機密認証データ (SAD)
どれほど堅く暗号化していても、オーソリゼーション後は加盟店が保存してはならないとPCI DSSが定めるカードデータの一部。
PCI DSSはカードデータを二つに分ける。カード番号、カード会員名、有効期限は、保護すれば保存してよい。機密認証データは保存できない。磁気ストライプまたはチップ相当のトラックデータ全体、カード上の3桁または4桁の確認コード、そしてPINやPINブロックがそれにあたる。これらはカードを複製したり、オンラインで買い物をしたりするのにまさに必要な値であり、発行会社が応答を返した時点で消えるべきものとされている。
セキュリティの枠組みとしては、珍しく容赦のないルールだ。暗号化しても免除されず、業務上の必要も言い訳にならない。例外は、発行会社が実際にそのデータを必要とする場合だけである。それでも審査員は毎年、ログファイルやデバッグ用のダンプ、データベースの中にこれを見つける。誰かが「とりあえず今だけ」と、オーソリゼーション要求の全体を出力したままにしているのだ。