問題 No.3488
クレジットカード業界のセキュリティ基準であるPCI DSSに関する記述として、不適切なものはどれか。
【正解の解説】
各国の政府機関が法律によって強制的に制定した共通の国際標準規格であり、民間企業による自主的な基準ではない。
PCI DSSは国が定めた法律ではなく、VisaやMastercardなどの国際ブランドが共同で作った業界の自主的なルールです。例えば、学校の校則ではなく部活内の厳しいルールのようなもので、クレジットカードを安全に扱うための共通の約束事として世界中で広く使われています。
スポンサーリンク
【その他の選択肢の解説】
クレジットカード会員データの保護を目的として、ブランド各社が共同で策定したセキュリティ基準であり、決済に関わるすべての事業者へ適用される。
この選択肢はPCI DSSの基本的な目的と適用範囲を正しく述べています。カード番号を扱うお店や決済代行会社など、決済に関わるすべての事業者が守るべき世界共通のセキュリティルールとして機能しており、試験ではこの定義自体がよく正解として問われます。
システムの物理的安全管理やネットワークの脆弱性管理など、情報セキュリティを確保するための具体的な要件と評価手順を定めたものである。
PCI DSSには、サーバー室の鍵管理といった物理的対策から、通信の暗号化やウイルスのチェックといった技術的対策まで、具体的な12の要件が細かく定められています。抽象的な精神論ではなく、明日から現場で実行できる具体的なチェックリストになっているのが特徴です。
企業が取り扱うクレジットカード情報を安全に処理・保存・流通させるため、高度な暗号化技術やアクセス制御の実装を義務付けるものである。
カード情報がハッカーに盗まれないよう、データを暗号化したり、関係者以外が勝手に見られないようにアクセス権を厳しく制限することはPCI DSSの核心部分です。泥棒から金庫を守るために、頑丈な鍵と警備員を配置するような厳格なセキュリティ対策の実施を求めています。