PCI DSS4.0におけるWi-Fiセキュリティ要件

PCI DSSは、クレジットカード会社が中心となって策定した国際的なセキュリティ基準です。

カード加盟店、銀行、決済代行事業者などのサービス・プロバイダーが準拠する必要があり、対象となる業種は、クレジット・決済代行・銀行・加盟店のほか、航空・鉄道・流通・通信・携帯電話・新聞社など多岐にわたります。

現在のバージョンであるPCI DSS4.0におけるWi-Fiセキュリティ対応要件（要件11）では、「ワイヤレスアクセスポイントを特定・監視し、許可・未許可の両方を管理・識別すること」が求められています。

さらに、「テスト・検出・識別を、少なくとも3か月に1度実施すること」と定められています。

PCI DSSのWi-Fiセキュリティ要件は厳しくなっている

ワイヤレスアクセスポイント（Wi-Fi）は許可および未許可の両方を管理する必要があるとPCI DSSの最新バージョンでは明記されています。
これはバージョン3.2.1が4.0に変わるときにアップデートされた要件であるため、現時点で4.0に準拠していない場合には注意が必要です。

尚、最新バージョンである4.0.1にて定義されている要件では下記のように記載されています。

11.2.1 承認されたワイヤレスアクセスポイントおよび許可されていないワイヤレスアクセスポイントは、以下のように管理される。

従来の検査方法の問題点

3か月に一度のアクセスポイント検査を実施すれば、PCI DSSに準拠することは可能です。しかし、この方法だけでは十分なセキュリティ対策とはいえません。

Wi-Fiを悪用した攻撃は突発的に発生するため、検査のタイミングで必ず検出できるとは限らないからです。

例えば、悪意のある第三者が未許可のアクセスポイントを社内のスイッチングハブに接続しても、検査日前に取り外せば、不正アクセスの痕跡を残さずに済んでしまいます。

そのため、Wi-Fiのセキュリティを強化するには、不正なアクセスポイントを常時監視できる仕組みを導入することが不可欠です。

WiSASを導入するメリット

参考までに、ウォークスルー検査とWiSASの比較表をご覧ください。

WiSASは、Wi-Fiを24時間365日常時監視することで、安全な状態を維持できます。

また、WiSASはフルマネージドサービスのため、運用も簡単です。

さらに、危険度の高い脅威を検出した際にはリアルタイムでアラートを通知するため、迅速なインシデント対応が可能です。