はじめに

今回はPCI DSS バージョン4.0.1においてターゲットリスク分析（以下、TRA（Targeted Risk Analysis））が導入された背景と、TRAが必要な要件について解説します。

PCI DSSバージョン4.0.1の要件12.3.1に基づくTRAは、事業体の運用環境に特有のリスクをより効果的に管理して軽減するために、柔軟性のあるアプローチを求めています。
脅威の進化と運用環境の変化に伴い、全ての事業体に一律に適用されるセキュリティ対策の適用頻度はもはや有効ではなくなり、TRAにより事業体固有の属性に基づいたリスク評価、優先順位付け、セキュリティ対策の調整が必要になります。

TRA導入でPCI DSS要件への対応はどう変わるのか

TRAの導入は、様々なPCI DSS要件に関連するセキュリティ対策の適切な頻度と範囲を特定するために求められています。TRAでは、保護すべき資産の特定、潜在的な脅威や脆弱性の評価、そして事業体の環境に固有のリスクの影響を総合的に分析します。これにより、事業体は自身のセキュリティ対策がビジネスの目標及び運用実態に適合していることを確認できます。

TRAは、単純なチェックリストにとどまらず、事業体のリスク状況への深い理解を促進します。重要な資産の特定からそれに関連する脅威と脆弱性の評価、リスク実現時の潜在的な影響の評価まで、事業体はこれらの情報に基づいてセキュリティ対策の頻度と厳格さを決定します。

【TRA導入効果の比較】PCI DSSのセキュリティ対策が、導入前の「一律的な要件ベース」から、導入後は「リスク評価に基づく適切な頻度と範囲での最適化」へと移行する様子。

TRA実施の6つのステップ

要件12.3.1に従ったTRAの実施は、セキュリティ対策の運用頻度を特定し適応するための方法を提供します。これには以下のステップが含まれます。

TRAを実施することで、事業体はリスクベースのセキュリティ管理を採用し、リソースを効率的に配分しながら、事業体の特定のリスクプロファイルに合わせてセキュリティ対策をカスタマイズできます。

これにより、進化する脅威からカード会員データを効果的に保護することが可能になります。

要件12.3.1に基づくTRAの実施は、PCI DSS バージョン4.0.1のコンプライアンスを確保しながら、セキュリティとビジネスの要件のバランスを取るための鍵となります。事業体はこのプロセスを通じて、セキュリティ対策の計画と実施において、リスクに基づいた適切な判断を下すことができるようになります。

TRAが求められる具体的なPCI DSS要件

PCI DSS バージョン4.0.1におけるTRAは、事業体が特定のセキュリティ対策の実施頻度を事業体自身のリスク分析に基づいて柔軟に定義することを目的としています。TRAを通じて、セキュリティとビジネスの要求のバランスを取りながら、変化する脅威環境に迅速に適応し、PCI DSSの要件を満たすことが可能になります。TRAによって実施頻度が定義される具体的な要件は、以下の表に一覧化されています。

最後に

TRAの適用は、事業体がセキュリティ対策を継続的に分析し、リスクベースで適切なセキュリティ対策を計画及び実施することを可能にします。結果として、事業体はPCI DSSのコンプライアンスを維持し、カード会員データを保護します。このプロセスにより、事業体はPCI DSSの要件に準拠するだけでなく、カード会員データのセキュリティを強化することが可能になります。

※事業体…カード会員データを「保存（store）」「処理（process）」「送信（transmit）」する、またはその安全性に影響を与え得る組織（加盟店、サービスプロバイダ、アクワイアラなど）を指します。