決済データの保護はもはやオプションではありません。PCI DSSコンプライアンスは、クレジットカード決済を扱うすべてのWordPressサイトにとって必須の要件となっています。
サイバー攻撃は毎年増加しており、小さな脆弱性でも顧客の機密データが漏洩する可能性があります。
たった一度の侵害で信頼が失われ、罰則が科せられ、ビジネスに一夜にして混乱が生じる可能性があります。しかし、適切なセキュリティ対策を講じれば、こうしたリスクを防ぐことができます。
明確なチェックリストは、サイトのセキュリティを確保し、カード所有者のデータを保護し、業界標準に準拠するのに役立ちます。
このガイドでは、強力な保護を維持し、コンプライアンスの期待に応えるために、成功している電子商取引サイトが使用する重要な手順を学習します。
PCI DSS コンプライアンス: それは何であり、なぜ重要なのか?
を実行したり、クレジットカードによる支払いを受け付けたりする場合は 電子商取引業務 WordPress サイトで
これにより、悪意のある攻撃者の標的となります。この機密データの保護は任意ではなく、必須です。
と呼ばれる世界的なセキュリティ標準に準拠する必要があります ペイメントカード業界データセキュリティ標準 。
この包括的な PCI DSS コンプライアンス チェックリストは、WordPress 環境のセキュリティを確保し、完全な PCI コンプライアンスを実現するための決定的なガイドとして役立ちます。
PCI DSSコンプライアンスの意味
PCI DSS は、クレジットカードデータを保存、処理、または送信するすべての企業が安全な環境を維持できるように設計された一連のセキュリティ標準です。
大手クレジットカード会社（Visa、Mastercard、American Express、Discover、JCB）がこの規格を策定し、管理運営するためにPCIセキュリティスタンダードカウンシル（PCI SSC）を設立しました。
PCI DSSコンプライアンスとは、組織が12のPCI DSSコア要件を満たしていることを意味します。これらの要件は、データ侵害のリスクを最小限に抑え、クレジットカード詐欺から保護するのに役立ちます。
DSS コンプライアンスの最終的な目標は、顧客の信頼を守り、機密性の高いユーザー データの漏洩を防ぐことです。
PCI DSS準拠のステータスの取得は、一度きりのイベントではなく、継続的なプロセスです。安全なシステムとプロセスを維持するための継続的な努力が必要です。
WordPressサイトにおけるPCI DSSの重要性
これらのシステムの多くはeコマースストアであり、 WooCommerce。顧客がサイトでクレジットカードを使用すると、その取引情報はシステムを経由して送信されます。
支払いデータ、サーバー、データベース、プラグイン、さらには 管理者ダッシュボード、カード所有者データ環境 (CDE) の範囲内になります。
PCI DSS基準を無視することは極めて危険です。遵守しない場合、銀行やカード会社から厳しい罰金が科せられ、クレジットカード決済の受付が停止されるだけでなく、セキュリティインシデント発生後には、企業の評判に取り返しのつかないダメージを与える可能性があります。
お客様は、貴社が顧客データを保護することを信頼しています。PCIコンプライアンス要件を遵守することは、データ保護とすべてのカード会員データの安全な取り扱いを保証する責任です。
このコンプライアンス チェックリストを使用すると、操作のセキュリティが確保され、保存されているカード所有者のデータが保護されます。
WordPressのセキュリティを強化し、PCIコンプライアンスを完全遵守しましょう
専門家のサポートを受けて、サイトを安全に保護し、すべてのトランザクションを保護します。
WordPress のコア PCI DSS 要件
PCI DSS では、6 つの制御目標にまとめられた 12 の要件が概説されています。
WordPress サイトの場合、これらのコントロールは ホスティング 環境、プラグイン、テーマ、管理方法に直接適用されます。
この PCI コンプライアンス チェックリストには、実行する必要がある重要な手順が詳細に説明されています。
ファイアウォールの構成と安全なネットワーク制御
このPCI DSS要件では、ネットワークセキュリティ対策を導入し、維持することが義務付けられています。ウェブサイトは常にパブリックインターネットに公開されているため、堅牢な防御が不可欠です。
- Web アプリケーション ファイアウォール (WAF) を実装する: などの一般的な Web 攻撃が クロスサイト スクリプティング (XSS)WordPress インストールに到達する前にブロックします。
- ネットワークをセグメント化： カード会員データ環境をネットワークの他のリソースから分離します。このセグメント化により、攻撃者が決済以外のシステムに侵入した場合でも、カード会員データにアクセスできなくなります。
- ルールの文書化と見直し： すべてのネットワークセキュリティ制御とファイアウォールルールをまとめた文書を保管してください。これらのルールが常に適切かつ実用的であり、不正なトラフィックが安全なネットワークにアクセスするのを防ぐため、定期的に見直してください。
- 安全なワイヤレス ネットワーク: ワイヤレス ネットワーク経由で WordPress 管理ダッシュボードにアクセスする場合は、 強力な暗号化 と認証を使用してください。
デフォルト設定の削除とシステムアクセスの保護
この方法は、簡単に悪用される、公に知られている脆弱性に対してシステムを強化することに重点を置いています。
攻撃者は、ベンダー提供のデフォルト設定やデフォルトのパスワードを悪用して不正アクセスを行うことがよくあります。
- すべてのデフォルト設定を変更してください： など、すべてのシステムコンポーネントのデフォルトのパスワード、ユーザー名（「admin」など）、およびセキュリティ設定を直ちにすべて変更してください WordPressのインストール環境。汎用的な認証情報や工場出荷時の設定は絶対に使用しないでください。
- 安全な設定を適用する： 新規および既存のすべてのセキュリティシステムをネットワークに接続する前に、安全な設定を適用してください。特定のサーバーOS、Webサーバー（ Apache、Nginx）、データベース（MySQLなど）については、業界のベストプラクティスまたはセキュリティ設定ガイドを参照してください。
- 不要なアカウントを無効化： 不要なデフォルトのアカウント、サービス、プロトコルを無効化します。eコマースの運用に必要な機能のみを有効にしてください。この対策により、攻撃対象領域が縮小され、システムのセキュリティが維持されます。
保存されたカード会員データの保護
保存されているカード会員データを保護することが求められます。カード会員データを保護する最善の方法は、データを一切保存しないことです。
- データストレージの最小化： 可能であれば、クレジットカード情報（プライマリアカウント番号、PAN）をWordPressサーバーに保存しないでください。PCI DSS準拠のサードパーティ決済代行業者（StripeやPayPalなど）を利用し、データをオフサイトで処理しましょう。これにより、PCI DSS準拠の範囲が大幅に縮小されます。
- データの読み取り不能化： カード会員データを保存する必要がある場合は、PANを読み取り不能にする必要があります。強力な暗号化、一方向ハッシュ、切り捨て、トークン化などの手法が考えられます。保存されたアカウントデータは厳重に保護する必要があります。
- 機密認証データを保存しないでください： 認証後は、暗号化されているかどうかにかかわらず、機密認証データを決して保存しないでください。これには、磁気ストライプデータ全体、CAV2、CVC2、CID、PINブロックデータが含まれます。認証プロセスが完了したら、これらのデータを直ちに削除してください。
- データ保持ポリシーの実装： データ保持ポリシーを策定し、実装します。カード会員データは、法規制やビジネス要件を満たすために必要な期間のみ保持する必要があります。不要になったデータは削除してください。
続きを読む: WordPress アクセシビリティガイド: WCAG 標準への準拠
送信中の支払いデータの暗号化
この手順では、オープンなパブリック ネットワーク経由での支払いデータの送信を暗号化することが義務付けられます。
- 強力な暗号化技術の使用： インターネット経由でカード会員データを転送する際は、常に強力な暗号化技術、特にTLS（Transport Layer Security）を使用して暗号化してください。これには、チェックアウトページ、顧客アカウントログイン、そして決済代行業者へデータを送信するすべてのAPI呼び出しが含まれます。
- すべてのウェブページをセキュアにする： 全体が WordPressサイト （有効なSSL/TLS証明書を使用） 。 これにより、カード会員データを送信するためのネットワーク環境が常にセキュアになります。
- プロトコルの強度を確認する： など、廃止されたプロトコルは使用しないでください SSL 。サーバー構成で、最新かつ最も強力で、最も広く受け入れられているTLSバージョンが使用されていることを確認してください。
マルウェア対策と脆弱性管理
これらの要件は、安全な WordPress アプリケーションの維持と連携して、強力な脆弱性管理プログラムを形成します。
- 悪意のあるソフトウェアからの保護： すべてのシステム、特にカード会員データ環境内のシステムは、最新のウイルス対策またはマルウェア対策ソリューションを使用して悪意のあるソフトウェアから保護されていることを確認してください。これらのソフトウェアは常に稼働し、継続的に更新され、定期的にスキャンされている必要があります。
- WordPress、テーマ、プラグインを最新の状態に保つ： WordPressサイトは頻繁に攻撃の標的となります。WordPressコア、テーマ、そしてすべてのプラグインにセキュリティパッチを迅速に適用する必要があります。古いソフトウェアは、機密データへのアクセスや漏洩を狙う攻撃者にとって、主要な脆弱性となります。
- 安全なアプリケーションの開発： 際は カスタムテーマやプラグインを開発する 、安全なコーディングプラクティスを遵守してください。既知の脆弱性を悪用しないでください。開発環境、テスト環境、本番環境を分離し、安全でないコードが本番システムに侵入するのを防ぎましょう。
安全なWordPressアプリケーションの維持
このステップは、自己ホスト型アプリケーションにとって重要です。
- 安全なホスティング環境: ホスト レベルのファイアウォールと強力な物理セキュリティ対策を備えた、PCI 準拠の安全なサーバー環境を提供する Web ホストを選択します。
- WordPressの強化： ダッシュボードからのファイル編集を無効化（DISALLOW_FILE_EDIT）、
wp-config.phpファイルの移動、デフォルトのデータベースプレフィックスの変更など、WordPress固有のセキュリティ対策を実装します。これらの安全な設定により、攻撃者が一般的な脆弱性を悪用することがはるかに困難になります。
- 定期的なプラグイン監査： 継続的に プラグインを 。あまり使用していないプラグインやテーマは、PCI DSSコンプライアンス全体を損なうセキュリティリスクとなる可能性があるため、削除してください。
アクセス制御と最小権限の実践
この要件はアクセス制御に重点を置いています。最小権限の原則に基づいて、カード会員データへのアクセスを制限する必要があります。
- アクセス制限： システムコンポーネントおよびカード会員データへのアクセスは、「知る必要性」のみに基づいて厳密に制限してください。スタッフは、職務遂行に必要な最小限のカード会員データへのアクセス権限のみを持つべきです。
- 強力なアクセス制御対策を実装する： を付与し 権限 、可能な場合は物理的なアクセスを制限してください。
- 安全なリモートアクセス： ネットワークまたはサーバーへのすべてのリモートアクセスには、仮想プライベートネットワーク（VPN）や暗号化されたSSH接続などの安全な方法を使用してください。暗号化されていない直接接続は許可しないでください。
さらに詳しく： eコマースにおけるHIPAA準拠
強力な認証と固有のユーザーID
この要件により、ユーザーを効果的に識別し、アクセスを認証できるようになります。
- 固有のユーザーID： システムコンポーネントまたはカード会員データ環境へのコンピュータアクセスを持つすべての人に、固有のユーザーIDを割り当ててください。共有アカウントは使用しないでください。これにより、すべてのアクティビティを追跡および監査できます。
- 多要素認証（MFA）： カード会員データ環境（CDE）へのすべてのアクセス、およびコンソールを介さないリモートアクセス（CDE）すべてに多要素認証を実装します。これにより、攻撃者がパスワードを侵害した場合でも、重要な第2層目の防御が可能になります。
- 強力なパスワードポリシー： すべてのユーザーに対して、厳格かつ複雑なパスワードポリシーを適用してください。パスワードは最低限の長さ、複数の文字の組み合わせ、そして定期的に変更する必要があります。また、保存時および送信時には、すべてのパスワードを判読不能な状態にしてください。
機密データの物理的セキュリティ
カード所有者データ環境内のシステムへの物理的なアクセスを制限することを規定しています。
一般的な WordPress サイトはデータ センターでホストされますが、これらのルールはすべてのオンサイト機器および管理ワークステーションに適用されます。
- カード会員データへの物理的アクセスを制限する： これは、サーバーラック、ネットワーク機器、紙の記録（存在する場合）、および管理ワークステーションに適用されます。これらのエリアへの物理的アクセスは、許可された担当者のみに許可する必要があります。
- 物理的なセキュリティ管理: を実装します 強力な物理的なセキュリティ対策機密性の高いセキュリティ システムやカード所有者のデータを保管する施設には、カメラ、ロック、入場管理 (バッジ リーダーなど) などの
- 訪問者ログの維持: 訪問者ログを維持し、カード所有者エリアに物理的にアクセスするすべての人に適切な承認手順を要求することで、すべてのアクセスを制御および監視します。
さらに詳しく: WordPressのADAコンプライアンス
WordPressアクティビティのログ記録と監視
この要件では、ネットワーク リソースとカード所有者データへのすべてのアクセスを追跡および監視する必要があります。
- 監査証跡の実装： 自動化された監査証跡を使用して、システムコンポーネント上のすべてのアクティビティを記録し、カード会員データへのすべてのアクセスをログに記録します。監査証跡には、ユーザーID、イベントの種類、日時、イベントの成功または失敗、およびイベントの発生源を記録する必要があります。
- ログの定期的な確認： すべてのセキュリティシステムとシステムコンポーネントのログを定期的に確認する担当者を配置します。このプロセスにより、不正なアクティビティや潜在的なセキュリティ問題をタイムリーに検出できます。
- 監査証跡の保護： 監査証跡を保護し、改ざんや破壊を防ぎます。ログは少なくとも1年間保存し、3ヶ月分はすぐに分析に利用できるようにしてください。ログデータの保護には、信頼性の高いログプラグインと、可能であればリモートログサーバーを使用してください。
定期的なセキュリティテストとスキャン
セキュリティ システムとプロセスを定期的にテストする必要があります。
- 四半期ごとの脆弱性スキャン： 認定スキャンベンダー（ASV）による内部および外部ネットワークの脆弱性スキャンを四半期ごとに実施します。これらのスキャンは、ネットワークインフラストラクチャとWebアプリケーションの既知の脆弱性を特定し、修正するのに役立ちます。
- 侵入テスト： WordPressサイトやネットワークに重要なアップグレードや変更を加えた後、少なくとも年に1回、また必ず侵入テストを実施してください。侵入テストでは、実際の攻撃をシミュレートして脆弱性を発見し、悪用します。
- ファイアウォールとポリシーのテスト： を含むプロセスをテストし バックアップとリカバリの手順、事業継続性を確保します。
- リスク評価： 少なくとも年に1回、正式なリスク評価プロセスを実施してください。このプロセスにより、重要な資産、脅威、脆弱性が特定され、情報セキュリティに対する最も重大なリスクを優先順位付けして対処できるようになります。
情報セキュリティポリシーの維持
明確な情報セキュリティ ポリシーを確立し、維持し、普及する必要があります。
- セキュリティポリシーの確立： 請負業者やサードパーティベンダーを含む全従業員の情報セキュリティに関する情報セキュリティポリシーを作成し、公開します。ポリシーでは、セキュリティに関する責任を明確に定義する必要があります。
- インシデント対応計画の策定： 正式に文書化されたインシデント対応計画を実施します。この計画では、データ侵害やセキュリティインシデント発生直後にチームが講じるべき、被害の抑制と関係者への通知のための手順を概説します。
- セキュリティ意識向上トレーニング： 正式なセキュリティ意識向上プログラムを実施します。すべての従業員は、カード会員データの保護におけるリスクと責任を理解する必要があります。
さらに詳しく: WordPressウェブサイトのSOC 2コンプライアンス
WordPressのPCI DSSコンプライアンスの検証
PCI DSS コンプライアンスの達成は、制御の実装と検証という 2 つの部分から成るプロセスです。
検証プロセスは加盟店レベルによって異なります。加盟店レベルは、処理するクレジットカード決済の年間量によって決まります。
- 販売業者レベルの決定: 4 つの販売業者レベルによって検証要件が決まります (例: レベル 4 は最低取引量、レベル 1 は最高取引量)。
- 自己評価アンケート（SAQ）への回答： 中小規模のWordPress eコマースサイトの多くは、自己評価アンケート（SAQ）に回答しています。SAQの種類（例：SAQ A、SAQ A-EP、SAQ D）は、サイトの 決済処理。例えば、完全にホストされた決済ページ（オフサイト）を使用している場合は、よりシンプルなSAQ Aで済む可能性があります。決済フォームがWordPressページに埋め込まれている場合は、要件が大幅に厳しくなります。
- 四半期ごとの ASV スキャン: 認定スキャン ベンダー (ASV) が実行する四半期ごとの外部脆弱性スキャンに合格したことの証拠を提出する必要があります。
- コンプライアンスに関するレポート (ROC): レベル 1 の販売業者は、認定セキュリティ評価者 (QSA) によるオンサイト評価を毎年受ける必要があり、評価を受けてコンプライアンスに関するレポート (ROC) が作成されます。
必ずアクワイアリング銀行または決済代行業者と連絡を取り合ってください。最終的にPCIコンプライアンスを強制執行するのは彼らであり、DSSコンプライアンスチェックリストの完了を証明するために提出が必要な書類を正確に教えてくれます。
PCI DSSコンプライアンスによるWordPressセキュリティ強化の概要
顧客の機密データを保護することは、電子商取引ビジネスを成功させるための基盤です。
PCI DSS コンプライアンスは WordPress サイトの所有者にとって困難に思えるかもしれませんが、この包括的な PCI DSS コンプライアンス チェックリストに従うことでプロセスが簡素化されます。
ネットワーク セキュリティ制御を確立し、強力なアクセス制御手段を確保し、カード所有者データを適切に保護し、セキュリティ システムを継続的に確認することで、データ侵害のリスクを大幅に軽減できます。
情報セキュリティに対するこの取り組みは、PCI DSS 標準への準拠を保証するだけでなく、顧客との永続的な信頼を育み、企業が顧客の財務情報の保護に注力していることを示すことにもなります。
これを、単なるクリアすべきハードルとしてではなく、データ保護に対する継続的な取り組みとして受け入れてください。
PCI DSSコンプライアンスに関するよくある質問
WordPress サイトが PCI 準拠になるにはどうすればよいでしょうか?
WordPressサイトは、カード会員データを保護し、安全な設定を採用し、必要なすべてのセキュリティ対策を遵守することで、PCI準拠となります。継続的な保護を確保するため、安全なシステムを維持し、すべてのユーザーに対してアクセス認証を行い、セキュリティシステムを定期的にテストする必要があります。
カード所有者データへの物理的なアクセスを制限するにはどうすればよいですか?
サーバー、バックアップ、そして機密情報を保存するあらゆるデバイスへのアクセスを制限します。施錠された部屋、監視カメラ、入退室管理などを活用し、ユーザーの物理的なアクセスを制限してください。これにより、不正アクセスのリスクを軽減できます。
悪意のあるソフトウェアからサイトを保護するにはどうすればよいですか?
信頼できるセキュリティツールを活用し、すべてのソフトウェアを最新の状態に保ってください。サイトを頻繁にスキャンして、悪意のあるソフトウェアを早期に発見しましょう。使用していないプラグインを削除し、セキュリティパッチを適宜適用してください。
自己評価アンケートに回答する必要がありますか?
はい。ほとんどの企業は、コンプライアンスを確認するために自己評価アンケートに回答する必要があります。このアンケートでは、アクセスの認証、データの保護、安全な設定の適用、必要な安全対策の維持が行われていることを確認します。
WordPress のセキュリティ設定はどのくらいの頻度でテストする必要がありますか?
セキュリティシステムを定期的にテストし、防御が適切であることを確認する必要があります。定期的なスキャン、監査、チェックをスケジュールすることで、脅威に先手を打つことができ、サイトのPCIコンプライアンスを維持できます。
