01
ネットワークセキュリティ（要件 1〜2）
ネットワークセキュリティのコントロール、ベンダー初期設定の排除、すべての接続を文書化したセグメント化された CDE。
PCI DSS が重要な理由
-
アクワイアラーが準拠の検証を求める
カードブランドとアクワイアラーは、加盟店とサービスプロバイダーに PCI DSS 準拠の検証を求めます。不準拠時の措置を定めるのはカードブランドとアクワイアラーであり、PCI SSC ではありません。
-
有効なバージョンは v4.0.1 のみ
PCI DSS v4.0 は 2024 年 12 月 31 日に廃止され、v4.x の将来日付要件はすべて 2025 年 3 月 31 日から必須になりました。
-
CDE の範囲は過小評価しやすい
QSA の評価中に範囲の誤りが見つかると、評価をやり直すことになりかねません。
12 要件 PCI DSS v4.0.1
pTrackly による PCI DSS 自動化の流れ
ステップ 01
連携と範囲の確定
クラウドアカウントと ID 管理システムを連携し、チームをオンボーディングして、CDE に含まれるものを記録します。
ステップ 02
ギャップの是正
PCI DSS v4.0.1 のコントロールに紐づくポリシーテンプレートとエビデンスタスクを、担当者と期限付きで管理します。
ステップ 03
評価
監査人ポータルで QSA とエビデンスを共有するか SAQ を準備し、指摘事項に対応します。
ステップ 04
ROC または SAQ と AOC
QSA または自社チームが評価を完了し、AOC をアクワイアラーに提出します。定期タスクはその後も続きます。
PCI DSS v4.0.1 要件のカバー範囲
02
アカウントデータの保護（要件 3〜4）
保存されたカード会員データをトランケーション、トークン化、暗号化で保護し、転送中のデータは強力な暗号で保護します。
03
アクセス制御（要件 7〜8）
最小権限と一意の ID。v4.x では、コンソール以外からの CDE へのアクセスとすべてのリモートアクセスに MFA が必須です。
04
監視とテスト（要件 10〜11）
監査ログを 12 か月保持し直近 3 か月はすぐに参照可能に。四半期ごとの ASV スキャンと、少なくとも 12 か月ごとのペネトレーションテスト。
05
セキュリティポリシー（要件 12）
少なくとも 12 か月ごとのポリシー見直し、ターゲットを絞ったリスク分析、セキュリティ意識向上の教育、毎年テストするインシデント対応計画。
pTrackly が PCI DSS で自動化すること
スケジュールに沿った定期エビデンス
各エビデンスタスクに頻度とレビュー日を設定。期限の 7 日前、3 日前、1 日前に担当者へ通知し、7 日または 21 日の期限超過でエスカレーションします。
エビデンスを支える毎日のクラウドチェック
AWS、Google Cloud、Azure、Cloudflare のチェックをエビデンスタスク上で毎日実行できます。レビュー期限の時点でチェックが失敗していれば、タスクは Failed になります。
期限内に終わるアクセスレビュー
従業員アカウント、Google Workspace のアプリ、記録済みのアプリアカウントを定期的にレビュー。上長がレビューし、遅れた場合はエスカレーションします。
エビデンスを固定できる QSA ワークスペース
QSA は監査人ポータルで依頼リストに対応します。監査をロックするとエビデンスが固定され、各ファイルの SHA-256 フィンガープリントが記録されます。
PCI DSS コンプライアンス自動化で何ができるか
PCI DSS コンプライアンスの自動化が扱うのは、繰り返し発生し証跡が必要な作業です。エビデンスのスケジュール管理、担当者への通知、クラウドチェックの実行、アクセスレビューの追跡、評価機関にすぐ渡せる記録の維持。準拠を検証するものではありません。準拠報告書（ROC）は QSA が作成し、自己問診票（SAQ）は自社で作成します。四半期ごとの外部スキャンは、PCI SSC に登録された ASV が行う必要があります。
pTrackly が自動化すること
- 頻度（毎日〜毎年）を設定したエビデンスタスク、期限の 7・3・1 日前の通知、7 日・21 日の期限超過でのエスカレーション
- エビデンスタスクに紐づく AWS、Google Cloud、Azure、Cloudflare の毎日のクラウドチェック
- 従業員アカウント、Google Workspace のアプリ、記録済みのアプリアカウントの定期アクセスレビュー
- 承認と従業員の同意を伴うポリシーの見直しサイクル
- PCI DSS AOC を含むサービスプロバイダーの記録と、期限 60 日前・30 日前の警告
- ペネトレーションテストの指摘事項、是正状況、報告書
- QSA 向けの監査人ポータルと、ロックしてフィンガープリントを記録したエビデンス
貴社、評価機関、既存のツールが担うこと
- 範囲の決定とセグメンテーションのテスト
- 評価そのもの：QSA による ROC、または自社での SAQ 作成、そして AOC への署名
- ASV による四半期ごとの外部脆弱性スキャン（要件 11.3.2）
- ログ監視（SIEM）、ファイル整合性監視、PAN の検出、決済ページのスクリプト監視
- 自社システム内のコントロールの是正
定期的に発生する PCI DSS v4.0.1 要件と pTrackly の支援内容
これらの要件は決まった周期で繰り返されるため、継続的な負担の大部分を占めます。要件番号は PCI DSS v4.0.1 に基づきます。
| 要件 | 内容 | pTrackly の支援 |
|---|---|---|
| 1.2.7 | ネットワークセキュリティコントロールの設定を少なくとも 6 か月ごとに見直す | 担当者、レビュー日、通知を設定したエビデンスタスク |
| 7.2.4 | ユーザーアカウントとアクセス権限を少なくとも 6 か月ごとに見直す | 6 か月ごとに繰り返すアクセスレビューとエスカレーション |
| 8.4.2 | コンソール以外からの CDE へのすべてのアクセスに MFA | AWS IAM のチェック（MFA、ルート、アクセスキー）と、その他のシステム向けのエビデンスタスク |
| 10.4.1 | 監査ログを少なくとも毎日レビューする | SIEM で実施。pTrackly はレビューの実施を示すエビデンスを保管 |
| 11.3.2 | ASV による外部脆弱性スキャンを少なくとも 3 か月ごとに実施 | ASV スキャン報告書の四半期ごとのエビデンスタスク |
| 11.4.1〜11.4.3 | 少なくとも 12 か月ごと、および重要な変更後のペネトレーションテスト | 指摘事項、是正、最終報告書を管理するペネトレーションテストモジュール |
| 12.1.2 | 情報セキュリティポリシーを少なくとも 12 か月ごとに見直す | ポリシーの見直し頻度、承認、従業員の同意 |
| 12.8.4 | サービスプロバイダーの PCI DSS 準拠状況を少なくとも 12 か月ごとに監視 | PCI DSS AOC と有効期限の警告を含むベンダー記録 |
| 12.10.2 | インシデント対応計画を少なくとも 12 か月ごとに見直し、テストする | 通知付きの年次エビデンスタスク |
出典: PCI SSC Document Library · PCI SSC：PCI DSS v4.0.1 の公開 · PCI SSC：PCI DSS v4.x の将来日付要件
よくある質問
PCI DSS コンプライアンスは完全に自動化できますか？
できません。プラットフォームはエビデンスのスケジュール管理と収集、一部の技術チェック、担当者への通知を行えますが、範囲の決定、評価、ASV スキャン、多くの技術的コントロールには人と専用ツールが必要です。準拠を検証するのは QSA、または SAQ の場合は自社チームです。
pTrackly は QSA や ASV の代わりになりますか？
なりません。pTrackly は QSA でも ASV でもありません。エビデンスを準備し、QSA にワークスペースを提供します。ROC または SAQ と AOC は評価機関または自社チームが作成し、外部スキャンは PCI SSC に登録された ASV が行います。
pTrackly はどの PCI DSS バージョンに対応していますか？
唯一有効なバージョンである PCI DSS v4.0.1 です。PCI SSC は 2024 年 12 月 31 日に v4.0 を廃止し、v4.x の将来日付要件はすべて 2025 年 3 月 31 日から必須になりました。
PCI DSS 準拠にはどのくらいかかりますか？
範囲、加盟店またはサービスプロバイダーのレベル、既存の対策によって異なります。加盟店レベルはカードブランドが定めるため、評価を計画する前にアクワイアラーに確認してください。