平成24年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問9

✓ これが正解ウ要件 6：安全性の高いシステムとアプリケーションを開発し，保守すること

解説

WAF の導入は、アプリケーションの開発と保守を扱う要件に含まれます。

PCI DSS は、クレジットカードの会員データを守るために、カード業界が定めたセキュリティ基準です。いくつかの要件があり、それぞれに詳細要件が付いています。WAF（Web アプリケーションファイアウォール）は、Web アプリケーションへの攻撃を通信の中身から見つけて止める仕組みです。守る対象がアプリケーションなので、安全性の高いシステムとアプリケーションの開発と保守を求める要件 6 に入ります。出題当時の版の要件 6 の詳細要件には、公開している Web アプリケーションを、コードのレビューか WAF の導入のどちらかで守ることを求めるものがあり、WAF の導入がその選択肢の一つになっています。

ほかの選択肢はなぜ違うのか

• ア要件 1：カード会員データを保護するため…：要件 1 は、ネットワークの境界に置く通常のファイアウォールの導入と設定の維持を求めるものです。名前が似ていますが、アプリケーションの通信を検査する WAF とは別物です。
• イ要件 3：保存されるカード会員データを保…：要件 3 は、保存されているカード会員データを暗号化やマスキングなどで守ることを求めるものです。蓄積したデータ自体の保護が対象で、WAF の導入は含まれません。
• エ要件 7：カード会員データへのアクセスを…：要件 7 は、カード会員データを見られる人を、業務上必要な範囲の担当者に限るアクセス制御の要件です。攻撃の通信を止める WAF の導入とは扱う内容が違います。