クレジットカード情報を扱う事業者に適用されるPCI DSSが、バージョン4.0で多要素認証（MFA）の要件を大きく強化しました。旧版（v3.2.1）ではMFAはリモートアクセスと管理者アクセスに限られていましたが、4.0ではカード会員データ環境（CDE）へのすべてのアクセスにMFAが必須となり、2025年3月31日をもって完全義務化されています。本記事では、何が変わったのか、実装で押さえるべき点を整理します。
補足
本記事はPCI Security Standards Council（PCI SSC）が公開するPCI DSS v4.0の内容を基にした解説です。要件の正式な文言・適用範囲はPCI SSC公式の基準書でご確認ください。
PCI DSS 4.0でMFA要件はどう変わったか
| 観点 | v3.2.1（旧） | v4.0（現行） |
|---|---|---|
| MFAの適用範囲 | CDEへのリモートアクセス／管理者アクセス | CDEへのすべてのアクセス（要件8.4.2） |
| リモートアクセス | 対象 | 引き続き対象（要件8.4.3） |
| MFAシステムの堅牢性 | 明確な規定は限定的 | MFAシステム自体の実装要件を明記（要件8.5.1） |
| 必須化の時期 | ― | 2025年3月31日から必須（それまではベストプラクティス） |
要件8.4.2：CDEへの全アクセスにMFA
4.0の最大の変更点です。従来はネットワークの外からのアクセスや管理者だけがMFA対象でしたが、4.0では社内ネットワークからであっても、CDEにアクセスするすべてのユーザーにMFAが求められます。たとえば、リモートアクセスでまず社内ネットワークに入り、そこからCDEへ入る場合は、二重にMFAを求められる場面も生じます。
要件8.4.3・8.5.1のポイント
- 8.4.3（リモートアクセス）：組織外部から発信され、CDEにアクセス・影響し得るリモートネットワークアクセスにMFAを適用する。
- 8.5.1（MFAシステムの実装）：MFAの仕組み自体が回避（bypass）されない、リプレイ攻撃に耐える、少なくとも2種類の独立した認証要素を使う、などの運用要件を満たす。
実装で押さえるべき点
- 独立した2要素：同じカテゴリの要素を2つ重ねてもMFAとは認められない。知識・所持・生体のうち異なる2種類を組み合わせる。
- フィッシング耐性：要件上の必須ではない場面もあるが、ワンタイムコードはフィッシングやリアルタイム中継攻撃に弱い。FIDO2のようなフィッシング耐性の高い方式を優先すると、要件充足と実効性を両立できる。
- バイパス経路をなくす：例外アカウントや共有アカウントがMFAを迂回していないかを点検する。
- 特権アクセスの厳格化：CDEにアクセスする管理者・システムアカウントの権限を最小化し、記録を残す。
まとめ
PCI DSS 4.0は、MFAを「一部のアクセス」から「CDEへのすべてのアクセス」へと拡大し、2025年3月末をもって必須化しました。単にMFAを有効化するだけでなく、独立した2要素・バイパス経路の排除・特権アクセスの管理まで含めて設計することが求められます。とりわけ、フィッシングやワンタイムコード中継への耐性を高めるには、フィッシング耐性の高い認証と特権アクセスの厳格な統制を組み合わせることが有効です。カード情報という機微な資産を守るために、認証基盤を要件充足の観点と実効性の観点の両面から見直しましょう。