PCI PINセキュリティ
PINの暗号化、移送、取り扱いに関するカード業界の規則集。PCI DSSの弟分だが、HSMの数ははるかに多い。
要件はPCI SSC（Security Standards Council）が公開しており、PINを受け取り、変換し、検証するすべての者に適用される。アクワイアラ、プロセッサ、銀行の自前のスイッチなどだ。PINが平文で存在してよいのは承認済みハードウェア、実質的にはHSMの内部に限られ、それ以外ではISO 9564に基づく暗号化PINブロックとして流れる。
中核は鍵管理にある。マスター鍵に触れる作業には二重管理と知識分割が適用され、誰も一人で鍵の全体を見ることはない。最近もっとも目立つ変更は、2025年にかけて段階的に義務化されたTR-31などの鍵ブロックの採用だ。これにより、鍵は作成時に決められた用途以外には使えなくなる。