PCI DSS 準拠支援ソリューション
サービス活用事例

PCI DSSの運用や審査対応は兼任のセキュリティエンジニアが担当しています。社内にはインフラエンジニア、セキュリティエンジニアのチームがありますが、月次の証跡取得や審査対応は担当者がすべて行っています。

他の業務との兼ね合いで、PCI DSS関連の業務は時間がある時にまとめて行うことになるため、計画的な作業が難しく、必要な作業がきちんと可視化できていませんでした。また、日常業務の中にPCI DSSの考え方を入れ込んでいくBAU(Business As Usual)ができていませんでした。

審査時には2ヶ月前から必要なドキュメントを確認し、5日間の実地審査の後、指摘事項を1ヶ月かけて修正するという対応をしていました。実地審査の間は他のことが何もできないため、兼任している業務に支障をきたしていました。

運用の証跡や文書をクラウド上で確認していただけるのが、ありがたいということ、また実地審査の期間が短縮され、準拠にかかる費用も下がるということで、ご提案をお断りする理由が見つかりませんでした。

会社はPCI DSS準拠・運用のコストが下がることに一番のメリットを感じていました。運用担当者は、業務が平準化され実地審査の拘束時間が短縮されることに加え、運用時の課題が可視化され業務を計画的に行えることや、定期的にコンサルタントに運用状況を確認してもらえることで優先順位や対応すべきことのバランス良い判断ができることを期待しました。

今までも月次の定例会議でPCI DSSの運用について相談していましたが、オンクラウドレビューを導入したことで、いつでも質問や相談ができる場所があることが安心感につながっています。インフラ担当者も専用のクラウドサービスにユーザー登録して、ログや証跡を直接アップロードしたり、コンサルタントやQSAによる確認の様子を直接見てもらえますので、社内でのデータのやり取りや指示伝達の手間も減らすことができています。

今回、オンクラウドレビューを導入したことで、PCI DSS運用と審査をワンストップでお願いできるようになりましたので、今後は脆弱性スキャンやペネトレーションテストなどの診断についてもワンストップ化をはかりたく、内製化を含めて検討したいと考えています。2022年にはPCI DSS v4.0のリリースがありますから、移行についても相談していきたいですね。