説明
カード会員データを含むメディアの分類は、含まれるデータの機密性に応じてメディアの財産が確実に保護されるようにすることを目的としています。つまり、機密性または完全性のレベルを示すラベルまたはタグをメディアに付ける必要があります。これは、カード所有者のデータを含むメディアに適切なラベルが付けられていることを確認するための要件の 1 つです。

説明
要件 4 によると、監査ログ ファイルの閲覧は、職務に関連する必要がある個人に限定される必要があります。つまり、監査ログ ファイルには、職務に関連する正当な目的でのみアクセスする必要があります。
これは、監査ログ ファイルが無許可の担当者または不要な担当者によってアクセスされないようにするための要件の 1 つです。

説明
PCI DSS v3.2.1 クイック リファレンス ガイド 1 によると、訪問者はカード所有者データが処理または維持されるエリア内では常に付き添われ、訪問者バッジはオンサイト担当者が使用するバッジと同一であり、訪問者ログには訪問者の名前、住所、連絡先電話番号が含まれます。に基づき、訪問者は訪問終了後 30 日間、身分証明書 (訪問者バッジなど) を保持します。これらは、カード所有者データが処理または維持される範囲内のシステムにアクセスする訪問者を管理する組織の手順に含める必要がある手順の例です。

説明
PCI DSS v3.2.1 クイック リファレンス ガイド1 によると、評価者は独自のテンプレートまたは PCI SSC が提供する ROC レポート テンプレートのいずれかを使用できます。これは、ROC の一貫性と正確性を確保するための要件の 1 つです。

説明
ハッシュは、ハッシュ値から元のデータ要素を取得する方法を使用せずに、データ要素を一意の固定サイズのデータ​​要素 (ハッシュ値) に変換する一方向暗号化の形式です1。トランケーションは、PAN データのセグメントを永久に削除することで、PAN 全体を読み取り不能にする方法です2。PCI DSS 要件 3.4 では、エンティティは、強力な暗号化、切り捨て、インデックス トークンとパッドに基づく一方向ハッシュ、関連するキー管理プロセスを使用した強力な暗号化、および手順３．ただし、PCI DSS 要件 3.4e では、同じ PAN のハッシュされたバージョンと切り捨てられたバージョンが環境内に存在する場合、元の PAN3 を再構築するためにハッシュされたバージョンと切り捨てられたバージョンが相関できないことを保証するための追加の制御を導入する必要があるとも述べています。これは、攻撃者が同じ PAN のハッシュされたバージョンと切り捨てられたバージョンの両方を取得した場合、ブルート フォース攻撃または辞書攻撃を使用して、一致する 4 が見つかるまで異なる PAN 値をハッシュおよび切り詰めることにより、元の PAN を推測できる可能性があるためです。したがって、正解は選択肢Aです。
他のオプションは、環境内に同じ PAN のハッシュされたバージョンと切り捨てられたバージョンの両方が存在する場合には当てはまりません。オプション B は当てはまりません。PCI DSS では PAN のハッシュ バージョンも切り詰める必要がありませんが、元の PAN5 が公開されるリスクをさらに減らすために推奨されるベスト プラクティスです。オプション C は当てはまりません。PCI DSS では、ハッシュ化されたバージョンと切り捨てられたバージョンを相関付ける必要がありません。これにより、PAN を読み取り不能にするという目的が無効になり、元の PAN が公開されるリスクが高まるからです。オプション D は当てはまりません。元の PAN の再構築を防ぐための追加の制御が行われている限り、PCI DSS は同じ環境内に同じ PAN のハッシュされたバージョンと切り捨てられたバージョンの両方が存在することを禁止していないからです。参考文献:
PCI DSS 3.4 に従ってハッシュ化されたカード所有者データを保護 - Advantio
PCI DSS 切り捨てルールとガイドライン - Truvantis
PCI DSS v3.2.1
ハッシュ化および切り詰められたバージョンの PAN を使用したカード番号の保存
pci dss - クレジットカードデータのセキュリティ - ハッシュ、切り捨て、暗号化 - スタック・オーバーフロー