説明
PCI Security Standards Council (PCI SSC) は、CPSA 企業に対して定期的な評価者品質管理 (AQM) 監査を実施し、企業が PCI CPSA 資格要件および PCI カード製造基準に準拠していることを確認します。AQM 監査は PCI SSC スタッフまたは認定された第三者によって実施され、オンサイト訪問、リモート レビュー、またはその両方が含まれる場合があります。AQM 監査の目的は、CPSA 企業の評価プロセス、レポート、文書の品質と一貫性、および PCI SSC 職業責任規範の順守を検証することです。AQM 監査は、特定された不遵守問題の重大度と頻度に応じて、是正措置、制裁、または CPSA 企業ステータスの取り消しにつながる可能性があります。参考文献:
PCI Card Production Security Assessor (CPSA) 資格要件、v1.0、2019 年 4 月、12 ページ、要件 8.1 PCI Card Production Security Assessor (CPSA) プログラム ガイド、v1.0、2019 年 4 月、6 ページ、セクション 3.2

説明
PCI CPSA 資格要件によると、CPSA 企業の管理要件の 1 つは、PCI SSC によって定義されたレポート配信スケジュールに従うことです。レポートの配信スケジュールには、PCI カード製造コンプライアンス レポート (ROC) およびコンプライアンス証明書 (AOC) を PCI SSC および決済ブランドに提出する期限が指定されています。レポート配信スケジュールは、CPSA 会社がレポート配信期限の延長または免除を要求できる状況も定義します。PCI SSC はレポート納品スケジュールの変更を承認できる唯一の組織であり、CPSA 会社は遅延の正当な理由と提案された新しい納品日を記載した書面による要求を PCI SSC に提出する必要があります。PCI SSC はリクエストを検討し、その決定を CPSA 会社に通知します。PCI SSC は、レポート配信スケジュールの変更を決済ブランドおよび影響を受ける発行会社に通知する場合もあります。参考資料: PCI CPSA 資格要件、バージョン 1.1、2020 年 4 月、セクション 6.1.4、121 ページ

説明
Card Production Security Assessor (CPSA) の資格要件によると、評価者は毎回の評価の開始時にクライアントに品質保証マニュアルを提供する必要があります。品質保証マニュアルは、評価を実施するための評価者の方法論、手順、および品質管理措置を説明する文書です。マニュアルは、CPSA プログラム ガイドおよび PCI カードの製造およびプロビジョニングのセキュリティ要件と一致している必要があります。マニュアルには、評価者の役割と責任、評価の範囲と目的、評価計画とスケジュール、評価レポートの形式と内容、評価者の利益相反ポリシーの説明も含める必要があります。参考資料: Card Production Security Assessor (CPSA) 資格要件、v1.0、2019 年 4 月、111 ページ

説明
PCI カードの製造およびプロビジョニングの論理セキュリティ要件によると、ベンダーは正式なセキュリティ意識向上プログラムを実装して、すべての担当者にカードの製造およびプロビジョニングのセキュリティの重要性を認識させる必要があります。セキュリティ意識向上プログラムには、フィッシング、ソーシャル エンジニアリング、マルウェア、ランサムウェアなどの一般的な攻撃手法と、それらを防止、検出、報告する方法に関する年次トレーニングを含める必要があります。セキュリティ意識向上プログラムには、ベンダーのセキュリティ ポリシーと手順、担当者の役割と責任、該当する PCI カードの製造とプロビジョニングのセキュリティ要件、およびコンプライアンス違反の結果に関するトレーニングも含まれている必要があります。また、ベンダーはすべての担当者に、少なくとも年に一度、セキュリティ ポリシーと手順を読んで理解したことを認めるように要求する必要があります。ベンダーは、セキュリティ意識向上プログラムの要件を満たすには不十分であるため、セキュリティ ポスターを単独で使用してはなりません。ベンダーはすべての従業員を対象にセキュリティ意識試験を実施する場合がありますが、コンプライアンスのためには必須ではありません。ベンダーはマントラップの使用について担当者を訓練することもありますが、これは論理的なセキュリティ要件には関係ありません。参考資料: PCI カードの製造とプロビジョニングの論理セキュリティ要件とテスト手順 v3.0、2022 年 1 月、28 ～ 291 ページ

説明
PCI カード製造論理セキュリティ要件によると、ベンダーは従業員の契約終了後 2 年以内に、身元調査を含むすべての従業員情報を安全に破棄する必要があります。これは、従業員の機密データへの不正アクセスを防止し、カード会員データを必要以上に長く保存してはならないという PCI DSS 要件 3.1 に準拠するためです。また、ベンダーは従業員情報を安全に破棄するための文書化されたポリシーと手順を用意し、すべての破棄活動のログを維持する必要があります。参考文献:
PCI カード製造論理セキュリティ要件、v2.0、2019 年 4 月、19 ページ、要件 6.1.1 PCI DSS、v3.2.1、2018 年 5 月、25 ページ、要件 3.1