PCI DSS ペネトレーションテスト

要件 11.4 は、カード会員データ環境（CDE）に対するペネトレーションテストを少なくとも年 1 回、および重大な変更の後に、外部と内部の双方で実施することを求めています。あわせて、CDE を隔離しているネットワーク分離が実際に機能していることを検証するテストも必要です。この案件は、まさにその要件のために作られています。

いいえ。ここは正確にお伝えする価値があります。PCI DSS 要件 11.3.2 は、PCI SSC 承認のスキャンベンダー（ASV）による四半期ごとの外部脆弱性スキャンを求めており、これは独自の認定を伴う、自動スキャンのための別個の要件です。要件 11.4 のペネトレーションテストはそれとは異なり、より深く、手作業で行われ、ASV 認定がなくとも「資格を有する社内要員または資格を有する外部の第三者」が実施できます。本サービスが扱うのは要件 11.4 のペネトレーションテストであり、ASV スキャンではありません。ASV スキャンも必要であれば、それは別のベンダーになります。

はい。PCI の対象範囲を狭めるためにネットワーク分離に依拠している場合、分離のテストは 11.4.5 で明示的に required とされています。テストにより、CDE がネットワークの他の部分から実際に隔離されているか、それとも他のシステムを対象範囲に引き込む経路が存在するかを確認します。

カード会員データ環境と、それに接続されているすべてのシステムです。決済処理の構成要素、そこへ経路を持つネットワーク、そして該当する場合はカードデータやトークンを扱う Web アプリケーション。対象範囲は推測ではなく、通話の中で貴社の実際の CDE 図に照らして正確に定義します。

CDE の規模と、ネットワーク分離のテストが範囲に含まれるかにより、営業日で 5〜10 日です。QSA の期限に向けて進めている場合は、範囲確認の際にお知らせください。

アプリケーション層に絞ったテストであれば 500 ドルから、ネットワーク分離とインフラのテストを含む場合は 1,500 ドルからです。詳細は料金ページをご覧ください。