説明
PCI DSS 要件 3.6.4 では、キーが暗号化期間の終わりに達した場合、エンティティはキーを廃棄または交換する必要があると規定しています。暗号化期間とは、特定のキーを暗号化操作に使用できる期間です1。廃止されたキーは暗号化操作に使用しないでください。暗号解析によって侵害または弱化されている可能性があり、データを適切に保護できない可能性があります。廃止されたキーは、必要に応じて、廃止されたキーで暗号化された履歴データにアクセスするための復号化操作に引き続き使用できます2。
したがって、正解は選択肢Aです。
暗号キーの廃止と置換に関しては、他のオプションは当てはまりません。選択肢 B は当てはまりません。PCI DSS では、ビジネス上または法的理由で不要になった暗号素材を安全に削除することがエンティティに求められていますが、PCI DSS では、廃止されたキーの暗号キー コンポーネントの保存期間が指定されていません。オプション C は当てはまりません。PCI DSS では、すべてのキー管理者の役割、責任、説明責任を定義し文書化することがエンティティに求められますが、PCI DSS では新しいキー管理者を割り当てる必要はありません。選択肢 D は当てはまりません。PCI DSS では、ビジネス上または法的な理由でカード会員データが不要になった場合、エンティティはカード会員データを読み取り不能にする必要がありますが、廃止されたキーで暗号化されたすべてのデータを安全に破棄する必要はありません。参考文献:
PCI DSS v3.2.1
暗号化キー ブロック - PCI セキュリティ標準評議会

説明
要件 3.1.2 によると、少なくとも 1 つの要件が「未テスト」とマークされている評価は部分的な評価とみなされます。これは、PCI DSS v3.2.1 クイック リファレンス ガイド 1 の付録 E で定義されているすべての要件と管理を満たしていないことを意味します。これは、PCI DSS に従って評価が確実に実施されるようにするための要件の 1 つです。

説明
用語集によると、オーダーメイドおよびカスタム ソフトウェアは、企業が独自に使用するために開発したソフトウェアを指します。つまり、他の企業と共有したり、適切な許可なしに販売または譲渡したりしてはならないことを意味します。これは、オーダーメイドおよびカスタム ソフトウェアが、PCI DSS v3.2.1 クイック リファレンス ガイド 1 の付録 E で定義されているすべてのセキュリティ標準と管理を確実に満たすための要件の 1 つです。

説明
PCI DSS 要件 9.1.1 では、カード所有者データ環境 (CDE)1 内のシステムへの物理的アクセスを制限および監視するために、適切な施設入場制御を使用することが事業体に求められています。バッジ アクセス制御システムは、サーバー ルームに誰がいつ出入りしたかを識別できるため、そのような制御の一例です。ただし、この制御は、PCI DSS 要件 9.1.2 に記載されているように、権限のない人物による改ざんや無効化から保護されている場合にのみ有効です1。そうしないと、アクセス制御システムがバイパスまたは侵害され、暗号化された PAN データを保存するシステムへの不正アクセスが許可される可能性があります。したがって、オプション A に記載されているように、バッジ アクセス制御システムは改ざんまたは無効化から保護する必要があります。
サーバー ルームの PCI DSS 物理セキュリティ要件に関しては、他のオプションは当てはまりません。オプション B は当てはまりません。推奨されるベスト プラクティスではありますが、PCI DSS では既存のアクセス制御システムに加えてビデオ カメラの使用を義務付けていないからです2。PCI DSS ではアクセス制御システムのデータ保存期間が指定されていないため、オプション C は当てはまりません。ただし、PCI DSS では、監査証跡履歴を少なくとも 1 年間保存し、少なくとも 3 か月はす​​ぐに分析に利用できるようにする必要があります3。オプション D は当てはまりません。PCI DSS では、既存のアクセス制御システムに加えてモーション センシング アラームを使用する必要がありませんが、これも推奨されるベスト プラクティスです2。参考文献:
PCI DSS v3.2.1
PCI DSS 要件 9: 物理的セキュリティの強化
PCI DSS 要件 10: ネットワーク リソースとカード所有者データへのすべてのアクセスを追跡および監視する

説明
PCI DSS では、評価者は、ビジネス施設のサンプルが評価の対象となる施設全体を代表していることを検証する必要があります。PCI DSS 要件に準拠
12.8.5、「どの PCI DSS 要件が各サービス プロバイダーによって管理され、どの PCI DSS 要件がエンティティによって管理されるかに関する情報を維持する。」さらに、PCI DSS 要件 12.9.1 によれば、「サービス プロバイダーの場合、要件に指定されているとおり、書面による同意/承認を顧客に提供する必要があります。」
したがって、ビジネス施設のサンプルを検証するための PCI DSS 要件を満たすシナリオは、評価がカード製造環境の多様性と複雑さを確実にカバーするように、施設のすべての種類と場所が代表されるシナリオです。他のシナリオは、施設の変動性を考慮していないか、PCI DSS によって定義されたサンプリング方法論に従っていません。参考資料: PCI DSS v3.2.1、Card Production Security Assessor - Physical - Credly