金融機関・保険会社・カード会社、あるいはそれらの業務を受託するコールセンター事業者にとって、
PCI DSS（Payment Card Industry Data Security Standard） への準拠は避けて通れないテーマです。

ISMS（ISO/IEC 27001）を取得していても、カード情報を取り扱う以上、PCI DSSは別途求められます。
PCI DSSは12の要件から構成されますが、その中で「記録」に真正面から取り組んでいるのが要件10です。

この記事では、要件10が具体的に何を求めているのかを整理し、コールセンター環境での対応の考え方を解説します。

なぜコールセンターがPCI DSSの対象になるのか

「当社はECサイトを運営していないから関係ない」と考える方もいらっしゃいますが、電話でカード番号を聞き取る業務があれば、それはカード情報の取り扱いです。

注文受付、支払い方法の変更、定期購入の決済登録など、電話口でお客様にカード番号を読み上げていただく業務は、多くのコールセンターに存在します。この時点で、そのコールセンターはPCI DSSの対象に入ります。

さらに注意が必要なのが通話録音です。カード番号を含む通話が録音されている場合、その音声データはカード情報そのものと同じ扱いが必要になります。音声をテキスト化する技術が一般化した現在、「音声だから安全」という前提は成立しません。電話のプッシュ音（DTMFトーン）についても同様で、音から番号を復元することは技術的に可能です。

要件10が求めていること（v4.0系の主な内容）

要件10は「システムコンポーネントおよびカード会員データへのすべてのアクセスをログに記録し、監視する」ことを求めています。主要な項目を整理します。

10.2　監査ログを実装する
異常の検出とフォレンジック分析（事後の原因調査）を可能にするため、必要なイベントを記録します。誰が・いつ・何に・どのようにアクセスしたかが記録されている必要があります。

10.3　ログを保護する
記録したログが破壊・改ざんされないようにし、ログの読み取りアクセスを業務上必要な者に限定します。「ログは取っているが、誰でも見られる・誰でも消せる」状態は要件を満たしません。

10.4　定期的にレビューする
カード会員データ環境に関わるシステムなどについては、異常を検出するため少なくとも1日1回のレビューが求められます（それ以外のシステムは、リスク分析に基づいて頻度を定めます）。人力での全件確認は現実的ではないため、自動化された仕組みの活用が想定されています。

10.5　ログを保管する
監査ログの履歴を少なくとも12か月間保持し、うち直近3か月分は分析のために直ちに利用できる状態にすることが求められます。この「12か月／直近3か月」という数字は、要件10で最も具体的に問われる基準の一つです。

10.6　時刻を同期する
すべてのシステムの時刻を同期させます。時刻がずれていると、複数のログを突き合わせた際に事象の前後関係が確定できず、証跡としての価値が損なわれます。

10.7　検知の失敗に対応する
セキュリティ管理の仕組みが停止した場合に、それを速やかに検知・報告・対応することが求められます。「ログが取れていなかったことに気づかなかった」という状態を防ぐための要件です。

コールセンター環境で「抜けやすい」記録

要件10への対応でシステムログの整備は進めていても、コールセンター環境では次の領域が抜け落ちやすい傾向があります。

オペレーター端末での操作
 サーバー側のアクセスログには「照会が行われた」ことは記録されますが、その画面をオペレーターがどう扱ったか、長時間表示し続けたか、メモ帳に書き写したか、別のアプリケーションに貼り付けたかは記録されません。

共有端末での個人特定
シフト制で端末を共有している場合、端末ログだけでは操作者を特定できません。要件10が求める「誰が」の部分が曖昧になります。

特権IDによる保守作業
システム管理者や外部保守ベンダーがサーバーにアクセスした際の作業内容は、コマンド履歴だけでは実態が把握しにくい領域です。

時刻のずれ
 PBX、CRM、認証サーバー、端末——コールセンターは複数システムの集合体です。時刻同期が徹底されていないと、インシデント時に事象を再構成できません。

操作記録が要件10対応をどう補完するか

サイテカクラウドは、これらの「抜けやすい記録」を補完する用途で活用できます。

オペレーター端末の操作は画面イメージで記録され、共有端末でも二次認証で実際の操作者を特定できます。これで、要件10が求める「誰が・何をしたか」を確定させられます。保守作業については、踏み台サーバーに集約すれば、特権操作をすべて1か所で記録できます。

あわせて、記録を閲覧できる管理者を限定する機能で要件10.3に、アラート機能で日次レビューの負担軽減に、それぞれ役立ちます。Splunk・IBM QRadar等のSIEMとも連携できます。

PCI DSS対応におけるサイテカクラウドの役割

PCI DSSは12の要件・数百の項目からなる基準です。スコープの定義、ネットワーク構成、運用ルール、教育、点検体制まで、組織全体の取り組みによって達成されるものであり、特定の製品を導入して完了するものではありません。

サイテカクラウドが担うのは、そのうち要件10に関わる「操作の記録・保護・レビュー支援」という範囲です。ログ管理を実装する手段の一つとしてお使いいただけます。

なお、準拠しているかどうかを判定するのは認定審査機関（QSA）です。これはサイテカクラウドに限らず、すべてのセキュリティ製品に共通する仕組みです。「どの要件を、どの手段で満たすか」という全体設計については、担当者がご相談を承ります。

よくある質問（FAQ）

Q. PCI DSSの監査ログは何か月保管する必要がありますか？

A. PCI DSS v4.0系の要件10.5では、監査ログの履歴を少なくとも12か月間保持し、そのうち直近3か月分は分析のために直ちに利用できる状態にすることが求められています。

Q. 監査ログのレビューはどのくらいの頻度で必要ですか？

A. 要件10.4では、少なくとも1日1回のレビューが求められています。件数が多い環境では、自動化されたメカニズム（アラート等）を活用することが想定されています。

Q. サイテカクラウドを導入すればPCI DSSに準拠できますか？

A. PCI DSSの準拠は、12要件・数百項目にわたる組織全体の取り組みによって達成され、認定審査機関（QSA）が判定するものです。
製品の導入だけで完了するものではありません。サイテカクラウドは、そのうち要件10（ログの取得・保護・レビュー支援）を実装する手段としてお使いいただけます。

Q. ISMS（ISO/IEC 27001）を取得していればPCI DSSは不要ですか？

A. 別の基準です。ISMSは情報セキュリティマネジメントの仕組みを評価する認証、PCI DSSはカード会員データ保護に特化した技術的・運用的要件の基準です。カード情報を取り扱う場合、ISMS取得の有無にかかわらずPCI DSSへの対応が求められます。