PCI DSS v4.0.1のうち、ISO 27001は実際にどこまでカバーしているか？

ISO 27001のISMSを運用し、カード決済も行っている組織は、PCI DSSは小規模な拡張で済むと考えがちです。しかし数字は異なります。ここでは、ISO 27001をPCI DSS v4.0.1の全要件と要件ごとに突き合わせた結果を示し、トピックの重なりから想定されるよりもギャップが大きい理由を説明します。

最も重要な数字

PCI DSS の 260 件の要件のうち、77 件（30%）は ISO 27001 の何らかの項目にマッピングされ、76 件は緩やかに関連するのみで、107 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

PCI DSSの要件のうち3分の1未満がISO 27001のいずれかにマッピングされ、同程度の数がごく緩やかに関連するにとどまります。PCIのほぼすべてのトピックは附属書Aのどこかに存在するため、これはトピックのギャップではなく、詳細のギャップです。

重なりのある領域

PCI DSS セクション	マッピング済み	緩やかに関連	マッピングなし
Requirement 1: Install and maintain network security controls	19 件中 4 件	3	12
Requirement 2: Apply secure configurations to all system components	11 件中 2 件	3	6
Requirement 3: Protect stored account data	29 件中 8 件	7	14
Requirement 4: Protect cardholder data with strong cryptography during transmission	6 件中 2 件	2	2
Requirement 5: Protect all systems and networks from malicious software	13 件中 4 件	5	4
Requirement 6: Develop and maintain secure systems and software	19 件中 10 件	3	6
Requirement 7: Restrict access to system components and cardholder data by business need to know	12 件中 3 件	3	6
Requirement 8: Identify users and authenticate access to system components	29 件中 6 件	15	8
Requirement 9: Restrict physical access to cardholder data	27 件中 8 件	9	10
Requirement 10: Log and monitor all access to system components and cardholder data	27 件中 6 件	10	11
Requirement 11: Test security of systems and networks regularly	21 件中 3 件	6	12
Requirement 12: Support information security with organizational policies and programs	37 件中 21 件	10	6
Appendix A: additional requirements	10 件中 0 件	0	10

ISO 27001 を保有、PCI DSS が必要。 要件ごとの内容： ギャップレポートを開く →

重なりは、どのセキュリティ標準にも見られるようなPCI DSSの部分に集中しています。各要件冒頭のポリシーと役割、要件12のリスクとガバナンス、要件7のアクセス制御の原則、そしてインシデント対応です。これらはISO 27001のマネジメントシステムと附属書Aによって十分にカバーされています。

PCI DSSの大半が新規の作業である理由

PCI DSSは規範的であるのに対し、ISO 27001はリスクベースです。附属書Aには「技術的脆弱性を管理する」とあります。一方PCI DSSは、その方法、頻度、そして使用するスキャナーの管理主体まで規定しています。マッピングされない行の大半は、次のような要件です。

• アカウントデータの取り扱い(要件3): 認可後に保存してはならないもの、表示時のPANのマスキング、保存場所を問わない読取不能化、そして詳細な鍵管理手順。
• 具体的な頻度: 3か月ごとおよび重大な変更後の内部脆弱性スキャン、認定スキャニングベンダー(ASV)による外部スキャン、ログの確認、6か月ごとのアクセスレビュー。
• 具体的な技術設定: カード会員データ環境へのすべてのアクセスに対する多要素認証、セッションのタイムアウト、パスワードの長さとロックアウトのしきい値。
• 決済固有の管理策: 決済ページのスクリプト管理と改ざん検知、カード読取装置の改ざん検査。
• 対象を絞ったリスク分析: v4.0で導入された、一部の活動の頻度を定めるリスク分析。これは文書化しなければなりません。

ISO 27001では、これらすべてをリスク対応を通じて自ら選択できます。PCI DSSでは、それらを決めるのはPCI DSS側です。

ISMSが依然として提供するもの

マッピングされた3分の1は軽視できません。カード会員データ環境をスコープに含むISMSは、PCIコンプライアンスが毎年依存するポリシーの枠組み、リスクアセスメント、役割、サプライヤー管理、インシデント対応、内部監査を提供します。要件12はISOの箇条4〜10の要約のように読め、ISMSを持つ組織では通常、PCI DSSのガバナンス面は容易に感じられます。

計画の立て方

1. カード会員データ環境をISMSのスコープに組み込み、PCI DSSを法的・契約上の要求事項に加えてください(A.5.31)。
2. ISO 27001 → PCI DSS ギャップ分析レポートを実行し、マッピングされていない要件はすべて、見つけるべきマッピングではなく設計すべき管理策として扱ってください。
3. 管理策を構築する前にスコープを縮小してください。セグメンテーション、トークン化、決済ページの外部委託により、PCI DSSの大部分をスコープから外せる場合があります。
4. PCIの頻度をISMSの管理策に採用し、1つの管理策で両方を満たせるようにしてください。ISOは十分な根拠のある任意の頻度で満たされるため、PCIの頻度を選んでください。

ISO 27001とPCI DSSの比較では、両方向のすべての要件を一覧できます。PCI DSSの本文はPCI SSCの著作物であるため、本サイトの要件タイトルは当サイト独自の短い要約です。

よくある質問

ISO 27001認証があればPCI DSSを満たせますか？

いいえ。カードブランドは、ISO認証の有無にかかわらず、PCI DSSの検証(Report on Compliance または Self-Assessment Questionnaire)を求めます。ISMSはプログラムの運用を支えますが、PCIの要件の大半は附属書Aより具体的です。

ISO 27001が最もよくカバーするPCI DSSの要件はどれですか？

ガバナンスとポリシー(要件12)、アクセス制御の原則(7)、インシデント対応は適切にマッピングされます。ギャップは、具体的な技術設定、頻度、アカウントデータの取り扱いに集中しています。