説明
PCI カードの製造およびプロビジョニングの物理セキュリティ要件によると、セキュリティ制御室はセキュリティ システムが監視および制御されるエリアです。セキュリティ制御室の要件は、警備員または不正なアクセスの試みを警備員に警告する自動システムによってアクセスをリアルタイムで監視する必要があることです。セキュリティ制御室は、不正な侵入を防ぐ物理的な障壁とアクセス制御装置によっても保護されなければなりません。他のオプションはセキュリティ制御室の要件ではありませんが、追加のセキュリティ対策として実装される場合があります。参考文献:
PCI カードの製造およびプロビジョニングの物理セキュリティ要件、バージョン 1.0、2019 年 4 月、ページ
151
PCI カードの製造およびプロビジョニングの物理セキュリティ要件、バージョン 1.0、2019 年 4 月、ページ
161

説明
CPSA プログラム ガイド 1 によると、PCI SSC は Web サイトに準拠カード ベンダーのリストを掲載していません。PCI SSC には、PCI カード製造セキュリティ評価を実行する権限を有する資格のある CPSA 企業および CPSA 従業員のみがリストされています。また、PCI SSC は、カード ベンダーまたは CPSA 企業から完全な ROC または AOC を受け取ったり、レビューしたりしません。ROC および AOC は、CPSA 企業によって、カードの製造およびプロビジョニング サービスに関してカード ベンダーと契約を結んだ該当する決済ブランドに提出されます。決済ブランドは、カード ベンダーのコンプライアンス状況を確認し、自社の Web サイトやデータベースにカード ベンダーを掲載するかどうかを決定する責任があります。したがって、CPSA 会社はベンダーに対し、ROC を受け取った決済ブランド経由でリスティングをリクエストする必要があること、リスティングのプロセスは決済ブランドのポリシーと手順によって異なる可能性があることを通知する必要があります。
CPSA 会社は、ベンダーに対して、PCI カード製造標準への準拠を維持し、資格のある CPSA 会社による年次評価を受けるようアドバイスする必要もあります。

説明
PCI カード製造の論理セキュリティ要件によると、ベンダーの HSA アクセスは、パスバック防止を保証する論理アクセス制御システムを備えたセキュリティ回転式改札口によって強制される必要があります。これは、システムが、アクセス サイクルを完了することなく、ユーザーが同じバッジを複数回使用して HSA に出入りすることを防止する必要があることを意味します。アクセス サイクルは、改札口を通って HSA に出入りするプロセスであり、生体認証、PIN 入力、またはその他の認証方法が含まれる場合があります。別の人が同じバッジを使用して HSA に出入りするのを防ぐために、アクセス サイクルの完了前に、承認されたバッジを最初に提示したときにアクセスのステータスを変更する必要があります。たとえば、人が HSA に入るために許可されたバッジを提示した場合、システムはそのバッジが HSA 内にあることを登録し、その人が同じバッジを持って HSA を出るまで同じバッジを使用しようとする他の人のアクセスを拒否する必要があります。参考資料: PCI カード製造論理セキュリティ要件、v2.0、2019 年 4 月、12 ページ

説明
PCI カードの製造およびプロビジョニングの物理的セキュリティ要件によると、ベンダーは、空調設備を備えた建物へのアクセスを提供するドアを保護するために、セキュリティ制御室のパネルに接続され、永続的に警報される磁気接点を使用する必要があります。また、ベンダーは、空調設備が権限のない担当者がアクセスできない安全なエリアに設置されていること、および権限のないアクセスや改ざんを防ぐために空調システムが監視および保守されていることを確認する必要があります。ベンダーは、空調システムに関連する警報や事故に対応し、関係者に報告する手順も確立する必要があります。ベンダーは、セキュリティ テープ、電気接点、または物理ロックを単独で使用してはなりません。これらは、不正アクセスや改ざんを適切に保護または検出できない可能性があるためです。参考資料: PCI カードの製造とプロビジョニングの物理セキュリティ要件とテスト手順 v3.0、2022 年 1 月、21 ～ 221 ページ