説明
PCI カード製造の物理的セキュリティ要件に従って、CCTV およびアクセス制御サーバーはセキュリティ制御室 (SCR) または同等のセキュリティが備わった部屋内に配置する必要があります。これは、部屋には、ロック、警報、センサー、カメラ、アクセス制御装置など、SCR と同じレベルの物理的保護が必要であることを意味します。この要件の目的は、カードの製造とセキュリティに関連する機密データを保存および処理するサーバーへの不正アクセス、改ざん、または盗難を防ぐことです。参考資料: PCI カード製造の物理的セキュリティ要件、v2.0、2019 年 4 月、16 ページ

説明
PCI カード製造の物理的セキュリティ要件によると、カード出荷のセキュリティ管理の 1 つは、紛失、盗難、改ざんなどのカード出荷インシデントに対処するためのインシデント対応計画をベンダーが確実に策定することです。インシデント対応計画には次の手順を含める必要があります1:
ベンダーはインシデントのレビューを実施して、インシデントの原因と範囲を特定し、調査結果と講じた措置を文書化する必要があります。
ベンダーは、インシデントを発見してから 24 時間以内、またはできるだけ早く VPA、発行者、および法執行機関に通知する必要があります。
ベンダーは、インシデントの調査と解決において VPA、発行者、法執行機関と協力し、要求された証拠や情報を提供する必要があります。
ベンダーは、インシデントの再発を防ぐために是正措置を講じ、その結果を VPA および発行者に報告する必要があります。したがって、準拠している組織を最もよく反映する対応はオプション D です。これは、PCI カード製造の物理的セキュリティ要件で要求されているインシデント対応計画の手順に従います。参考資料: PCI カード製造の物理セキュリティ要件、バージョン 1.0、2019 年 4 月、セクション 1.1、目標 6、要件 6.2、131 ページ

説明
PCI カード製造の物理的セキュリティ要件によると、契約したガード サービスのセキュリティ管理の 1 つは、カード素材の損失に備えて独自の賠償責任保険を確実に維持することです。これは、カード素材の過失、盗難、悪用など、契約したガード サービスによって引き起こされる経済的損失または損害からカード作成ベンダーを保護するためです。契約した警備サービスもベンダーのセキュリティ ポリシーと手順に準拠し、身元調査とセキュリティ トレーニングを受ける必要があります。参考資料: PCI カード製造の物理セキュリティ要件、バージョン 1.0、2019 年 4 月、セクション 1.1、目的 2、要件 2.2.1、71 ページ

説明
Attestation of Compliance (AOC) は、PCI カード製造評価の結果を説明する文書であり、CPSA とベンダー執行役員の両方によって署名されています。AOC は評価の結果と結論の概要であり、ベンダーが PCI カード製造の論理的セキュリティ要件および/または PCI カード製造の物理的セキュリティ要件を満たしているかどうかを示します。AOC は、PCI SSC が提供するテンプレートを使用して完成させる必要があり、コンプライアンスに関するレポート (ROC) およびその他のサポート文書とともに PCI SSC に提出する必要があります。AOC は、要求に応じてベンダーのクライアントにも提供する必要があります。参考文献:
PCI Card Production Security Assessor (CPSA) 資格要件、v1.0、2019 年 4 月、11 ページ、要件 7.1.1 PCI Card Production and Provisioning Attestation of Compliance、v2.0、2019 年 4 月、1 ページ、セクション 1

説明
コンプライアンスに関するレポート用の PCI カードの製造およびプロビジョニング テンプレートによると、ROC にリストされている各要件について、すべての種類の調査結果に完全な説明が必要です。所見は、各要件に対する企業の遵守状況に対する評価者による評価の結果です。検出結果の種類は次のとおりです。
準拠: エンティティは、PCI カード製造規格に記載されている要件を満たしています。
非準拠: エンティティは、PCI カード製造規格に記載されている要件を満たしていません。
該当なし: 要件はエンティティの環境または運用には適用されません。
未テスト: 正当な理由により、要件は評価者によってテストされませんでした。
新規: エンティティは、前回の評価以降、要件に影響を与える新しいプロセス、システム、または制御を実装しました。
クローズ済み: 企業は以前の非準拠の発見を修正し、評価者に十分な証拠を提供しました。
完全なナラティブ応答は、次の要素を含む調査結果の詳細な説明です。
要件を評価するために評価者が実行するテストの範囲 評価者が使用するテスト手順とツール 評価者が使用するサンプリング方法と理論的根拠 評価者が収集およびレビューした証拠 評価者が行った観察と結論 推奨事項と改善評価者によって提案されたアクション（ある場合） 企業の遵守状況の明確かつ包括的な文書を提供し、評価者の専門的な判断と意見をサポートするには、あらゆる種類の調査結果に対して完全な説明的回答が必要です。完全なナラティブな応答は、決済ブランド、PCI SSC、および事業体自体が事業体の環境、リスク、管理を理解し、評価の正確性と妥当性を検証するのにも役立ちます。参考文献:
コンプライアンスに関するレポート用の PCI カード製造およびプロビジョニング テンプレート、バージョン 1.0、2019 年 4 月、4 ページ コンプライアンスに関するレポート用の PCI カードの製造およびプロビジョニング テンプレート、バージョン 1.0、2019 年 4 月、5 ページ コンプライアンスに関するレポート用の PCI カードの製造およびプロビジョニング テンプレート、バージョン1.0、2019 年 4 月、6 ページ