プレスリリース
2013年10月17日
富士通エフ・アイ・ピー株式会社
クレジットカード業界の国際的なセキュリティ基準「PCI DSS」に準拠
～横浜データセンターと横浜港北データセンターで対応、準拠を目指す企業の負担を軽減～
富士通エフ・アイ・ピー株式会社（本社：東京都江東区、代表取締役社長：浜野 一典、以下「富士通FIP」）はこのたび、同社のデータセンターサービスについて、クレジットカード業界の国際的なセキュリティ基準「PCI DSS Ver2.0（以下、PCI DSS）」に準拠しました。全国に展開する16か所のデータセンターのうち、「横浜データセンター」と「横浜港北データセンター」が対象です。また、PCI DSSの12の準拠要件のうち、物理的なセキュリティに関する「要件9」と「要件11.1」(注1)に準拠しました。
これにより、PCI DSSの準拠を目指す企業が富士通FIPのデータセンターを利用することで、物理的なセキュリティに関する要件に対して、準拠への負担が軽減されます。
富士通FIPではこれまで、「PCI DSS準拠支援サービス」の提供を通じ、準拠を目指す企業を支援してまいりました。また、「PaymentGatewayサービス」などの、12の準拠要件すべてを満たしたサービスを提供することで、企業の決済業務などを支援してまいりました。
今回、横浜・横浜港北の両データセンターのサービスがPCI DSSに準拠することで、PCI DSSに関するコンサルティングから対策ソリューション導入、セキュリティ検査、データセンターまでワンストップでのサービス提供が可能となり、これから準拠を目指す企業に対し、さまざまな面で負荷を軽減する環境が整いました。
今後も富士通FIPは、高水準の安全対策・セキュリティ対策を施したデータセンター機能を基盤として、お客様に安心安全で、高品質なサービスを提供してまいります。
今回PCI DSSに準拠した、横浜データセンター（左）と横浜港北データセンター（右）
PCI DSSについて
PCI DSS（Payment Card Industry Data Security Standard）は、クレジットカード会員データを安全に取り扱う事を目的として、国際カードブランド5社(American Express、Discover、JCB、MasterCard、VISA)によって共同で策定された、クレジットカード業界の国際的なセキュリティ基準です。前述の5社が共同で設立したPCI SSC (Payment Card Industry Security Standards Council)によって運用、管理されています。
クレジットカード情報を「保存、処理、または伝送」する企業であるカード加盟店、銀行、決済代行など行うサービス・プロバイダーが、年間のクレジットカード取引量に応じて、PCI DSSに準拠する(注2)必要があります。この基準には、全部で12の準拠要件があります。
PCI DSSのデータセンターサービスにおける準拠について
PCI DSSの12の要件すべてに準拠することは、対応に必要な期間や費用の面でハードルが高く、準拠を目指す企業からは、優先度の高い要件から取り組みたいという要望がありました。対象となるサービスを外部委託している場合は、委託先も含めた審査が必要なため、その調整も負担になっていました。
これを受け、PCI SSCでは2012年3月より、12ある準拠要件のうち、一部の要件を満たすことでも準拠として認める(注3)ことにしました。これにより、一部の準拠から始め、全ての要件の準拠を目指すことが可能となりました。もし、委託先が特定の要件について準拠している場合は、その要件にかかわる審査の負担が軽減されます。データセンターサービスでは、要件9（カード会員データへの物理アクセスを制限する）と要件11.1（不正なワイヤレスアクセスポイントの検出）の準拠が可能です。
「PCI DSS準拠支援サービス」について
富士通FIPでは、ISMSやプライバシーマークなどの認証取得支援で培ったノウハウを活用し、PCI DSSの準拠を目指す企業や、PCI DSSレベルのセキュリティ対策を検討されているお客様に対し、「PCI DSS準拠支援サービス」を展開しています。現状分析から、実装支援、審査支援まで、12の準拠要件に対し、「5つのフェーズ」と「8つのサービス」を提供します。また、認証取得後に必要となる運用支援・改善もサポートいたします。
PCI DSS準拠サービスのサービス体系イメージ
関連ウェブサイト
- 横浜データセンター
- 横浜港北データセンター
- PCI DSS準拠支援サービス
- PCI SSC ［外部サイト］
商標について
記載されている製品名などの固有名詞は、各社の商標または登録商標です。
注釈
- 注1 物理的なセキュリティに関する「要件9」と「要件11.1」:
- 要件9は「カード会員データへの物理アクセスを制限する」で、ビデオカメラ設置、入館管理および各ログ取得と保管状況の確認などが含まれます。また、要件11.1は「四半期ごとにワイヤレスアクセスポイントの存在をテストし、承認されていないワイヤレスアクセスポイントを検出する」で不正なワイヤレスアクセスポイントの検出が求められます。
- 注2 クレジットカード取引量に応じて、PCI DSSに準拠する:
- クレジットカード取引量がPCI DSS準拠の基準を満たさなくても、各カードブランドが制定しているセキュリティ基準プログラムには準拠する必要があります。
- 注3 一部の要件を満たすことでも準拠として認める:
- PCI SSCが2013年3月に認定審査機関（QSA）向けにレターを発行しています。その中で、一部の要件に準拠している場合の準拠レポート（ROC）について、審査を行った準拠要件の範囲を正確に定義するなど、具体的な記載方法を明確化しました。
本件に関するお問い合わせ先
富士通エフ・アイ・ピー株式会社
パブリックコミュニケーション部
電話: 03-5531-0185
Fax: 03-5531-0345
E-mail: fip-info@cs.jp.fujitsu.com
