顧客のカードデータを処理するビジネスには、PCI DSS (PCI データセキュリティ基準) の準拠方法を理解する必要があり、PCI Qualified Security Assessor (QSA) はそのプロセスの重要な一部となっています。QSA は、あなたの企業が PCI DSS の要件を満たしているかどうかを評価する、またセキュリティギャップを埋めるのを助ける認定専門家です。QSA は、不透明に感じられがちなプロセスを明確にするのに役立ちます。評価、レポート、修復手順が詳細に解説されているため、カード所有者データの保護について自信を持ってコンプライアンスを維持できます。

2024 年、米国では 3,100 件のデータ侵害イベントが発生しました。QSA は、カードデータを適切に保護することで、企業が侵害に関連するリスクを軽減するのに役立ちます。以下では、PCI QSA の機能、ビジネスに PCI QSA が必要な理由、QSA 主導の評価の仕組みについて説明します。

目次

• PCI 認定セキュリティ評価者とは
  
• PCI DSS コンプライアンスのため QSA が必要な理由
  
• PCI QSA 評価の仕組み
  
• PCI QSA になるために必要な資格
  
• QSA の成果物に期待できるもの
  
• QSA の PCI コンプライアンスおける役割
  
• Stripe Payments の活用方法
  

PCI 認定セキュリティ評価者とは

ある PCI 認定セキュリティ評価者 は、企業が PCI DSS を遵守しているかどうかを評価するために PCI セキュリティ標準評議会によって認可された個人または組織です。QSA は、システム、ネットワーク、および運用がカード所有者データを安全に保っているかどうかをチェックします。

QSA は、暗号化やアクセス制御、そして組織が支払いデータを保存・処理・送信する方法まで、すべてを理解しています。コンプライアンスを検証し、セキュリティギャップを指摘するのがその役割です。QSAは、これらのギャップを効果的に埋める方法を理解するのに役立ちます。

認定された QSA 企業は、独立性、技術的能力、および専門的誠実さについて PCI 評議会によって審査されています。これらの企業は、PCI DSS のすべてのバージョンを最新の状態に保ち、毎年再認定される必要があります。更新により新しい要件が導入されると、QSA はそれらに対して評価するようにトレーニングされます。

PCI DSS コンプライアンスのために QSA が必要な理由

年間 600 万件を超える Visa または Mastercard 取引を処理するビジネスの場合、QSA による PCI DSS 評価は毎年必要です。多くの企業は、QSA と協力することで PCI コンプライアンス 対応がより簡単かつ信頼性が高いものになるため、必須でなくても QSA と協力することを選択します。

その理由を以下に説明します。

• 複雑な標準を明確にします: PCI DSS は詳細で、カードデータの処理方法のあらゆる部分をカバーする何百もの管理策があります。QSA は、これらの要件をビジネスとテクノロジースタックのコンテキストで解釈し、本当に重要なことに集中できるようにします。

• 信頼性と保証が高まります: QSA の独立した検証により、銀行、パートナー、顧客との信頼を築くことができます。自己評価を完了したとしても、QSA レビューを受けることで結果に重みと信頼性が加わります。

• 時間を節約し、やり直しを回避できます: QSA は、効果のない修正に投資する前に、ギャップを早期に発見するのに役立ちます。証拠の収集とコントロールテストを通じてチームをガイドし、監査期限の十分前に準備を整えます。

PCI QSA 評価の仕組み

優れた QSA の実践は、は基本的にガイド付きの安全性調整となります。

PCI QSA 評価には通常、次のものが含まれます。

• スコーピングと準備: QSA はお客様と協力して、どのシステム、ネットワーク、プロセスがカード会員データ環境 (CDE) の中にあるかを定義します。CDE には、カードデータを保存、処理、または送信するすべてのものが含まれます。この段階で、QSA はネットワーク図、データフローマップ、関連システムのインベントリ、および関連ポリシーを要求する場合があります。また、多くの企業は、正式な監査が始まる前に弱点を特定できるように、最初にギャップ分析を行うことを選択しています。

• オンサイトまたはリモート評価: QSA は、構成、ポリシー、ログをレビューし、スタッフにインタビューし、実際のプロセスを観察します。スクリーンショット、構成、レポートなどの証拠を収集して、コントロールが意図したとおりに機能していることを確認します。この段階では、QSA がリアルタイムのフィードバックを提供することが多いため、最終レポートまで待つのではなく、問題への対処をすぐに開始できます。

• 修復と検証: QSA がコンプライアンス違反の領域を特定した場合は、それらを修正し、最新の証拠を提供します。これには、多要素認証の追加、ファイアウォールルールの更新、または暗号化設定の改善が含まれる場合があります。QSA は、修正が実装され、有効であることを検証します。

• レポートと成果物: 評価が完了すると、QSA は 2 つの 主な文書: PCI DSS 要件の管理の詳細な記録であるコンプライアンスに関するレポート (ROC) と、コンプライアンス状況の正式な宣言であるコンプライアンス証明書 (AOC) をまとめます。QSA は、これらのレポートを順を追って、結果、組織にとっての意味、および次のステップを確実に理解できるようにします。

• 継続的なパートナーシップ: 最高の QSA は、年次評価間のコンプライアンスを維持し、新しい PCI バージョンを解釈し、ビジネスの発展に合わせてコントロールを効果的に維持するのに役立つ長期的なパートナーとして機能します。

PCI QSA になるために必要な資格

QSA は、経験と研修により、他者のセキュリティプログラムを評価できる、厳格に認定された専門家です。PCI セキュリティ標準評議会は、QSA 認証を目指す人向けに厳しい要件を設定します。PCI QSA になることは、技術スキル、倫理基準、継続教育への投資です。

要件には次のものが含まれます。

• 専門的な経験: QSA 企業の従業員は、アプリケーションセキュリティ、ネットワークセキュリティ、および情報システムセキュリティで少なくとも 1 年の経験が必要です。彼らは、理論だけでなく、実際のシステムがどのように機能するかを理解する必要があります。

• 業界で認められた認定資格: ISACA 認定情報セキュリティマネージャー (CISM) や認定 ISO 27001 リードインプリメンターなど、少なくとも 1 つの認定専門認定資格を所有している必要があります。これらの認定は、セキュリティと監査における検証済みの専門知識を証明します。

• 身元調査: QSA 候補者は身元調査に合格する必要があり、重罪歴がある場合は自動的に失格となります。

• PCI 固有のトレーニングと試験: 基本資格を満たした後、受験者は PCI 評議会のトレーニングを完了し、PCI DSS テスト、報告、倫理のあらゆる側面をカバーする複数の試験に合格する必要があります。

QSA の成果物に期待できるもの

QSA が PCI DSS 評価を完了すると、コンプライアンスステータスの詳細が記載された正式な文書が届きます。

そのドキュメントに含まれる内容は次のとおりです。

• ROC: これは、すべての PCI DSS 要件に対する環境、範囲、および結果の概要を示す完全な技術レポートです。各コントロールがどのようにテストされたか、それが実施されているかどうか、およびどのような証拠がレビューされたかについて説明します。何かが準拠していない場合、ROC は失敗した理由を特定します。

• AOC: AOC は、コンプライアンスステータスの簡潔で標準化された要約です。銀行、カードネットワーク、またはパートナーと共有し、ビジネスが PCI に準拠していることを証明するものです。

• サポート資料: 多くの QSA では、エグゼクティブサマリーや調査結果のプレゼンテーションも提供されています。これらは、結果を内部で伝達し、修復手順を追跡するのに役立ちます。

これらの成果物を組み合わせることで、コントロールが独立してテスト、検証され、業界のセキュリティ標準に準拠していることを証明します。

QSA の PCI コンプライアンスおける役割

認定セキュリティ評価者と協力することで、PCI コンプライアンスをより速く、より簡単に、より持続可能なものにすることができます。

QSA が役立つことは次のとおりです。

• 対象範囲を適切に設定する: QSA は、CDE に含まれるシステムを定義するのに役立ちます。ネットワークセグメンテーションなどの手法で絶対に必要なものを分離することで、トークン化、および暗号化により、PCI 制御を満たす必要のあるインフラストラクチャの量を最小限に抑えることができます。つまり、保護、テスト、文書化するシステムが少なくなります。

• 集中力を維持: QSA は、組織が通常苦労している場所を把握し、重要ポイントに注意を向け続けられるようにします。セットアップに当てはまらない要件に時間を費やすのではなく、実用的な修正と実績のあるツールに導きます。

• やり直しや無駄な労力の回避: QSA からの早期の入力により、PCI の期待に応えるソリューションを最初から設計できます。これにより、コストを節約し、証拠の収集やテストの時期に予期せぬ事態を避けることができます。

• 継続的なコンプライアンスの維持: 最高の QSA は、定期的なアクセスレビュー、ログ監視、ポリシー更新などの PCI タスクを通常の業務に組み込むのに役立ちます。これにより、コンプライアンスは毎年のスクランブルではなく、継続的なプロセスになります。

QSA は、技術ガイドであると同時にパートナーでもあり、チームが PCI の官僚主義的手続きに費やす時間を減らし、全体的なセキュリティ体制の強化により多くの時間を費やせるようになります。

Stripe Payments の活用方法

Stripe Payments は統合型のグローバル決済ソリューションです。成長中のスタートアップから大企業まで、あらゆる企業がオンライン、対面、世界各地で決済を受け付けられます。

Payments は、次のことに役立ちます。

• 決済体験の最適化: 構築済みの決済 UI、125 種類以上の決済手段へのアクセス、Stripe が構築したウォレットである Link により、スムーズな顧客体験を実現し、エンジニアリングの工数を何千時間も節約できます。

• 新市場への迅速な展開: 195 カ国、135 以上の通貨で利用可能な国際決済オプションにより、世界中の顧客にリーチし、多通貨管理の複雑性とコストを軽減できます。

• 対面とオンライン決済の統合: オンラインと対面チャネルにまたがるユニファイドコマース体験を構築することにより、顧客ごとにパーソナライズされたサービスを提供し、ロイヤルティを高め、収入を伸ばします。

• 決済パフォーマンスの向上: ノーコードの不正利用防止機能や承認率向上のための高度な機能を含む、カスタマイズ可能で設定が簡単な各種決済ツールにより、収益を増加させます。

• 柔軟で信頼性の高いプラットフォームによる迅速な成長: 99.999% の稼働率と業界トップクラスの信頼性を備え、スケールに合わせて拡張可能なプラットフォーム上で構築できます。

Stripe Payments のオンラインおよび対面決済がビジネスにどのように役立つかについて、詳しくはこちらをご覧ください。または、こちらから今すぐ始めることもできます。