DMARCが2025年からペイメントカード業界に義務付けられる

2025年3月までに、DMARCはPCI DSS v4.0の必須要件となり、企業は電子メールセキュリティの強化を促される。

by

読書時間 5 分
DMARCが2025年からペイメントカード業界に義務付けられる
目次-

2025年3月までに、DMARCの実装はPCIデータセキュリティ基準バージョン4.0において必須となる。 PCIデータ・セキュリティ基準バージョン4.0DMARC認証プロトコルは、Payment Card Industry Security Standards Council（PCI SSC）が将来の必須要件として推奨しているもので、フィッシングなどの電子メールベースの攻撃から企業を保護する。

この記事では、DMARC PCI DSSコンプライアンス規制と、組織がデータ保護を実施することが重要な理由について説明します。 

PCI DSSとPCI SSCの理解 

PCI SSCはPayment Card Industry Security Standards Councilの頭文字をとったもので、PCIを確立し維持する世界的な組織である。 データ・セキュリティ基準基準（PCI DSS）を制定・維持する世界的な組織である。

Mastercard、Discover、American Express、Visaを含む主要なカードネットワークを統合し、ペイメントカード取引を保護するために必要なセキュリティ基準を策定、推進している。

PCI DSS準拠が企業に不可欠な理由

PCIデータセキュリティ基準は、ペイメントカード取引におけるカード会員のデータ保護を保証することを目的とした包括的なセキュリティ基準です。

  • カード会員データの保護 PCI DSS の主な目的は、ペイメントカード取引中のカード会員の機密情報を保護し、不正アクセスや盗難を防止することです。
  • 安全なペイメントカード環境の構築この規格は、加盟店が安全なネットワークインフラ、アクセスコントロール、暗号化など、安全なペイメントカード環境を確立し、維持するための要件を概説している。
  • 適切な保護措置の導入：PCI DSS は、カード会員データを保護するために、ファイアウォール、アンチウイルスソフトウェア、セキュアコーディングプラクティスなどの特定のセキュリティ対策を義務付けています。
  • 継続的なセキュリティ対策の維持PCI DSS は、定期的な脆弱性スキャン、侵入テスト、従業員に対するセキュリティ意識向上トレーニングなど、セ キュリティ対策を継続的に監視および維持することの重要性を強調しています。
  • ペイメントカード業界全体のコンプライアンスの確保PCI データセキュリティ基準は、ペイメントカード業界全体で一貫したセキュリティ対策を確保し、ペイメントエコシステムの信頼を促進する、コンプライアンスに関する統一されたフレームワークを提供します。

PCI DSS v4.0要件の影響を受ける業界

この新しい義務化によって影響を受けるのは、以下の産業と部門である： 

ヘルスケア

ヘルスケア業界では、医療サービスの支払いカードデータなど、患者の機密情報を扱っている。 

クレジットカードまたはデビットカードによる支払いを処理する医療機関は、PCIデータセキュリティ基準の対象となります。 

DMARCの要件は、電子メールのセキュリティを強化し、電子メールベースの攻撃から保護するためにDMARCを実装する必要があります。

小売

小売企業はカード決済を多用するため、データ漏洩の格好の標的となっている。 

PCIデータセキュリティ基準の遵守は、小売業者にとって顧客の決済情報を保護するために極めて重要です。DMARCを導入することで、セキュリティのレイヤーが追加され、安全な電子メール通信が保証され、ドメイン偽装攻撃のリスクが軽減されます。

ホスピタリティ

ホテル、リゾート、レストランなど、ホスピタリティ業界ではクレジットカードやデビットカードの取引が大量に行われている。 

PCIデータ・セキュリティ基準への準拠は、これらの事業所にとって、顧客の支払データを保護するために不可欠である。 

DMARCを導入することで、ホスピタリティビジネスはブランドの評判を守り、フィッシングやなりすましに対するメールセキュリティを強化することができます。

PCI DSS v4.0（2025年発効）の主な要件

PCI DSS v4.0は、PCI DSSバージョン3.2.1に代わるもので、高度な技術によって組織化されたサイバーセキュリティの脅威に対する懸念の高まりに対処するためのものです。PCI DSS v4.0は、サイバー脅威における最新の技術開発に対応し、それらに適切に対処するためのより優れた機能を備えています。 

以下は変更点の概要である：

  • さまざまな組織のサイバーセキュリティの懸念に対処するためのカスタマイズされたアプローチ
  • 堅牢なセキュリティを確保するためのテスト手順の強化
  • ネットワーク・セキュリティ管理により重点を置く 
  • カード会員のデータ・セキュリティを確保するため、強力な暗号技術にさらに注力 
  • 冗長な要件の削除 
  • DMARC導入の強制 

変更点の全リストを読む PCI DSS 変更の概要

PowerDMARCによるPCI DSS準拠の達成

PCI DSS コンプライアンスの達成は、PowerDMARC の一連のメールセキュリティソリューションで効率化することができます。その方法をご紹介します：

  1. 電子メール認証とセキュリティ:PowerDMARC は、DMARC、SPF、DKIM プロトコルのガイド付きで簡単な実装により、PCI DSS バージョン 4 コンプライアンスを満たすプロセスを支援します。
  2. 包括的なレポートとモニタリング:PowerDMARCは、詳細なリアルタイムのレポートとモニタリング機能を提供し、Eメールチャネルの監査とコンプライアンスへのエビデンスに基づいたアプローチを維持することを可能にします。
  3. コンプライアンス管理の簡素化:自動化されたプロセスと簡単に操作できるダッシュボードにより、PowerDMARC は PCI DSS コンプライアンスへの取り組みを効率的に管理および文書化し、時間とリソースを節約します。

DMARC PCI DSS

PCI DSS準拠のためのメールセキュリティにおけるDMARCの役割

PCI SSC は、電子メール認証のベストプラクティスとして DMARC の重要性を認識し、セキュリティ対策を強化するためにその導入を推奨しています。

PCI DSS DMARCガイドラインによると、企業は電子メールのインフラを強化し、ドメインスプーフィング攻撃から保護することができます。次期PCI DSSバージョン4.0では、PCI DSS DMARCの実装が、カードデータを処理、保管、または送信する事業者に義務付けられます。

2025年3月までに、組織はPCI DSS DMARCをSPF（Sender Policy Framework）やDKIM（DomainKeys Identified Mail）などの補完的な手段とともに確実に実装し、電子メール認証への包括的なアプローチを確立する必要があります。

SPF、DKIM、DMARCとは？

SPF、DKIM、DMARCは、なりすまし、フィッシング、なりすまし攻撃からお客様のドメインとメールを保護するためのメール認証プロトコルです。これらのプロトコルは、お客様のドメインから送信される正当なメールと偽のメールを区別し、不正な送信元がお客様の名前でフィッシング攻撃を仕掛けられないようにします。 

関連記事電子メール認証とは何か？

これらのプロトコルは何をするのか

SPFは、お客様のドメインの正当な送信者を認証し、不正な送信元がお客様のドメインに代わってメールを送信できないようにします。DKIMは、送信メッセージにデジタル署名を付加し、宛先に届く前に脅威行為者によってメッセージが改ざんされるのを防ぎます。 

DMARCは、これらを結びつける接着剤であり、送信者がSPFおよび/またはDKIM認証チェックに失敗したメールをどのように処理するかを受信サーバーに指示することを可能にする。DMARCによって、送信者は認証に失敗したメールを拒否、隔離、または配信することを選択できます。 

同一ドメインのなりすまし攻撃から効果的に防御するためには、組織は以下のようなDMARCポリシーを確立する必要がある。 DMARCポリシーを設定する必要がある。

ビジネス要件と顧客保護への対応

カード・データ処理業者に対するコンプライアンスの義務化

PCI DSS 基準への準拠は、あらゆる形態のカードデータを処理、保管、または送信する事業者にとって必要です。 

DMARCの導入は、包括的な電子メール認証を確保し、電子メールのなりすましやフィッシング攻撃から保護するために不可欠となる。

DMARCの施行と顧客の安全性のギャップ

DMARCの施行には大きな隔たりがあり、多くの組織はDMARCを完全に導入するか、施行レベルに達する必要がある。 

これは顧客にリスクをもたらし、顧客の保護とセキュリティを強化するためにこのギャップを埋めることの重要性を浮き彫りにしている。

ブランド保護と消費者の信頼のためのDMARCの重要性

効果的なDMARCの導入は、ブランドをなりすましや悪質業者から守り、ブランドの評判を保ち、顧客の信頼を築くのに役立ちます。 

DMARCの実施を優先することで、企業は顧客情報を保護し、安全な決済体験を促進するというコミットメントを示すことができます。

まとめ

PCI DSSは決済取引を保護するための重要なフレームワークとして機能しており、PCI DSSバージョン4.0ではDMARCの実装が必須であることが強調されています。

各業界の組織は、DMARCとそれを補完する以下のようなプロトコルを積極的に採用する必要があります。 SPFおよびDKIMを積極的に導入し、メール認証を強化し、同一ドメインのなりすまし攻撃から保護する必要があります。

DMARCを早期に導入することで、企業はブランドレピュテーションを高め、顧客の信頼を築き、Eメールベースの攻撃リスクを軽減することができます。決済セキュリティとDMARCの実施を優先することで、より安全でセキュアなデジタル決済環境が実現します。

PCI DSS V4.0 FAQ

銀行の顧客データの物理的保護に関する PCI セキュリティ要件は？

銀行の顧客データの物理的保護に関連する重要な PCI セキュリティ要件の 1 つが、この基準で取り上げられています。この要件は、顧客データが保存または処理されるエリアへの物理的なアクセスを確保するための適切な措置の実施に重点を置いています。銀行はこの要件を遵守することで、不正な物理的アクセスから顧客情報を効果的に保護することができます。

v4.0の要求事項がfuture-datedとされているのはなぜですか？

PCI SSC は、v4.0 の新要件は、旧 DSS バージョンが廃止されてからさらに 1 年後（2024 年以降）の準拠要件を組織に提供するため、将来の日付に対応したものであると発表した。

PCI DSS 準拠のその他の将来的な要件は何ですか?

v4.0に準拠するためのその他の将来的な要件は以下の通り：

  • 暗号化の優先順位、セキュリティ・キーの更新、有効期限が切れていない証明書の確保
  • データ・ストレージ・デバイスやペン・ドライブなどのリムーバブル・メディアの監視
  •  ウェブとアプリケーションのセキュリティを優先する
  • パスワード・セキュリティの優先順位
  • 定期的なユーザー・アクセス・レビュー

DMARC PCI DSS

最新記事 by Ahona Rudra(全て見る)
p=reject後の人生：DMARCの旅がまだ終わらない理由DMARC PCI DSSDMARC PCI DSSDNSフォワーディングとは？