つい先日まで知らなかったんですが、PCI DSS（PCIデータセキュリティ基準)というのがあります。
米国でやっているクレジットカード業界の認定らしい。認定って言うとセキュリティ関連のISMS(ISO27001) や プライバシーマーク 等が思い浮かぶけど、考え方は似たようなものです。
ただそれらに比べると、とても技術重視なことが特徴といえるんじゃないでしょうか。←※さわりをちょっとかじった感想なので参考までに。
ITProから一部引用
CI DSS（Payment Card Industry Data Security Standard）は，情報セキュリティの向上を目的としたクレジットカード産業の業界基準である。
PCI DSSは，クレジットカードのカード情報および取引情報を保護するために，次に示す六つの目的と，それに関する12のデータ・セキュリティ要件を定めている。
ほか、PCI DSSの詳しい内容はITProがきっちりまとめてくれています、運用管理者は是非一読を。
ITPro：セキュリティ基準「PCI DSS」
http://itpro.nikkeibp.co.jp/article/COLUMN/20080407/298166/
PCI DSSでは要件がすごく具体的
なぜこのPCIDSSを記事に引っ張ってきたかというと、示されている用件がとても具体的で有用な定義だと思ったから。
どのように具体的か紹介しておきます、分かりやすいので他社さん(日本オフィス・システム株式会社)の記事から引用させてもらいます。「PCIDSS-ISMSとどこが違うのか」が参考になりました。
- リモートアクセスのユーザー認証では二要素認証を導入する
- パスワードの伝送・保管はすべて暗号化する
- 休眠ユーザーは90日ごとに取り除く
- パスワードは90日ごとに変更する
- 直近4回は同一パスワードの使用は不可
- 連続したアクセス試行は6回以内に制限
- ロックアウトは30分
- セッションアイドル時間は15分以上でパスワード入力にする
あふれんばかりの具体性ですね、さすがにお金がらみはシビアです。
が、お手本にするにはもってこいですね。
PCIDSSにあげられている要素を並べ、取捨選択。それに適当に期間を設定するだけでとてもセキュリティ管理の行き届いたシステムになることでしょう。
アクセス・ログを3カ月間保管しなければならない(タイトル引用→引用元)
ようやく本題？
前回提唱した「アクセスログは3ヶ月保存で定義しとけばいいじゃない」に関連したPCIDSSの要件は↓な感じ。
10.7 監査証跡履歴は，少なくとも1年は保管，最低3カ月間はオンラインで閲覧利用できるようにする。
ここでも目安として3ヶ月という期間が出てくる。
実は ITProの見出し「3ヶ月間保管」につられ、得たりとばかりに記事を書き始めてしまったが、クレジットカード的には1年保管しろという事のようだ。これでは趣旨が変わる？
しかし、いつもお金(取引・決済)関係のように気を使うシステムを作っているわけで無いためここは大きく解釈してみる。
「サーバ本体=1次ストレージ」、「ログ保管場所=2次ストレージ」 とした場合、1次に3ヶ月、2次を含めて1年というという事で妥当な感じがする。
PCIDSSの要件的には最初の3ヶ月時点で「集計済み・閲覧しやすい状態」が求められている気がするが、まあそれは置いとこう。awstats でも logparser でも何でもあるから。
2次ストレージを利用するかはシステムの要件次第という事で、基本は「1次ストレージに3ヶ月保管」というポリシーで運用すればよい、とすればやっぱり「ログの保管は３ヶ月でOK」 という結論を仕立てあげることが出来る。
1年保管はどうしてもログがかさばってしまうので出来ればやりたくない。
OSの初期設定とかもこういうニーズにあわせてあると後で困らなかったりするのになぁ。
