PCI DSSv4.0に準拠するためのソリューション

2022年3月にリリースされたPCI DSS v4.0では、v3.2.1から多数変更点が発生していますが、その中でも、要件3.5.1.2は特に影響が大きいものの一つです。

以下が日本語原文になりますが、PAN（プライマリアカウント番号）の暗号化により読み取り不可にすることで本要件に対応する場合、ディスクやパーティションレベルでの暗号化が禁止とされています。

厳密には、2025年3月31日まではベストプラクティスですが、それ以降は対応が必須です。

ディスク暗号機能を使用してPANを暗号化している事象者様は、PCI DSS v4.0への移行を検討される場合、早期の対応が必要です。

定義されたアプローチの要件

3.5.1.2 ディスクレベルまたはパーティションレベルの暗号化（ファイル、列、フィールドレベルのデータベース暗号化ではない）を使用して PAN を読み取り不能にする場合、以下のようにのみ実装される。

• リムーバブル電子メディア上

または

• リムーバブルでない電子メディアに使用する場合は、要件 3.5.1 を満たす別のメカニズムで PAN も読み取り不能にする。

ディスク暗号化では、管理者が一度システムにログインし、システムが稼働すれば自由にデータを復号化し、ソフトウェア的に持ち出すことができてしまうため、PANの保護に適切ではないと判断されています。ディスク暗号がリムーバル電子メディアに限定されている理由は、そもそもメディアは持ち運びが前提であり、メディアを紛失した場合のデータ保護としては適切ですが、それ以外には適切ではないと言及されています。

言い換えれば、市場に多く存在するハードディスクの暗号化ではセキュリティは不十分です。

CipherTrust Manager CTEとPowerScale(旧製品名：Isilon)のファイルサーバー暗号

Thales社CipherTrust Managerでファイルサーバー上の各種ファイルの透過的暗号が実現できます。

ファイルの中身は、許可されたユーザーのみが閲覧することができ、許可されていない者やシステム管理者は対象ファイルを復号化する権限がないため、閲覧できません。

DBまたはファイルサーバーは、ストレージサーバーまたはNASが利用されているケースが多く、たとえばDELL社PowerScale(旧Isilon)と連携することで、PowerScale内のファイルデータもセキュアに保護することが可能となります。

また、CipherTrust ManagerはAD（LDAP）と連携ができるため、ADのユーザー/グループでアクセス制御を行うことが可能です。CipherTrust Manager上で使用する暗号鍵やセキュリティポリシーを作成し、CTEエージェントへ配布することで、きめ細やかな鍵管理が実現できます。

CipherTrustManagerのファイルシステム暗号（ＣＴＥ）はディスクレベル暗号と比較して、多くのセキュリティ的恩恵を受けることができます。

※ランサムウェアは、特権ユーザーの乗っ取りおよびセキュリティソフト(サービスまたはプロセス)を停止させ、攻撃するケースも報告されています。CipherTrustManagerのサービスを停止するとファイルデータの閲覧などは不可になりますが漏洩を防ぐことが可能です。