# PCI DSS 4.0.1: 先行導入要件とバックアップの証拠

> PCI DSS 4.0.1の先行導入要件が義務化されました。QSAがバックアップ、リストア、整合性管理について求めるもの、そして監査で最も指摘されやすい点とは何か。

Source: https://loopbackup.com/ja/blog/pci-dss-4-0-1-future-dated-controls-backup
Publisher: Loop Backup
Content language: ja

---

## 概要

PCI DSS 4.0.1は2024年6月に4.0に取って代わりました。3.2.1からの移行期限は2024年3月に終了し、**先行導入要件**は**2025年3月31日**に義務化されました。この日以降のすべての審査は、完全な規則セットに基づいて評価されます。

2026年の審査で不合格となる最も一般的な原因は、新しい認証やスクリプトの規則ではなく、**バックアップとリカバリの証拠不足**です。

## 4.0.1がバックアップに求めるもの

いくつかの要件がバックアップとリストアに直接関係しています。

- **要件9.4**, セキュアなメディア処理とバックアップのオフライン保管
- **要件12.10**, リカバリ手順を含むインシデント対応計画
- **要件6.5**, バックアップ構成を網羅する変更管理の証拠
- **要件10**, バックアップアクセスに関する監査ログ。少なくとも12ヶ月間保持（うち3ヶ月は即時利用可能）

新しい「カスタマイズされたアプローチ」では代替の管理策を提案できますが、**客観的な証拠**のハードルは高く、文書化されたリストアテスト、ログ保持、管理の連鎖が求められます。

## 監査で最も指摘されやすい点

1. 過去12ヶ月間に文書化されたリストアテストがない
2. バックアップ管理者アカウントがオペレーター間で共有されている
3. 本番環境の認証情報とバックアップの認証情報が分離されていない
4. バックアップが本番環境と同じ影響範囲に保存されている
5. リストアされたデータに対する整合性チェックがない

## [Loop Backup](/) がどのように役立つか

[Loop Backup](/cloud-backup-for-business)は、不変のバックアップ、オペレーターごとの監査ログ、ロールベースの管理者アクセス、そしてQSAを満足させるワンクリックのリストアテストレポートを提供します。[バックアップアクセスを分離することが重要な理由](/why-separate-backup-access)もご覧ください。

## まとめ

PCI DSS 4.0.1はもはや「まもなく登場」ではなく、すでに評価の対象となっています。最後に文書化されたリストアテストが1年以上前のものであれば、すでに不適合とみなされます。