問27 カード会員データを守る基準

情報セキュリティマネジメント試験令和元年度秋期午前、全50問のうちの問27。

クレジットカードなどのカード会員データのセキュリティ強化を目的として制定され，技術面及び運用面の要件を定めたものはどれか。

アISMS 適合性評価制度
イPCI DSS
ウ特定個人情報保護評価
エプライバシーマーク制度

答えと解説を開く

正解はイです。

PCI DSS は、クレジットカード業界のデータセキュリティの基準です。カードの国際ブランドが共同で作り、カード会員データを保存、処理、伝送する事業者に、ファイアウォールの設置、データの暗号化、アクセスの制限、ログの監視、定期的なテストなどの要件を求めます。問題の「カード会員データのセキュリティ強化」「技術面及び運用面の要件」に当たるのはこれです。正解はイです。

ほかの選択肢が違う理由

アISMS 適合性評価制度は、組織の情報セキュリティマネジメントの仕組みが基準 (JIS Q 2⁠7⁠0⁠0⁠1) に合っているかを第三者が認証する制度です。カード会員データに限った物ではありません。
ウ特定個人情報保護評価は、マイナンバーを含む個人情報 (特定個人情報) を扱う行政機関などが、漏えいなどのリスクを自ら評価して公表する仕組みです。
エプライバシーマーク制度は、個人情報を適切に扱う体制を整えた事業者に、マークの使用を認める制度です。カード会員データに絞った技術の要件ではありません。

仕組み

PCI DSS の PCI は Payment Card Industry (支払いカードの業界)、DSS は Data Security Standard (データセキュリティの基準) の頭文字です。名前の中に「カード」と「データ」が入っていると覚えると選べます。

ネットショップなどがカード番号を自社で持たず、決済代行の会社に任せる形が増えているのは、カード番号を持つと PCI DSS の要件を満たす負担が大きいからでもあります。