PCI DSS 4.0 ルール 24.1

PCI DSS 4.0 ルール 24.1とは、カード会員データ環境（CDE）を非カード会員データ環境から分離し、物理的・論理的に隔離することを義務付ける規定である。

概要

PCI DSS は PCI セキュリティ・スタンダーズ・カウンシルが策定した支払カード情報保護基準であり、金融機関や決済サービスプロバイダーに対して共通のセキュリティ要求を課す。4.0版では、クラウド化・APIベースの決済環境拡大に伴い、従来よりも細分化されたネットワーク構成が必要とされるようになった。ルール 24は「CDE の分離」に関する要件をまとめており、その中核となるのがサブルール 24.1である。
この規定は、カード会員データに対するアクセス権限を最小化し、外部からの侵入や内部不正行為によって情報漏えいリスクを低減させることを目的としている。

役割と機能

ルール 24.1 は以下のような場面で実装される。

• ネットワーク分離：CDE 内のサーバー、ストレージ、データベースは物理的または論理的に別々のセグメントに配置し、ファイアウォールや VLAN でトラフィックを制限する。
• アクセス制御：CDE に接続できるホストは厳格に限定され、必要最低限のサービスのみが稼働するよう設定する。
• 監査ログの分離：カード会員データへの操作ログは非 CDE のシステムとは別途保存し、改ざん防止と迅速なインシデント検知を可能にする。
• コンプライアンススコープ縮小：CDE を明確に分離することで、PCI DSS の適用範囲（Scope）を限定でき、監査負担や運用コストを削減できる。

API 銀行・オープンバンキング環境では、外部開発者が利用する API エンドポイントと内部のカードデータ処理サーバーを分離し、認証フローだけを共有するといった設計が求められる。
BaaS プラットフォームやモバイル決済サービスも同様に、トークナイゼーション・3D セキュア機能を提供する際に CDE を分離し、外部の認証サーバーとデータベースを隔離している。

特徴

• 物理的／論理的二重分離：単なるファイアウォールだけでなく、ハードウェアレベルでの VLAN 分割や専用ネットワークカードを使用するケースが多い。
• 最小権限原則との統合：CDE 内のホストは「必要最低限」のサービスのみを稼働させ、不要なポート・プロトコルは閉じる。
• スケーラビリティ対応：クラウド環境ではサブネットやセキュリティグループで自動的に分離される設計が採用される。
• 監査証跡の独立性：CDE 内外のログを別々に保管し、改ざん検知と法規制遵守（PCI DSS 4.0 の監査要件）を満たす。

現在の位置づけ

近年、デジタル決済市場は API 銀行・オープンバンキング、eウォレット、QR コード決済など多様化している。こうした環境では CDE がクラウドやマイクロサービスに分散されるケースが増えるため、ルール 24.1 の実装は必須となっている。
規制当局（PCI SSC）も「Zero Trust」アーキテクチャを推進しており、CDE 分離はその基盤技術として位置付けられている。さらに、国際決済ネットワークや各国の金融監督機関が、分離された環境でのカードデータ処理を条件に認証・承認を行うケースも増加している。
結果として、PCI DSS 4.0 のコンプライアンスは単なるチェックリストではなく、組織全体のセキュリティ戦略と連動した不可欠な要素となっている。