比較

ISO 27001 と PCI DSS の比較：管理体制と、規範的なカード情報ルールの違い

ISO/IEC 27001:2022 · PCI DSS v4.0.1 · データ 2026-10-27

Paul Gillet 別 · 更新日 2026-10-17

PCI DSS v4.0.1 は、カード会員データを保存、処理、または伝送するすべての事業者に対して、国際カードブランドが契約上求める要件です。規範的な基準で、テスト手順を伴う約250の要件が定められています。適用レベルに応じて、認定セキュリティ評価機関（QSA）による検証、または自己評価質問票（SAQ）による確認が必要です。ISO/IEC 27001 はリスクベースで、自ら定義した対象範囲について、管理策を選定し、その妥当性を説明することが求められます。

ISO 27001 に基づく ISMS は、PCI 対応の強固な基盤となります。ガバナンス、リスクアセスメント、方針、アクセス制御、ログ管理、インシデント管理は、そのまま PCI DSS にも引き継がれます。また、ISO のリスク管理プロセスは、PCI DSS v4 で求められる対象を絞ったリスク分析にも役立ちます。

ISO から PCI DSS へ移行する場合、対応付けできない要件や、緩やかに関連するにとどまる要件が多く見つかると考えてください。これは ISO が劣っているからではなく、PCI が何を、どの頻度で行うべきかを厳密に規定しているためです。例えば、カード会員データ環境に対するネットワークセキュリティ管理のルール、保存された口座データと PAN の保護、特定の認証要件と MFA、四半期ごとのスキャンと年次のペネトレーションテスト、ファイル改ざん検知、決済ページのスクリプト管理などが挙げられます。さらに、データの制約もその一因です。NIST の PCI 対応表は規格の一部のみを対象としているため、一部の PCI 要件には、他の何らかの要件との公表された対応関係がありません。

PCI DSS から ISO へ移行する場合、附属書 A の対応範囲は良好です。不足しているのは管理体制の部分で、ISMS の適用範囲、目標、文書化された情報、内部監査、マネジメントレビューなどが該当します。

概要一覧

	ISO 27001	PCI DSS
保護の対象	ISMS の適用範囲内のすべての情報	決済口座データおよびその周辺のシステム
規範性の度合い	リスクベース：管理策は組織が選択	規範的：具体的な要件があり、多くは頻度が定められている
要求する主体	顧客および入札	国際カードブランド（アクワイアラーとの契約を通じて）
評価	認証機関	QSA による準拠報告書（ROC）、または自己評価質問票（SAQ）
頻度	年次のサーベイランス審査、3年ごとの再認証	年次、加えて四半期ごとの外部スキャン

PCI DSS への ISO 27001 の活用

カード会員データ環境を適用範囲に含む ISMS は、PCI DSS のポリシー、リスク、ガバナンスの作業の多くを網羅し、技術面の多くの領域も対応づけられます。新たに必要となる作業は通常、PCI 特有の設定と頻度です。例としては、認定スキャンベンダー（ASV）による四半期ごとの外部スキャン、カード会員データ環境へのすべてのアクセスに対する MFA、決済ページのスクリプト管理、ログレビューの周期、鍵管理の詳細などがあります。下記の「マッピングなし」の一覧が確認すべき箇所です。

どの基準が誰に必要か

PCI DSS は、決済カードデータを保存、処理、もしくは伝送する組織、または、そのセキュリティに影響を与え得る組織すべてに適用されます。これは、カードブランドがアクワイアリング契約を通じて要求しているためです。検証方法は適用レベルによって異なります。最大規模の加盟店およびサービスプロバイダーは、認定セキュリティ評価機関による年次の準拠報告書（ROC）が必要です。その他の大半は自己評価質問票（SAQ）を完了します。ISO 27001 は任意の認証であり、対象範囲はより広く、カードデータに限らず組織の情報セキュリティ全体を対象とします。また、顧客が認識できる認証書で終わります。

管理策を構築する前に PCI の適用範囲を縮小する

最もコストのかからない PCI DSS 要件は、自社に適用されない要件です。ISO の管理策を PCI に対応付ける前に、カード会員データ環境を縮小してください。

決済ページを外部委託する。 PCI 準拠の決済事業者のページにリダイレクトする、またはそのページを埋め込む EC サイトは、カードデータを自社サーバーに置かずに済み、最も簡易な質問票である SAQ A の対象となり得ます。
トークン化する。 保存しているカード番号を決済事業者のトークンに置き換え、主要口座番号（PAN）を一切保持しないようにします。
セグメント化する。 カードデータに触れる必要があるシステムを、それ以外のシステムから分離し、そのセグメンテーションを検証します。

適用範囲から外れたシステムは、それぞれ数十の要件を同時に減らします。

コストと工数

ISO 認証を取得している組織にとって、PCI DSS のコストはほぼ全面的に適用範囲によって決まります。決済ページを完全に外部委託している場合、作業は短い質問票と少数の管理策で済むことがあります。カードデータを自社システムで扱う場合は、要件3（保存データ）、要件8（認証）、要件10（ログ）、要件11（テスト）について、大きな作業が見込まれます。加えて、認定スキャンベンダー（ASV）による四半期ごとの外部スキャンが必要となり、上位レベルでは QSA による評価も求められます。ガバナンスに関する作業は軽微です。ISMS がすでに要件12の大部分を網羅しているためです。

スケジュール

まず適用範囲の縮小を計画してください。これによりスケジュールが大きく変わる可能性があります。適用対象の環境については、ISO 認証を取得した組織が、初回評価の前に PCI 固有の技術的ギャップを解消するために、通常3〜9か月を要します。また、評価日より前に四半期スキャンを稼働させておく必要があります。PCI の固定された頻度（四半期スキャン、6か月ごとのレビュー、年次テスト）を ISMS の年間計画に組み込み、内部監査がほかの項目とあわせてこれらを確認できるようにしてください。

事例：オンライン小売業者

中規模のオンライン小売業者は、EC プラットフォームについて ISO 27001 認証を取得しており、カード決済を自社サーバーで処理しています。アクワイアラーから PCI DSS の検証を求められました。ギャップ分析の結果、ガバナンス、インシデント対応、サプライヤー管理には大きな重複がある一方、要件3（保存された口座データ）、6.4（決済ページのセキュリティ）、11（ASV スキャンとペネトレーションテスト）に大きなギャップがあることが判明しました。

この小売業者は、まず決済事業者が提供する埋め込み型の決済ページを使うようチェックアウトを再設計し、保存カードをトークン化しました。その結果、自社システムがカード番号に触れることはなくなり、ギャップの大部分が解消されました。そして、短い自己評価質問票で検証を行いました。残る部分は ISO の管理策で対応し、PCI の頻度は既存の手順に明記しました。

よくある誤り

適用範囲を定める前に対応付けを行う。 トークン化や決済ページの外部委託によって不要になり得るカード会員データ環境のために管理策を構築してしまうこと。
ISO の頻度をそのまま使う。 年次のアクセス見直しは ISO の要求を満たしますが、PCI DSS では6か月ごとが求められます。PCI の周期に合わせて設計してください。
ASV を失念する。 外部スキャンは、認定スキャンベンダー（ASV）が四半期ごとに実施し、合格結果が必要です。
ISO 認証書を PCI の証拠として扱う。 評価者は、各要件について PCI 固有の証拠を必要とします。
決済ページを見落とす。 決済ページのスクリプト管理と改ざん検知は、v4.0.1 で最も見落とされやすい要件の一つです。

要点

PCI では適用範囲がすべてです。カード会員データ環境をセグメント化すると、作業量を劇的に減らせる場合があります。
ISO → PCI：ISO の管理策を各 PCI 要件に明示的に対応付け、頻度と技術的な具体性を追加する必要があると考えてください。
PCI DSS v4.0 の将来適用要件は、2025年3月31日に義務化されました。評価が v4.0.1 に対して行われていることを確認してください。

この比較をダウンロード（CSV）ギャップ分析で開く →

ISO 27001 を保有、PCI DSS が必要

260 要件

77 件対応付け済み · · 107 件は対応なしギャップビューで開く →

PCI DSS v4.0.1 の要件 260 件のうち、77 件は ISO 27001 の何らかの項目にマッピングされ、76 件は緩やかに関連するのみで、107 件は当サイトのデータにマッピングがありません。

新規対応が必要と見込まれる項目: ISO 27001 へのマッピングがない PCI DSS の要件 (107)

PCI DSS	要件	一致	ISO 27001	証跡
Requirement 1: Install and maintain network security controls · 12
1.2.2	Network connection changes go through change control	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
1.2.5	Allowed services, protocols and ports approved	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
1.2.6	Security features defined for insecure services	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
1.2.7	Network security control rules reviewed every six months	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
1.2.8	Network security control configuration files secured	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
1.3.2	Outbound traffic from the CDE restricted	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
1.3.3	Network controls between wireless networks and the CDE	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
1.4.2	Inbound traffic from untrusted networks restricted	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
1.4.3	Anti-spoofing measures in place	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
1.4.4	Stored cardholder data not reachable from untrusted networks	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
1.4.5	Internal IP addresses and routing not disclosed	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
1.5.1	Controls on devices connecting to untrusted networks and the CDE	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
Requirement 2: Apply secure configurations to all system components · 6
2.2.3	Functions with different security levels kept apart	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
2.2.4	Only necessary services and functions enabled	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
2.2.5	Insecure services justified and secured	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
2.2.6	System security parameters set to prevent misuse	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
2.2.7	Non-console administrative access encrypted	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
2.3.2	Wireless keys changed when key holders leave	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
Requirement 3: Protect stored account data · 14
3.3.1.1	Full track data not kept after authorisation	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
3.3.1.2	Card verification code not kept after authorisation	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
3.3.1.3	PIN and PIN block not kept after authorisation	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
3.3.2	Sensitive authentication data encrypted before authorisation	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
3.3.3	Issuer storage of sensitive authentication data limited and protected	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
3.5.1.1	Hashes of PAN are keyed cryptographic hashes	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
3.5.1.2	Disk-level encryption used only where it suffices	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
3.7.2	Key management: secure key distribution	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
3.7.3	Key management: secure key storage	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
3.7.5	Key management: retiring weakened or compromised keys	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
3.7.6	Key management: split knowledge and dual control	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
3.7.7	Key management: preventing unauthorised key substitution	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
3.7.8	Key custodians formally acknowledge their responsibilities	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
3.7.9	Service providers give customers key-handling guidance	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1.2	Strong cryptography on wireless networks carrying PAN	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
4.2.2	PAN secured when sent by end-user messaging	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
Requirement 5: Protect all systems and networks from malicious software · 4
5.3.1	Anti-malware kept up to date	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
5.3.3	Removable media scanned or analysed	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
5.3.4	Anti-malware audit logs enabled and retained	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
5.3.5	Users cannot disable or alter anti-malware	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
Requirement 6: Develop and maintain secure systems and software · 6
6.5.1	Production changes follow change control procedures	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
6.5.2	PCI DSS requirements re-confirmed after significant changes	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
6.5.3	Pre-production environments separated from production	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
6.5.4	Duties separated between production and pre-production	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
6.5.5	Live PANs not used in pre-production	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
6.5.6	Test data and accounts removed before go-live	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
Requirement 7: Restrict access to system components and cardholder data by business need to know · 6
7.2.3	Privileges approved by authorised personnel	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
7.2.5	System and application accounts least privilege	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
7.2.6	Access to cardholder data repositories restricted	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
7.3.1	Access control system restricts access by need	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
7.3.2	Access control system enforces assigned permissions	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
7.3.3	Access control system set to deny by default	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
Requirement 8: Identify users and authenticate access to system components · 8
8.2.3	Service providers use unique credentials per customer	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
8.2.4	User ID changes authorised and controlled	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
8.2.7	Third-party remote access accounts enabled only when needed	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
8.3.2	Authentication factors unreadable in transit and storage	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
8.3.3	Identity verified before changing authentication factors	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
8.3.4	Account lockout after repeated failed attempts	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
8.3.11	Tokens, smart cards and certificates assigned to individuals	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
8.6.1	Interactive use of system accounts managed	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
Requirement 9: Restrict physical access to cardholder data · 10
9.2.2	Publicly accessible network jacks restricted	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
9.3.3	Visitor badges returned or deactivated	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
9.3.4	Visitor log maintained and retained	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
9.4.1	Media with cardholder data physically secured	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
9.4.3	Media sent off site tracked and secured	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
9.4.4	Management approves media moved off site	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
9.4.5	Inventory logs of electronic media kept	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
9.4.5.1	Electronic media inventories at least annually	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
9.5.1	Card-reading (POI) devices protected from tampering	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
9.5.1.3	Staff trained to spot POI tampering	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
Requirement 10: Log and monitor all access to system components and cardholder data · 11
10.2.1.1	Logs capture user access to cardholder data	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
10.2.1.2	Logs capture administrative actions	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
10.2.1.3	Logs capture access to audit logs	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
10.2.1.4	Logs capture invalid access attempts	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
10.2.1.5	Logs capture credential and privilege changes	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
10.2.1.6	Logs capture starting, stopping or pausing logging	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
10.2.1.7	Logs capture system-level object changes	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
10.4.2	Other logs reviewed periodically	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
10.4.3	Exceptions and anomalies addressed	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
10.6.2	Time configuration correct and consistent	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
10.7.3	Security control failures responded to promptly	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
Requirement 11: Test security of systems and networks regularly · 12
11.2.2	Inventory of authorised wireless access points	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
11.3.1.2	Internal scans use authenticated scanning	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
11.3.1.3	Internal scans after significant changes	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
11.3.2.1	External scans after significant changes	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
11.4.1	Penetration testing methodology defined	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
11.4.2	Internal penetration test at least annually	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
11.4.3	External penetration test at least annually	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
11.4.5	Segmentation controls tested at least annually	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
11.4.6	Service providers test segmentation every six months	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
11.4.7	Multi-tenant providers support customer penetration tests	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
11.5.1.1	Service providers detect covert malware communication	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
11.5.2	Change-detection on critical files	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
Requirement 12: Support information security with organizational policies and programs · 6
12.2.1	Acceptable use policies for end-user technologies	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
12.4.1	Service providers: executive responsibility for PCI DSS compliance	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
12.5.2.1	Service providers confirm scope every six months	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
12.6.2	Awareness programme reviewed annually	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
12.6.3.1	Training covers phishing and social engineering	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
12.6.3.2	Training covers acceptable use of technology	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
Appendix A: additional requirements · 10
A1.1.1	Multi-tenant providers: separate provider and customer environments	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
A1.1.2	Multi-tenant providers: customers confined to their own environment	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
A1.1.3	Multi-tenant providers: customers reach only their own data	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
A1.1.4	Multi-tenant providers: separation tested every six months	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
A1.2.1	Multi-tenant providers: audit logging for each customer	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
A1.2.2	Multi-tenant providers: support customer forensic investigations	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
A1.2.3	Multi-tenant providers: report suspected incidents to customers	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
A2.1.1	POI terminals using SSL or early TLS not exploitable	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
A2.1.2	Service providers: migration plan off SSL and early TLS	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。
A2.1.3	Service providers offer a secure connection option	当サイトのデータにはマッピングがありません	—	当サイトのデータには ISO 27001 へのマッピングがありません。

要確認：関連性は緩やかなもののみ（共通するCSFのアウトカムがあるだけで、マッピングではありません） (76)

PCI DSS	要件	一致	ISO 27001	証跡
Requirement 1: Install and maintain network security controls · 3
1.1.1	Network security policies documented and kept current	緩やかに関連	A.5.1 A.5.31 A.5.32+2	CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません
1.1.2	Roles for network security controls assigned	緩やかに関連	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません
1.2.4	Accurate account-data flow diagram maintained	緩やかに関連	A.5.19 A.5.20 A.5.22+5	CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07… のみを共有: 関連はあるがマッピングではありません
Requirement 2: Apply secure configurations to all system components · 3
2.1.1	Secure configuration policies documented and kept current	緩やかに関連	A.5.1 A.5.31 A.5.32+2	CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません
2.1.2	Roles for secure configuration assigned	緩やかに関連	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません
2.3.1	Wireless vendor defaults changed	緩やかに関連	A.5.15 A.5.3 A.5.10+5	CSF PR.AA-03, PR.DS-02 のみを共有: 関連はあるがマッピングではありません
Requirement 3: Protect stored account data · 7
3.1.1	Stored account data policies documented and kept current	緩やかに関連	A.5.1 A.5.31 A.5.32+2	CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません
3.1.2	Roles for protecting stored account data assigned	緩やかに関連	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません
3.5.1.3	Disk encryption access managed separately from OS access	緩やかに関連	A.5.15 A.5.1 A.5.3+5	CSF PR.AA-03, PR.DS-01 のみを共有: 関連はあるがマッピングではありません
3.6.1.1	Service providers document their cryptographic architecture	緩やかに関連	A.5.15 A.5.16 A.8.2+5	CSF PR.AA-01, PR.DS-01, PR.AA-04 のみを共有: 関連はあるがマッピングではありません
3.6.1.2	Secret and private keys stored in approved forms	緩やかに関連	A.5.15 A.5.16 A.8.2+5	CSF PR.AA-01, PR.DS-01, PR.AA-04 のみを共有: 関連はあるがマッピングではありません
3.6.1.3	Cleartext key components accessible to fewest custodians	緩やかに関連	A.5.15 A.5.16 A.8.2+5	CSF PR.AA-01, PR.DS-01, PR.AA-04 のみを共有: 関連はあるがマッピングではありません
3.6.1.4	Keys stored in the fewest possible locations	緩やかに関連	A.5.15 A.5.16 A.8.2+5	CSF PR.AA-01, PR.DS-01, PR.AA-04 のみを共有: 関連はあるがマッピングではありません
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.1.1	Data-in-transit policies documented and kept current	緩やかに関連	A.5.1 A.5.31 A.5.32+2	CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません
4.1.2	Roles for protecting data in transit assigned	緩やかに関連	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません
Requirement 5: Protect all systems and networks from malicious software · 5
5.1.1	Anti-malware policies documented and kept current	緩やかに関連	A.5.1 A.5.31 A.5.32+2	CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません
5.1.2	Roles for malware protection assigned	緩やかに関連	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません
5.2.3	Systems without anti-malware periodically re-evaluated	緩やかに関連	A.8.20 A.8.21 A.8.22+1	CSF PR.IR-01 のみを共有: 関連はあるがマッピングではありません
5.2.3.1	Re-evaluation frequency set by targeted risk analysis	緩やかに関連	A.5.1 A.8.20 A.8.21+4	CSF GV.RM-03, GV.RM-06, PR.IR-01 のみを共有: 関連はあるがマッピングではありません
5.3.2.1	Scan frequency set by targeted risk analysis	緩やかに関連	A.5.1 Clause 6.1.2 Clause 6.1.3	CSF GV.RM-03, GV.RM-06 のみを共有: 関連はあるがマッピングではありません
Requirement 6: Develop and maintain secure systems and software · 3
6.1.1	Secure systems and software policies documented	緩やかに関連	A.5.1 A.5.31 A.5.32+2	CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません
6.1.2	Roles for secure systems and software assigned	緩やかに関連	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません
6.2.3.1	Manual code reviews approved by someone else	緩やかに関連	A.5.8 A.5.9 A.5.11+5	CSF ID.AM-08 のみを共有: 関連はあるがマッピングではありません
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.1.1	Access restriction policies documented and kept current	緩やかに関連	A.5.1 A.5.3 A.5.14+5	CSF GV.PO-02, PR.AA-05 のみを共有: 関連はあるがマッピングではありません
7.1.2	Roles for access restriction assigned	緩やかに関連	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません
7.2.5.1	System and application account access periodically reviewed	緩やかに関連	A.5.1 A.5.3 A.5.14+5	CSF GV.OV-03, GV.RM-03, GV.RM-06, PR.AA-05 のみを共有: 関連はあるがマッピングではありません
Requirement 8: Identify users and authenticate access to system components · 15
8.1.1	Identification and authentication policies documented	緩やかに関連	A.5.1 A.5.3 A.5.14+5	CSF GV.PO-02, PR.AA-05 のみを共有: 関連はあるがマッピングではありません
8.1.2	Roles for identification and authentication assigned	緩やかに関連	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません
8.2.2	Shared or generic accounts only by documented exception	緩やかに関連	A.7.4 A.8.2 A.8.3+3	CSF DE.CM-03, PR.AA-02 のみを共有: 関連はあるがマッピングではありません
8.2.5	Access revoked immediately on termination	緩やかに関連	A.5.19 A.5.20 A.5.21+5	CSF GV.SC-10 のみを共有: 関連はあるがマッピングではありません
8.2.6	Inactive user accounts disabled within 90 days	緩やかに関連	A.5.1 A.5.3 A.5.14+5	CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません
8.2.8	Re-authentication after 15 minutes idle	緩やかに関連	A.5.15 A.5.3 A.5.10+5	CSF PR.AA-03, PR.DS-10 のみを共有: 関連はあるがマッピングではありません
8.3.5	First-use and reset passwords unique and changed	緩やかに関連	A.8.2 A.8.3 A.8.5	CSF PR.AA-02 のみを共有: 関連はあるがマッピングではありません
8.3.6	Minimum password length and complexity	緩やかに関連	A.5.15 A.5.16 A.5.17+2	CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません
8.3.7	Recent passwords cannot be reused	緩やかに関連	A.5.15 A.5.16 A.5.17+2	CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません
8.3.8	Authentication guidance communicated to users	緩やかに関連	A.5.15 A.5.16 A.5.17+2	CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません
8.3.9	Password-only access: change every 90 days or analyse risk	緩やかに関連	A.5.15 A.5.16 A.5.17+2	CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません
8.3.10	Service providers give customers password guidance	緩やかに関連	A.5.15 A.5.16 A.5.17+2	CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません
8.3.10.1	Service provider customer passwords: rotation or analysis	緩やかに関連	A.5.15 A.5.16 A.5.17+2	CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません
8.6.2	No hard-coded passwords for system accounts	緩やかに関連	A.5.15 A.5.16 A.5.18+2	CSF PR.AA-01 のみを共有: 関連はあるがマッピングではありません
8.6.3	System account passwords protected and changed	緩やかに関連	A.5.1 Clause 6.1.3 A.5.15+5	CSF GV.RM-03, GV.RM-06, ID.RA-07, PR.AA-01 のみを共有: 関連はあるがマッピングではありません
Requirement 9: Restrict physical access to cardholder data · 9
9.1.1	Physical security policies documented and kept current	緩やかに関連	A.5.1 A.5.31 A.5.32+5	CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません
9.1.2	Roles for physical security assigned	緩やかに関連	A.5.2 A.5.3 A.7.5+5	CSF GV.RR-02, PR.IR-02 のみを共有: 関連はあるがマッピングではありません
9.2.4	Consoles in sensitive areas locked when unattended	緩やかに関連	A.5.15 A.5.16 A.5.17+5	CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません
9.4.1.2	Security of offline backup location reviewed annually	緩やかに関連	A.8.13 A.7.4	CSF PR.DS-11, RC.RP-03, DE.CM-02 のみを共有: 関連はあるがマッピングではありません
9.4.6	Hard-copy media destroyed when no longer needed	緩やかに関連	A.5.20 Clause 4.2 A.5.1+5	CSF GV.OC-03, GV.SC-10, PR.DS-01 のみを共有: 関連はあるがマッピングではありません
9.4.7	Electronic media destroyed or made unrecoverable	緩やかに関連	A.5.20 A.8.13 Clause 4.2+5	CSF GV.OC-03, GV.SC-10, PR.DS-01, PR.DS-11 のみを共有: 関連はあるがマッピングではありません
9.5.1.1	Inventory of POI devices kept	緩やかに関連	A.5.9 A.5.19 A.5.20+5	CSF ID.AM-01, PR.PS-03, GV.SC-09, ID.RA-09 のみを共有: 関連はあるがマッピングではありません
9.5.1.2	POI devices inspected for tampering	緩やかに関連	A.7.4 A.5.9 A.5.19+5	CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09 のみを共有: 関連はあるがマッピングではありません
9.5.1.2.1	Inspection frequency set by targeted risk analysis	緩やかに関連	A.5.1 Clause 6.1.2 Clause 6.1.3+5	CSF GV.RM-03, GV.RM-06, GV.SC-09, ID.RA-07 のみを共有: 関連はあるがマッピングではありません
Requirement 10: Log and monitor all access to system components and cardholder data · 10
10.1.1	Logging and monitoring policies documented	緩やかに関連	A.5.1 A.5.31 A.5.32+2	CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません
10.1.2	Roles for logging and monitoring assigned	緩やかに関連	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません
10.2.2	Log entries record who, what, when, where and outcome	緩やかに関連	A.5.25 A.5.27 A.5.28	CSF RS.AN-03, RS.AN-07 のみを共有: 関連はあるがマッピングではありません
10.3.1	Read access to logs limited to need	緩やかに関連	A.5.26 A.5.28 A.8.15+1	CSF DE.AE-06, RS.AN-06, PR.PS-04 のみを共有: 関連はあるがマッピングではありません
10.3.3	Logs promptly backed up to a central server	緩やかに関連	A.5.28 A.8.15 A.5.24+4	CSF RS.AN-06, RS.AN-07, DE.AE-03, PR.PS-04… のみを共有: 関連はあるがマッピングではありません
10.3.4	File-integrity monitoring on logs	緩やかに関連	A.5.24 A.5.25 A.5.28+5	CSF DE.AE-02, RS.AN-06 のみを共有: 関連はあるがマッピングではありません
10.4.2.1	Review frequency set by targeted risk analysis	緩やかに関連	A.5.1 Clause 6.1.3 A.5.9+5	CSF GV.RM-03, GV.RM-06, ID.RA-07, ID.AM-05 のみを共有: 関連はあるがマッピングではありません
10.6.3	Time settings protected from change	緩やかに関連	A.8.15 A.8.17	CSF PR.PS-04 のみを共有: 関連はあるがマッピングではありません
10.7.1	Service providers detect security control failures	緩やかに関連	A.5.1 A.5.19 Clause 9.1+5	CSF GV.OV-01, GV.OV-02, GV.RM-05, ID.IM-03 のみを共有: 関連はあるがマッピングではありません
10.7.2	Critical security control failures detected and reported	緩やかに関連	A.5.1 A.5.19 Clause 9.1+5	CSF GV.OV-01, GV.OV-02, GV.OV-03, GV.RM-05… のみを共有: 関連はあるがマッピングではありません
Requirement 11: Test security of systems and networks regularly · 6
11.1.1	Security testing policies documented and kept current	緩やかに関連	A.5.1 A.5.31 A.5.32+2	CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません
11.1.2	Roles for security testing assigned	緩やかに関連	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません
11.2.1	Wireless access points detected and unauthorised ones handled	緩やかに関連	A.8.15 A.8.16 A.8.20+3	CSF DE.CM-01, PR.IR-01 のみを共有: 関連はあるがマッピングではありません
11.3.1.1	Lower-ranked vulnerabilities handled by risk analysis	緩やかに関連	A.5.1 Clause 6.1.2 Clause 6.1.3+2	CSF GV.RM-03, GV.RM-06, ID.RA-05 のみを共有: 関連はあるがマッピングではありません
11.4.4	Penetration test findings corrected and retested	緩やかに関連	A.5.19 A.5.1 A.5.35+5	CSF GV.OV-02, GV.OV-03, ID.IM-02 のみを共有: 関連はあるがマッピングではありません
11.6.1	Payment page changes and tampering detected	緩やかに関連	A.5.19 A.5.1 A.5.20+5	CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09… のみを共有: 関連はあるがマッピングではありません
Requirement 12: Support information security with organizational policies and programs · 10
12.3.2	Targeted risk analysis for customised approach	緩やかに関連	A.5.1 A.8.32 Clause 6.1.2+1	CSF GV.RM-06, ID.RA-07 のみを共有: 関連はあるがマッピングではありません
12.3.3	Cipher suites and protocols reviewed annually	緩やかに関連	A.5.1 A.5.3 A.5.10+5	CSF GV.RM-03, GV.RM-06, PR.DS-02 のみを共有: 関連はあるがマッピングではありません
12.3.4	Hardware and software technologies reviewed annually	緩やかに関連	A.5.19 A.5.1 A.5.20+5	CSF GV.OV-02, GV.OV-03, GV.SC-03, GV.SC-09… のみを共有: 関連はあるがマッピングではありません
12.4.2.1	Service providers: quarterly review results documented	緩やかに関連	A.5.1 A.5.19 A.5.35+5	CSF GV.OV-01, GV.OV-02, ID.IM-01 のみを共有: 関連はあるがマッピングではありません
12.5.3	Service providers review scope after organisational change	緩やかに関連	A.5.1 A.5.19 Clause 6.1.3+5	CSF GV.OV-02, GV.RM-03, GV.RM-05 のみを共有: 関連はあるがマッピングではありません
12.9.1	Service providers acknowledge responsibilities to customers	緩やかに関連	A.5.19 A.5.20 A.5.31+5	CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07… のみを共有: 関連はあるがマッピングではありません
12.9.2	Service providers support customer compliance requests	緩やかに関連	A.5.19 A.5.20 A.5.31+5	CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07… のみを共有: 関連はあるがマッピングではありません
12.10.4.1	Training frequency set by targeted risk analysis	緩やかに関連	A.5.1 A.5.2 A.6.3+3	CSF GV.RM-03, GV.RM-06, PR.AT-02 のみを共有: 関連はあるがマッピングではありません
12.10.5	Plan covers alerts from security monitoring	緩やかに関連	A.5.26	CSF GV.SC-08 のみを共有: 関連はあるがマッピングではありません
12.10.7	Procedures for PAN found where it shouldn't be	緩やかに関連	A.5.9	CSF ID.AM-07 のみを共有: 関連はあるがマッピングではありません

マッピング済み (77)

PCI DSS	要件	一致	ISO 27001	証跡
Requirement 1: Install and maintain network security controls · 4
1.2.1	Configuration standards for network security controls	編集	A.8.20 A.8.21 A.8.22	同じトピック：ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ)
1.2.3	Accurate network diagram maintained	対応表	A.8.20 A.8.21 A.8.22	同じトピック：ファイアウォール / ネットワークセグメンテーション
1.3.1	Inbound traffic to the CDE restricted	編集	A.8.20 A.8.21 A.8.22	同じトピック：ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ)
1.4.1	Network controls between trusted and untrusted networks	編集	A.8.20 A.8.21 A.8.22	同じトピック：ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ)
Requirement 2: Apply secure configurations to all system components · 2
2.2.1	System configuration standards developed and maintained	対応表	A.8.9	同じトピック：安全な構成
2.2.2	Vendor default accounts managed or removed	対応表	A.8.9	同じトピック：安全な構成
Requirement 3: Protect stored account data · 8
3.2.1	Account data storage minimised, with retention and disposal	対応表	A.5.14 A.8.10 A.8.11	同じトピック：データ保護
3.3.1	Sensitive authentication data not kept after authorisation	対応表	A.5.14 A.8.10 A.8.11	同じトピック：データ保護
3.4.1	PAN masked when displayed	対応表	A.5.14 A.8.10 A.8.11	同じトピック：データ保護
3.4.2	PAN copying prevented over remote-access technologies	編集	A.8.12	同じトピック： DLP (編集部のおすすめ)
3.5.1	PAN rendered unreadable wherever stored	対応表	A.8.24	同じトピック：暗号化
3.6.1	Procedures protect keys that secure stored account data	対応表	A.8.24	同じトピック：暗号化
3.7.1	Key management: strong key generation	編集	A.8.24	同じトピック：暗号化 (編集部のおすすめ)
3.7.4	Key management: key changes at end of cryptoperiod	編集	A.8.24	同じトピック：暗号化 (編集部のおすすめ)
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1	Strong cryptography for PAN over open, public networks	対応表	A.8.24	同じトピック：暗号化
4.2.1.1	Inventory of trusted keys and certificates kept	編集	A.8.24	同じトピック：暗号化 (編集部のおすすめ)
Requirement 5: Protect all systems and networks from malicious software · 4
5.2.1	Anti-malware deployed on system components	対応表	A.8.19 A.8.1 A.8.7	同じトピック：エンドポイント保護
5.2.2	Anti-malware detects, removes or contains known malware	対応表	A.8.19 A.8.1 A.8.7	同じトピック：エンドポイント保護
5.3.2	Periodic scans or continuous behavioural analysis	対応表	A.8.19 A.8.1 A.8.7	同じトピック：エンドポイント保護
5.4.1	Mechanisms to detect and protect against phishing	編集	A.5.14	同じトピック：メールセキュリティ (編集部のおすすめ)
Requirement 6: Develop and maintain secure systems and software · 10
6.2.1	Bespoke and custom software developed securely	編集	A.8.25 A.8.26 A.8.28+1	同じトピック：セキュア開発 (編集部のおすすめ)
6.2.2	Developers trained in secure software development	対応表	A.8.25 A.8.26 A.8.28+1	同じトピック：セキュア開発
6.2.3	Custom code reviewed before release	対応表	A.8.5 A.8.25 A.8.26+2	同じトピック： API セキュリティ, セキュア開発
6.2.4	Coding techniques prevent common software attacks	編集	A.8.5 A.8.26	同じトピック： API セキュリティ (編集部のおすすめ)
6.3.1	Vulnerabilities identified and risk-ranked	対応表	A.5.7 A.8.8	同じトピック：脅威インテリジェンス, 脆弱性管理, パッチ管理
6.3.2	Inventory of custom software and its components	対応表	A.5.9 A.5.11 A.5.19+2	同じトピック：資産管理, サプライチェーンリスク
6.3.3	Security patches installed promptly	対応表	A.8.8	同じトピック：パッチ管理
6.4.1	Public web applications protected against attacks	編集	A.8.26	同じトピック： Web セキュリティ (編集部のおすすめ)
6.4.2	Automated solution blocks attacks on public web apps	編集	A.8.20	同じトピック： WAF (編集部のおすすめ)
6.4.3	Payment page scripts authorised and integrity-checked	編集	A.8.26	同じトピック： Web セキュリティ (編集部のおすすめ)
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.2.1	Access control model defined	対応表	A.5.15 A.5.16 A.5.18+3	同じトピック：アクセス制御, ゼロトラスト
7.2.2	Access assigned by job function and least privilege	対応表	A.5.15 A.5.16 A.5.18+3	同じトピック：アクセス制御
7.2.4	User accounts and privileges reviewed every six months	対応表	A.5.15 A.5.16 A.5.18+1	同じトピック：アクセス制御
Requirement 8: Identify users and authenticate access to system components · 6
8.2.1	Every user has a unique ID	対応表	A.5.15 A.5.16 A.5.18+1	同じトピック：アクセス制御
8.3.1	User and admin access requires an authentication factor	対応表	A.5.15 A.8.5 A.8.22	同じトピック：ゼロトラスト
8.4.1	MFA for non-console administrative access to the CDE	編集	A.8.5	同じトピック：多要素認証 (編集部のおすすめ)
8.4.2	MFA for all access into the CDE	編集	A.8.5	同じトピック：多要素認証 (編集部のおすすめ)
8.4.3	MFA for remote network access	編集	A.8.5	同じトピック：多要素認証 (編集部のおすすめ)
8.5.1	MFA systems configured to resist misuse	編集	A.8.5	同じトピック：多要素認証 (編集部のおすすめ)
Requirement 9: Restrict physical access to cardholder data · 8
9.2.1	Facility entry controls restrict CDE access	編集	A.7.1 A.7.2 A.7.3+6	同じトピック：物理的セキュリティ (編集部のおすすめ)
9.2.1.1	Access to sensitive areas monitored by camera or access control	編集	A.7.1 A.7.2 A.7.3+6	同じトピック：物理的セキュリティ (編集部のおすすめ)
9.2.3	Physical access to network hardware restricted	対応表	A.7.1 A.7.2 A.7.3+6	同じトピック：物理的セキュリティ
9.3.1	Personnel physical access authorised and managed	編集	A.7.1 A.7.2 A.7.3+6	同じトピック：物理的セキュリティ (編集部のおすすめ)
9.3.1.1	Sensitive-area access authorised and revoked promptly	対応表	A.7.1 A.7.2 A.7.3+6	同じトピック：物理的セキュリティ
9.3.2	Visitor access authorised, escorted and identifiable	編集	A.7.1 A.7.2 A.7.3+6	同じトピック：物理的セキュリティ (編集部のおすすめ)
9.4.1.1	Offline backup media stored securely	対応表	A.8.13	同じトピック：バックアップと復旧
9.4.2	Media classified by data sensitivity	編集	A.5.12 A.5.13	同じトピック：データ分類 (編集部のおすすめ)
Requirement 10: Log and monitor all access to system components and cardholder data · 6
10.2.1	Audit logs enabled and active	対応表	A.6.1 A.6.4 A.8.15+2	同じトピック：内部脅威, ログ記録と監査
10.3.2	Logs protected from modification	対応表	A.5.28 A.8.15 A.8.17	同じトピック：フォレンジック, ログ記録と監査
10.4.1	Security event and critical logs reviewed daily	対応表	A.5.25 A.8.16	同じトピック： SIEM / SOC, 継続的モニタリング
10.4.1.1	Automated mechanisms for log review	編集	A.8.16	同じトピック：異常検知 (編集部のおすすめ)
10.5.1	Audit logs retained 12 months, three immediately available	編集	A.8.15 A.8.17	同じトピック：ログ記録と監査 (編集部のおすすめ)
10.6.1	System clocks synchronised	対応表	A.8.15 A.8.17	同じトピック：ログ記録と監査
Requirement 11: Test security of systems and networks regularly · 3
11.3.1	Internal vulnerability scans every three months	対応表	A.8.8	同じトピック：脆弱性管理
11.3.2	External ASV scans every three months	対応表	A.8.8	同じトピック：脆弱性管理
11.5.1	Intrusion detection or prevention on network traffic	編集	A.8.16	同じトピック：侵入検知 (編集部のおすすめ)
Requirement 12: Support information security with organizational policies and programs · 21
12.1.1	Information security policy established and published	対応表	A.5.1 A.5.37 Clause 5.2	同じトピック：ガバナンスポリシー
12.1.2	Security policy reviewed at least annually	対応表	A.5.1 A.5.37 Clause 5.2	同じトピック：ガバナンスポリシー
12.1.3	Security roles and responsibilities defined	対応表	A.5.2 A.5.4	同じトピック：役割と責任
12.1.4	Executive responsibility for information security assigned	対応表	A.5.2 A.5.4	同じトピック：役割と責任
12.3.1	Targeted risk analysis for flexible-frequency requirements	対応表	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3	同じトピック：リスクマネジメント, リスクアセスメント
12.4.2	Service providers: quarterly reviews of operational tasks	対応表	A.5.31 Clause 9.1 A.5.36	同じトピック：コンプライアンス
12.5.1	Inventory of in-scope system components	対応表	A.5.9 A.5.11 A.7.14	同じトピック：資産管理
12.5.2	PCI DSS scope confirmed annually and on change	対応表	Clause 4.1 Clause 4.2	同じトピック：事業環境
12.6.1	Formal security awareness programme	対応表	A.6.3 Clause 7.3	同じトピック：意識向上とトレーニング
12.6.3	Awareness training on hire and at least annually	対応表	A.6.3 Clause 7.3	同じトピック：意識向上とトレーニング
12.7.1	Personnel screened before hire	対応表	A.6.1 A.6.4 A.8.16	同じトピック：内部脅威
12.8.1	List of third-party service providers kept	対応表	A.5.19 A.5.20 A.5.21+2	同じトピック：サプライチェーンリスク, ベンダーリスク管理
12.8.2	Written agreements with service providers	対応表	A.5.19 A.5.20 A.5.22	同じトピック：ベンダーリスク管理
12.8.3	Due diligence before engaging service providers	対応表	A.5.19 A.5.20 A.5.22	同じトピック：ベンダーリスク管理
12.8.4	Service provider compliance monitored annually	対応表	A.5.19 A.5.20 A.5.22	同じトピック：ベンダーリスク管理
12.8.5	Responsibilities split with each provider documented	対応表	A.5.19 A.5.20 A.5.22+1	同じトピック：ベンダーリスク管理
12.10.1	Incident response plan ready to activate	対応表	A.5.5 A.5.24 A.5.25+5	同じトピック：報告, インシデント対応
12.10.2	Incident response plan reviewed and tested annually	対応表	A.5.24 A.5.25 A.5.26	同じトピック：インシデント対応
12.10.3	Incident response staff available around the clock	対応表	A.5.24 A.5.25 A.5.26	同じトピック：インシデント対応
12.10.4	Incident response staff trained	対応表	A.5.24 A.5.25 A.5.26	同じトピック：インシデント対応
12.10.6	Plan updated from lessons learned and industry changes	対応表	A.5.27 Clause 10.1	同じトピック：教訓の反映

PCI DSS を保有、ISO 27001 が必要

123 要件

76 件対応付け済み · · 10 件は対応なしギャップビューで開く →

ISO/IEC 27001:2022 の要件 123 件のうち、76 件は PCI DSS の何らかの項目にマッピングされ、37 件は緩やかに関連するのみで、10 件は当サイトのデータにマッピングがありません。

新規対応が必要と見込まれる項目: PCI DSS へのマッピングがない ISO 27001 の要件 (10)

ISO 27001	要件	一致	PCI DSS	証跡
ISMS clauses 4–10 · 10
Clause 4.3	Determining the scope of the ISMS	当サイトのデータにはマッピングがありません	—	当サイトのデータには PCI DSS へのマッピングがありません。
Clause 5.1	Leadership and commitment	当サイトのデータにはマッピングがありません	—	当サイトのデータには PCI DSS へのマッピングがありません。
Clause 6.2	Information security objectives and planning to achieve them	当サイトのデータにはマッピングがありません	—	当サイトのデータには PCI DSS へのマッピングがありません。
Clause 6.3	Planning of changes	当サイトのデータにはマッピングがありません	—	当サイトのデータには PCI DSS へのマッピングがありません。
Clause 7.5.1	General	当サイトのデータにはマッピングがありません	—	当サイトのデータには PCI DSS へのマッピングがありません。
Clause 7.5.2	Creating and updating	当サイトのデータにはマッピングがありません	—	当サイトのデータには PCI DSS へのマッピングがありません。
Clause 7.5.3	Control of documented information	当サイトのデータにはマッピングがありません	—	当サイトのデータには PCI DSS へのマッピングがありません。
Clause 9.2.1	General	当サイトのデータにはマッピングがありません	—	当サイトのデータには PCI DSS へのマッピングがありません。
Clause 9.2.2	Internal audit programme	当サイトのデータにはマッピングがありません	—	当サイトのデータには PCI DSS へのマッピングがありません。
Clause 10.2	Nonconformity and corrective action	当サイトのデータにはマッピングがありません	—	当サイトのデータには PCI DSS へのマッピングがありません。

要確認：関連性は緩やかなもののみ（共通するCSFのアウトカムがあるだけで、マッピングではありません） (37)

ISO 27001	要件	一致	PCI DSS	証跡
A.5 Organizational controls · 9
A.5.3	Segregation of duties	緩やかに関連	7.2.2 12.1.3 1.1.2+5	CSF PR.AA-05, PR.DS-10, GV.RR-02 のみを共有: 関連はあるがマッピングではありません
A.5.6	Contact with special interest groups	緩やかに関連	12.10.6 10.7.1 10.7.2+5	CSF GV.OV-01, RS.CO-03 のみを共有: 関連はあるがマッピングではありません
A.5.8	Information security in project management	緩やかに関連	1.2.3 1.2.4 6.2.1+5	CSF GV.OC-05, ID.AM-08 のみを共有: 関連はあるがマッピングではありません
A.5.10	Acceptable use of information and other associated assets	緩やかに関連	2.3.1 3.2.1 3.3.1+5	CSF PR.DS-02, PR.DS-10, PR.DS-01 のみを共有: 関連はあるがマッピングではありません
A.5.17	Authentication information	緩やかに関連	2.2.2 2.3.1 3.5.1.3+5	CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません
A.5.32	Intellectual property rights	緩やかに関連	1.1.1 2.1.1 3.1.1+5	CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません
A.5.33	Protection of records	緩やかに関連	3.3.1 3.5.1 3.5.1.3+5	CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません
A.5.34	Privacy and protection of PII	緩やかに関連	1.1.1 2.1.1 3.1.1+5	CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません
A.5.35	Independent review of information security	緩やかに関連	11.4.4 12.3.4 12.4.2+5	CSF GV.OV-02, ID.IM-02, ID.IM-01 のみを共有: 関連はあるがマッピングではありません
A.6 People controls · 4
A.6.2	Terms and conditions of employment	緩やかに関連	7.2.2 2.3.1 3.2.1+5	CSF GV.RR-04, PR.DS-10, PR.DS-02 のみを共有: 関連はあるがマッピングではありません
A.6.5	Responsibilities after termination or change of employment	緩やかに関連	7.2.2 2.3.1 3.2.1+5	CSF GV.RR-04, PR.DS-10, PR.DS-02 のみを共有: 関連はあるがマッピングではありません
A.6.6	Confidentiality or non-disclosure agreements	緩やかに関連	7.2.2 8.2.5 9.3.1.1+4	CSF GV.RR-04 のみを共有: 関連はあるがマッピングではありません
A.6.7	Remote working	緩やかに関連	7.2.2 12.1.3 8.2.5+5	CSF GV.RR-04, PR.AA-05, GV.PO-01 のみを共有: 関連はあるがマッピングではありません
A.7 Physical controls · 4
A.7.7	Clear desk and clear screen	緩やかに関連	3.3.1 3.5.1 3.5.1.3+5	CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません
A.7.9	Security of assets off-premises	緩やかに関連	3.3.1 3.5.1 3.5.1.3+5	CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません
A.7.10	Storage media	緩やかに関連	3.3.1 3.5.1 3.5.1.3+5	CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません
A.7.13	Equipment maintenance	緩やかに関連	6.2.1 6.2.2 6.2.3+5	CSF ID.AM-08 のみを共有: 関連はあるがマッピングではありません
A.8 Technological controls · 9
A.8.4	Access to source code	緩やかに関連	7.2.2 2.3.1 3.2.1+5	CSF PR.AA-05, PR.DS-10, PR.DS-02 のみを共有: 関連はあるがマッピングではありません
A.8.6	Capacity management	緩やかに関連	5.2.1 5.2.2 5.3.2+5	CSF DE.CM-09 のみを共有: 関連はあるがマッピングではありません
A.8.23	Web filtering	緩やかに関連	1.2.3 1.2.4 5.2.1+5	CSF PR.IR-01 のみを共有: 関連はあるがマッピングではありません
A.8.27	Secure system architecture and engineering principles	緩やかに関連	12.10.1 12.10.2 12.10.6	CSF PR.IR-03 のみを共有: 関連はあるがマッピングではありません
A.8.30	Outsourced development	緩やかに関連	7.2.5.1 10.7.2 11.3.1+5	CSF GV.OV-03 のみを共有: 関連はあるがマッピングではありません
A.8.31	Separation of development, test and production environments	緩やかに関連	6.2.2 6.2.3 6.3.2+5	CSF PR.PS-06 のみを共有: 関連はあるがマッピングではありません
A.8.32	Change management	緩やかに関連	12.3.1 7.2.5.1 8.6.3+5	CSF GV.OV-03, ID.RA-07 のみを共有: 関連はあるがマッピングではありません
A.8.33	Test information	緩やかに関連	3.3.1 3.5.1 3.5.1.3+5	CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません
A.8.34	Protection of information systems during audit testing	緩やかに関連	7.2.5.1 10.7.2 11.3.1+5	CSF GV.OV-03 のみを共有: 関連はあるがマッピングではありません
ISMS clauses 4–10 · 11
Clause 4.4	Information security management system	緩やかに関連	12.1.4 12.8.1 12.8.5+2	CSF GV.OC-02 のみを共有: 関連はあるがマッピングではありません
Clause 5.3	Organizational roles, responsibilities and authorities	緩やかに関連	12.1.4 12.8.3 12.8.4+1	CSF GV.SC-02 のみを共有: 関連はあるがマッピングではありません
Clause 7.1	Resources	緩やかに関連	12.1.4 12.10.3	CSF GV.RR-03 のみを共有: 関連はあるがマッピングではありません
Clause 7.2	Competence	緩やかに関連	12.1.3 12.1.4 1.1.2+5	CSF GV.RR-01, GV.RR-02, GV.RR-03 のみを共有: 関連はあるがマッピングではありません
Clause 7.4	Communication	緩やかに関連	12.10.1 12.8.2 12.10.3+3	CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03 のみを共有: 関連はあるがマッピングではありません
Clause 8.1	Operational planning and control	緩やかに関連	1.2.3 1.2.4 6.3.1+5	CSF GV.SC-01, RC.RP-04, GV.SC-03 のみを共有: 関連はあるがマッピングではありません
Clause 8.2	Information security risk assessment	緩やかに関連	12.1.1 12.1.4 12.8.1+3	CSF GV.OC-01, GV.OC-02 のみを共有: 関連はあるがマッピングではありません
Clause 8.3	Information security risk treatment	緩やかに関連	12.1.1 12.1.4 12.8.1+3	CSF GV.OC-01, GV.OC-02 のみを共有: 関連はあるがマッピングではありません
Clause 9.3.1	General	緩やかに関連	2.2.1 2.2.2	CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません
Clause 9.3.2	Management review inputs	緩やかに関連	2.2.1 2.2.2	CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません
Clause 9.3.3	Management review results	緩やかに関連	2.2.1 2.2.2	CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません

マッピング済み (76)

ISO 27001	要件	一致	PCI DSS	証跡
A.5 Organizational controls · 28
A.5.1	Policies for information security	対応表	12.1.1 12.1.2	同じトピック：ガバナンスポリシー
A.5.2	Information security roles and responsibilities	対応表	12.1.3 12.1.4	同じトピック：役割と責任
A.5.4	Management responsibilities	対応表	12.1.3 12.1.4	同じトピック：役割と責任
A.5.5	Contact with authorities	対応表	12.10.1	同じトピック：報告
A.5.7	Threat intelligence	対応表	6.3.1	同じトピック：脅威インテリジェンス
A.5.9	Inventory of information and other associated assets	対応表	6.3.2 12.5.1	同じトピック：資産管理
A.5.11	Return of assets	対応表	6.3.2 12.5.1	同じトピック：資産管理
A.5.12	Classification of information	編集	9.4.2	同じトピック：データ分類 (編集部のおすすめ)
A.5.13	Labelling of information	編集	9.4.2	同じトピック：データ分類 (編集部のおすすめ)
A.5.14	Information transfer	対応表	3.2.1 3.3.1 3.4.1+1	同じトピック：データ保護
A.5.15	Access control	対応表	7.2.1 7.2.2 7.2.4+2	同じトピック：アクセス制御, ゼロトラスト
A.5.16	Identity management	対応表	7.2.1 7.2.2 7.2.4+1	同じトピック：アクセス制御
A.5.18	Access rights	対応表	7.2.1 7.2.2 7.2.4+1	同じトピック：アクセス制御
A.5.19	Information security in supplier relationships	対応表	6.3.2 12.8.1 12.8.2+3	同じトピック：サプライチェーンリスク, ベンダーリスク管理
A.5.20	Addressing information security within supplier agreements	対応表	12.8.1 12.8.2 12.8.3+2	同じトピック：ベンダーリスク管理
A.5.21	Managing information security in the ICT supply chain	対応表	6.3.2 12.8.1	同じトピック：サプライチェーンリスク
A.5.22	Monitoring, review and change management of supplier services	対応表	12.8.1 12.8.2 12.8.3+2	同じトピック：ベンダーリスク管理
A.5.23	Information security for use of cloud services	対応表	12.8.1 12.8.5	同じトピック：クラウドセキュリティ
A.5.24	Information security incident management planning and preparation	対応表	12.10.1 12.10.2 12.10.3+1	同じトピック：インシデント対応
A.5.25	Assessment and decision on information security events	対応表	10.4.1 12.10.1 12.10.2+2	同じトピック： SIEM / SOC, インシデント対応
A.5.26	Response to information security incidents	対応表	12.10.1 12.10.2 12.10.3+1	同じトピック：インシデント対応, 緩和策
A.5.27	Learning from information security incidents	対応表	12.10.6	同じトピック：教訓の反映
A.5.28	Collection of evidence	対応表	10.3.2	同じトピック：フォレンジック
A.5.29	Information security during disruption	対応表	12.10.1	同じトピック：復旧計画, 事業継続
A.5.30	ICT readiness for business continuity	対応表	12.10.1	同じトピック：復旧計画, 事業継続, ディザスタリカバリ
A.5.31	Legal, statutory, regulatory and contractual requirements	対応表	12.4.2	同じトピック：コンプライアンス
A.5.36	Compliance with policies, rules and standards for information security	編集	12.4.2	同じトピック：コンプライアンス (編集部のおすすめ)
A.5.37	Documented operating procedures	対応表	12.1.1 12.1.2	同じトピック：ガバナンスポリシー
A.6 People controls · 4
A.6.1	Screening	対応表	10.2.1 12.7.1	同じトピック：内部脅威
A.6.3	Information security awareness, education and training	対応表	12.6.1 12.6.3	同じトピック：意識向上とトレーニング
A.6.4	Disciplinary process	対応表	10.2.1 12.7.1	同じトピック：内部脅威
A.6.8	Information security event reporting	対応表	12.10.1	同じトピック：報告
A.7 Physical controls · 10
A.7.1	Physical security perimeters	対応表	9.2.3 9.3.1.1 9.2.1+3	同じトピック：物理的セキュリティ
A.7.2	Physical entry	対応表	9.2.3 9.3.1.1 9.2.1+3	同じトピック：物理的セキュリティ
A.7.3	Securing offices, rooms and facilities	対応表	9.2.3 9.3.1.1 9.2.1+3	同じトピック：物理的セキュリティ
A.7.4	Physical security monitoring	対応表	9.2.3 9.3.1.1 9.2.1+3	同じトピック：物理的セキュリティ
A.7.5	Protecting against physical and environmental threats	対応表	9.2.3 9.3.1.1 9.2.1+3	同じトピック：物理的セキュリティ
A.7.6	Working in secure areas	対応表	9.2.3 9.3.1.1 9.2.1+3	同じトピック：物理的セキュリティ
A.7.8	Equipment siting and protection	対応表	9.2.3 9.3.1.1 9.2.1+3	同じトピック：物理的セキュリティ
A.7.11	Supporting utilities	対応表	9.2.3 9.3.1.1 9.2.1+3	同じトピック：物理的セキュリティ
A.7.12	Cabling security	対応表	9.2.3 9.3.1.1 9.2.1+3	同じトピック：物理的セキュリティ
A.7.14	Secure disposal or re-use of equipment	対応表	6.3.2 12.5.1	同じトピック：資産管理
A.8 Technological controls · 25
A.8.1	User endpoint devices	編集	5.2.1 5.2.2 5.3.2	同じトピック：エンドポイント保護 (編集部のおすすめ)
A.8.2	Privileged access rights	対応表	7.2.2	同じトピック：特権アクセス
A.8.3	Information access restriction	対応表	7.2.1 7.2.2 7.2.4+1	同じトピック：アクセス制御
A.8.5	Secure authentication	対応表	6.2.3 7.2.1 8.3.1+5	同じトピック： API セキュリティ, ゼロトラスト
A.8.7	Protection against malware	編集	5.2.1 5.2.2 5.3.2	同じトピック：エンドポイント保護 (編集部のおすすめ)
A.8.8	Management of technical vulnerabilities	対応表	6.3.1 6.3.3 11.3.1+1	同じトピック：脆弱性管理, パッチ管理
A.8.9	Configuration management	対応表	2.2.1 2.2.2	同じトピック：安全な構成
A.8.10	Information deletion	対応表	3.2.1 3.3.1 3.4.1	同じトピック：データ保護
A.8.11	Data masking	対応表	3.2.1 3.3.1 3.4.1	同じトピック：データ保護
A.8.12	Data leakage prevention	編集	3.4.2	同じトピック： DLP (編集部のおすすめ)
A.8.13	Information backup	対応表	9.4.1.1	同じトピック：バックアップと復旧
A.8.14	Redundancy of information processing facilities	対応表	12.10.1	同じトピック：事業継続, ディザスタリカバリ
A.8.15	Logging	対応表	10.2.1 10.3.2 10.6.1+1	同じトピック：ログ記録と監査
A.8.16	Monitoring activities	対応表	10.2.1 10.4.1 12.7.1+2	同じトピック：内部脅威, 継続的モニタリング, SIEM / SOC
A.8.17	Clock synchronization	対応表	10.2.1 10.3.2 10.6.1+1	同じトピック：ログ記録と監査
A.8.18	Use of privileged utility programs	対応表	7.2.2	同じトピック：特権アクセス
A.8.19	Installation of software on operational systems	対応表	5.2.1 5.2.2 5.3.2	同じトピック：エンドポイント保護
A.8.20	Networks security	対応表	1.2.3 1.2.1 1.3.1+2	同じトピック：ファイアウォール / ネットワークセグメンテーション
A.8.21	Security of network services	対応表	1.2.3 1.2.1 1.3.1+1	同じトピック：ファイアウォール / ネットワークセグメンテーション
A.8.22	Segregation of networks	対応表	1.2.3 7.2.1 8.3.1+3	同じトピック：ファイアウォール / ネットワークセグメンテーション, ゼロトラスト
A.8.24	Use of cryptography	対応表	3.5.1 3.6.1 4.2.1+3	同じトピック：暗号化
A.8.25	Secure development life cycle	対応表	6.2.2 6.2.3 6.2.1	同じトピック：セキュア開発
A.8.26	Application security requirements	対応表	6.2.2 6.2.3 6.2.1+3	同じトピック：セキュア開発, API セキュリティ
A.8.28	Secure coding	対応表	6.2.2 6.2.3 6.2.1	同じトピック：セキュア開発
A.8.29	Security testing in development and acceptance	対応表	6.2.2 6.2.3 6.2.1	同じトピック：セキュア開発
ISMS clauses 4–10 · 9
Clause 4.1	Understanding the organization and its context	対応表	12.5.2	同じトピック：事業環境
Clause 4.2	Understanding the needs and expectations of interested parties	対応表	12.5.2	同じトピック：事業環境
Clause 5.2	Policy	対応表	12.1.1 12.1.2	同じトピック：ガバナンスポリシー
Clause 6.1.1	General	対応表	12.3.1	同じトピック：リスクマネジメント
Clause 6.1.2	Information security risk assessment	対応表	12.3.1	同じトピック：リスクアセスメント
Clause 6.1.3	Information security risk treatment	対応表	12.3.1	同じトピック：リスクマネジメント, リスクアセスメント
Clause 7.3	Awareness	対応表	12.6.1 12.6.3	同じトピック：意識向上とトレーニング
Clause 9.1	Monitoring, measurement, analysis and evaluation	対応表	12.4.2	同じトピック：コンプライアンス
Clause 10.1	Continual improvement	編集	12.10.6	同じトピック：教訓の反映 (編集部のおすすめ)

トピック別

両方でカバー（46）：

ガバナンスポリシー意識向上とトレーニングリスクマネジメントサプライチェーンリスク役割と責任コンプライアンス資産管理リスクアセスメント事業環境データ分類脆弱性管理脅威インテリジェンスアクセス制御多要素認証暗号化データ保護バックアップと復旧特権アクセスファイアウォール / ネットワークセグメンテーションエンドポイント保護パッチ管理安全な構成セキュア開発メールセキュリティ Web セキュリティゼロトラストクラウドセキュリティ WAF DLP 継続的モニタリングログ記録と監査侵入検知異常検知 SIEM / SOC インシデント対応フォレンジック緩和策報告復旧計画事業継続教訓の反映ディザスタリカバリ API セキュリティ内部脅威ベンダーリスク管理物理的セキュリティ

ISO 27001 のみ（4）:

モバイルセキュリティ DNSセキュリティコミュニケーション連絡と復旧

よくある質問

ISO 27001 は PCI DSS の代わりになりますか？

いいえ。カードブランドは、ISO 認証の有無にかかわらず PCI DSS の検証を求めます。ISO は、PCI 準拠が依存するプログラムを運用する助けになります。

PCI DSS は法律ですか？

いいえ。カードブランドおよびアクワイアラーとの契約を通じて実施される基準です。一部の法域では法律で言及されていますが、その権限は決済ネットワークの契約に由来します。

一つの管理策で ISO 27001 と PCI DSS の両方を満たせますか？

多くの場合は可能ですが、それは PCI DSS のより具体的な要件に沿って実装されている場合に限られます。ISO 27001 は、妥当性を説明できる任意の実装を認めています。そのため、PCI の頻度と設定に合わせて設計すれば、通常は両方を満たせます。

ISO 27001 と PCI DSS のどちらがより難しいですか？

PCI DSS は、その適用範囲内では、より規範的で技術的です。一方、ISO 27001 はより広範で、管理体制の構築が求められます。カード会員データ環境が小規模であれば、PCI DSS の方が負担が軽い場合もあります。

PCI DSS の加盟店レベルとは何ですか？

カードブランドは、加盟店およびサービスプロバイダーを年間取引件数によって区分します。このレベルによって、準拠の検証方法が決まります。最大規模のものは QSA による準拠報告書（ROC）、その他の大半は自己評価質問票（SAQ）です。

ISO 27001 は PCI DSS の評価に役立ちますか？

はい。特に、ポリシー、リスクアセスメント、役割、サプライヤー管理、インシデント対応に役立ちます。ただし、PCI 固有の証拠を代替するものではありません。

PCI DSS v4.0.1 では、ISO 27001 のような組織全体のリスクアセスメントが求められますか？

同じ形式での組織全体のリスクアセスメントは求められません。PCI DSS v4.0 では、頻度を自ら設定できる要件に対する対象を絞ったリスク分析が導入され、暗号technology と技術についての年次レビューが求められています。ただし、ISO 27001 のリスクアセスメントの方が対象範囲は広くなっています。

要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。

対応表公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · 緩やかに関連 CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. マッピング済み = ControlMapping のトピックで一緒にまとめられているか、直接リンクされている状態。クロスウォークは準拠の証明にはなりません。方法論 · データをダウンロード · 誤りを報告.