クレジットカード決済は、現代のeコマースを支える基盤です。しかし、その利便性と引き換えに、顧客の機密情報を守るという大きな責任が生じます。
小売・eコマース業界で前年に発生したインシデントの25%に、クレジットカード情報の盗難が関係していました。取引におけるデータセキュリティを最優先に考えることが重要です。
自社と顧客の機密データを守り、安全な決済環境を整えるには、PCI DSS（Payment Card Industry Data Security Standard、クレジットカード業界のデータセキュリティ基準）を理解し、対応することが欠かせません。
PCI DSSとは
PCI DSSは、カード会員データを受け付け、保存、処理、または送信するすべての事業者が、安全な環境を維持するためのセキュリティ基準です。Visa、Mastercard、American Express、Discover、JCBの大手カード会社5社が2004年に策定しました。以来、カード会員データの保護とクレジットカード不正の削減に重要な役割を果たしています。
デジタル金融でPCI DSSが重要な理由
PCI DSSは、デジタル金融において特に重要です。適切に対応することで、機密性の高いカード決済データを守り、安全な取引を実現し、企業と消費者の双方を保護できます。これらの基準を適用すれば、データ侵害のリスクを大きく減らし、顧客の機密データを守り、強固なセキュリティ体制を維持できます。
PCI DSS対応が必要な加盟店・決済事業者
クレジットカードまたはデビットカード情報を受け付け、保存、または処理するすべての加盟店・決済事業者は、PCI DSSへの対応が求められます。多くの場合、大手カード会社との契約上の義務です。求められる対応レベルは、処理するカード取引件数によって異なります。
PCI DSSの4つの対応レベル
PCI DSSへの対応は、直近52週間に処理したカード取引件数を基に4段階へ分類されます。
Visa、Mastercard、American Express、Discover、JCBは、それぞれ独自のPCI DSS対応プログラムを定めています。以下はVisaの基準例です。
レベル | 対象 | 検証要件 |
|---|---|---|
レベル1 | 年間600万件超のVisa取引を処理する加盟店、またはVisaのいずれかの地域でレベル1と判定されたグローバル加盟店 | 年1回： 認定審査機関（QSA）が作成した準拠報告書（ROC）、または会社役員が署名した社内監査人によるROCを提出。準拠証明書（AOC）も提出。四半期ごと： 認定スキャンベンダー（ASV）によるネットワークスキャンを実施。 |
レベル2 | 全チャネル合計で年間100万件以上600万件以下のVisa取引を処理する加盟店 | 年1回： 自己問診（SAQ）を完了し、AOCを提出。四半期ごと： ASVによるネットワークスキャンを実施。 |
レベル3 | 年間2万件以上100万件以下のオンラインVisa取引を処理する加盟店 | 年1回： SAQを完了し、AOCを提出。四半期ごと： ASVによるネットワークスキャンを実施。 |
レベル4 | 年間2万件未満のオンラインVisa取引を処理する加盟店、およびその他のVisa取引を年間100万件以下処理する加盟店 | 年1回： SAQを完了し、AOCを提出。四半期ごと： 該当する場合、ASVによるネットワークスキャンを実施。 |
PCI DSSの12の基本要件
PCI DSSには、技術面・運用面に関する12の基本要件があり、6つの目標にまとめられています。PCI Security Standards Councilによる要件は次のとおりです。
安全なネットワークとシステムを構築・維持する
ネットワークセキュリティ制御を導入し、維持する。
すべてのシステム構成要素に安全な設定を適用する。
アカウントデータを保護する
すべてのカード会員データを保護する。
オープンな公共ネットワーク上でカード会員データを送信する際は、強力な暗号技術で保護する。
脆弱性管理プログラムを維持する
すべてのシステムとネットワークを悪意あるソフトウェアから守る。
安全なシステムとソフトウェアを開発し、維持する。
強力なアクセス制御を導入する
業務上知る必要がある範囲に応じて、カード会員データとシステム構成要素へのアクセスを制限する。
固有のIDを割り当て、システム構成要素へのユーザーアクセスを制御・監視する。
カード会員情報への物理的なアクセスを制限する。
ネットワークを定期的に監視・テストする
ネットワークリソースとカード会員データへのすべてのアクセスを追跡・監視する。
セキュリティシステムと手順を定期的にテストする。
情報セキュリティ方針を維持する
従業員と委託先向けの情報セキュリティ方針およびプログラムを定め、組織の情報セキュリティを支える。
PCI DSSに対応しない場合に起こること
PCI DSSに対応しない場合、カード取引を扱う加盟店や事業者に重大な影響が及ぶことがあります。カードブランドからの高額な罰金、データ侵害に対する責任の増加、ブランド評価の低下、顧客からの信頼喪失などです。
決済処理サービスが停止される可能性もあります。特に売上の多くをカード決済に依存する企業では、収益を上げる力に大きな影響が生じます。
PCI DSS対応の複雑さを乗り越えるには
PCI DSSへの対応は複雑になりがちです。厳格なセキュリティ基準と継続的な監視には、多くの人員や時間が必要になることがあります。
基本原則を理解し、コンプライアンスを重視する文化をつくり、適切なツールを使うことで、対応に伴うコストと課題を減らせます。AirwallexのようなPCI DSS認証済みの決済代行会社と提携することも、手続きを簡素化する方法の一つです。
AirwallexがPCI DSS対応を簡素化する方法
Airwallexは、PCI DSSレベル1の認証を受けた決済サービス事業者として、カード決済に必要なPCI DSS対応の複雑さを軽減します。Airwallexを決済ソリューションとして利用すれば、強固なセキュリティ基盤と経験豊富なチームを活用できます。
Airwallexでは、次のことが可能です。
最新の暗号化技術により、送信中および保存中の顧客データを保護する。
トークナイゼーションにより、顧客の個人情報と金融情報の機密性・安全性を維持する。
不正行為をリアルタイムで防ぎ、顧客に円滑で安全な利用体験を提供する。
セキュリティ専門チームが、事業に最高水準のセキュリティを確保するため継続的に支援する。
AirwallexのPCI DSS対応決済ソリューションについて、詳しくご覧ください。
出典：Verizon「2024 Data Breach Investigations Report Executive Summary」 https://www.verizon.com/business/resources/reports/2024-dbir-executive-summary.pdf
View this article in another region:イギリスオーストラリアシンガポールニュージーランドヨーロッパ米国グローバル
Channing Lovett
Senior Associate, Content Marketing
Channing Lovett is a fintech writer at Airwallex, where she leverages her diverse background in communication, tech, and financial SaaS to create insightful content. Channing’s expertise lies in simplifying complex concepts, helping readers to navigate the intricacies of their end-to-end financial operations with confidence. Her writing explores topics such as digital payments, cross-border transactions, and embedded finance, among others.
