ITパスポート過去問 令和4年度（2022年）問55
情報セキュリティにおけるPCI DSSの説明として，適切なものはどれか。
選択肢
- ア：クレジットカード情報を取り扱う事業者に求められるセキュリティ基準
- イ：コンピュータなどに内蔵されるセキュリティ関連の処理を行う半導体チップ
- ウ：コンピュータやネットワークのセキュリティ事故に対応する組織
- エ：サーバやネットワークの通信を監視し，不正なアクセスを検知して攻撃を防ぐシステム
- ア
- イ
- ウ
- エ
正解と解き方・学習ポイント（AI解説）
PCI DSSは、クレジットカード情報を安全に取り扱うためのセキュリティ基準です。クレジットカード情報を保存、処理、送信する加盟店やサービスプロバイダなどが対象になります。したがって、クレジットカード情報を取り扱う事業者に求められるセキュリティ基準とする説明が適切です。
Point
この問題は、PCI DSSが何を指す用語かを、ほかの代表的なセキュリティ用語（TPM、CSIRT、IDS/IPS）と区別して理解できているかを確認することがねらいです。クレジットカード情報を扱う場合に適用される基準として押さえることが重要です。
解くために必要な知識
この問題を解くには、PCI DSSの意味と、関連するセキュリティ用語の理解が必要です。
用語の整理
| 用語 | 意味 |
|---|---|
| PCI DSS（Payment Card Industry Data Security Standard） | クレジットカード情報（カード会員データ）を安全に取り扱うためのセキュリティ基準です。カード情報を保存、処理、伝送する事業者が準拠することが求められます。 |
試験での着眼点
-
PCI DSSは装置や組織の名前ではなく、セキュリティ基準です。
-
対象は、クレジットカード情報を扱う事業者です。
他の選択肢に出てくる用語
| 用語 | 意味 |
|---|---|
| TPM（Trusted Platform Module） | コンピュータなどに内蔵され、暗号鍵の生成、保管などのセキュリティ関連処理を行う半導体チップです。 |
| CSIRT（Computer Security Incident Response Team） | コンピュータやネットワークで発生したセキュリティ事故（インシデント）に対応する組織です。 |
| IPS（Intrusion Prevention System） | サーバやネットワークの通信を監視し、不正アクセスを検知して攻撃を防ぐ（遮断する）システムです。 |
問題の解法手順
各選択肢の整理
| 選択肢 | 内容 | 対応する用語 | 正誤 |
|---|---|---|---|
| ア | クレジットカード情報を取り扱う事業者に求められるセキュリティ基準 | PCI DSS | ○ |
| イ | コンピュータなどに内蔵されるセキュリティ関連の処理を行う半導体チップ | TPM | × |
| ウ | コンピュータやネットワークのセキュリティ事故に対応する組織 | CSIRT | × |
| エ | サーバやネットワークの通信を監視し，不正なアクセスを検知して攻撃を防ぐシステム | IPS | × |
選択肢ごとの解説
- ア：正解
PCI DSSの説明として適切です。クレジットカード情報を安全に取り扱うためのセキュリティ基準であり、加盟店やサービスプロバイダなどが対象になります。
- イ：不正解
TPMなど、セキュリティ機能を持つ半導体チップの説明です。PCI DSS（基準）ではありません。
- ウ：不正解
CSIRTの説明です。セキュリティ事故に対応する組織であり、PCI DSS（基準）ではありません。
- エ：不正解
IDS/IPSの説明です。通信を監視し、不正アクセスを検知・防止する仕組みであり、PCI DSS（基準）ではありません。
まとめ
PCI DSSは、クレジットカード情報を安全に取り扱うためのセキュリティ基準です。クレジットカード情報を保存、処理、送信する加盟店やサービスプロバイダなどが対象になります。したがって、クレジットカード情報を取り扱う事業者に求められるセキュリティ基準とする説明が適切です。
テクノロジ系 > 技術要素 > セキュリティ
PCI DSSの説明として適切です。クレジットカード情報を安全に取り扱うためのセキュリティ基準であり、加盟店やサービスプロバイダなどが対象になります。
TPMなど、セキュリティ機能を持つ半導体チップの説明です。PCI DSS（基準）ではありません。
CSIRTの説明です。セキュリティ事故に対応する組織であり、PCI DSS（基準）ではありません。
IDS/IPSの説明です。通信を監視し、不正アクセスを検知・防止する仕組みであり、PCI DSS（基準）ではありません。