クレジットカード情報を扱う事業者がPCI DSSへの準拠を進めるなかで、「ペネトレーションテストを実施してください」と審査機関やカード会社から求められる場面が増えています。ところが、脆弱性スキャン（ASV：認定スキャニングベンダーが行う外部スキャンなど）との違いが分かりにくく、どの要件で・どの範囲を・どの頻度で・誰が実施すればよいのかを正確に把握できず、対応に迷う担当者は少なくありません。
PCI DSSのペネトレーションテストは、現行のv4.0.1では要件11.4で定められた対策です。擬似的な攻撃を仕掛けてカード会員データ環境（CDE）に実際に侵入できるかを検証するもので、脆弱性を機械的に検出する脆弱性スキャンとは目的も実施者も異なります。
本記事では、PCI DSS v4.0.1におけるペネトレーションテスト要件（要件11.4）の対象・頻度・実施者を結論から整理します。あわせて、ASV脆弱性スキャンとの違い、バージョン改訂で変わった要件番号、そして外注先の選び方と費用相場までを解説します。自社がどこまで対応すべきかを判断し、必要なサービスを選ぶための材料としてご活用ください。
目次
一括ダウンロードする
PCI DSSにおけるペネトレーションテスト要件の全体像
はじめに、PCI DSS v4.0.1でペネトレーションテストとして求められる内容を、テストの種類ごとに整理します。要件番号・対象・頻度・実施者の4点を押さえれば、自社が何をどこまで実施すべきかの輪郭がつかめます。
| PCI DSSのペネトレーションテスト要件（v4.0.1） | 内部ペネトレーションテスト | 外部ペネトレーションテスト | セグメンテーション制御のテスト | （参考）外部脆弱性スキャン |
|---|---|---|---|---|
| 要件番号 | 11.4.2 | 11.4.3 | 11.4.5（全事業者）／11.4.6（サービスプロバイダー） | 11.3.2 |
| 主な対象 | 社内ネットワーク側からカード会員データ環境（CDE）への侵入 | インターネット側からCDEへの侵入 | CDEを隔離するネットワーク分離の有効性 | 外部公開資産の既知脆弱性の検出 |
| 頻度 | 少なくとも12か月ごと＋重大な変更後 | 少なくとも12か月ごと＋重大な変更後 | 全事業者は12か月ごと／サービスプロバイダーは6か月ごと | 少なくとも3か月ごと（四半期） |
| 実施者 | 独立した担当者（QSA・ASVである必要はない） | 独立した担当者（QSA・ASVである必要はない） | 独立した担当者 | PCI SSC認定スキャニングベンダー（ASV）が必須 |
※PCI DSS v4.0.1の要件に基づく整理です。自社の該当範囲は準拠形態により異なります。
ポイントは、ペネトレーションテスト（要件11.4）と脆弱性スキャン（要件11.3）が別の対策として並んでいることです。ペネトレーションテストは内部・外部の両方を少なくとも年1回実施し、ASVによる実施が必須なのは四半期ごとの外部脆弱性スキャンだけである、という線引きを押さえておくと混乱を避けられます。それぞれの中身を、以降で順に見ていきます。
ASV脆弱性スキャンとペネトレーションテストの違い
ここからは、多くの担当者が迷いやすい「脆弱性スキャンを実施すればペネトレーションテストは不要なのか」という疑問を整理します。結論として、両者はPCI DSSで別々に求められる対策であり、片方では代替できません。
違いの核心は、PCI SSC（規格を策定する団体）自身が次のように説明しています。
脆弱性監査では、目立った脆弱性を特定して報告するのみで、ペネトレーションテストではこれらの脆弱性に攻撃を試み、不正アクセスなどの悪意のある行為が可能かどうかを判断します。
出典：補足情報 要件11.3 ペネトレーションテスト｜PCI Security Standards Council（PDF・概念説明。番号はv3.2.1期の旧表記）
脆弱性スキャンが「どこに問題がありそうか」を自動検査で洗い出すのに対し、ペネトレーションテストは「その問題を悪用して実際にカード会員データへ到達できるか」を有資格者が手を動かして検証します。両者の役割の違いを、PCI DSSの要件に沿って比較します。
| 脆弱性スキャンとペネトレーションテストの比較 | 目的 | 手法 | PCI DSSの要件番号 | 頻度 | 実施者 | 主な成果物 |
|---|---|---|---|---|---|---|
| 脆弱性スキャン（ASV） | 既知の脆弱性を網羅的に検出して報告する | ツールによる自動検査 | 要件11.3（内部11.3.1／外部11.3.2） | 少なくとも3か月ごと（四半期）＋重大な変更後 | 外部スキャンはASV（認定スキャニングベンダー）が必須 | スキャン結果レポート（合否・検出項目） |
| ペネトレーションテスト | 脆弱性を悪用し、実際に侵入・不正行為が可能かを検証する | 有資格者による手動の疑似攻撃 | 要件11.4（内部11.4.2／外部11.4.3） | 少なくとも12か月ごと（年1回）＋重大な変更後 | 対象環境から独立した担当者（QSA・ASVである必要はない） | 攻撃経路・侵入可否・影響範囲をまとめた報告書 |
※PCI DSS v4.0.1の要件に基づく整理です。
このように、脆弱性スキャンとペネトレーションテストは目的も実施者も異なり、PCI DSSでは両方が求められます。四半期ごとの外部脆弱性スキャンをASVに依頼していても、年1回のペネトレーションテストは別途実施しなければならない点に注意が必要です。
もう一方の対策であるASV脆弱性スキャン（要件11.3.2）について、対象範囲や四半期ごとの実施手順を詳しく確認したい場合は、以下の記事で解説しています。
PCI DSSのバージョンで変わる要件番号（11.3から11.4へ）
ペネトレーションテストの要件番号を調べると、資料によって「要件11.3」と「要件11.4」が混在していて戸惑うことがあります。これはPCI DSSのバージョン改訂で番号が繰り下がったためで、どちらも間違いではありません。ここで新旧の対応を整理しておきます。
旧バージョン（v3.2.1まで）では、ペネトレーションテストは要件11.3、脆弱性スキャンは要件11.2で扱われていました。PCI SSCの資料にも次のように記載されています。
PCI DSS 要件 11.3 では、ペネトレーションテストが取り上げられています。これは、PCI DSS 要件 11.2 で要求されている内部と外部の脆弱性監査とは異なります。
出典：補足情報 要件11.3 ペネトレーションテスト｜PCI Security Standards Council（PDF・v3.2.1期の旧番号）
v4.0以降では要件11の構成が見直され、脆弱性スキャンが要件11.3に、ペネトレーションテストが要件11.4に繰り下がりました。新旧の対応は次のとおりです。
| バージョンによる要件番号の対応 | 脆弱性スキャン | ペネトレーションテスト |
|---|---|---|
| v3.2.1まで | 要件11.2 | 要件11.3 |
| v4.0／v4.0.1（現行） | 要件11.3 | 要件11.4 |
どちらの番号で書くべきか迷ったら、現行のv4.0.1に合わせて「ペネトレーションテスト＝要件11.4」と整理すれば問題ありません。v3.2.1はすでに廃止されており、PCI SSCは移行期限を次のように公表しています。
As of 31 March 2024, the PCI Security Standards Council (PCI SSC) officially retired PCI DSS v3.2.1.（2024年3月31日をもって、PCI SSCはPCI DSS v3.2.1を正式に廃止しました。）
出典：Now is the Time for Organizations to Adopt the Future-Dated Requirements of PCI DSS v4.x｜PCI Security Standards Council（公式ブログ）
Of the 64 new requirements, 51 are future-dated and will be effective as of 31 March 2025.（64の新要件のうち51件は将来日付要件であり、2025年3月31日から有効となります。）
2024年3月末にv3.2.1が廃止され、2025年3月末には多くの新要件が必須化されています。したがって、これから準拠を進めるなら現行のv4.0.1を前提に、ペネトレーションテストは要件11.4として対応を設計するのが確実です。
ペネトレーションテスト以外にも、v4.0では多くの要件が追加・変更されています。v3.2.1からの変更点と対応期限を要件番号つきで全体的に押さえたい方は、以下の記事をご覧ください。
要件11.4が求めること（サブ要件11.4.1〜11.4.7）
ここからは、ペネトレーションテストを定める要件11.4を、7つのサブ要件に分けて確認します。内部・外部のテストだけでなく、方法論の定義や是正後の再テスト、ネットワーク分離（セグメンテーション）の検証まで含まれる点が、要件11.4の全体像です。まずは7つのサブ要件を「誰が実施するか」で整理すると、自社の該当範囲をつかみやすくなります。
| 要件11.4のサブ要件 | 11.4.1 | 11.4.2 | 11.4.3 | 11.4.4 | 11.4.5 | 11.4.6 | 11.4.7 |
|---|---|---|---|---|---|---|---|
| 求められること | ペネトレーションテストの方法論を定義・文書化・実施する。業界標準の手法、CDE境界と重要システムの網羅、内外両方からのテスト、セグメンテーション検証、アプリケーション層・ネットワーク層のテストを含む | 内部ペネトレーションテストを実施する | 外部ペネトレーションテストを実施する | テストで見つかった悪用可能な脆弱性をリスク評価に沿って修正し、是正を検証するため再テストする | ネットワーク分離（セグメンテーション）を使う場合、その制御の有効性をペネトレーションテストで検証する | セグメンテーション制御の有効性をより高い頻度で検証する | 顧客の外部ペネトレーションテスト（11.4.3・11.4.4）を支援する |
| 対象・頻度など | 結果と是正結果を少なくとも12か月保管 | 全事業者／少なくとも12か月ごと＋重大な変更後 | 全事業者／少なくとも12か月ごと＋重大な変更後 | 全事業者／テストのたび | 全事業者／少なくとも12か月ごと＋制御の変更後 | サービスプロバイダー限定／少なくとも6か月ごと＋制御の変更後 | マルチテナント型サービスプロバイダー限定 |
出典・参考資料（1件）
とくに間違えやすいのが、セグメンテーション制御のテスト頻度です。全事業者が対象の要件11.4.5は少なくとも12か月ごとですが、サービスプロバイダーには要件11.4.6として少なくとも6か月ごとの実施が別途求められます。「サービスプロバイダーは6か月ごと」は要件11.4.5ではなく11.4.6に基づくものだと整理しておくと、自社の該当範囲を正しく判断できます。
各ペネトレーションテストは年1回だけでなく「重大な変更後」にも必要です。ここでいう重大な変更には、新しいシステム構成要素やサブネットワーク、Webサーバの追加、アプリケーションの大幅な改修、ネットワーク構成の変更などが含まれます。定期実施のタイミングでなくても、これらの変更を行った際は追加のテストを検討する必要があります。
ネットワーク分離が適切に検証されている場合は、ペネトレーションテストの範囲をカード会員データ環境に限定できます。この範囲の限定について、PCI SSCの補足情報は次のように述べています。
他のシステムからカード会員データ環境が隔離されるようなネットワーク区分が設定されていたり、こうしたネットワーク区分が PCI DSS 監査の一部として検証されている場合は、ペネトレーションテストの範囲をカード会員データ環境のみに限定することができます。
出典：補足情報 要件11.3 ペネトレーションテスト｜PCI Security Standards Council（PDF・概念説明。番号はv3.2.1期の旧表記）
分離の有効性を検証すること自体が、ペネトレーションテストの範囲とコストを抑える意味を持ちます。
ペネトレーションテストは誰が実施できるのか
「ペネトレーションテストはASVやQSAに依頼しなければならないのか」という点も、よくある疑問です。結論から言うと、ペネトレーションテストにASV・QSA（PCI DSSの認定審査機関）の資格は必須ではありません。PCI SSCは実施者の条件を次のように定めています。
PCI DSS では、QSA や ASV によるペネトレーションテストの実施を必須としてはいません。組織内の有資格者か、資格のある第三者による実施が望ましいでしょう。[…] ペネトレーションテストは、テスト対象環境の管理に関与していない人が実施しなければなりません。たとえば、ファイアウォール管理者がファイアウォールのペネトレーションテストを実施すべきではありません。
出典：補足情報 要件11.3 ペネトレーションテスト｜PCI Security Standards Council（PDF・概念説明。番号はv3.2.1期の旧表記）
重視されるのは資格そのものよりも、テスト対象環境の管理から独立していることです。ここでいう「有資格者」とは、公的資格の保有者という意味ではなく、ペネトレーションテストを適切に行える技能と経験を持つ人を指します。
現行のv4.0.1でも、内部・外部ペネトレーションテスト（要件11.4.2・11.4.3）の実施者には組織的な独立性が求められ、QSA・ASVである必要はないと定められています。社内の担当者でも、外部の専門会社でも、対象環境の運用担当でなければ実施できます。
一方で、四半期ごとの外部脆弱性スキャン（要件11.3.2）はASVによる実施が必須です。ただし、ASVが必須なのはこの四半期ごとの定例スキャンで、重大な変更のあとに行う追加の外部スキャン（要件11.3.2.1）は、対象環境から独立した適切な技能を持つ担当者であれば、ASVでなくても実施できます。この線引きを押さえておくと、ペネトレーションテストの外注先を資格の有無だけで狭めずに検討できます。
自社にペネトレーションテストの義務はあるか
ここまで要件の中身を見てきましたが、「そもそも自社にペネトレーションテストの義務があるのか」は、準拠の形態によって変わります。PCI DSSの準拠は、取扱件数や決済の仕組みに応じてSAQ（自己問診票）やROC（準拠報告書）などの形態に分かれ、適用される要件の範囲も異なるためです。
確実に言えるのは、準拠形態の両端にあたる次の2つです。カード情報を自社で保持せず決済を完全に外部へ委託している加盟店が対象のSAQ Aは、ペネトレーションテスト（要件11.4）を含みません。一方、加盟店向けのSAQ Dやサービスプロバイダー、ROCでの準拠では、要件11.4が全面的に対象になります。
| 準拠形態と要件11.4（ペネトレーションテスト）の適用 | SAQ A（カード情報を保持せず決済を完全に外部委託する加盟店） | SAQ D（加盟店）／サービスプロバイダー／ROC | その他のSAQ区分（SAQ A-EP・B・C など） |
|---|---|---|---|
| 要件11.4の適用 | 対象外 | 全面的に対象 | 取扱い方法により異なる（QSA・アクワイアラに確認） |
SAQ A-EPやB、Cといった中間の区分では、適用される要件が取扱い方法ごとに細かく分かれ、資料によって解釈が揺れることもあります。自社がどのSAQ区分に該当し、ペネトレーションテストが必要かどうかは、審査を担当するQSA（PCI DSSの認定審査機関）や契約先のアクワイアラ（カード会社）に確認するのが確実です。
要件の範囲は準拠形態で決まるため、自己判断で「不要」と決めつけないことが、後の指摘を避けるうえで重要になります。イシュア（カード発行会社）や大規模な加盟店など、ROCでの準拠が求められる事業者は、要件11.4が全面的に対象です。
そもそも自社がPCI DSSの対象になるのか、SAQとROCの違いや12要件の全体像から確認したい場合は、以下の記事で準拠の進め方を整理しています。
一括ダウンロードする
PCI DSS準拠のペネトレーションテストを外注するには
ここからは、ペネトレーションテストを外部に依頼する際の選び方と費用感を整理します。自社に実施できる独立した担当者がいない場合は、外部の専門会社に委託するのが一般的です。
PCI DSS準拠を満たす報告書か（要件11.4.1）で見極める
外注先を選ぶとき、まず確認したいのが「PCI DSSの審査で通用する報告書を出せるか」です。要件11.4.1は、ペネトレーションテストの方法論を定義・文書化することを求めています。業界標準の手法に沿っているか、CDE境界と重要システムを網羅しているか、内部・外部とネットワーク層・アプリケーション層を含むか、といった観点が報告書に表れます。
加えて、要件11.4.1はテスト結果と是正結果を少なくとも12か月保管することを求めています。採用した手法（NIST SP800-115やOWASPなど）、テスト範囲、発見した問題と是正の記録が報告書に明記されているかを、見積もり段階で確認しておくと、審査でのやり直しを避けられます。資格の有無よりも、こうした準拠観点を満たせるかで選ぶのが実務的です。
報告書では、採用した手法やテスト範囲が明記されているかに加えて、検出した脆弱性が「どう悪用され、事業にどう影響するか」まで整理されているかも、外注先を見極める手がかりになります。セキュリティ診断を手がける株式会社TECHFUNDの生田氏は、報告書のあり方について次のように述べています。
脆弱性の報告だけでは、企業側からすると、何から対応すればいいのか分かりません。「この問題を悪用されると、他ユーザーの情報を取得される可能性がある」「この脆弱性は認証を突破して管理者権限を取得される可能性がある」といった形で、攻撃シナリオと事業インパクトまで整理して説明することを重視しています。
これは特定の会社に限った話ではなく、どの外注先を検討する場合にも当てはまる見極めポイントです。報告書で攻撃シナリオと事業インパクトまで示せるかは、以降で紹介するサービスを比べるときにも共通の判断材料になります。
ペネトレーションテストの費用相場
ペネトレーションテストの費用は、対象の範囲（ネットワークかWebアプリケーションか）や検査対象のボリュームによって変わります。一般的な目安としては、対象や規模に応じて数十万円から数百万円程度まで幅があります。
公表されている料金の一例として、CoWorker株式会社の脆弱性診断サービスでは、Webアプリケーションを対象とするWebペネトレーションテストが60万円から、ネットワークを対象とするネットワークペネトレーションテストが100万円からと案内されています。
実際の金額は対象システムの規模で上下するため、見積もりでは検査対象の範囲と、PCI DSSのどの要件（内部11.4.2・外部11.4.3・セグメンテーション11.4.5／11.4.6）に対応するかを明確に伝えると、過不足のない依頼ができます。
次に紹介するのは、要件11.4のペネトレーションテストを受託する会社と、要件11.3の脆弱性スキャンを自社で継続運用できるツールという、役割の異なる2つのサービスです。
| PCI DSS準拠に役立つ診断サービスの比較 | CoWorker 脆弱性診断サービス | Aikido Security |
|---|---|---|
| 提供形態 | 受託型（専門会社が診断し報告書を納品） | SaaSツール（自社で継続運用） |
| 診断の進め方 | 自社開発AI「Red Agent」で自動解析し、社内の専門家が最終確認 | 管理画面で自動スキャンを継続実行し、アラートの優先度を自動で振り分け |
| 対応する診断メニュー | ソースコード診断 動的診断（Web・API） ペネトレーションテスト | ソースコード（SAST・SCA） クラウド設定（CSPM） DAST・API Scanning など |
| ペネトレーションテスト（要件11.4向け） | ●実践攻撃シミュレーション診断として提供 | △人手の診断はAndGoの別サービスで対応 |
| 継続的な自動スキャン運用 | △四半期・月1の定期診断を相談可 | ●リリース前・定期の自動検査に対応 |
| 料金の目安 | Webペネトレーションテスト60万円〜 ネットワーク100万円〜 （ソースコード診断は15万円〜） | サブスクリプション型 月額5万円台〜（年間契約・10ユーザーまでの場合） 無料トライアルあり |
| 向いているケース | 要件11.4のペネトレーションテストを専門家に外注したい | 自社開発の脆弱性を日常的に自動で検査・運用したい |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
ここで挙げた2サービス以外にも、脆弱性診断・ペネトレーションテストを手がける会社は数多くあります。以下の記事では、診断方法や費用相場、失敗しない選び方まで含めて脆弱性診断サービス全般を比較しています。外注先を幅広く見比べて検討したい方は、こちらもご覧ください。
1. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker 脆弱性診断サービスは、自社開発AI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせた受託型の診断サービスです。公式のメニューは、ソースコードAI診断・動的脆弱性診断（Web／API診断）・実践攻撃シミュレーション診断（ペネトレーションテスト）の3つで、PCI DSSのペネトレーションテストにあたる実践的な攻撃検証まで依頼できます。
料金は、Webペネトレーションテストが60万円から、ネットワークペネトレーションテストが100万円からと公表されており、対象範囲に応じて選べます。約29万通りの検査パターンと1万件以上のWebテストケースを高速に処理する仕組みで診断時間を短縮している点も特徴で、要件11.4のネットワーク層・アプリケーション層のテストを外部委託したい企業に向いています。
2. Aikido Security（株式会社AndGo）
複数の診断を1つの画面で扱える脆弱性診断SaaSとして提供されているのがAikido Securityです。ソースコード診断（SAST・SCA）、クラウド設定診断（CSPM）、稼働中のWebアプリ診断（DAST）、API Scanningなどを1つの管理画面で継続的に実行でき、脆弱性を自社で日常的に検査・運用したい開発・運用チームに適しています。
日本国内では株式会社AndGoが販売・問い合わせ窓口を担っています。
ツールによる自動スキャンを継続運用する形態のため、四半期ごとの脆弱性スキャン（要件11.3）の運用や、リリース前の継続的な検査と相性がよいのが位置づけです。
製品群にはAI PentestingやNetwork Pentestingも含まれますが、人手によるペネトレーションテストはAndGoの別サービスとして案内されるため、要件11.4の受託テストが必要な場合は内容を確認して依頼するとよいでしょう。料金はサブスクリプション型で、無料トライアルも用意されています。
まとめ
PCI DSS v4.0.1では、ペネトレーションテストは要件11.4で定められ、内部（11.4.2）・外部（11.4.3）を少なくとも年1回、ネットワーク分離を使う場合はセグメンテーション制御のテスト（全事業者は11.4.5で12か月ごと、サービスプロバイダーは11.4.6で6か月ごと）も求められます。四半期ごとの脆弱性スキャン（要件11.3）とは目的も実施者も異なり、両方が必要です。
実施者にASV・QSAの資格は必須ではなく、対象環境から独立した担当者であれば社内でも外部でも対応できます。自社に義務があるかは準拠形態（SAQの種別やROC）で変わるため、QSAやアクワイアラに確認したうえで、要件11.4.1を満たす報告書を出せる外注先を選ぶのが実務的な進め方です。自社に合った診断サービスを選ぶために、まずは各社の資料を取り寄せて比較してみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. PCI DSSのペネトレーションテストとは何ですか？
A. PCI DSSのペネトレーションテストとは、擬似的な攻撃を仕掛けて、カード会員データ環境（CDE）に実際に侵入できるかを検証するセキュリティテストです。現行のPCI DSS v4.0.1では要件11.4で定められており、脆弱性を機械的に検出する脆弱性スキャン（要件11.3）とは目的も実施者も異なります。内部・外部の両方を少なくとも年1回実施するのが基本です。
Q. PCI DSSのペネトレーションテストの要件番号は11.3と11.4のどちらですか？
A. 現行のPCI DSS v4.0.1では、ペネトレーションテストは要件11.4です。v3.2.1までは要件11.3で定められていましたが、v4.0以降で要件11の構成が見直され、脆弱性スキャンが要件11.3に、ペネトレーションテストが要件11.4に繰り下がりました。
資料によって11.3と11.4が混在するのはこのためです。v3.2.1は2024年3月31日に廃止されているため、これから準拠を進めるなら要件11.4を前提に設計するのが確実です。
Q. PCI DSSでは脆弱性スキャン（ASVスキャン）だけ実施すればペネトレーションテストは不要ですか？
A. 脆弱性スキャンとペネトレーションテストはPCI DSSで別々に求められる対策であり、スキャンだけでペネトレーションテストを代替することはできません。脆弱性スキャンは「どこに問題がありそうか」を自動検査で洗い出す対策（要件11.3）、ペネトレーションテストは「その問題を悪用して実際にカード会員データへ到達できるか」を有資格者が検証する対策（要件11.4）です。
四半期ごとの外部脆弱性スキャンをASVに依頼していても、年1回のペネトレーションテストは別途実施する必要があります。
Q. PCI DSSのペネトレーションテストはASVやQSAに依頼する必要がありますか？
A. PCI DSSのペネトレーションテストにASVやQSAの資格は必須ではありません。PCI SSCは、組織内の有資格者か資格のある第三者による実施が望ましいとしており、重視されるのは資格そのものよりも「テスト対象環境の管理に関与していない独立した立場」であることです。
ASVによる実施が必須なのは四半期ごとの外部脆弱性スキャン（要件11.3.2）だけで、ペネトレーションテストは社内の有資格者でも外部の専門会社でも、対象環境の運用担当でなければ実施できます。
Q. PCI DSSのペネトレーションテストは年1回実施すれば足りますか？
A. 内部・外部のペネトレーションテストは、少なくとも12か月ごと（年1回）に加えて、インフラやアプリケーションに重大な変更があった後にも実施する必要があります。定期実施だけでなく、システム構成の大きな変更がトリガーになる点に注意が必要です（要件11.4.2・11.4.3）。また、ネットワーク分離（セグメンテーション）を使う場合は、その制御の有効性を検証するテストも別途求められます。
Q. PCI DSSのセグメンテーション制御のテストはどのくらいの頻度で必要ですか？
A. セグメンテーション制御の有効性テストは、全事業者が少なくとも12か月ごと（要件11.4.5）、サービスプロバイダーはさらに高い頻度で少なくとも6か月ごと（要件11.4.6）に実施する必要があります。
「サービスプロバイダーは6か月ごと」は要件11.4.5ではなく11.4.6に基づくもので、自社がサービスプロバイダーに該当するかどうかで頻度が変わります。いずれも制御に変更があった後にも実施が必要です。
Q. SAQ AでもPCI DSSのペネトレーションテストは必要ですか？
A. カード情報を自社で保持せず決済を完全に外部へ委託している加盟店向けのSAQ Aは、ペネトレーションテスト（要件11.4）を含みません。一方、加盟店向けのSAQ Dやサービスプロバイダー、ROCでの準拠では、要件11.4が全面的に対象になります。
そのほかのSAQ区分では適用される要件が細かく分かれ、資料によって解釈が揺れることもあるため、自社の該当範囲と要否は、審査を担当するQSAや契約先のアクワイアラ（カード会社）に確認するのが確実です。
脆弱性診断・ペネトレーションテストの料金・資料を一括チェック
MCB FinTechカタログでは、PCI DSS準拠に役立つ脆弱性診断・ペネトレーションテストサービスの最新資料を無料で一括請求できます。診断範囲や対応要件、料金を比較して、自社に合った外注先を選ぶ判断材料にご活用ください。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
