情報セキュリティマネジメント 平成31年度 春期 午前 問14

✓ これが正解エ 加盟店におけるカードセキュリティコードの取扱方法：保管しない。／サービスプロバイダにおけるカードセキュリティコードの取扱方法：保管しない。

解説

取引承認後は、どちらの立場でも保管しないのが適切です。

カードセキュリティコードは、カードの現物が手元にあることを確かめるための3桁または4桁の数値です。取引の承認を受けた後もこれを保管してよいことにすると、保管先から漏えいしたときに、カード番号と組み合わせた不正利用の道具になってしまいます。だから設問が引くPCI DSS v3.2.1では、取引承認後のカードセキュリティコードは、加盟店でもサービスプロバイダでも保管しないことが求められます。暗号化してあれば保管してよい、という扱いにもなっていません。そもそも保管しなければ漏えいのしようがない、という考え方です。

ほかの選択肢の解説

• ア …暗号化して加盟店内に保管する。／サービスプロバイダにおけるカードセキュリティコードの取扱方法：暗号化してサービスプロバイダのシステム内に保管する。：暗号化していても、取引承認後にカードセキュリティコードを保管すること自体が認められていません。暗号化は漏えい時の被害を抑える手段であって、保管の禁止を解く条件ではありません。
• イ …平文で加盟店内に保管する。／サービスプロバイダにおけるカードセキュリティコードの取扱方法：保管しない。：平文での保管は最も危険な扱いであり、加盟店にだけそれが許される理由もありません。取引承認後は保管しないという要求は、立場によらず同じです。
• ウ …保管しない。／サービスプロバイダにおけるカードセキュリティコードの取扱方法：平文でサービスプロバイダのシステム内に保管する。：サービスプロバイダであれば平文で保管してよい、という例外はありません。カード会員データを預かる立場だからこそ、承認後のセキュリティコードは保管しない扱いです。