カード会員データのセキュリティ強化を目的として制定されたもの｜情報セキュリティマネジメント 令和元年 秋期午前試験 問27
出典：令和元年秋期 午前 問27
分野：セキュリティ ／ セキュリティ実装技術
クレジットカードなどのカード会員データのセキュリティ強化を目的として制定され，技術面及び運用面の要件を定めたものはどれか。
- ア：ISMS適合性評価制度
- イ：PCI DSS
- ウ：特定個人情報保護評価
- エ：プライバシーマーク制度
TSUNAGARU-ADVICE
まず押さえたいこと
PCI DSSは、クレジットカード情報を安全に取り扱うために定められたカード会員データのセキュリティ基準です。システムの技術的な対策だけでなく、アクセス管理や監視、運用手順なども含めて要求事項が定められています。
迷ったときの判断軸
クレジットカード情報の保護 = PCI DSSと結び付けて覚えましょう。ISMS適合性評価制度は情報セキュリティマネジメントシステム全般、特定個人情報保護評価はマイナンバーを含む特定個人情報、プライバシーマーク制度は個人情報保護の管理体制に関する制度です。
科目Bにつなげるために
科目Bでは、カード情報を扱うシステムについて、アクセス制御・ログ管理・脆弱性対策・ネットワーク分離などを組み合わせて保護する場面につながります。単一の技術だけで守るのではなく、技術面と運用面の両方で管理する考え方を押さえておきましょう。
PCI DSS（Payment Card Industry Data Security Standard）は、クレジットカードなどのカード会員データを安全に取り扱うためのセキュリティ基準です。カード情報を扱う事業者などに対して、ネットワークの保護・アクセス制御・脆弱性管理・監視など、技術面・運用面の要件を定めています。
本問では、「クレジットカードなどのカード会員データのセキュリティ強化」「技術面及び運用面の要件を定めた」という部分が判断のポイントです。この特徴に該当するのはPCI DSSなので、イが適切です。
❌他選択肢が誤りの理由ア：ISMS適合性評価制度
⇒ISMS適合性評価制度は、組織の情報セキュリティマネジメントシステムが所定の要求事項に適合しているかを評価・認証する制度です。クレジットカード情報に特化した基準ではありません。
ウ：特定個人情報保護評価
⇒特定個人情報保護評価は、マイナンバーを含む特定個人情報ファイルを取り扱う際に、プライバシーへの影響やリスクを事前に評価する仕組みです。カード会員データを対象とする基準ではありません。
エ：プライバシーマーク制度
⇒プライバシーマーク制度は、事業者の個人情報保護の体制や運用が所定の基準に適合していることを示す制度です。クレジットカード情報の保護に特化した技術・運用要件を定めるものではありません。