Microsoft PowerPoint - PCIDSS説明 版.pptx

PCI DSS 準 拠 の 方 法 と JCDSC によるサポート 体 制 (Japan Card Data Security Consortium) 2016 年 7 月 25 日 版 日 本 カード 情 報 セキュリティ 協 議 会 (JCDSC) 日 本 カード 情 報 セキュリティ 協 議 会 (JCDSC)について 安 全 なカード 社 会 の 実 現 を 図 ることをテーマに PCIDSS の 普 及 推 進 活 動 や カード 情 報 に 関 係 する 企 業 団 体 の 情 報 交 流 を 行 うため 2009 年 4 月 に 設 立 されました 会 員 企 業 は 大 手 コンピューターメーカー セキュリティ 専 門 会 社 国 内 QSA ASV 会 社 コンサル 会 社 ITベンダー 会 社 など160 社 以 上 が 参 加 (2016 年 7 月 現 在 ) PCISSC( 国 際 評 議 会 )のGM, CTOも 来 日 して JCDSC 主 催 のセキュリティ フォーラム (2014.7.29 東 京 国 際 フォーラム) PCI DSS 新 バージョンの 早 期 日 本 語 化 について PCISSCのマーケティング 担 当 役 員 J.King 氏 と 運 営 委 員 QSA 部 会 の 会 合 (2016.4.20JCDSC 定 時 総 会 後 日 本 橋 公 会 堂 ) Page-2

おもな 内 容 1. クレジットカード 情 報 保 護 の 世 界 基 準 =PCI DSS 2. 適 用 レベルの 分 類 と 準 拠 確 認 の 手 続 き 3. 準 拠 に 向 けた 取 組 み 4. JCDSCの 役 割 とカード 会 社 との 連 携 5. 参 考 資 料 本 資 料 について クレジット 取 引 セキュリティ 対 策 協 議 会 実 行 計 画 -2016- に 基 づき ( 一 社 ) 日 本 クレジット 協 会 が 同 協 会 会 員 を 対 象 に 6 月 ~7 月 に 札 幌 から 沖 縄 まで 全 国 9 都 市 で 説 明 会 を 行 い その 中 で PCI DSSについて JCDSC 運 営 委 員 が 説 明 を 担 当 いたしました この 資 料 は 会 場 で 配 付 したものを 一 部 更 新 して 公 開 するものです 今 後 も 新 しい 情 報 により 適 宜 改 訂 していきます Page-3 1.クレジットカード 情 報 保 護 の 世 界 基 準 =PCI DSS Page-4

PCI DSSとは 1. カード 会 員 情 報 や 取 引 情 報 の 保 護 を 目 的 に 2004 年 に 国 際 クレジットカードブラ ンドが 共 同 で 策 定 した ネットワークなどの 処 理 システムや 情 報 管 理 に 関 するセ キュリティ 要 件 ( 基 準 ) 2. ISMSより 範 囲 は 狭 いが 具 体 的 で 深 さが 要 求 される 3. クレジット 取 引 セキュリティ 対 策 協 議 会 の 実 行 計 画 は カード 情 報 を 保 持 する 事 業 者 については PCI DSS 準 拠 を 求 めることとした 準 拠 期 限 :カード 会 社 PSP EC 加 盟 店 は2018 年 3 月 対 面 加 盟 店 は2020 年 3 月 PCIDSS = Payment Card Industry Data Security Standard American Express DSOP Discover Network DISC Master Card SDP VISA AIS JCB JDSP 国 際 カードブランド 各 社 と 実 施 プログラム( 下 段 の 文 字 ) Page-5 PCI DSS 要 求 基 準 の 構 成 = 6つの 項 目 12の 要 件 I. 安 全 なネットワークの 構 築 と 維 持 PCIDSS Ver3.2 要 件 1:カード 会 員 データを 保 護 するために ファイアウォールをインストールして 構 成 を 維 持 する 要 件 2:システムパスワードおよび 他 のセキュリティパラメーターにベンダー 提 供 のデフォルト 値 を 使 用 しない II. III. IV. カード 会 員 データの 保 護 要 件 3: 保 存 されるカード 会 員 データを 保 護 する 要 件 4:オープンな 公 共 ネットワーク 経 由 でカード 会 員 データを 伝 送 する 場 合 暗 号 化 する 脆 弱 性 管 理 プログラムの 維 持 要 件 5:すべてのシステムをマルウェアから 保 護 し ウィルス 対 策 ソフトウェアまたはプログラムを 定 期 的 に 更 新 する 要 件 6: 安 全 性 の 高 いシステムとアプリケーションを 開 発 し 保 守 する 強 力 なアクセス 制 御 手 法 の 導 入 要 件 7:カード 会 員 データへのアクセスを 業 務 上 必 要 な 範 囲 内 に 制 限 する 要 件 8:システムコンポーネントへのアクセスを 確 認 許 可 する 要 件 9:カード 会 員 データへの 物 理 アクセスを 制 限 する V. ネットワークの 定 期 的 な 監 視 およびテスト 要 件 10:ネットワークリソースおよびカード 会 員 データへのすべてのアクセスを 追 跡 および 監 視 する 要 件 11:セキュリティシステムおよびプロセスを 定 期 的 にテストする VI. 情 報 セキュリティ ポリシーの 維 持 要 件 12:すべての 担 当 者 の 情 報 セキュリティに 対 応 するポリシーを 維 持 する 対 象 となる 範 囲 において 上 記 の 要 件 をすべて 遵 守 し これを 自 己 もしくは 第 三 者 の 確 認 によって 証 明 する = PCI DSS 準 拠 Page-6

参 考 :ISMS(ISO27001)と PCI DSSの 比 較 例 :パスワードに 関 する 要 求 事 項 の 比 較 ISMS ISO/IEC 27001:2013 付 属 書 A A.9.4.3 パスワード 管 理 システム パスワード 管 理 システムは 対 話 式 とする ことが 望 ましく また 良 質 なパスワードを 確 実 としなければならない 良 質 なパスワード のレベルは 守 るべき 情 報 資 産 の 機 密 度 合 や リスクの 大 きさ を 考 慮 して 企 業 が 自 主 的 に 決 定 する PCI DSS v3.2 要 求 事 項 パスワードは 数 字 と 英 字 の 両 方 を 含 めて 少 なく とも7 文 字 にする (8.2.3) パスワード/パスフレーズは 少 なくとも90 日 ごと に 変 更 する (8.2.4.a) 直 近 4 回 使 用 されたパスワードは 新 しいパスワ ードとして 使 用 できないようにする (8.2.5.a) ユーザーIDのロックアウトにより 連 続 したアクセ ス 試 行 を6 回 以 内 に 制 限 する (8.1.6) ロックアウト 時 間 は 最 低 30 分 間 または 管 理 者 が 許 可 するまでとする (8.1.7) セッションのアイドル 時 間 が15 分 を 超 えた 場 合 パスワードの 入 力 を 再 び 要 求 する (8.1.8) ユーザーが デフォルト( 配 布 時 の)パスワードか ら 変 更 していることを 確 認 する (8.2.6) クレジットカード 情 報 の 安 全 に 特 化 してい るので 内 容 を 具 体 的 に 指 示 対 応 レベルが 示 されている Page-7 参 考 :PCI DSS 基 準 書 日 本 語 版 のダウンロード PCI SSCの 日 本 語 サイトからアプローチします https://ja.pcisecuritystandards.org/minisite/en/index.php 注 意 )PCI DSS 基 準 書 は v3.2が2016 年 4 月 末 に 公 表 されましたが 日 本 語 版 は バージョン3.0が 最 新 です v3.1 関 連 書 類 を 開 くと v3.1 Summary of Changes (v3.0からv3.1への 変 更 点 解 説 )の 日 本 語 版 が 取 り 出 せます PCI Document Library を 開 くと PCI DSS_v3.2の 英 語 版 や v3.2への 変 更 点 解 説 の 英 語 版 が 取 り 出 せます Page-8

参 考 :PCI DSS 基 準 書 や 関 連 文 書 はライブラリーに https://www.pcisecuritystandards.org/document_library 1 ドキュメントライブラリ 画 面 の 検 索 ウインドゥで PCI DSS の ALL DOCUMENTS を 選 択 し Show Archived Documents の にチェックを 入 れると 書 庫 の 文 書 メニューが 表 示 されます 2PCI DSSの 項 目 で ウインドゥから v3.0 を 選 択 し 右 の 言 語 メニューで JAPANESE を 選 択 し 再 度 左 端 の PCI DSS をクリック 3 使 用 許 諾 画 面 の 下 段 で 同 意 して Download Alert が 出 たところで Download Old Version を 選 択 すると この 方 法 でもv3.0がダウンロードできます v3.2の 日 本 語 版 作 成 を 急 ぐようSSCへ 要 請 し JCDSCも 協 力 態 勢 Page-9 参 考 : PCI DSS v3.2- 主 要 な 変 更 点 v3.2への 移 行 スケジュール 2016 年 4 月 末 公 開 と 同 時 に 発 効 v3.1は v3.2 公 開 後 6カ 月 で 終 息 (2016 年 10 月 末 日 まで) v3.2で 追 加 される 新 たな 要 件 は2018 年 2 月 1 日 から 有 効 化 リリースと 終 息 のタイムライン Release 11 月 v3.0 4 月 v3.1 4 月 v3.2 2013 2014 2015 2016 2017 Retire 12 月 末 v2.0 6 月 末 v3.0 10 月 末 v3.1 Page-10

2. 適 用 レベルの 分 類 と 準 拠 確 認 の 手 続 き Page-11 PCI DSS 準 拠 の 適 用 レベル 分 類 日 本 におけるクレジットカード 情 報 管 理 スキーム 改 訂 版 より QSA による 訪 問 審 査 (Qualified Security Assessors: 認 定 審 査 会 社 ) 対 面 加 盟 店 レベルA 非 対 面 1~4の2つ 以 上 に 該 当 する 場 合 1VISA 600 万 件 以 上 2Master 600 万 件 以 上 3JCB 100 万 件 以 上 4Amex 250 万 件 以 上 PSP ( 非 対 面 /ネット) すべて クレジット カード 会 社 レベルA アクワイアラー または プロセッシング ASVスキャン (Approved Scanning Vendors : 認 定 スキャニ ングベンダー) 内 部 外 部 ネットワーク のぜい 弱 性 スキャン ( 四 半 期 毎 ) 外 部 N/Wスキャンは ASVが 実 施 する 自 己 問 診 (SAQ) (Self Assessment Questionnaire) レベルB 4ブランドいず れかが100 万 件 以 上 レベルC 4ブランドいず れも100 万 件 未 満 レベルB (レベルA 以 外 ) 対 応 期 限 ( 年 度 ) 2019 年 度 2017 年 度 レベルB イシュイングのみ (カード 発 行 枚 数 の 多 少 にかかわらず) 内 部 外 部 ネットワーク アプリケーションへの ペネトレーションテスト ( 年 1 回 )はシステム 環 境 により 別 途 必 要 Page-12

QSAの 訪 問 審 査 によるPCI DSS 準 拠 QSA( 認 定 審 査 会 社 )の 審 査 員 が 実 際 にクレジットカード 情 報 が 取 り 扱 われ ているシステムや 業 務 を 調 査 し 報 告 を 行 う 訪 問 審 査 は 年 1 回 行 われる 審 査 後 結 果 を 記 したレポートが 引 き 渡 される ROC(Report on Compliance: 報 告 書 ) AOC(Attestation of Compliance: 準 拠 証 明 書 ) 契 約 先 のアクワイアラーまたはカードブランドによるAOCの 提 出 を 求 め られた 場 合 すみやかに 提 出 する Page-13 訪 問 審 査 の 方 法 QSAは PCI DSSで 求 められる 要 件 の 準 拠 状 況 を テスト 手 順 に 定 められた 方 法 ( 規 定 や 証 跡 の 確 認 インタビュー システム 設 定 の 確 認 )で 審 査 約 250 項 目 約 400 項 目 要 件 によっては 1つの 要 件 に 対 して 複 数 のテスト 手 順 (= 審 査 項 目 )が 存 在 Page-14

QSAの 連 絡 先 日 本 国 内 のおもなQSAは JCDSCサイトに 一 覧 表 を 掲 載 し 各 QSAの 連 絡 先 や 担 当 者 ( 部 署 ) 特 色 なども 申 告 原 稿 ベースで 載 せています ( 現 在 8 社 を 掲 載 中 ) 現 在 時 点 で 免 許 が 有 効 なQSAの 登 録 状 況 は PCISSCのサイトで 英 文 名 称 で 検 索 して 確 認 してください https://www.pcisecuritystandards.org/assessors_and_solutions/qualified_securi ty_assessors Page-15 SAQによるPCI DSS 準 拠 SAQ ( 自 己 問 診 = Self Assessment Questionnaire) は 自 己 調 査 によって 準 拠 を 証 明 する 方 法 1. 内 部 外 部 N/Wスキャン 検 査 を 四 半 期 ごとに 実 施 し 対 応 の 必 要 がある 脆 弱 性 がない または 解 決 済 である 結 果 レポート1 年 分 をそろえます システム 環 境 により 内 部 外 部 ペネトレーションテストや アプリケーションぜい 弱 性 検 査 も 求 められます 2. 所 定 のSAQに 指 定 されている PCI DSS 要 件 のすべての 項 目 に 対 応 済 であ ることを 確 認 して 記 入 し 内 容 責 任 について 事 業 者 の 役 員 が 署 名 します 3. AOC(Attestation of Compliance: 準 拠 証 明 書 )をPCI SSCサイトからダウン ロードして 記 入 します 4. 契 約 先 のアクワイアラーまたはカードブランドによる 所 定 の 手 続 きに 添 って 上 記 1,2,3を 提 出 します SAQには 支 援 したQSAや ISA (Internal Security Assessor=PCI DSSの 社 内 審 査 資 格 者 ) がある 場 合 署 名 する 欄 があります QSAの 支 援 署 名 は 必 須 ではありません 受 理 はアクワイアラー 判 断 です Page-16

業 種 によるSAQの 適 用 区 分 Type 対 象 A カードを 提 示 しない 加 盟 店 (すべてのカード 会 員 データ 機 能 を 外 部 委 託 ) A-EP B B-IP C 支 払 処 理 に 第 三 者 Web サイトを 使 用 することで 部 分 的 に 外 部 委 託 している 電 子 商 取 引 加 盟 店 インプリンターまたはスタンドアロン 型 ダイアルアップ 端 末 のみを 使 用 する 加 盟 店 (カード 会 員 データを 電 子 形 式 で 保 存 しない) スタンドアロン 型 IP 接 続 PTS 加 盟 店 端 末 装 置 (POI) 端 末 を 持 つ 加 盟 店 (カード 会 員 データを 電 子 形 式 で 保 存 しない) ペイメントアプリケーションシステムがインターネットに 接 続 されている 加 盟 店 (カード 会 員 データを 電 子 形 式 で 保 存 しない) C-VT Web ベースの 仮 想 端 末 を 使 用 する 加 盟 店 (カード 会 員 データを 電 子 形 式 で 保 存 しな い) D-M その 他 すべての SAQ 適 用 加 盟 店 (MはMerchants の 略 ) D-S サービスプロバイダー 用 (SはService Providers の 略 ) カード 発 行 会 社 (イシュア)で QSA 受 審 レベルでない 場 合 は SAQのD-Sを 使 用 します Page-17 SAQの 入 手 Page-8の 要 領 で PCI DSS v3.1 関 連 書 類 から PCI Document Library を 開 きます SAQs の ALL DOCUMENTS を 選 択 し Show Archived Documents の にチェック 各 種 のSAQsで 希 望 の 種 類 の v3.0 を 指 定 すると 日 本 語 版 をダウンロードできます 基 準 書 と 同 じ くv3.1 v3.2の 日 本 語 版 がまだありません Page-18

ASVスキャン および ペネトレーションテスト PCI 基 準 頻 度 検 査 名 称 内 容 1 11.1 四 半 期 ワイヤレスアクセスポイント 検 査 2 11.2 四 半 期 外 部 ネットワーク 脆 弱 性 スキャン ASVが 実 施 する 3 11.2 四 半 期 内 部 ネットワーク 脆 弱 性 スキャン ネットワークの 内 部 と 外 部 からの 侵 入 テスト 4 11.3 年 1 回 ペネトレーションテスト アプリケーション 層 のペネトレーションテストには 要 件 6.5に 記 載 の 脆 弱 性 を 含 める セグメンテーションと 範 囲 減 少 制 御 の 有 効 性 テスト 内 部 外 部 のN/Wスキャンは 全 事 業 者 に 必 須 の 検 査 で そのうち 外 部 N/WスキャンはPCI SSC 認 定 の 検 査 機 関 (ASV)が 実 施 します 国 内 ASVはQSAと 同 じく JCDSCサイトに 一 覧 表 が 掲 載 されています Page-19 ASVスキャンとは PCI SSCによって 認 定 されたベンダー(ASV: Approved Scanning Vendor)に よって 実 行 される 外 部 からの 脆 弱 性 スキャン PCI DSS 要 件 11.2で 要 求 される 項 目 ASV Program Guide で 定 められているセキ ュリティレベルを 満 たしているか 確 認 する アカウント 推 測 攻 撃 やサービス 不 能 攻 撃 などは 実 施 対 象 外 ではあるが 業 界 標 準 のセ キュリティレベルを 確 認 可 能 PCI DSS 対 象 システムが 所 持 している 全 ての グローバルIPアドレスが 対 象 カード 情 報 を 取 り 扱 っていないシステムで も 扱 っているシステムと 同 一 のセグメントに 設 置 されている 場 合 はスキャン 対 象 となる 4 半 期 に 一 度 ASVによって 実 施 される 必 要 がある ASVによって 合 格 (PASS)レポートが 発 行 され るまで 繰 り 返 す 必 要 がある internet ルータ スキャン 実 施 イメージ スキャン の 実 施 外 部 ネットワークの 対 象 ファイアウォール 社 内 LAN ルータ L3スイッチ 外 部 脆 弱 性 スキャンシステム メール サーバ DNS サーバ Web サーバ 社 内 メール社 内 DNS 社 内 Web サーバ サーバ サーバ ASV 外 部 に 公 開 されている 全 てのサー バに 対 してスキャンを 実 施 します カード 会 員 データ 環 境 出 典 :NRIセキュアテクノロジー 株 式 会 社 資 料 Page-20

3. 準 拠 に 向 けた 取 組 み Page-21 準 拠 までのスケジュール 準 拠 が 確 認 されるまでの 一 般 的 な 流 れ 1 QSAに 審 査 を 依 頼 する 前 に ギャップ 分 析 を 行 った 上 で プロジェクト 全 体 のスケジュールを 立 てる 2 PCI DSSすべての 要 件 が 満 たされるよう 対 策 を 行 う 3 審 査 の 前 には ASVスキャン や ペネトレーションテスト によって 脆 弱 性 の 対 処 が 完 了 していることを 確 認 し 規 程 類 や 証 跡 なども 準 備 しておく コンサルタント ( 必 要 な 場 合 )or QSA ASV QSA 維 持 活 動 AOC 受 領 再 審 査 改 善 対 応 訪 問 審 査 脆 弱 性 調 査 改 善 検 討 実 施 改 善 脆 弱 性 調 査 ギャップ 分 析 スコープ 調 査 社 内 体 制 の 構 築 ( 月 ) 0 1 2 3 4 5 6 7 8 9 10 11 12ケ 月 SAQを 用 いる 場 合 は QSAに 依 頼 する 必 要 はありません 規 模 やセキュリティ 達 成 状 況 によって 準 拠 までの 期 間 や 予 算 に 差 Page-22

審 査 の 範 囲 (スコープ) WEB Internet 本 社 PCI DSSでは スコープ( 審 査 の 範 囲 )を 事 業 者 側 が 自 由 に 決 めることはできません カード 会 員 データを 取 り 扱 っている( 伝 送 処 理 保 管 されている) 環 境 と それに 分 離 されずに 接 続 さ れた 環 境 が 対 象 となります カード 会 員 データ (Card holder Data) プライマリアカウント 番 号 (PAN) 等 工 場 支 店 店 舗 センシティブ 認 証 データ (Sensitive Authentication Data) 磁 気 ストライプデータ 等 Page-23 スコープの 縮 小 -スコーピングとセグメンテーション スコープ 定 義 の 手 順 (1) 準 拠 の 必 要 性 確 認 当 該 システムでは PANが 伝 送 処 理 保 管 されていますか? (2)-1. 直 接 対 象 となる 範 囲 の 確 認 PANが 伝 送 処 理 保 管 されているシステ ムコンポーネントはどれですか? (2)-2. 間 接 的 に 対 象 となる 範 囲 の 確 認 伝 送 処 理 保 管 いずれかを 行 っていれ ばPCI DSS 準 拠 の 必 要 があります (PCI DSSの 対 象 です) PANを 全 て PANを 外 部 委 託 先 に 取 り 扱 わない 預 ける ( 非 保 持 化 ) あてはまるシステムコンポーネントはすべて 対 象 です 対 象 システムを 外 部 サービスに 切 り 替 える (PANを 伝 送 処 理 保 管 していなくても)そ こに 直 接 接 続 (フラットネットワーク)してい るシステムコンポーネントはどれですか? そのシステムコンポーネントも すべて 対 象 です 接 続 するシステムを 限 定 分 離 (セグメンテーション) Page-24

スコープの 縮 小 - 非 保 持 化 :トランケーション カード 番 号 として 復 元 できないように 切 り 落 とす Page-25 スコープの 縮 小 - 非 保 持 化 :トークナイゼーション トークナイゼーションとは データの 一 部 または 全 部 を 別 の 一 意 の 乱 数 に 取 り 替 えて 単 独 では 元 に 戻 せないトークンとすること トークンはカード 会 員 データとしては 扱 わない PCI DSSでは 暗 号 化 された 場 合 でもカード 会 員 データとして 扱 う 手 続 きを 踏 むことで 元 のデータの 参 照 が 可 能 トークナイゼーションの 仕 組 みそのものは 検 証 される 必 要 がある PCI SSC PCI DSS Tokenization Guidelines より http://www.jcdsc.org/topics/vol02.php Page-26

外 部 サービスの 利 用 - P2PE Point-to-Point Encryption (P2PE) P2PE 準 拠 ソリューションを 使 用 する 加 盟 店 のPCI DSSスコープ 縮 小 加 盟 店 環 境 の PCI DSSスコープを 大 幅 縮 小 出 典 :PCI DSS 徹 底 解 説 / NTTデータ 先 端 技 術 株 式 会 社 http://www.intellilink.co.jp/article/pcidss/15.html Page-27 各 種 検 査 会 社 コンサル 会 社 の 一 覧 参 考 資 料 集 ペネトレーションテストや 内 部 外 部 ネットワーク 検 査 など 各 種 ぜい 弱 性 検 査 を 実 施 できる 会 社 コンサル 会 社 およびカード 情 報 非 保 持 検 査 実 施 会 社 について 特 色 や 連 絡 先 情 報 を 含 めて 一 覧 表 を 掲 載 しています PCI DSSの 要 求 事 項 別 に セキュリティ ソリューションの 一 覧 表 も 掲 載 しています Page-28

4.JCDSCの 役 割 とカード 会 社 との 連 携 Page-29 実 行 計 画 2016 におけるJCDSCの 役 割 1 2 3 4 5 加 盟 店 のPCI DSS 理 解 を 促 進 するセミナーを 開 催 し 準 拠 に 向 けた 取 組 みをサ ポートする 6/22( 水 ), PCI DSSセキュリティフォーラム2016 を 東 京 国 際 フォーラム ( 有 楽 町 駅 前 )にて 開 催 PCIDSS 理 解 を 増 進 するための 資 料 を 作 成 し 講 師 を 派 遣 する 基 本 資 料 をJCDSCサイトへ 掲 載 日 本 クレジット 協 会 等 が 会 員 加 盟 店 向 けの PCI DSSセミナーを 順 次 計 画 中 講 師 はQSAから 交 代 で 派 遣 簡 易 なPCIDSS 自 己 診 断 票 やFAQを 作 成 し 提 供 する 自 己 診 断 票 はJCDSCサイトへ 掲 載 済 FAQは 順 次 整 備 して 掲 載 予 定 自 己 診 断 票 ダウンロードURL http://www.jcdsc.org/news/160223.php JCDSCサイトにPCI DSSに 関 する 相 談 窓 口 を 開 設 する 事 務 局 への 問 合 せ フォームメールを 開 設 済 QSA 各 社 の 特 徴 等 を 記 載 したリストを 作 成 し JCDSCサイトで 案 内 する 掲 載 済 ASVや 各 種 検 査 コンサル 会 社 の 一 覧 要 求 事 項 別 ソリューション 一 覧 を 掲 載 済 適 宜 バージョンアップする Page-30

実 行 計 画 の 実 践 に カード 会 社 とJCDSCの 連 係 お 願 い 事 項 1 加 盟 店 やPSP 等 に 対 する JCDSC 等 主 催 PCI DSSセミナーのご 案 内 2 契 約 加 盟 店 やPSP 向 けPCI DSSセミナーの 開 催 JCDSCも 講 師 派 遣 等 協 力 いたします 地 方 開 催 の 場 合 は 旅 費 実 費 3 加 盟 店 に 対 する JCDSC Webサイト のご 紹 介 PCI DSS 自 己 診 断 票 事 務 局 へのお 問 合 せ http://www.jcdsc.org/ Page-31 最 後 に Page-32

日 本 が 世 界 の セキュリティホール になってきた 全 国 のコンビニATMから 偽 造 クレジットカードで 約 18 億 円 の 不 正 引 き 出 し 被 害 発 生 出 し 子 100 人 以 上 を 動 員 した 大 規 模 組 織 犯 罪 (2016.5.24) 米 国 は 大 統 領 令 でICカード 化 を 急 速 に 進 行 中 2017 年 完 了 予 定 国 際 犯 罪 組 織 は 犯 行 が 困 難 な 欧 米 を 回 避 して 日 本 をターゲット にする 傾 向 にある 1 南 アフリカの 銀 行 で 漏 えい 2 中 国 系 焼 き 肉 店 の 磁 気 カード 3 日 本 のATMが 被 害 に PCISSC 制 作 のビデオアニメ モバイル 決 済 EMV P2PE 公 開 中 ( 日 本 語 字 幕 入 り) http://www.jcdsc.org/news/151215.php イラストの 出 典 :PCISSC / Educational Resources Page-33 カード 情 報 非 保 持 またはPCI DSS 準 拠 を 急 げ 各 主 体 の 役 割 について ( 実 行 計 画 2016 より) カード 情 報 保 護 の 対 策 は 目 前 リスクを 排 除 するた めに 早 急 に 着 手 すべき 課 題 である 各 主 体 は 本 実 行 計 画 に 示 す 期 限 を 待 つことなく 可 能 な 限 り 前 倒 しで 対 応 を 進 める ご 清 聴 ありがとうございました Page-34