問55
頻出度★★★
情報セキュリティにおけるPCI DSS の説明として, 適切なものはどれか。
令和4年度 ITパスポート試験 問55
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 55
- ア
正解 PCI DSS は「Payment Card Industry Data Security Standard」の略称で、クレジットカードの国際ブランド各社が共同で策定した、カード会員データや取引情報を安全に取り扱うためのセキュリティ基準である。カード番号などの情報を保存・処理・伝送する加盟店や決済代行事業者に対し、ネットワークの保護・データの暗号化・アクセス制御・監視などの要件を求める。したがって「クレジットカード情報を取り扱う事業者に求められるセキュリティ基準」と説明する選択肢アが正しい。
不正解イ
「コンピュータなどに内蔵されるセキュリティ関連の処理を行う半導体チップ」は、暗号鍵の生成・保管などを担う TPM（Trusted Platform Module）の説明であり、PCI DSS ではない。
不正解ウ
「コンピュータやネットワークのセキュリティ事故に対応する組織」は、CSIRT（Computer Security Incident Response Team）の説明であり、基準ではなく対応組織を指すため PCI DSS ではない。
不正解エ
「サーバやネットワークの通信を監視し、不正なアクセスを検知して攻撃を防ぐシステム」は、IPS（Intrusion Prevention System、侵入防止システム）の説明であり、セキュリティ基準である PCI DSS ではない。
ここがポイント
- PCI DSS はクレジットカード会員データを取り扱う事業者に課される業界標準のセキュリティ基準（規格）である。
- 紛らわしい用語との区別：TPM（セキュリティチップ）、CSIRT（事故対応組織）、IPS（侵入防止システム）はいずれも基準ではなく、対象が異なる。
用語