平成27年度 春期 午前Ⅱ 問21

✓ これが正解ウ伝送中及び保存中のパスワードは，暗号化して解読不能にする。

解説

パスワードは、伝送中も保存中も暗号化して読めない状態にします。

PCI DSSは、クレジットカードの会員データを扱う事業者が守るべきセキュリティ基準で、ネットワークの防御、データの保護、アクセス制御、監視と記録などの要件を定めています。見分ける軸は、記述が要件の水準を満たしているか、それより緩めているかです。パスワードについては、利用者の認証を守るために、伝送中も保存中も強力な暗号化で読み取れないようにすることが求められます。パスワードが平文のまま流れたり保存されたりすると、盗み見や漏えいによって他人になりすまされるおそれがあるからです。カード情報を守るための基準なので、守りを緩める方向の記述は当てはまらないと考えると見分けやすくなります。

ほかの選択肢はなぜ違うのか

• ア管理者のアクセスログは取得するが，プライ…：PCI DSSでは、カード会員データへのアクセスを個々の利用者まで追跡できるよう、管理者に限らず全ての利用者のアクセスをログに記録することが求められます。一般利用者を記録から外すと、不正の追跡ができません。
• イ従業員によるネットワーク外部からのリモー…：ネットワーク外部からのリモートアクセスについては、管理者だけでなく従業員や第三者も含めて、二要素の認証が求められます。利用者IDとパスワードだけの認証では足りません。
• エ利用されない利用者IDの削除及び無効化は…：使われなくなった利用者IDは、放置すると不正利用の入口になるため、短い周期で削除や無効化を行うことが求められます。年に1回まとめて処理するのでは、長い期間にわたって不要なIDが残ります。