このセクションの内容:
Parasoft PCI DSS Compliance アーティファクトは、PCI DSS コーディング要件への準拠を証明できる、DTP インフラストラクチャのアセットの集合です。このアーティファクトは Security Compliance Pack の一部として提供されています。Security Compliance Pack のダウンロードおよびライセンス情報については、Parasoft 製品テクニカル サポート センターまでお問い合わせください。
PCI DSS (Payment Card Industry Data Security Standard) は、ペイメント カードのトランザクションを処理するソフトウェアのコーディング要件の集合です。この規格は、カード ブランドによって義務付けられており、Payment Card Industry Security Standards Council によって管理されています。標準の詳細については、PCI Security Standards Council の Web サイトを参照してください: https://www.pcisecuritystandards.org
Parasoft のコード解析チェッカーは PCI DSS 要件のコンテキスト内で違反をレポートすることによって、PCI DSS 要件を促進します。各コード解析チェッカーは 1 つ以上の要件にマップし、これは DTP ウィジェットとレポートに表示されます。
以下のいずれかの Parasoft ツールからのコード解析データが必要です。
前提条件の詳細については「Security Compliance Pack」を参照してください。
DTP は、Parasoft 静的解析ルールにマッピングされた要件 6.2.4 の PCI DSS ガイドラインに対する 100% の準拠を報告します。 |
以下のアーティファクトはパッケージに含まれており、Security Compliance Pack のインストール時に DTP 環境に追加されます。
このファイルは Extension Designer 用のカスタム ロジック フローです。Security Compliance Pack をインストールすると、Extension Designer ライブラリにこのフローが追加されます。サービスにフローを追加し、DTP インフラストラクチャにデプロイできます。
ダッシュボード テンプレートには定義済みのウィジェットが含まれており、プロジェクトについての具体的な情報をすぐに確認することができます。DTP のダッシュボードの詳細については、「ダッシュボード」を参照してください。ダッシュボード テンプレートに表示されるウィジェットの詳細については「Adding the PCI DSS Dashboards」を参照してください。
個々のコード解析ルールは、「セキュリティ」や「例外」といったカテゴリに属します。PCI DSS Compliance アーティファクトには、コード解析ルールを PCI DSS 固有のカテゴリにマッピングするファイルが含まれています。以下のファイルで定義されたカテゴリに従って違反をレポートするようにウィジェットを構成して、PCI DSS カテゴリに従って違反を確認できます。
ツールに付属のテスト コンフィギュレーションまたは Security Compliance Pack と共にインストールされたテスト コンフィギュレーションを実行するようにツールを設定できます。詳細については、ご使用のツールのドキュメントを参照してください。この Compliance Pack には以下のテスト コンフィギュレーションが含まれています。
プロファイルは、DTP インフラストラクチャでさまざまな機能を提供します。たとえば、拡張によって実行されるカスタム計算の入力や、コンプライアンス レポートのためのデータなどです。プロファイルはモデルからその構造を取ります。これはフィールド、ヘッダー、あるいはプロファイルで使用される他のコンポーネントを定義します。DTP Enterprise Pack のプロファイルの詳細については「モデル プロファイルの使用」を参照してください。
アーティファクトには以下のプロファイル ファイルが含まれています。
Parasoft ルールと PCI DSS 要件との関連を示す PDF が <PACK>/rules/jtest および <PACK>/rules/dottest ディレクトリに用意されています。
PCI_DSS_4.0.pdf
PCI DSS Compliance アセットは、Security Compliance Pack の一部としてインストールされます (操作手順については「インストール」を参照してください)。アーティファクトをインストールした後、DTP 環境にアセットをデプロイする必要があります。
これで、PCI DSS ウィジェットを追加できるようになりました。
Java および .NET の PCI DSS ダッシュボード テンプレートを使用すると、PCI DSS コンプライアンスを監視する、あらかじめ構成されたウィジェット セットをすばやく追加できます。このアーティファクトに同梱されているダッシュボード テンプレートのリストについては「」を参照してください。
ダッシュボード テンプレートは、Security Compliance Pack のインストールの一部として DTP 環境にデプロイされます。ダッシュボード テンプレートが表示されない場合は、DTP サービスを再開始してください (「DTP サービスの停止」および「DTP アプリケーションの開始」を参照)。
アーティファクトに同梱された PCI DSS ウィジェットは、既存のダッシュボードに追加できます。ダッシュボードにウィジェットを追加する方法については「ウィジェットの追加」を参照してください。アーティファクトのデプロイ後、[ウィジェットの追加] オーバーレイの PCI DSS カテゴリに PCI DSS ウィジェットが表示されます。
以下の設定を使用できます。
| タイトル | デフォルトのタイトルの代わりにダッシュボードに表示する新しいタイトルを入力します。 |
|---|---|
| フィルター | メニューから特定のフィルターまたはダッシュボード設定を選択します。詳細については「フィルターの設定」を参照してください。 |
| ターゲット ビルド | メニューから特定のビルドを選択します。ダッシュボード全体について選択されたビルドがデフォルトで選択されます。ビルドの詳細については「ビルド管理の使用」を参照してください。 |
| コンプライアンス プロファイル | コンプライアンス プロファイルを指定します (「プロファイルの設定」を参照)。コンプライアンス プロファイル データはコンプライアンス レポートで使用されます。 |
この Compliance アーティファクトに同梱されているダッシュボード テンプレートのリストについては「ダッシュボード テンプレート」を参照してください。次のウィジェットは、1 つ以上のダッシュボードに含まれています。
PCI DSS への準拠の現在のステータスを表示します。
7 種類のステータスがあります。
ウィジェットをクリックすると、PCI DSS Compliance Report が開きます。
このウィジェットは、PCI DSS に準拠しているコードの割合を表示します。ウィジェットをクリックすると、PCI DSS Compliance Report が開きます。
このウィジェットは、PCI DSS 要件を円グラフとして表示します。赤の部分は、解析したコードが現在準拠していない要件を表します。緑の部分は、解析したコードが準拠している要件を表します。このウィジェットは、違反と逸脱の数も表示します。
以下の操作を行うことができます。
このウィジェットは、DTP 標準の [違反がないルール] ウィジェットの実装です。違反をレポートしていない (準拠している) PCI DSS 要件にマッピングされた Parasoft ルールの割合を表示します。このウィジェットの詳細については「違反がないルール - サマリー」を参照してください。
ダッシュボードは、PCI DSS 用に設定された [カテゴリ - 上位 5 表] ウィジェットのインスタンスを含みます。最も違反の多い PCI DSS カテゴリを上位 5 つ表示します。このウィジェットの詳細については「カテゴリ - 上位 5 表」を参照してください。
ダッシュボードは、PCI DSS 用に設定された [ルール - 上位 5 表] ウィジェットのインスタンスを含みます。最も違反の多い PCI DSS カテゴリにマッピングされた Parasoft ルールを上位 5 つ表示します。このウィジェットの詳細については「ルール - 上位 5 表」を参照してください。
このウィジェットは、PCI DSS 要件別にグループ化した違反をツリー マップで表示します。各タイルは色分けされ、1 つの要件を表します。このウィジェットの設定方法については「Manually Adding PCI DSS Widgets to an Existing Dashboard」を参照してください。
メインの PCI DSS Compliance Report は、 コンプライアンス ステータスの詳細を提供し、準拠を証明するための主要文書の役割を果たします。
このレポートは以下のステータスを表示できます:
以下の操作を行うことができます。
Requirement Enforcement Plan は、PCI DSS 要件を促進するために使用する静的解析ルールを表示します。各要件をどのように推進するかをユーザーに説明することを目的とします。このレポートは、コンプライアンス プロファイルで指定されたデータを使用します (「プロファイルの設定」を参照)。プロジェクトに関係する特定の問題をより反映するために、プロファイルで各脆弱性プロパティに関連する値を設定できます。
標準からの逸脱が文書化され、ソフトウェアの安全性に影響しない限り、コードは違反があっても PCI DSS 準拠であることができます。逸脱とは、コード中で直接抑制されたコード解析ルール、または DTP の違反エクスプローラーで抑制されたコード解析ルールです。コード中で違反を抑制する方法については、dotTEST または Jtest のドキュメントを参照してください。DTP で違反を抑制する方法については、違反エクスプローラーのドキュメントの「違反の抑制」を参照してください。
PCI DSS Compliance Report で Deviation Report リンクをクリックすると、Deviation Report が開きます。
Deviations Report は、すべての要件の ID とヘッダーを表示しますが、抑制された要件には追加情報を表示します。以下の操作を行うことができます。
このレポートは、コード解析違反の概要を表示するほか、ビルドに関連したテスト結果とカバレッジ情報も表示します。また、データのアーカイブをダウンロードすることもできます。これは、定期的な監査で PCI DSS への準拠を証明するために使用できるアーティファクトです。
アーカイブをダウンロードするには、ビルドがロックされていなければなりません。このレポートの詳細については「ビルド監査レポート」を参照してください。
モデルとプロファイルは、DTP Enterprise Pack を有効にしてカスタムの計算とデータ処理タスクを実行するアセットです。モデルは、計算で使用される属性を定義し、プロファイルのテンプレートの役割を果たします。モデルとプロファイルの詳細については「モデル プロファイルの使用」を参照してください。
PCI DSS Compliance アーティファクトには、Parasoft dotTEST および Jtest のコード解析結果用のデフォルトのモデルとプロファイルが同梱されています。また、Parasoft ルールを PCI DSS 要件にマッピングするためのカテゴリ情報を持ちます。
このプロファイルには、コンプライアンス レポートを生成するために必要な情報、および PCI DSS アーティファクトと共に出荷されたウィジェット内のデータを表示するために必要な情報が含まれています。ユーザー独自の目標を達成するためにガイドラインを再分類したい場合、または独自のレポート用に追加メタデータを指定したい場合、このプロファイルを変更できます。変更は Requirement Enforcement Plan で反映されます。
デフォルト プロファイルの複製を作成して複製を変更することを推奨します。
PCI DSS アーティファクトに同梱のウィジェットを構成する際に、別のプロファイルを選択できます。