS準拠審査
ご提出いただいたエビデンスは、ユービーセキュアで事前に確認します。この事前確認を挟むことで、訪問審査当日に大量のエビデンスをその場で確認していく作業が無くなり、当日の担当者の拘束時間を抑えることやエビデンスの確認漏れを防ぐことにつながります。
事前確認だけでは判断できなかった事項に限定し、ご要望に応じてWeb会議または対面で1〜2時間程度のインタビューを実施します。事前に提出いただいたエビデンスの不明点や不足点に絞ってインタビューすることで、拘束時間を抑えます。
そのうえで、現地でのみ確認可能な事項（主に物理セキュリティに関する事項）に絞って訪問審査を1時間程度行います。目視でなければ確認できない事項だけに絞り込むことで、現地拘束時間を大幅に圧縮できます。
また、インタビューや訪問審査で確認する事項については、ユービーセキュアからお客様へ必要に応じて事前に共有し、当日の対応や資料準備をスムーズに進めていただけるようにしています。これにより、当日になって「誰が答えるべきか分からない」「この資料も必要だった」と慌てる場面を減らせるほか、事前に事実確認したうえでご回答いただける場合には、回答内容の正確性向上にもつながります。
インタビューや訪問審査で指摘事項が見つかった場合は、訪問審査後、審査終了までの期間で是正対応を進めていただきます。是正確認やフォローアップについては、メールやWeb会議を中心にリモートで実施することで、お客様の現地対応の負担を軽減します。
4. 支援によって得られた成果、お客様からの声
こうした審査エビデンスの事前確認とリモート対応を軸としたプロセスにより、他社での審査時には複数日にわたっていた現地拘束時間を、今回は1日まで圧縮することができました。これにより、現地対応にかかる担当者の負担も大きく軽減されています。加えて、必要な資料を早い段階で一覧化していることで、担当部署ごとに役割分担して準備を進めやすくなり、審査対応が特定の担当者だけに集中する事態も避けられています。
定量的な効果は事例ごとに異なりますが、「定期的なQA表でのやり取りにより、指摘事項への対応がスムーズだった」「現地での拘束時間が明らかに減った」といった実感の声も多くのお客様からいただいています。
5. まとめ
ここまで、既にPCI DSS審査を経験しているお客様について、審査の品質を保ちながら現場の負担を軽減した事例をご紹介してきました。ユービーセキュアでは、スコープの確認やGAP分析を通じて課題を早い段階で洗い出し、PCI DSS準拠審査では事前確認とリモート対応を軸に、現地拘束時間を必要最小限に絞り込む進め方によって、担当者の負担を抑える体制でご支援しています。こうした進め方は本事例に限った特別な対応ではなく、ユービーセキュアが標準的にご提供している支援体制です。
「今の審査対応の負担を、もう少し軽くできないか」「今の審査会社のままでよいのか、一度確認してみたい」——このようなお悩みをお持ちでしたら、ぜひユービーセキュアにご相談ください。進め方次第で審査対応の負担は想定より軽減できる可能性があります。まずは現状の進め方や体制についてお気軽にお聞かせください。
ユービーセキュアには、セキュリティ専業会社として数多くの評価実績を積み重ねてきた、経験豊富なQSA有資格者が在籍しています。PCI DSSの準拠支援から審査までを一気通貫でご支援できる点に加え、ユービーセキュアはASV（Approved Scanning Vendor）でもあるため、審査だけでなく期中の脆弱性スキャン対応もまとめてご依頼いただくことが可能です。
詳細は下記のお問い合わせページよりご連絡ください。
-1.png)
