安全なファイル転送システムのPCI DSS準拠

PCI DSS 4.0（2025年3月31日から必須）は、カード会員データを保存・処理・伝送するあらゆるシステムに12の要件を課しています。ファイル転送システムにとって重要な統制は、要件3（適切な鍵管理を伴う AES-256 以上での保存アカウントデータの保護）、要件4（ TLS 1.2 以上、推奨は TLS 1.3 での伝送暗号化）、要件8（カード会員データ環境へのすべてのアクセスに MFA ）、要件10（ CDE へのすべてのアクセスを少なくとも12か月ログ記録）、要件12（ガバナンスとサービスプロバイダー管理）です。 PAN を含む CSV が1枚でも通過するファイル転送システムは、標準全体の適用範囲に入ります。

PCI DSS の適用範囲を引き起こすもの

PCI DSS は、カード会員データ（ CHD ）または機密認証データ（ SAD ）を処理・保存・伝送するあらゆるシステムコンポーネントに適用されます。 CHD は主要口座番号（ PAN ）、カード会員名、有効期限、サービスコードです。 SAD は CVV 、完全なトラックデータ、 PIN であり、承認後の保存は禁止されています。決済プロセッサーからの PAN が含まれるスプレッドシートを受け取るファイル転送ツールは適用範囲に入ります。下4桁のみのサマリーレポートを送るツールは入りません。トークン化または切り詰めた PAN （先頭6桁＋末尾4桁まで）は適用範囲外です。スコープ削減は最も ROI の高い PCI 活動です。できる限り早い段階でトークン化してください。

知っておくべき PCI DSS 4.0 の変更点

バージョン4.0（2022年3月公開、2024年4月から必須、2025年3月まで将来付き要件あり）の主な変更：カスタマイズアプローチ（定義アプローチの代替、対象リスク分析が必要）、 CDE へのすべてのアクセスに MFA を拡張（管理者に限定しない）する改訂要件、強化されたパスワードルール（2025年1月以降、8.3.6 の下で12文字以上）、多くのタスクの実施頻度の引き上げ（四半期スキャン、年次ペネトレーションテスト）、クライアントサイド決済ページの明示的な要件（スキミング検出のための6.4.3 、11.6.1 ）。ファイル転送システムが最も影響を受けるのは8.3.6 と要件10、つまり認証とログ記録の厳格化です。

要件3：保存 PAN の保護

要件3は承認後の SAD 保存を禁止し、保存 PAN への強力な保護を義務付けています。許容される方法：強力なソルト付きワンウェイハッシュ（128ビット以上の PAN ごとのソルト付き SHA-256 ）、切り詰め（先頭6桁と末尾4桁まで）、安全に保存されたパッドを持つインデックストークン、関連する鍵管理を伴う強力な暗号化。ファイル転送システムで最もクリーンなアプローチは、ファイルが転送パイプラインに入る前のトークン化です。 PCI 認定のトークン化サービス（ Braintree 、 Stripe Radar 、 VGS ）を使用し、トークンのみを転送してください。生の PAN の転送が必要な場合は、 FIPS 140-2 レベル2以上の HSM 内の鍵による AES-256-GCM を使用してください。

要件4：伝送暗号化

4.2.1 は公開ネットワーク上の PAN 伝送に強力な暗号化を要求しています。 PCI 用語集の「強力な暗号化」は NIST SP 800-57 を参照しており、対称暗号に AES-256 、非対称暗号に RSA 3072 以上、トランスポートに TLS 1.2 以上を指定しています。 TLS 1.0 と 1.1 は完全に無効化してください（2018年に非推奨となり、4.0で禁止）。 SSL Labs または Qualys SSL Test を使って四半期ごとに設定を検証してください。メールは明示的に問題があります。4.2.2 は、エンドユーザーメッセージング技術で送信する PAN は伝送前に判読不能にすることを求めています。メールで平文 PAN を送ることは PCI に違反します。代わりに暗号化されたダウンロードへの安全なリンクを送信してください。

要件8：CDE 全域の MFA

PCI DSS 4.0 の8.4 と8.5 は以下を要求しています。（a）管理担当者による CDE への非コンソールアクセス全体に MFA 、（b）あらゆる担当者による CDE へのリモートアクセス全体に MFA 。以前のバージョンとの違いは「すべて」という言葉です。請負業者、監査人、サポートユーザーも含まれ、管理者だけではありません。許容される MFA 要素：知識情報（パスワード）、所持情報（ハードウェアトークン、スマートフォンアプリ）、生体情報（バイオメトリクス）。2つの要素は独立していなければなりません。2つのパスワードは認められません。 FIDO2 を介したハードウェアキー（ YubiKey 、 Feitian ）は8.5 を満たします。 SMS OTP は推奨されません。 NIST SP 800-63B が2016年に保証レベルを引き下げました。

要件10：ログ記録と12か月の保持

10.2 は以下を取り込む監査ログを要求しています。 CHD への個人ユーザーアクセス、管理者権限を持つユーザーの操作、監査証跡へのアクセス、無効な論理アクセスの試行、識別・認証メカニズム、監査ログの初期化、システムレベルオブジェクトの作成と削除。10.5.1 は最低12か月の保持、うち3か月分を即時利用可能とすることを要求しています。10.7 は24時間以内の重要なセキュリティ統制の障害検出と対応要件を追加しました。ファイル転送 CDE システムには不変のログストアを使用してください。 AWS CloudWatch Logs と CloudTrail 、不変ポリシーを持つ Azure Monitor 、または書き込み一度の設定の Splunk が選択肢です。

要件12：サービスプロバイダーのガバナンス

12.8 はサービスプロバイダーの管理を対象としています。サービスと PCI DSS の適用範囲の説明を含むサービスプロバイダーリストを維持し、 CHD セキュリティに対する責任を認める書面による合意書を各社と締結し、どの PCI 要件を各社が管理するかを文書化し、サービスプロバイダーのコンプライアンス状況を年次で監視してください。ファイル転送プロバイダーに対しては、 PCI DSS 準拠証明書（ AOC ）を要請してください。レベル区分：レベル1プロバイダー（年間30万件以上のトランザクションを保存・処理・伝送）は年次の現地審査を受けます。小規模プロバイダーは自己評価が可能です。決済分野の大規模ファイル転送ベンダー（ Globalscape EFT 、 IBM Sterling ）はレベル1 AOC を保持しています。

クライアントサイド暗号化によるスコープ削減

アップロード前にクライアントで暗号化が行われるため、ファイル転送プロバイダーが平文 PAN を見ることがない場合、プロバイダーは PCI の適用範囲外になる可能性があります。この点に関する PCI ガイダンスは微妙です。 PCI SSC クラウドコンピューティングガイドライン（2019年）は、（a）クラウドプロバイダーが鍵にアクセスできない、（b）顧客が鍵の管理を明確に保持している、（c）暗号化が強力である、という条件下での暗号化によるスコープ削減を認めています。クライアントサイド AES-256-GCM アーキテクチャを持つサービス — HexaTransfer など — は、慎重に展開すれば、マーチャント CDE の範囲外の転送チャネルとして機能できます。アーキテクチャをシステム記録に文書化してください。

ペネトレーションテストと脆弱性管理

11.4 は年次、および重大な変更後のペネトレーションテストを要求しています。ファイル転送システムのテスト範囲には、アップロードとダウンロードのエンドポイント、認証フロー、 CDE ネットワークセグメント、ファイル操作に使用される API が含まれます。 CREST または PCI 承認のテスターを起用してください。11.3 は外部向けコンポーネントに対して、承認スキャンベンダー（ ASV ）による四半期スキャンを要求しています。内部スキャンは四半期ごとに自己実施します。高・緊急の指摘事項は30日以内に是正し、低レベルのものはリスク分析に従って対応してください。

ネットワークセグメンテーションと CDE 境界

ネットワークセグメンテーションは CDE を非 CDE ネットワークから分離し、適用範囲を縮小します。セグメンテーションは年次で検証し（11.4.5）、障害モードの下での分離が機能することを示すテストが必要です。 PAN を扱うファイル転送システムでは、アップロードパイプライン、暗号化済みオブジェクトストア、 KMS エンドポイント、ログパイプラインを一般的な企業ネットワークへの東西接続がない専用 VPC にセグメント化してください。プライベートサブネット、デフォルト拒否のセキュリティグループ、クラウドサービスへの VPC エンドポイントを使用してください。 PCI 証拠の一部としてネットワーク図にセグメンテーションを文書化してください。

hexatransfer.comでお試しください — 無料、登録不要、最大10GB。