Home > セキュリティとコンプライアンスブログ > PCIコンプライアンス > PCI準拠のファイル共有：必須要件と効果的なコンプライアンス戦略

PCI準拠のファイル共有：必須要件と効果的なコンプライアンス戦略

by Bob Ertl updated 1月 13, 2025 PCIコンプライアンス

Reading Time: < 1 minutes

PCIコンプライアンスは、企業が処理、取り扱い、信頼できる第三者と共有するクレジットカードデータの整合性とセキュリティを強化する上で重要な役割を果たします。企業がこのデータを共有するたびに、無許可のユーザーに露出するリスクがあります。無許可のアクセスは、マルウェア攻撃、ランサムウェア攻撃、企業スパイ活動、誤配信、フィッシングなど、さまざまな形で発生します。これらのリスクに対処するためには、標準的なファイアウォール保護を超えた高度なセーフガードを導入する必要があります。PCIコンプライアンスは、クレジットカードデータが不正アクセスから保護されることを保証し、この機密データが詐欺やアイデンティティ盗難に使用されるのを防ぎます。データの送信から保存まで、セキュアなファイル共有は、PCIコンプライアンスを示すために必要な、より堅牢なセキュリティフレームワークを組織に提供します。

したがって、PCI準拠のファイル共有ソリューションをお探しの場合、この投稿では基本的な要件とコンプライアンス戦略を提供します。PCI準拠のセキュアファイル共有ソリューションは、データ侵害のリスクだけでなく、コンプライアンス違反のリスクも軽減します。これは短期的には（罰金やペナルティ、業務中断、訴訟）、長期的には（顧客の信頼喪失やブランドの侵食）コストがかかる可能性があります。したがって、コンプライアンス違反のリスクは重大です。

Table of Contents

PCIコンプライアンスの概要

Payment Card Industry Data Security Standard (PCI DSS)は、クレジットカードやデビットカードでの支払いを受け入れるすべての人をサポートするためのフレームワークです。Visa、Mastercard、American Expressなどのクレジットカードプロセッサーのコンソーシアムによって施行されており、国としての義務ではありませんが、クレジット支払いを処理する上で不可欠な部分です。

PCI DSSには12のセキュリティ要件が含まれています：

カード会員データを保護するためのファイアウォール構成をインストールし、維持する
システムパスワードやその他のセキュリティパラメータにベンダー提供のデフォルトを使用しない
保存されたカード会員データを保護する
オープンで公共のネットワークを介してカード会員データを暗号化して送信する
アンチウイルスソフトウェアまたはプログラムを使用し、定期的に更新する
安全なシステムとアプリケーションを開発し、維持する
業務上必要な範囲でカード会員情報へのアクセスを制限する
コンピュータアクセスを持つ各人に一意のIDを割り当てる
カード会員情報への物理的アクセスを制限する
ネットワークリソースとカード会員データへのすべてのアクセスを追跡し、監視する
セキュリティシステムとプロセスを定期的にテストする
すべての従業員に対する情報セキュリティに関するポリシーを維持する

実店舗やeコマースの商人や小売業者は、PCIに最も関心を持つことが多く、商人ではないが支払いを受け入れる他の企業は、PCI準拠の第三者支払いプロセッサーを採用することがよくあります。クレジットカードを発行する銀行は、取引の処理をアウトソースすることが多く、アウトソーサーに対して最高レベルのPCIコンプライアンスを要求します。

カード会員データには、クレジットカード番号、CVV番号、有効期限、EMVチップや磁気ストライプからの情報、およびカード会員に関する個人データが含まれます。PCIに準拠していない場合の罰則には以下が含まれます：

コンプライアンスが達成されるまで、月額最大100,000ドルの罰金。
非準拠によるマーチャントアカウントへの損害。これにより、カード決済の処理が高額になるか、あるいは不可能になる可能性があります。
準拠した技術基準を通じて捕捉されない詐欺やチャージバック活動によるマーチャントアカウントへの悪影響。

これらのリスクと罰則はPCI特有のものです。カード会員データを含むデータ侵害は、EUのGDPR、カリフォルニアのCCPA、ドイツのBDSG、カナダのPIPEDA、英国のDPA 2018など、他の顧客、消費者、市民のデータプライバシー法からの罰金、ペナルティ、影響を引き起こす可能性があります。

第三者の支払いプロセッサーを使用している場合でも、PCIコンプライアンスを示す責任があります。彼らはPCIコンプライアンスを示す必要があるためです。つまり、カード会員データを交換するためにあなたやプロセッサーが使用するセキュアファイル共有、セキュアファイル転送ソリューションもPCI準拠でなければなりません。

PCIコンプライアンスを達成する方法

PCI準拠になるためには、既存のシステムとプロセスの包括的なレビューが必要な多段階のプロセスです。

最初のステップは、どの種類の支払いカードを受け入れているか、取引がどのように処理されているかを特定することです。これには、ソフトウェア、ハードウェア、ネットワークを含むシステムのすべての部分の評価が必要です。機密データがどこに保存され、システム内でどのように流れているかを把握したら、どのPCI DSS要件が適用されるかを調査し始めることができます。

次のステップは、既存のシステムがPCI DSSにどの程度準拠しているかを評価することです。通常、システムの一部であるすべてのハードウェア、ソフトウェア、プロセスのレビューが必要です。これには、もちろん、クレジットカードデータを共有または保存するために使用されるシステム、ソリューション、アプリケーションが含まれます。ファイル共有の例にはMicrosoft OutlookやGmailがあり、ファイル保存の例にはGoogle Drive、Microsoft OneDrive、SharePoint、Box、Dropboxがあります。PCI DSSが設定した要件を満たしていないシステムやソリューションの弱点を探すことが重要です。

レビューが完了したら、システムがPCI DSSの要件を満たすようにするために必要な変更を実施し始めることができます。これには、ハードウェアやソフトウェアのアップグレードから、ファイアウォールや暗号化などの追加のセキュリティ対策の実施までが含まれます。また、顧客データを保護し、データ侵害に対応する方法を概説したデータセキュリティポリシーを策定する必要があります。

すべての変更が実施されたら、それらがPCI DSSの要件を満たし、可能な限り安全であることを確認するためにテストと監視を行う必要があります。この時点で、システムが将来的にも準拠し続けることを保証するために、定期的なコンプライアンス監査スケジュールを策定することも重要です。

PCI準拠になるために必要なすべてのステップを完了したら、Payment Card Industry Security Standards Council（PCI SSC）の認定機関の1つに申請する必要があります。彼らはあなたのシステムを評価し、PCI準拠であると判断した場合、コンプライアンス証明書を発行します。

セキュアファイル共有とPCIコンプライアンス

PCIコンプライアンスやその他の規制コンプライアンス法や基準は、ファイル共有ソフトウェアプロバイダーに、機能性や使いやすさよりもセキュリティを優先するファイル共有プロトコルを根本的に再考させました。これらのソリューションは、暗号化と鍵管理、アクセス制御、定期的な脆弱性評価をカバーする包括的なコントロールを提供します。PCI準拠のセキュアファイル共有ソリューションは、カード会員データが安全なネットワーク上で保存、処理、送信されることを保証します。これにより、企業、従業員、顧客に安心感を提供し、機密性の高いクレジットカードデータのための安全な通信チャネルを確立します。

PCIコンプライアンスのためのセキュアファイル共有要件

PCI準拠のファイル共有システムの要件は、厳格なセキュリティプロトコルに焦点を当てています。これらの要件を満たさない組織は、カード会員データや顧客の個人識別情報（PII）を露出するデータ侵害が発生した場合、罰金、訴訟、顧客の喪失などの重大な結果に直面する可能性があります。以下に、PCIコンプライアンスのためのセキュアファイル共有要件のいくつかを詳しく見ていきましょう。

PCIコンプライアンスのためのデータ暗号化

PCI DSSの暗号化要件は、企業がクレジットカード情報を保存および共有する際に実施しなければならない業界をリードするセーフガードです。PCI DSSの暗号化要件は、複雑であるだけでなく、非常に微妙です。まず、暗号化は「機密認証データ」として分類されるデータを保護するために使用されなければなりません。これには、プライマリアカウント番号（PAN）やクレジットカードまたはデビットカードの完全な磁気ストライプデータが含まれます。さらに、暗号化は、データの保存時にはAES暗号化、データの移動時にはTLSなどの承認された業界標準を満たす必要があります。

暗号化は、公共のネットワークを介して送信されるすべてのデータにも必要です。つまり、1台のマシンから別のマシンに送信されるすべてのデータ、およびオンラインでの支払いを受け入れたいすべての商人は暗号化されなければなりません。すべてのデータは、出発点を離れるときと目的地に到達するときの両方で暗号化されなければなりません。これには、顧客の個人情報が保存されているすべての種類のデータベースに保存されているデータが含まれます。

PCIコンプライアンスのためのアクセス制御

セキュアファイル共有ソリューションのもう一つの主要なPCIコンプライアンス要件は、強力なアクセス制御の使用です。役割ベースの権限と役割ベースのアクセス制御を採用し、施行することで、企業は業務上必要な従業員のみがこの機密情報にアクセスできるようにします。

多要素認証（MFA）は、ユーザーの身元を確認するために、カード会員データにアクセスできるのは許可された従業員のみであることをさらに保証します。また、データベースにアクセスするすべての従業員には、データベースにアクセスするために使用しなければならない一意のトークンまたはパスワードを提供することが強く推奨されます。

PCIコンプライアンスのための追加のセキュアファイル共有要件

組織は、暗号化とアクセス制御を超えて、いくつかの追加のPCI DSS要件を満たさなければなりません。これには、インシデント対応計画の実施、ネットワークセキュリティの強化、定期的な監査とセキュリティチェックの実施、詳細な情報セキュリティポリシーの文書化が含まれます。さらに、企業はカード会員データを含むシステムを保護するための物理的なセキュリティ対策を採用し、従業員の意識向上トレーニングを要求し、すべてのセキュリティ手順を適切に文書化する必要があります。

PCIコンプライアンスの課題

しかし、PCIコンプライアンスには独自の課題があります。PCI準拠のインフラストラクチャを構築するための複雑さとコストは、多くの組織、特に中小企業にとって大きな障害となります。また、PCI基準に従って定期的な更新を行い、体系的な監査を実施することは、労力と時間を要する可能性があります。さらに、PCIコンプライアンスを達成した後、企業は安心感や偽の安全感に陥る可能性があります。したがって、PCIコンプライアンスは一度限りの取り組みではなく、継続的なプロセスであり、定期的なチェックと改善が必要であることを理解することが重要です。

セキュアファイル共有でPCIコンプライアンスを達成する方法

セキュアファイル共有ソリューションがPCI準拠であることを保証することは、カード会員データを保護し、リスクを軽減し、顧客の信頼を築くために企業にとって重要です。以下は、セキュアファイル共有でPCIコンプライアンスを達成するために企業が強く考慮すべき実用的なステップと戦略です：

安全なネットワークを構築し維持する	安全なネットワークを作成し、維持します。機密データが保存されている内部ネットワークと公共ネットワーク間のトラフィックを規制する堅牢なファイアウォールをインストールします。カード会員データを保護するために、送信中のデータを暗号化することを要求します。定期的なソフトウェアの更新と脆弱性の包括的なスキャンを実施します。ネットワークを分離し、システムを強化してネットワークを強化します。潜在的な脅威を検出しブロックするのに役立つ侵入検知・防止システム（IDS）に投資します。
カード会員データを保護する	ファイルに保存されたカード会員データは、強力な暗号化手段を使用して安全に暗号化され、侵害された場合でも読み取れないようにします。トークン化を利用して、機密カード情報を一意の識別記号に置き換え、セキュリティを損なうことなく重要な情報を維持することもできます。
脆弱性管理プログラムを維持する	定期的なリスク評価を実施して、潜在的なセキュリティギャップを特定し、修正します。カード会員データを侵害する可能性のある悪意のあるプログラムから保護するために、効果的な高度な脅威対策（ATP）およびアンチウイルス（AV）ソリューションを実装します。
強力なアクセス制御措置を実施する	カード会員データへのアクセスを許可された人員のみに制限します。複雑なパスワードポリシーを作成し、二要素または多要素認証を実施し、アクセス権の付与と取り消しのための厳格なプロセスを確立します。機密カード会員データにアクセスできる個人の数を最小限に抑えるために、ゼロトラストセキュリティの考え方を採用します。
ネットワークを定期的に監視しテストする	ネットワークを定期的に監視しテストして、セキュリティの抜け穴を迅速に特定し、閉じます。これには、すべてのシステムコンポーネントの定期的な監査、ネットワークトラフィックの監視と分析、脆弱性を特定するための定期的なペネトレーションテストと脆弱性評価が含まれます。
情報セキュリティポリシーを維持する	役割と責任、潜在的な侵害を特定し対応する手順、カード会員データを維持し廃棄するための基準を定義します。すべてのスタッフがこれらのポリシーを理解し遵守することを保証するために、定期的なセキュリティ意識向上トレーニングプログラムを実施します。

PCI準拠のファイル共有とベンダーリスク管理

第三者ベンダーは、PCIを満たしながら以下をサポートするセキュアなファイル共有および保存機能を提供できます：

セキュアファイル共有：これには、保存時のAES-128またはAES-256暗号化と、送信時のTLS 1.2以上が含まれます。
監査ログ：包括的な監査ログは、診断または予防目的のためのセキュリティイベントの途切れない証拠を提供します。同様に、評価や監査中に要件を満たしていることを証明するための追加のツールを提供します。
ファイアウォール保護：PCI DSSは、サーバーへのアクセスを保護するためにファイアウォールを要求し、セキュアファイル共有ソリューションも同様に、ファイアウォールバリアを越えて共有するための特別な保護とカード会員データの保護を含む必要があります。
外部ユーザーとのセキュアなファイル共有方法：PCI準拠のメールは暗号化を採用しており、PCI DSSに準拠してカード会員データやその他の機密コンテンツを共有するための安全でセキュアなチャネルです。セキュアなウェブフォーム、フォルダー、仮想データルーム（VDRs）も、PCI要件を満たしている場合にカード会員データを共有するために使用できます。

KiteworksはPCI DSS準拠のファイル共有で組織がコンプライアンスを示すのを支援します

Kiteworksのプライベートコンテンツネットワークは、FIPS 140-2レベルで検証されたセキュアファイル共有およびファイル転送プラットフォームであり、メール、ファイル共有、ウェブフォーム、SFTP、マネージドファイル転送、および次世代デジタル著作権管理ソリューションを統合し、組織がファイルを管理し、保護し、追跡することを可能にします。

Kiteworksプラットフォームは、PCI DSS 4.0を含むさまざまなコンプライアンス基準と義務を満たすために組織によって使用されています。

FIPS 140-2認証の暗号化は、Kiteworksプラットフォームのセキュリティを強化し、支払いカード情報のような機密データを扱う組織に適しています。さらに、エンドユーザーと管理者の活動はログに記録され、アクセス可能であり、ネットワークリソースとカード会員データへのすべてのアクセスを追跡し監視することを要求するPCI DSS 4.0コンプライアンスにとって重要です。

Kiteworksは、フォルダーの所有者が指定した権限に基づいてすべてのフォルダーに異なるレベルのアクセスを提供します。この機能は、PCI DSS 4.0の主要要件である強力なアクセス制御措置の実施に役立ちます。

Kiteworksの展開オプションには、オンプレミス、ホスト型、プライベート、ハイブリッド、およびFedRAMP仮想プライベートクラウドが含まれます。Kiteworksを使用すると、機密コンテンツへのアクセスを制御し、自動エンドツーエンド暗号化、多要素認証、およびセキュリティインフラストラクチャの統合を使用して外部で共有されるときに保護し、すべてのファイル活動を確認、追跡、報告します。つまり、誰が何を誰に、いつ、どのように送信するかを把握します。最後に、GDPR、HIPAA、CMMC、Cyber Essentials Plus、IRAPなどの規制や基準に準拠していることを示します。

KiteworksのPCI DSS 4.0コンプライアンスについて詳しく知りたい方は、カスタムデモをスケジュールしてください。

Tags: セキュリティブルバードのサイバーセキュリティ |