PCI DSSとは？要件や準拠までの流れ

クレジットカード決済は、カード番号を入力するだけで支払いを済ませられる手軽さから多くの顧客に選ばれており、特にオンラインストアの運営には欠かせません。その一方で、カード情報の盗難や不正利用も後を絶ちません。顧客に安心して買い物をしてもらうには、事業者や決済サービスがカード情報を守る仕組みを整える必要があります。そのための国際的な基準が、PCI DSSです。 

この記事では、PCI DSSとは何か、要件や準拠などを詳しく解説します。EC事業者はぜひ参考にしてください。

PCI DSSとは

PCI DSS（Payment Card Industry Data Security Standard）とは、クレジットカード情報を安全に扱うための国際的なセキュリティ基準です。American Express（アメリカンエキスプレス）、Discover（ディスカバー）、JCB、Mastercard（マスターカード）、Visaの国際カードブランド5社が共同で設立したPCI SSC（PCI Security Standards Council）が、運用と管理を担っています。

カード情報を取り扱うすべての事業者は、事業の規模や取引件数にかかわらず、PCI DSSへの準拠が求められます。たとえば、クレジットカード決済を受け付ける事業者のほか、カード発行会社や決済代行会社なども含まれます。決済代行サービスを利用している場合でも、PCI DSSへの準拠が求められる点は変わりません。

PCI DSSの目的

PCI DSSの目的は、カード番号や有効期限、セキュリティコードといったカード情報を、情報の漏えいや不正利用から守ることです。カード情報を扱う事業者に一定の決済セキュリティ対策を求めることで、安全な取引環境を保ちます。

PCI DSSの要件一覧

• 安全なネットワークとシステムの構築と維持
• アカウントデータの保護
• 脆弱性管理プログラムの維持
• 強力なアクセス制御手法の導入
• ネットワークの定期的な監視とテスト
• 情報セキュリティポリシーの維持

安全なネットワークとシステムの構築と維持

1. ネットワークセキュリティコントロールの導入と維持：ファイアウォールなどで、カード情報を扱うネットワークへの不正なアクセスを防ぐ
2. すべてのシステムコンポーネントへのセキュアな設定の適用：システムは初期状態のまま利用せず、初期パスワードを変更するなど、安全な設定にする

アカウントデータの保護

3. 保存されたアカウントデータ（カード番号やセキュリティコードなどのカード情報）の保護：カード情報はできるだけ保存せずに済むようにし、保存する必要がある場合は暗号化などで保護する
4. オープンなネットワークで送信される情報の保護：第三者がアクセスできるネットワークでカード情報を送受信するときは暗号化で保護する

脆弱性管理プログラムの維持

5. 悪意のあるソフトウェアからのシステムおよびネットワークの保護：ウイルス対策ソフトなどで、マルウェアからシステムを守る
6. 安全なシステムおよびソフトウェアの開発と維持：セキュリティパッチがリリースされたら迅速に適用し、システムやソフトウェアを最新の状態に保つ

強力なアクセス制御手法の導入

7. システムコンポーネントおよびカード情報へのアクセスを業務上必要な適用範囲によって制限：カード情報などのデータへのアクセスは、業務上必要があるスタッフにのみ付与する
8. ユーザーの識別とシステムコンポーネントへのアクセスの認証：ユーザーごとにIDを割り当て、多要素認証などで本人確認を行う
9. カード情報への物理アクセスの制限：カード情報を扱う機器や書類がある場所への立ち入りを制限する

ネットワークの定期的な監視とテスト

10. システムコンポーネントおよびカード情報へのすべてのアクセスの記録と監視：問題が起きたときにログ（操作履歴）から原因を追跡できるようにする。ログは少なくとも12か月保存し、直近3か月分はすぐに分析できる状態にしておく
11. システムおよびネットワークセキュリティの定期的なテスト：脆弱性スキャンや侵入テストを実施し、セキュリティの評価と改善に継続的に取り組む

情報セキュリティポリシーの維持

12. 組織の方針とプログラムによる情報セキュリティのサポート：情報セキュリティポリシーを定め、従業員教育や事故への対応計画などを整える

PCI DSSの適用レベル

PCI DSSの12の要件に準拠していることを証明する方法は、PCI DSSの適用レベルによって異なります。レベルの区分や基準はカードブランドごとに定められており、取引方法によっても変わります。たとえば、Visaのカード情報保護プログラム（英語）によると、同ブランドは12か月間の取引件数をもとに、事業者を次の3つのレベルに分けています。

• レベル1：店頭とECを合わせたVisaの取引件数が年間600万件を超える事業者。QSA（認定審査会社）などが作成したROC（準拠報告書）と、AOC（準拠証明書）を毎年提出する
• レベル2：店頭とECを合わせたVisaの取引件数が年間100万件から600万件の事業者。自己問診票（SAQ）に毎年回答して提出する
• レベル3：VisaのEC取引件数が年間100万件未満の事業者。SAQに毎年回答して提出する

PCI DSS準拠までの流れ

1. 社内体制を整える：PCI DSS準拠の責任者や担当者を決めます。必要に応じて、コンサルタントやQSAの支援を受けます。
2. 対象範囲を調べる：要件の対象となる、カード情報の保存や処理などを担うシステムを洗い出します。
3. ギャップ分析を行う：PCI DSSの12の要件と自社の現状を比べ、足りない対策を洗い出し、全体のスケジュールを立てます。
4. 対策を実施する：すべての要件を満たせるよう、システムの改修や運用手順の整備を進めます。
5. 脆弱性への対処を確認する：脆弱性スキャンやペネトレーションテスト（侵入テスト）で、脆弱性への対処が済んでいることを確認し、審査に必要な記録などを用意します。脆弱性スキャンは、システムに既知の弱点がないかを専用のツールで調べる検査で、外部からのスキャンはASV（PCI SSCが認定したスキャンベンダー）が3か月ごとに実施します。ペネトレーションテストは、攻撃者と同じ手口でシステムへの侵入を試みて、防御が機能するかを確かめる検査で、年1回実施します。
6. 準拠を証明する：QSAの訪問審査を受けてAOCを受け取るか、SAQに回答して準拠を証明します。SAQで証明する場合は、QSAに審査を依頼する必要はありません。
7. 準拠を維持する：対策を続け、毎年の再審査やSAQで準拠している状態を保ちます。

PCI DSS準拠のメリット

• 情報漏えいリスクの低減
• 取引先や顧客からの信頼向上
• 法令やガイドラインへの対応

情報漏えいリスクの低減

PCI DSSの要件に沿って対策を整えることで、外部からの攻撃によるカード情報の漏えいを防ぎやすくなります。これにより、契約先のカード会社からのペナルティ（罰金や手数料の引き上げ、カード決済の停止など）、顧客への損害賠償、企業の信用の低下といったリスクを抑えられます。

取引先や顧客からの信頼向上

PCI DSSに準拠していることは、カード情報を適切に守っていることを客観的に示す根拠になります。顧客や取引先からの信頼を得やすくなり、事業やブランドの価値を高めることにもつながります。

法令やガイドラインへの対応

日本では、改正割賦販売法と、その実務上の指針であるクレジットカード・セキュリティガイドラインにより、ECサイトでクレジットカード決済を受け付ける事業者に、PCI DSSへの準拠かカード情報の非保持化のいずれかのセキュリティ対策が求められています。非保持化とは、カード情報が自社のサーバーやネットワークを通らず、保存も処理もされない状態にすることです。非保持化が難しい事業者も、PCI DSSに準拠することで、割賦販売法上のセキュリティ対策の義務を果たせます。

PCI DSS準拠のデメリット

• 導入と運用の負担
• 基準の改訂への対応
• 専門知識の必要性

導入と運用の負担

PCI DSSへの準拠には、要件を満たすためのシステムの改修、ファイアウォールやウイルス対策ソフトの導入、従業員の研修などが必要で、それぞれに費用がかかります。また、準拠を保つには、3か月ごとの脆弱性スキャンや年1回のペネトレーションテスト、毎年の再審査やSAQへの回答などを続ける必要があり、そのたびに費用や手間がかかります。

基準の改訂への対応

サイバー攻撃の手口や技術の進歩に合わせてPCI DSSは改訂されることがあり、新しいバージョンが公開されるたびに、自社の対策を見直す必要があります。たとえば、2022年3月に公開されたPCI DSS v4.0では、12の要件という枠組みはそのままに、各要件で求められる具体的な対策が新たに64項目追加されました。

専門知識の必要性

PCI DSSの要件を正しく理解して対応するには、セキュリティの専門知識が必要です。社内に知識や経験のある人材が不足していると対応が難しく、QSAやコンサルティング会社など、外部の専門家の支援が必要になることもあります。その場合は、支援を受けるための費用もかかります。

PCI DSSに準拠し続けるためのポイント

• PCI DSSに準拠したサービスを利用する：PCI DSSに準拠した決済サービスやECプラットフォームを活用することで、カード情報を自社で持たずに済み、自社の対応範囲と負担を減らせます。たとえば、Shopify（ショッピファイ）は、PCI DSSで最も厳しいレベル1の認証を取得しており、Shopifyで作られたストアはすべて、PCI DSSに準拠した環境で運営されます。さらに、Shopifyペイメントを使えば、他の決済ソリューションと個別に契約しなくても、クレジットカードをはじめとするさまざまなキャッシュレス決済を受け付けられます。
• 日常業務に組み込む：審査の直前だけ対応するのではなく、アクセス権限の見直しやログの確認を、日々の業務の手順に組み込みます。外部の決済サービスなどを利用している場合も、管理画面の2段階認証やスタッフの権限などは、自社で管理する必要があります。また、利用しているサービスがPCI DSSに準拠し続けているかも定期的に確認します。
• 外部の専門家を活用する：社内に専門知識を持つ人材がいない場合は、QSAやコンサルティング会社の支援を受けます。依頼先を選ぶときは、自社の業種やシステム構成に合った支援を受けられるかを確認します。

まとめ

PCI DSSは、クレジットカード情報を守るためのセキュリティ基準です。カード決済を扱う事業者は、決済代行サービスを使っている場合も含めて、12の要件を満たすことが求められます。

PCI DSSへの準拠にはコストや人手がかかりますが、情報漏えいを防ぎ、顧客や取引先の安心につながるという利点もあります。また、基準を満たした決済サービスやECプラットフォームを取り入れることで、自社で対応する必要のある範囲を減らせます。自社の状況に合った方法でPCI DSSへの準拠を進め、顧客が安心してカード決済を利用できる環境を整えましょう。