PCI-DSSメールセキュリティコンプライアンスチェッカー

あなたのドメインはPCI-DSSのメールセキュリティ要件を満たしていますか？

メールに関連するPCI-DSS 4.0.1の管理要件に対応した無料コンプライアンスチェック — フィッシング対策（5.4.1）、強力な暗号化（4.2.1）、ログ監視（10.4.1）、送信者認証（6.4.1、8.2）。即時、登録不要、数秒で結果が得られます。

PCI-DSSのメールセキュリティ対策の解説

PCI-DSS 4.0.1は、Visa、Mastercard、American Express、Discover、JCBによって施行される、カード会員データを保存、処理、または送信するすべての組織に適用される支払いカード業界データセキュリティ基準です。複数の要件がメールに直接関連しており、フィッシング対策、転送中の暗号化、ログ監視、送信者の識別が含まれます。Skysnagは、コンプライアンスプログラムのメールレイヤーを、QSAが確認する基盤となるDNSレコードと認証状態にマッピングします。

PCI-DSS 4.0.1では「DMARC」という用語は明示的に使用されていませんが、要件5.4.1は技術的なフィッシング対策を義務付けており、PCI SSCのガイダンスおよびQSAの解釈では、DMARCの強制適用がメール層での実装として一貫して認識されています。実務上、ほとんどすべての監査人はDMARCがp=quarantineまたはp=rejectに設定されていることを期待します。
いいえ。p=noneはポリシーレコードを公開しますが、失敗したメールに対して何も処理を行いません — フィッシング対策としては無効であり、要件5.4.1を満たしません。PCI準拠の最低要件はp=quarantineであり、推奨状態はp=rejectです。
PCI-DSS 4.0.1の要件4.2.1では、mode=enforceのMTA-STSがより厳格な解釈とされています。mode=testingはレポートを提供しますが、TLSダウングレード攻撃を防ぐことはできません。そのため、カード会員データを含むメールが転送中に傍受される可能性があり、これは要件4.2.1への直接的な違反となります。
PCI-DSS 4.0.1は、カード会員データ環境（CDE）に関連するすべてのドメインに適用されます。たとえカード情報がメールで送信されていなくても対象となります。フィッシング対策は、CDEにアクセスできる従業員を認証情報の窃取から保護します。これは、決済カード関連の侵害における最も一般的な初期侵入経路です。
このスキャンを証跡パッケージの一部としてエクスポートしてください：評価時点のDMARC、SPF、DKIM、MTA-STS、TLS-RPTレコードと、アクティブな監視を示す90日分の集計レポート。Skysnag Monitorは、各要件に対応したコンプライアンス対応の証跡エクスポートを生成します。
同じメールセキュリティ対策（DMARCの強制適用、MTA-STS、TLS-RPT、整合されたSPF/DKIM）は、SOC 2（CC6.1、CC6.6）、ISO 27001:2022 附属書A 5.14、およびNIS2指令第21条のメール関連要件を満たします。Skysnagのコンプライアンスレイヤーはこれらのフレームワークを横断的にマッピングし、同じ問題を二重に対応する必要をなくします。