【第8話】PCIって、パーツ？｜ITパスポート 令和3年度 問61

拓也

わざわざ銀行まで呼び出すなんて、珍しいね

拓也

準備いいね。……あ、その申込書のパンフレット、ちょっと見せて

拓也

お、ちょうどいいや。それ、今日の問題にまるまる出てくる単語だよ

拓也

出るよ。しかも、けっこう紛らわしいひっかけがある問題だから、気を抜けないよ

拓也

お、なんでそう思った？

拓也

よく覚えてたね……。でも、それ、まさに問題が仕掛けてるひっかけそのものなんだ

拓也

うん。PCI DSSとPCI Expressは、"PCI"って文字が共通してるだけで、中身は完全に別物なんだ

拓也

ITの世界、こういう名前だけ似てる別概念、本当に多いんだよね。惑わされないコツを、今から一緒に見ていこう

拓也

まず、正解から言うね。イ　PCI DSS

拓也

Payment Card Industry Data Security Standardの略。日本語にすると『クレジットカード業界のデータセキュリティ基準』

拓也

そう、そこがポイント。PCI DSSは、特定の技術じゃなくて"ルールブック一式"なんだ。たとえ話するね。レストランが保健所からもらう衛生基準をイメージして

拓也

うん。『冷蔵庫の温度は何度以下にする』『調理器具はこう消毒する』『従業員は手洗いをこう徹底する』……みたいな、お店が守るべきルールが何十項目もまとめられてるでしょ

拓也

PCI DSSも同じ発想で、クレジットカード情報を扱うお店やサービスが、"カード情報をこう暗号化しなさい""アクセスできる人をこう制限しなさい""定期的にこうチェックしなさい"、みたいなルールを何十項目もまとめた基準なんだ

拓也

『うちはこのルールブック、ちゃんと全部守ってますよ』っていう宣言、ってこと

拓也

完璧な理解。PCI Expressはパソコンの中の部品をつなぐ規格、PCI DSSはカード情報を扱う組織が守るべきルールの集まり。カテゴリーからして別物なんだよ

拓也

よし、じゃあセキュリティ基準の話が出たところで、今後の勉強、もっと体系的にやったほうがいいと思うんだよね

拓也

今までの内容を整理して、今後どの分野をどの順番でやるといいか、週ごとにまとめてみた。ストラテジ系、マネジメント系、テクノロジ系のバランスも考えて――

拓也

昨日の夜、ちょっと気になって……。美咲のペースだと、この分野が手薄になりそうだから、先に潰しておいたほうがいいかなと思って

拓也

え、迷惑だった……？

拓也

……たしかに、そうだよね。ごめん、テンション上がって突っ走った

拓也

以後、気をつけます

拓也

気を取り直して、残りのアとエね

拓也

よく覚えてたね。近距離無線通信の技術で、数センチしか届かないから安全、っていう話だった。でも、これは通信の技術であって、カード情報を守るための"基準"とは別物

拓也

RFIDは無線タグを使って、モノを識別する技術。ICタグをかざすだけで在庫管理ができたりするやつ。NFCと近い技術ではあるんだけど、これも基準じゃなくて技術だから、今回の答えにはならない

拓也

そのとおり。この問題、実は4つとも似たような響きなのに、全部違うレイヤーの話っていう、けっこう凝ったひっかけ構成になってるんだ

拓也

『PCI』って文字が出てきたら、まずDSS（基準）なのかExpress（規格）なのかを見分ける癖をつけるといいよ。似た略語ほど、"何のジャンルの話か"で区別するのがコツ

拓也

クレジットカード情報が漏れると、不正利用の被害が一気に広がるでしょ。だから、カード会社や加盟店、決済代行会社がバラバラのセキュリティレベルで運用してたら危ないんだ。そこで業界全体で『最低限これは守ってね』っていう共通ルールを作ったのがPCI DSS

拓也

絶対とまでは言えないけど、信頼できるかどうかの目安の一つにはなるよ。カード情報を入力する画面が出てきたら、こういう基準を意識してるお店かどうか、ちょっと気にしてみるといいかも

拓也

うん、いってらっしゃい

拓也

え、聞いてくれるの？　さっき怒ってたのに

拓也

……うん。じゃあ、ちゃんと相談しながら進めよう

拓也

いや、なんでもない。行っておいで、番号呼ばれてるよ