PCI DSSの対象事業者と役割の見分け方
ITパスポート試験 令和4年度 問55 ／ セキュリティ › 情報セキュリティ対策・実装技術
過去問にチャレンジ
情報セキュリティにおけるPCI DSSの説明として，適切なものはどれか。
- ア
クレジットカード情報を取り扱う事業者に求められるセキュリティ基準
- イ
コンピュータなどに内蔵されるセキュリティ関連の処理を行う半導体チップ
- ウ
コンピュータやネットワークのセキュリティ事故に対応する組織
- エ
サーバやネットワークの通信を監視し，不正なアクセスを検知して攻撃を防ぐシステム
会話形式の解説
講師この問題は、PCI DSSが基準・部品・組織・システムのどれに当たるかを見分けるのが要点です。
受験者カードに関係する言葉だと思いますが、略語が並ぶと役割を取り違えます。
講師PCI DSSは、カード情報を扱う事業者に求められるセキュリティ基準です。カード会員データを守るための要件を定めています。
受験者つまり、事業者が守る要件を示すものなのですね。半導体チップの説明とはどう区別しますか。
講師セキュリティ処理を行う半導体チップはTPMです。機器に内蔵される部品なので、事業者向けの基準とは異なります。
受験者半導体チップはTPMですね。事故に対応する組織は何でしたか。
講師CSIRTです。セキュリティ事故への対応を担う組織で、カード情報の保護要件を定める基準ではありません。
受験者通信を監視して攻撃を防ぐシステムもあります。検知するだけの仕組みと同じですか。
講師そのシステムはIPSです。関連するIDSは不正な挙動を検知し、IPSは検知に加えて不正な通信を遮断します。
受験者IDSとIPSは、遮断まで行うかが手掛かりなのですね。
講師はい。この問題では、カード情報を扱う事業者向けのセキュリティ基準という説明が適切です。
受験者基準がPCI DSS、部品がTPM、組織がCSIRT、遮断も行うシステムがIPSと整理できました。
講師略語だけで判断せず、それぞれが何をするものかを確認すると区別しやすくなります。
まとめ
PCI DSSは、カード情報を扱う事業者に求められるセキュリティ基準です。TPMはセキュリティ処理用の半導体チップ、CSIRTはセキュリティ事故に対応する組織です。IDSは不正な挙動を検知し、IPSは検知に加えて不正な通信を遮断します。
解答・解説
正解はアです
この問題のテーマ
PCI DSSが保護する情報と、対象となる事業者を理解しているかを問う問題です。セキュリティの基準・部品・組織・システムを区別します。
解き方の考え方
まず、PCI DSSはカード会員データを保護するためのセキュリティ基準だと押さえます。選択肢を「何についての説明か」で整理すると、アは基準、イは半導体チップ、ウは組織、エはシステムです。カード情報を扱う事業者向けの基準を述べたアが適切です。
選択肢ごとの解説
- ○ア クレジットカード情報を取り扱う事業者に求められるセキュリティ基準アのカード情報を扱う事業者向けの基準という説明が、PCI DSSに当たります。カード会員データを保護するために求められるセキュリティ上の要件を定めています。
- ×イ コンピュータなどに内蔵されるセキュリティ関連の処理を行う半導体チップイのセキュリティ処理を行う半導体チップは、TPMの説明です。機器に内蔵される部品であり、事業者が守る基準であるPCI DSSとは異なります。
- ×ウ コンピュータやネットワークのセキュリティ事故に対応する組織ウのセキュリティ事故に対応する組織は、CSIRTの説明です。事故への対応を担う組織と、カード情報の保護要件を定めた基準を区別しましょう。
- ×エ サーバやネットワークの通信を監視し，不正なアクセスを検知して攻撃を防ぐシステムエの不正な通信を検知して攻撃を防ぐシステムは、IPSの説明です。関連するIDSは検知を担い、IPSは検知に加えて通信の遮断などを行う点が識別の手掛かりです。
POINT
- PCI DSSは、カード情報を扱う事業者を対象としたセキュリティ基準です。
- TPMはセキュリティ処理用の半導体チップ、CSIRTはセキュリティ事故に対応する組織です。
- IDSは不正な挙動の検知を担い、IPSは不正な通信を検知して遮断します。