PCI DSS準拠支援・審査サービスとは？QSAの訪問審査、ASVスキャン、SAQの違いと選び方

PCI DSS準拠支援・審査サービスとは

PCI DSSは、2004年に国際カードブランドが共同で策定したセキュリティ基準です。6つの項目と12の要件でできています。準拠支援は現状と要件の差を洗い出して改善まで進め、審査はQSAが訪問して要件を確かめます。

比較ページには、日本の会社が自社で提供するサービスを、各社1つずつ載せています。一般のセキュリティ監査、PCI DSSに絞らない脆弱性診断、カード情報漏えいの調査は載せていません。

3つの型の違い

• 支援から審査までの型は、準拠の対策から訪問審査まで1社で受けます。NRIセキュア、BBSec、NTTデータ先端技術、NECセキュリティ、GRCS、ユービーセキュア、レオンテクノロジーがこの型です。
• 審査を受け持つ型は、QSAとして訪問審査を行います。ICMSがこの型で、準拠の支援はグループのICMSソリューションズに分けています。
• 準拠支援と運用の型は、教育、ギャップ分析、手順書づくり、準拠後の運用を手伝います。ICMSソリューションズとTISIがこの型です。

QSA・ASV・SAQの違い

• QSAは、PCI SSCが認定した審査機関です。訪問審査を行います。
• ASVは、認定スキャンベンダーです。TISIのASVスキャンは、年4回の年間契約です。
• SAQは、自己問診です。JCDSCの資料では、SAQを使う場合はQSAに依頼する必要はありません。

選び方

1. 訪問審査かSAQかを確かめる。カードブランドと取引件数で決まり、多くのブランドで年間600万件以上がレベル1です。
2. 支援も頼むか決める。社内で準備を進められるなら、審査だけを頼めます。NRIセキュアとレオンテクノロジーは審査だけの依頼を受けます。
3. 対象範囲を絞る。GRCSはセグメンテーションで、カード会員データ環境の範囲を絞ってから進めます。
4. 維持まで考える。PCI DSSは年1回の審査で準拠を保ちます。

期間の見方

• GRCSの工程表は、GAP分析が約3か月、改善策の実行が約6〜12か月、準拠審査が約2か月です。
• ユービーセキュアは、ギャップ分析が標準で約3か月、システム改修が約3～6か月かかることが多いと書いています。
• NRIセキュアの審査だけの依頼は、標準で約2〜3か月です。

価格の見方

公式に価格を出している会社はありません。システムの規模と対象範囲で変わるので、ネットワーク図とカード情報の流れをそろえて見積もりを取ります。BBSecは、リモート中心で価格を抑えたValueオンサイト評価を用意しています。

頼む前に確かめること

• 支援と審査の担当の分け方。NECセキュリティは、準拠支援チームと異なるコンサルタントが審査を担当します。
• 認定の状況。JCDSCの資料は、QSAの免許が有効かをPCI SSCのサイトで確かめるよう案内しています。
• 海外拠点の扱い。BBSecはアジア、ヨーロッパ、米国で審査の資格を持ちます。