JCDSC 1/26ベンダー部会レポート　国内ASV企業が初の情報交流

今回のベンダー部会は、「PCIDSS要件11、セキュリティシステムとプロセスの定期的テスト」をテーマに開催しました。外部ネットワークの脆弱性スキャンは、PCISSC認定スキャンベンダー（ASV）によって実施される必要があるとされています。今回は、国内のASV事業者の多くが参加して、自社のサービス内容を紹介して質疑応答。日本国内初の有益な会合となりました。

カード会社からのオブザーバー参加も加え、50名が参加。

日時	2012年1月26日（木）　14：30～17：30
会場	京セラコミュニケーションシステム株式会社（東京都港区三田）

【内容】

1) ASVの要件について：事務局・森（日本オフィス・システム㈱）　資料（PDF）

PCISSCでは「ASVプログラムガイド」により、ASVによる外部N/Wスキャンの実施基準を定めて、ASVの認定を得るための、検査内容の品質について定めています（Ver1.2・英語版のみ）。
・ASVは、顧客が依頼したIPアドレスやドメイン以外でも、クレジットカード情報に関係するものがないかを、充分に確認する必要がある。
・顧客がインターネット・サービス・プロバイダ（ISP）やホスティング・プロバイダーを利用している場合、ASVがスキャンできるよう、調整をする必要がある。
・スキャンは、顧客のシステム環境に影響を与えないようにしなければならない。
・顧客のシステム環境を故意に変更したり、侵入したりしてはいけない。
・Denial of service (DoS攻撃)や、Buffer overflow exploit（バッファ・オーバーフロー）など、破壊的・暴力的な検査手法は行わない。
などが定められており、ASVはこうしたガイドラインに適合している事業者です。
続いて、ASV企業から、各社15分ずつサービス紹介を行いました。

2) 京セラコミュニケーションシステム(株)様

脆弱性スキャンとペネトレーションテストの違いにもふれながら、nCircle Network Securityの説明をする佐藤様

3) NTTデータ先端技術(株)様

Scanning Service-NinjaSCANを説明する諸橋様

4) 三和コムテック㈱様とトッパンエムアンドアイ㈱様

マカフィーセキュア（ハッカーセーフ）と、IBM AppScan

5) TIS㈱様

説明する中村様（右）と三木様

6) 日本オフィス・システム㈱様　資料（PDF）

ControlCase GRC

7) ベライゾン ビジネス様

Cybertrust Vulnerability Assessment Servicesを説明する岡田様

8) NRIセキュアテクノロジーズ㈱様

Security Assessment for PCIを説明する矢野様

9) SCSK㈱様

Retinaを説明する富田様

10) 質疑応答およびその他情報交換

今回は事前に参加各社から寄せられてあった質問を含め、回答が交わされました。
・ネットワークスキャンは、ペネトレーションテストのうちのどのくらいの範囲を占めるのか。
・スキャン中はシステムを通常サービス稼働中でもだいじょうぶか。これまでの実績で、受診側のサービスに支障が出たことはあるか。
・検査するグローバルIPアドレスが3個程度の場合、スキャン実施は何時間くらいか。
・診断された結果、発見された脆弱性に対して、解決策の相談や改善の提案もしていただけるか。

意見交換の様子

以上