PCI DSS 要件 テスト手順 ガイダンス 8.1.3.b スマートカード、トークンなど、すべての物理的認証方
法 が返還されたか、無効にされたことを確認する。
ド会員データへの不要な、または悪意のあるア クセスが発生する可能性があります。不正なア クセスを防ぐには、ユーザの資格情報やその他 の認証方法が、退職時にできるだけ速やかに破 棄される必要があります。
8.1.4少なくとも 90 日ごとに非アク
ティブなユーザアカウントを削除/無効 にする。
8.1.4 ユーザアカウントを観察することで、90 日間を超える非ア クティブなアカウントが削除または無効になっていることを確認 する。
日常的に使用されていないアカウントでは変更
（パスワードの変更など）に気づかれる危険性 が少ないので、攻撃の対象となることが多くな ります。そのため、これらのアカウントは侵害 しやすく、カード会員データへのアクセスに使 用されることになります。
8.1.5 ベンダがリモートアクセス経由で システムコンポーネントのアクセス、
サポート、メンテナンスに使用する ユーザ ID を以下のように管理する。
• 必要な期間内だけ有効になり、使用さ れていないときは無効になっている。
• 使用時に監視されている。
8.1.5.a 担当者をインタビューし、ベンダがシステムコンポーネン トのアクセス、サポート、メンテナンスに使用するアカウントを 管理するためのプロセスを観察して、ベンダがリモートアクセス に使用するアカウントが以下を満たしていることを確認する。
• 使用されていないときに無効になっている
• ベンダが必要なときにのみ有効になり、使用されていない場合 は無効になる
システムをサポートする必要がある場合に備え てベンダがネットワークに 24 時間 365 日アク セスできるようにすると、ネットワークへのこ の常時使用可能な外部エントリポイントを見つ けて使用する、ベンダ環境内のユーザ、または 悪意のある者からの不正なアクセスが行われる 可能性が増加します。必要な期間にのみアクセ スを有効にし、必要なくなった時点で無効にす ると、これらの接続の誤用防止に役立ちます。
ベンダのアクセス監視は、ベンダが必要な時に だけ、および承認された時間内でのみシステム にアクセスすることを保証できます。
8.1.5.b 担当者をインタビューし、プロセスを観察することで、
使用中にベンダのリモートアクセスアカウントが監視されている ことを確認する。
8.1.6 6 回以下の試行で、ユーザ ID を ロックアウトすることによって、アク セスの試行回数を制限する。
8.1.6.a システムコンポーネントのサンプルで、システム構成設定 を調べ、6 回以上無効のログオンを繰り返した場合に、ユーザの アカウントがロックされることを要求するよう、認証パラメータ が設定されていることを確認する。
アカウントロックアウトメカニズムがないと、
攻撃者は、手動または自動ツール（パスワード 解読ツールなど）を使用し、推測に成功して ユーザアカウントへのアクセスを得るまで、継 続してパスワードの推測を試みることができま
8.1.6.b サービスプロバイダの場合のみの追加の手順、内部プロ す。
セスと顧客/ユーザマニュアルをレビューし、実装されたプロセス を観察することで、6 回以上無効のログオンを繰り返した場合 に、ユーザのアカウントが一時的にロックされることを確認す る。
8.1.7 最低 30 分間、または管理者が ユーザ ID を有効にするまでのロックア ウト期間を設定する。
8.1.7 システムコンポーネントのサンプルで、システム構成設定 を調べ、ユーザアカウントがロックアウトされたら、最低 30 分 間、または管理者がユーザ ID を有効にするまでのロックアウト 状態が続くことを要求するよう、認証パラメータが設定されてい ることを確認する。
パスワードの推測が絶えず試みられたためにア カウントがロックアウトされる場合、アカウン ト再有効化の遅延管理により、悪意のある者が これらのロックされたアカウントのパスワード を継続して推測することを防ぐことができます
（アカウントが再有効化されるまで少なくとも
PCI DSS 要件 テスト手順 ガイダンス
30 分待つ必要があります）。さらに、再有効化 を要求する必要がある場合、管理者またはヘル プデスクは、実際にアカウント所有者が再有効 化をリクエストしていることを検証できます。
8.1.8 セッションのアイドル状態が 15 分を超えた場合、ターミナルまたは セッションを再度アクティブにするた め、ユーザの再認証が必要となる。
8.1.8 システムコンポーネントのサンプルで、システム構成設定 を調べ、セッションのアイドル状態が 15 分を超えた場合、ター ミナルまたはセッションを再度アクティブにするため、ユーザの 再認証が必要となることを確認する。
重要なシステムコンポーネントまたはカード会 員データにアクセス可能なオープンマシンから ユーザが離れるとき、そのマシンがユーザの不 在時にその他の者によって使用され、権限のな いアカウントアクセスや誤使用が発生する可能 性があります。
再認証は、そのマシン上で実行されているすべ てのセッションを保護するために、システムレ ベルで適用するか、アプリケーションレベルで 適用できます。
8.2 一意の ID を割り当てることに加 え 、すべてのユーザを認証するため、
次の方法の少なくとも 1 つを使用する ことで、すべてのシステムコンポーネ ント上での顧客以外のユーザと管理者 の適切なユーザ認証管理を確認する。
• ユーザが知っていること（パスワード やパスフレーズなど）
• トークンデバイスやスマートカードな ど、ユーザが所有しているもの
• ユーザ自身を示すもの（生体認証な ど）
8.2 ユーザがカード会員データ環境にアクセスするための一意の ID と追加の認証（パスワード/パスフレーズなど）を使用して認 証されることを確認するため、次の項目を実行する。
• 使用される認証方法について記述した文書を調べる。
• 使用される認証方法の各種類およびシステムコンポーネントの 各種類について、認証を調べて、文書に記述された認証方法に 従って認証が機能していることを確認する。
これらの認証方法を一意の ID に加えて使用する と、侵害を試みようとする人物は一意の ID に加 えてパスワード（またはその他の認証アイテ ム）を知る必要があるため、ユーザの ID が侵害 されるのを防ぐことができます。デジタル証明 書は、そのユーザに一意である限り、「ユーザ が所有しているもの」での認証形式として有効 なオプションであることに留意してください。
悪意のある者がシステムを侵害するために最初 に行うステップの 1 つが弱いまたは存在しない パスワードを利用することであるため、認証管 理のための適切なプロセスを実装することが重 要です。
8.2.1 強力な暗号化を使用して、すべて のシステムコンポーネントで、送信と保 存中に認証情報（パスワード/パスフレー ズなど）をすべて読み取り不能とする。
8.2.1.a ベンダ文書とシステム構成設定を調べて、送信および保存 中にパスワードが強力な暗号化によって保護されていることを確認 する。
多くのネットワークデバイスおよびアプリケー ションは、ネットワーク内で暗号化されていな い読み取り可能なパスワードを伝送し、パス ワードを暗号化せずに保存します。悪意のある 者は、暗号化されていないパスワードを「ス ニッファー（Sniffer）」を使用して伝送中に容 易に傍受したり、保存されているファイル内の 暗号化されていないパスワードに直接アクセス したりして、このデータを使用して不正にアク セスすることができます。
8.2.1.b システムコンポーネントのサンプルに対して、パスワード ファイルを調べて、パスワードが保存中に読み取り不能であること を確認する。
8.2.1.cシステムコンポーネントのサンプルに対して、パスワード
ファイルを調べて、パスワードが送信中に読み取り不能であること を確認する。
PCI DSS 要件 テスト手順 ガイダンス 8.2.1.d サービスプロバイダ用の追加手順。パスワードファイルを
観察して、保存中に顧客のパスワードが読み取れないことを確認す る。
8.2.1.e サービスプロバイダ用の追加手順。データの送信を観察し て、送信中に顧客のパスワードが読み取れないことを確認する。
8.2.2 パスワードのリセット、新しい トークンの準備、新しいキーの生成な ど、認証情報を変更する前に、ユーザ の身元を確認する。
8.2.2 認証情報を変更するための認証手順を調べて、セキュリ ティ担当者を観察して、ユーザが、電話、電子メール、Web、ま たは他の非対面法でパスワードのリセットを要求した場合、パス ワードがリセットされる前に、ユーザの身元が確認されているこ とを確認する。
多くの悪意のある者は「ソーシャルエンジニア リング」（ヘルプデスクに電話して正当なユー ザを装うなど）を使用してパスワードを変更さ せて、ユーザ ID を利用できるようにします。管 理者が認証情報をリセットまたは変更する前に ユーザを識別できるよう、正しいユーザのみが 答えることができる「秘密の質問」を使用する ことを検討してください。
8.2.3 パスワード/パスフレーズは以下 を満たす必要がある。
• パスワードに 7 文字以上が含まれ る
• 数字と英文字の両方を含む あるいは、上記のパラメータに等しい 複雑さと強度を持つパスワード/パスフ レーズ
8.2.3a システムコンポーネントのサンプルについて、システム構 成設定を調べて、少なくとも以下の強度/複雑さを必要とするよう にユーザパスワードのパラメータが設定されていることを確認す る。
• パスワードに 7 文字以上が含まれる
• 数字と英文字の両方を含む
悪意のある者は最初に弱いパスワードを持つ、
またはパスワードが存在しないアカウントを見 つけようとすることが多いため、強力なパス ワード/パスフレーズはネットワーク防御の第一 線です。パスワードが短くて推測しやすい場 合、悪意のある者がこれらの脆弱なアカウント を見つけ、有効なユーザ ID を装ってネットワー クを侵害することは比較的簡単です。
この要件では、パスワード/パスフレーズに 7 文 字以上の数字と英字を両方含むことを指定して います。技術的な制限上、この最小限を満たせ ない場合、事業体は「等価強度」を使用してそ の代替値を評価します。NIST SP 800-63-1 で は、エントロピーは「パスワードまたはキーを 推定または決定する難易度」として定義されて います。適用可能なエントロピー値についての 詳細、および異なる形式のパスワード/パスフ レーズの等価強度の変動性の理解のために、こ の文書および「パスワードエントロピー」につ いて記載されている文書を参照することができ ます。
8.2.3.b サービスプロバイダ用の追加手順。内部プロセスおよび 顧客/ユーザ文書を確認して、消費者以外のユーザのパスワードが 少なくとも次の強度/複雑さを満たすことが要求されていることを 確認する。
• パスワードに 7 文字以上が含まれる
• 数字と英字の両方を含む
8.2.4 ユーザパスワード/パスフレーズ 8.2.4.a システムコンポーネントのサンプルについて、システム構
成設定を調べて、少なくとも 90 日ごとにパスワードを変更する
長期間変更なしで有効なままになっているパス ワード/パスフレーズは、悪意のある者がパス