令和4年度 問55

✓ これが正解アクレジットカード情報を取り扱う事業者に求められるセキュリティ基準

解説

PCI DSSは、カード情報を扱う事業者向けの基準です。

PCI DSSは、クレジットカードの情報を取り扱う事業者が守るべきことをまとめたセキュリティの基準です。カード番号や有効期限といった情報は、漏れれば直ちに金銭の被害につながるため、国際的なカードブランドが集まって共通の物差しを作り、加盟店や決済を代行する会社に守らせています。中身は、保存するときの暗号化、通信の保護、権限の絞り込み、記録の保管、定期的な点検といった具体的な要件の並びです。ほかの三つは、機器に内蔵される半導体チップ、事故に対応する組織であるCSIRT、そして通信を監視して不正を見つけるIDSの説明で、いずれも基準の名前ではありません。基準に沿えているかどうかは、外部の審査や自己点検で定期的に確かめます。よって適切なのはカード情報を扱う事業者に求められる基準です。

ほかの選択肢はなぜ違うのか

• イコンピュータなどに内蔵されるセキュリティ…：コンピュータなどに内蔵され、暗号の鍵を安全にしまっておくといったセキュリティ関連の処理を受け持つ半導体チップの説明です。守りを固めるための部品そのものであって、事業者が何を守るべきかを定めた基準ではありません。置き場所も役目も違います。
• ウコンピュータやネットワークのセキュリティ…：コンピュータやネットワークのセキュリティ事故に対応する組織はCSIRTと呼ばれます。起きてしまった事故を受け止めて収める人の集まりを指す言葉なので、日ごろ何を守るべきかを書き並べた基準とは種類が違います。
• エサーバやネットワークの通信を監視し，不正…：サーバやネットワークの通信を監視し、不正なアクセスを見つけて防ぐ仕組みは、IDSやその発展した形の説明にあたります。動いている通信を見張る装置であって、事業者に求められる要件をまとめた文書ではありません。