PCI-DSS 4.0と透過的暗号化ソフトウェア（参考一覧・対応OS）

「PCI-DSS 4.0に対応した透過的暗号化ソフトの一覧が欲しい」——よくあるご要望です。参考の一覧はお出ししますが、その前に必ず知っておくべき前提と、一覧だけ見ても解けない本質があります。カード情報を扱う環境の暗号化を、製品カタログの先まで正しく捉えるための記事です。

01まず大前提 — 「PCI-DSS対応製品」という認証は存在しない

「PCI-DSS 4.0に対応した暗号化ソフト一覧が欲しい」というご要望はよくいただきます。ですが最初に、誤解を解く必要があります。PCI-DSSは製品を認証する枠組みではありません。認証（評価）されるのは、あなたの環境です。製品は「要件を満たすための道具」であって、製品自体が合格証を持つわけではない。

02PCI-DSS 4.0の勘所 — ディスク暗号化「だけ」では足りない場面

4.0系（4.0.1を含む）で特に意識すべきは、保存データの暗号化と鍵管理の要件です。実務で効くのは、ディスク／パーティション単位の暗号化だけでは、口座データ（カード情報）の保護要件を単独では満たさないと解釈される場面があるという点です。

AWSでいえば、EBS暗号化（前の記事で触れたボリューム層の暗号化）を入れているから安心、とはならないことがある。カード情報そのものを、ファイル／DB／カラム単位で透過的に暗号化する仕組みが別途求められる——だからこそ、以下のような透過暗号化製品が検討対象になります。

03透過的暗号化ソフトウェアと対応OS（参考一覧）

評価の出発点として、透過的暗号化に使われる代表的な選択肢を整理します。下表は参考であり、対応OS・バージョン・PCI-DSSの各要件への適合は製品バージョンと構成で変わります。導入前に必ずメーカーに確認してください。

大まかには、アプリを改修せずに広範なOS・DBを透過暗号化したいならCipherTrustやGuardiumのような専用製品、DBがOracle/SQL Serverでそのネイティブ機能で足りるならTDE、クラウドのストレージ層の暗号化はAWSネイティブ＋KMS、という住み分けになります。多くのPCI環境は、これらを組み合わせて要件を満たします。

04製品選びより重要な「鍵管理」

PCI-DSSが厳しく見るのは、暗号化そのものより鍵管理です。どの製品を選んでも、次を満たせる構成にできるかが本質です。

• 鍵のローテーション（定期的な更新）を運用として回せる
• 職務分離 — 鍵管理者とシステム管理者の権限を分ける（二重管理・分割知識）
• 鍵へのアクセスの監査証跡が残る
• 鍵の保護 — 平置きせず、HSM（CloudHSM等）や専用の鍵管理製品で守る

CipherTrustのような製品や、CloudHSMが選ばれる理由の多くは、暗号化アルゴリズムではなく、この鍵管理と職務分離を製品として実現できる点にあります（EC2上CDEの記事参照）。

05選定の進め方 — QSAを起点に

• ① 保護対象（どのデータが、どのOS・DB上にあるか）を棚卸し
• ② 4.0の該当要件と、ディスク暗号化だけで足りるかをQSAと確認
• ③ 足りなければ透過暗号化製品を候補化。対応OS・性能影響・鍵管理・監査をメーカーに詳細確認
• ④ 本番同等での性能検証（透過暗号化はI/O影響がある）
• ⑤ その構成でQSAの受容を得られるか、審査を見据えて確認

—まとめ

「PCI-DSS 4.0対応の暗号化ソフト一覧」は、出発点としては役立ちますが、それ自体が答えではありません。認証されるのは製品ではなく環境で、判定するのはQSAです。ディスク暗号化だけでは足りない場面があること、そして製品選び以上に鍵管理と職務分離が本質であること——ここを押さえたうえで、対応OSや適合の詳細は必ずメーカーに問い合わせてください。当社はPCI-DSS対象環境の設計・運用の経験から、この「製品一覧の先」にある要件充足の設計をご一緒できます。