平成27年度 春期 システム監査技術者試験 午前Ⅱ 問21
テクノロジ／セキュリティPCIデータセキュリティ基準（PCI DSS Version 3.0）のセキュリティ要件から見て，適切なものはどれか。
出典：平成27年度 春期 システム監査技術者試験 午前Ⅱ 問21
- ア管理者のアクセスログは取得するが，プライバシを考慮して，一般利用者のアクセスログは取得しない。
- イ従業員によるネットワーク外部からのリモートアクセスを許可する場合，管理者以外の従業員は利用者IDとそのIDのパスワードだけの認証でよい。
- ウ伝送中及び保存中のパスワードは，暗号化して解読不能にする。
- エ利用されない利用者IDの削除及び無効化は，1年に1回まとめて行う。
正解：ウ
解説
PCIデータセキュリティ基準（PCI DSS）は，クレジットカード会員データを保護するための技術面・運用面のセキュリティ要件を定めた基準であり，伝送中及び保存中のパスワードなどの認証情報を暗号化して解読不能にすることを要件としている。一般利用者を含むすべてのアクセスログの取得，ネットワーク外部からのリモートアクセスにおける利用者IDとパスワードだけの単一要素認証，利用されない利用者IDの削除・無効化を1年に1回まとめて行うことは，いずれもPCI DSSのセキュリティ要件に反する，又は要件を満たさない不適切な運用である。
選択肢ごとの解説
- ア誤り。PCI DSSでは，プライバシへの配慮を理由に一般利用者のアクセスログの取得を省略することは認められておらず，個々のユーザによるアクセスの追跡ができるようにログを取得する必要があります。
- イ誤り。PCI DSSでは，ネットワーク外部からのリモートアクセスに対しては，利用者IDとパスワードだけでなく，二要素認証（多要素認証）を要求しており，管理者以外の従業員についても単一要素の認証でよいとする記述は適切ではありません。
- ウ正しい。伝送中及び保存中のパスワードを，暗号化して解読不能にすることは，PCI DSSのセキュリティ要件から見て適切です。
- エ誤り。PCI DSSでは，利用されなくなった利用者IDは速やかに（一定の期間内に）削除又は無効化することが求められており，1年に1回まとめて行うという運用は要件を満たしません。