平成31年度 春期 情報セキュリティマネジメント試験 午前 問14
テクノロジ／セキュリティPCI DSS v3.2.1において，取引承認を受けた後の加盟店及びサービスプロバイダにおけるカードセキュリティコードの取扱方法の組みのうち，適切なものはどれか。ここで，用語の定義は次のとおりとする。 〔用語の定義〕 加盟店とは，クレジットカードを商品又はサービスの支払方法として取り扱う事業体をいう。 サービスプロバイダとは，他の事業体の委託でカード会員データの処理，保管，伝送に直接関わる事業体をいう。イシュア（クレジットカード発行や発行サービスを行う事業体）は除く。 カードセキュリティコードには，カード表面又は署名欄に印字されている，3桁又は4桁の数値がある。 （注：本サイトでは原問題の表を文字表記に変換しています）
出典：平成31年度 春期 情報セキュリティマネジメント試験 午前 問14
- ア加盟店におけるカードセキュリティコードの取扱方法：暗号化して加盟店内に保管する。，サービスプロバイダにおけるカードセキュリティコードの取扱方法：暗号化してサービスプロバイダのシステム内に保管する。
- イ加盟店におけるカードセキュリティコードの取扱方法：平文で加盟店内に保管する。，サービスプロバイダにおけるカードセキュリティコードの取扱方法：保管しない。
- ウ加盟店におけるカードセキュリティコードの取扱方法：保管しない。，サービスプロバイダにおけるカードセキュリティコードの取扱方法：平文でサービスプロバイダのシステム内に保管する。
- エ加盟店におけるカードセキュリティコードの取扱方法：保管しない。，サービスプロバイダにおけるカードセキュリティコードの取扱方法：保管しない。
正解：エ
解説
PCI DSSでは，取引承認を受けた後のカードセキュリティコード（CVV2など）は，加盟店・サービスプロバイダのいずれにおいても保管が禁止されています。認証処理が完了した時点でこの値は不要になるため，暗号化・平文を問わず保管してはならないと定められています。
選択肢ごとの解説
- ア誤り。取引承認後は暗号化していてもカードセキュリティコードを保管することは認められていません。
- イ誤り。加盟店内での平文保管は認められておらず，取引承認後は保管自体が禁止されています。
- ウ誤り。サービスプロバイダのシステム内での平文保管は認められておらず，取引承認後は保管自体が禁止されています。
- エ正しい。取引承認を受けた後は，加盟店及びサービスプロバイダのいずれもカードセキュリティコードを保管してはなりません。