安全な PAN の取り扱い
- テストデータでは常に PAN をマスク済み文字列に変換
- トークン化サービスを利用し、トレース可能な参照キーのみ保存
- FPE（Format Preserving Encryption）を模倣した桁構造を再現
PCI DSS Test Data
PCI-DSS向け決済ダミーデータ
PANを扱わずにカードフローを検証
PAN マスキング、トークン化、ログ保全、監査要件にフォーカスした PCI-DSS テストデータの作り方を解説し、決済システムのリリース前検証を短時間で実現します。
法令適合保証について
本ガイドは PCI-DSS 審査やカードブランドの認証取得を保証するものではありません。実運用では QSA・社内セキュリティチームと連携し、ログ保管方針やアクセス制御を適用してください。
PCI-DSS ダミーデータ運用の基本
PCI-DSS 要件 3・6・10 を軸に、テスト環境でも安全に決済ログを扱うポイントを整理しています。DataGen Pro のサンプルは PAN を保持せず、代替トークンとマスク済みデータで本番に近い振る舞いを再現します。
監査対応ログ
- イベント種別、タイムスタンプ、ユーザーID、結果コードを標準化
- 生成ログとデータ廃棄ログをセットで保管し監査証跡に活用
- 最低 1 年間の保管ルールをテスト環境にも適用
脅威モデリング
- 決済詐欺検知・チャージバック対応のテストケースを想定
- 多言語・多通貨取引などハイリスクなシナリオを再現
- 攻撃ログ（SQLi、BOT）を模倣したデータセットも生成
- ロケール指定で多通貨シナリオを切替え（ja-jp は円、en-us はドルが既定）
決済ログスキーマの例
| フィールド名 | 説明 | 参照要件 |
|---|---|---|
| transaction_id | 決済トランザクションID（GUID） | PCI DSS 10.3 - ログ識別子 |
| masked_pan | マスク済みPAN（例: 4111-****-****-1111） | PCI DSS 3.3 - PAN の表示制御 |
| token_reference | トークン化サービスの参照キー | PCI DSS 3.4 - PAN 代替 |
| auth_result | 認証結果コード（APPROVED/DECLINED） | PCI DSS 6.4 - テストケース管理 |
| pos_entry_mode | POS入力方式（ECOM/MOTO/CHIP） | PCI DSS 3.2.2 - 取引種別の識別 |
| log_retention_days | ログ保管期間（日数） | PCI DSS 10.7 - ログ保管 |
テスト環境でも実際の決済ゲートウェイとの通信ログ形式を再現すると、運用時のフォレンジック調査を想定した訓練が行いやすくなります。DataGen Pro の API は CI/CD からの呼び出しにも対応しています。
導入チェックポイント
1
ゾーニング確認
CDE と非 CDE のネットワーク境界を洗い出し、テストデータが境界外に漏れないようにします。
2
データ分類
テストデータを「マスク済み」「トークン化」「匿名ログ」に分類し、取り扱い方針を明確化します。
3
アクセス制御
Git リポジトリやストレージに格納しない運用を徹底し、必要最小限のメンバーのみアクセスを許可します。
4
廃棄と監査
テスト完了後に速やかに削除し、削除ログを残すことで PCI-DSS 10.x の要件を満たします。
よくある質問
Q. テスト環境も PCI-DSS の評価対象ですか？
A. CDE と接続しているテスト環境は評価対象となります。接続を分離し、マスク済みデータとアクセス制御を徹底することでスコープ外にできます。
Q. 不正検知のシナリオ再現は可能ですか？
A. BIN・MCC・端末情報を組み合わせて高リスク取引をシミュレートできます。決済エラーや chargeback コードも含めてロギングし、不正検知ルールの閾値調整に活用してください。
Q. SOC 監査との整合性は？
A. 生成・配布・廃棄ログを整備しておけば SOC 1/2 でも統制証跡として活用できます。内部統制部門とチェックリストを共有しておくとスムーズです。
決済システムの安全なテストを今日から
DataGen Pro は PCI-DSS に着想を得たスキーマとサンプルログを OSS で提供し、自動テストや QA プロセスにすぐ組み込めます。