PCI DSS v3.2.1において、取引承認を受けた後の加盟店及びサービスプロバイダにおけるカードセキュリティコードの取扱方法の組みのうち、適切なものはどれか。ここで、用語の定義は次のとおりとする。 〔用語の定義〕 加盟店とは、クレジットカードを商品又はサービスの支払方法として取り扱う事業体をいう。 サービスプロバイダとは、他の事業体の委託でカード会員データの処理、保管、伝送に直接関わる事業体をいう。イシュア（クレジットカード発行や発行サービスを行う事業体）は除く。 カードセキュリティコードには、カード表面又は署名欄に印字されている、3桁又は4桁の数値がある。

選択肢

• ア暗号化して加盟店内に保管する。／暗号化してサービスプロバイダのシステム内に保管する。
• イ平文で加盟店内に保管する。／保管しない。
• ウ保管しない。／平文でサービスプロバイダのシステム内に保管する。
• エ保管しない。／保管しない。

正解と解説

正解：エ 保管しない。／保管しない。

PCI DSSでは、カードセキュリティコードは取引の承認処理が終わった後、暗号化してあっても保存してはならない機微な認証データと位置付けられている。これは加盟店とサービスプロバイダのどちらにも等しく適用される。保存しなければ漏えいしようがない、という考え方に基づく要件である。

選択肢ごとの解説

• ア暗号化しても保存自体が禁止されているため、両者とも不適切である。
• イ平文での保管は最も危険で、承認後の保存禁止にも反する。
• ウサービスプロバイダであっても承認後の保管は認められない。
• エ正しい。承認後は加盟店・サービスプロバイダのいずれも保管してはならない。

同じ分野の他の問題

• クレジットカードなどのカード会員データのセキュリティ強化を目的として制定され、技術面及び運用面の要件を定めたものはどれか…2017年度 春期 午前 問26
• JIS Q 27002:2014には記載されていないが、JIS Q 27017:2016において記載されている管理策はど…2019年度 秋期 午前 問9
• "政府機関等の情報セキュリティ対策のための統一基準（平成30年度版）"に関する説明として、適切なものはどれか。2019年度 春期 午前 問32
• 安全・安心なIT社会を実現するために創設された制度であり，IPA“中小企業の情報セキュリティ対策ガイドライン”に沿った情…2018年度 秋期 午前 問4
• JIS Q 27017:2016（JIS Q 27002に基づくクラウドサービスのための情報セキュリティ管理策の実践の規…2018年度 秋期 午前 問3