カード会員データを守る基準はどれか、似た制度との違いを整理
情報セキュリティマネジメント試験 令和元年度秋期 午前 問27 ／ セキュリティ › セキュリティ技術評価
過去問にチャレンジ
クレジットカードなどのカード会員データのセキュリティ強化を目的として制定され，技術面及び運用面の要件を定めたものはどれか。
- ア
ISMS適合性評価制度
- イ
PCI DSS
- ウ
特定個人情報保護評価
- エ
プライバシーマーク制度
会話形式の解説
講師今回は情報保護に関わる制度や基準の名前を見分ける問題です。注目してほしいのは「カード会員データ」という守る対象と、「技術面と運用面の要件を定めた」という性格です。
受験者選択肢がどれも情報を守る制度に見えて迷いました。ISMSは情報セキュリティ全般なので、カードの情報も含まれる気がしたのですが。
講師広さで言えば含まれます。ただ、ISMS適合性評価制度は、組織が運用している情報セキュリティの管理の仕組みがJIS Q 27001という規格に沿っているかを、第三者が審査する制度です。対象は組織全体で、カードのデータに絞った技術的な要件を並べたものではありません。
受験者なるほど、仕組みを審査する制度であって、カード専用の基準ではないのですね。プライバシーマークも個人情報なので、カード番号に関係しそうです。
講師プライバシーマーク制度は、JIS Q 15001に沿って個人情報を守る体制を整えた事業者を認定して、マークを使えるようにする制度です。体制を認定するもので、カードのデータを扱うときの細かな技術要件までは決めていません。
受験者特定個人情報保護評価は、名前からするとマイナンバーの話でしょうか。
講師そのとおりです。マイナンバーを含む個人情報を扱い始める前に、リスクを見積もって対策をとるための事前評価の仕組みです。主に行政機関や地方公共団体が対象で、カードとは結び付きません。
受験者そうすると、カードに絞った基準はPCI DSSだけですね。
講師はい、PCI DSSが正解です。主要な国際カードブランドが共同で作った業界基準で、暗号化やファイアウォール、脆弱性の管理といった技術の話と、アクセス制御やログの管理、従業員教育といった運用の話の両方を要件として持っています。問題文の説明にそのまま当てはまります。
受験者守る対象がカードかマイナンバーか個人情報か組織全体か、それから要件を並べた基準なのか、認証や認定の制度なのか、事前の評価なのか。この2点で区別すればよいと理解しました。
講師その整理で大丈夫です。補足すると、PCI DSSは法律ではありません。カードブランドや加盟店との契約を通じて、カード情報を保存・処理・伝送する事業者に準拠が求められます。準拠しているかの確認には、自己診断票（SAQ）や認定評価者（QSA）による審査が使われます。「法令で義務付けられている」といった言い方の選択肢が出たら注意してください。
まとめ
クレジットカードなどの会員データを守る目的で作られ、技術面と運用面の要件を定めた基準はPCI DSSです。主要な国際カードブランドが共同で作った業界基準で、法令ではなく、契約を通じて準拠が求められます。ISMS適合性評価制度は組織全体の情報セキュリティ管理の仕組みをJIS Q 27001に照らして審査する制度、プライバシーマーク制度はJIS Q 15001に沿って個人情報保護の体制を整えた事業者を認定する制度です。特定個人情報保護評価は、マイナンバーを扱う前に行うリスク評価です。守る対象と、仕組みの種類（基準・認証・事前評価）の2点で見分けると迷いにくくなります。
解答・解説
正解はイです
この問題のテーマ
クレジットカードの会員データを守るために作られたセキュリティ基準の名前を問う問題です。ISMSやプライバシーマークなど、似た情報保護の制度と区別できるかが試されます。
解き方の考え方
問題文の「カード会員データ」と「技術面及び運用面の要件」が手がかりです。それぞれの選択肢について、何を保護対象にしているか、何をする仕組みかを整理します。ISMSは組織全体の情報セキュリティ管理、プライバシーマークは個人情報保護の体制、特定個人情報保護評価はマイナンバーを対象にしています。カード会員データに特化しているのはPCI DSSだけなので、イを選べます。
選択肢ごとの解説
- ×ア ISMS適合性評価制度ISMS適合性評価制度は、組織が作った情報セキュリティマネジメントシステムが規格に合っているかを第三者が評価する制度です。組織全体の情報セキュリティ管理を広く扱う枠組みで、カード会員データに特有の技術要件までは定めていません。
- ○イ PCI DSSPCI DSSは、カード会員データを守ることを目的とした業界のセキュリティ基準です。主要な国際カードブランドが共同で作りました。暗号化やファイアウォール、脆弱性管理といった技術面の要件と、アクセス制御やログ管理、教育といった運用面の要件の両方を定めており、問題文の説明と一致します。
- ×ウ 特定個人情報保護評価特定個人情報保護評価は、マイナンバーを含む個人情報（特定個人情報）を扱う前にリスクを評価し、リスクを減らす措置をとるよう求める仕組みです。主に行政機関や地方公共団体などが対象で、カード会員データの要件を定めるものではありません。
- ×エ プライバシーマーク制度プライバシーマーク制度は、個人情報を適切に保護する体制を整えた事業者を認定し、マークの使用を認める制度です。JIS Q 15001に基づく個人情報保護の仕組みであり、カード会員データ向けの細かい技術要件は定めていません。
補足
この種の問題では「何のデータを守るか」と「規格の要件か、認証制度か、事前評価か」の2点で選択肢を見分けられます。「カード」とあればPCI DSS、「マイナンバー」なら特定個人情報保護評価、「個人情報保護の体制を認定」ならプライバシーマーク、と結び付けて覚えると便利です。なお、PCI DSSに準拠しているかの確認には、自己問診票（SAQ）や認定評価機関（QSA）による審査が使われます。
POINT
- PCI DSSは、カード会員データを保護するための基準で、技術面と運用面の両方の要件を定めています。
- PCI DSSは法令ではありません。カードブランドや加盟店契約を通じて、カード情報を保存・処理・伝送する事業者に準拠が求められます。
- ISMS適合性評価制度はJIS Q 27001に基づき、組織全体の情報セキュリティ管理の仕組みを評価する制度です。
- プライバシーマーク制度はJIS Q 15001に基づき、個人情報保護の体制を整えた事業者を認定する制度です。
- 特定個人情報保護評価は、マイナンバーを扱う前に行うリスク評価の仕組みです。