PCI DSS（Payment Card Industry Data Security Standard）は、カード情報を安全に扱うための国際的なセキュリティ基準です。カード情報を受け付け、保存、処理、送信する事業者が対象で、12の基本要件があります。この記事では、対応が必要な事業者、12の要件、日本のEC加盟店が押さえておきたい関連ルールを解説します。
PCI DSSとは？
PCI DSSは、カード会員データを扱うすべての事業者が、安全な環境を保つための基準です。Visa、Mastercard、American Express、Discover、JCBの大手カード会社5社が策定しました。
カード会員データを守り、カード不正を減らすことが目的です。対応することで、データが漏えいするリスクを減らし、顧客の情報を守りやすくなります。公式の基準は、PCI Security Standards Councilで公開されています。
PCI DSSへの対応が必要なのは誰？
クレジットカードやデビットカードの情報を受け付け、保存、処理する加盟店と決済事業者です。多くの場合、カード会社との契約上の義務になります。
求められる対応の重さは、処理するカード取引の件数によって変わります。取引件数に応じて、事業者は4つのレベルに分けられます。レベルが高いほど、認定を受けた審査機関による審査や、定期的なネットワークのスキャン（外部からの脆弱性の検査）など、検証の内容が厳しくなります。
具体的な基準は、カード会社ごとに独自のプログラムとして定められています。日本で発行されるJCBについては、JCBのプログラムをご確認ください。自社がどのレベルに当たるかは、契約しているカード会社や決済代行会社に確認するのが確実です。
PCI DSSの12の基本要件とは？
PCI DSSには、技術面と運用面をあわせた12の基本要件があり、6つの目標に分類されています。要件はPCI Security Standards Councilのクイックガイドにまとめられています。
目標 | 要件 |
|---|---|
安全なネットワークとシステムを構築・維持する | 要件1：ネットワークセキュリティ制御を導入し、維持する |
安全なネットワークとシステムを構築・維持する | 要件2：すべてのシステム構成要素に安全な設定を適用する |
アカウントデータを保護する | 要件3：すべてのカード会員データを保護する |
アカウントデータを保護する | 要件4：オープンな公共ネットワーク上でカード会員データを送信する際は、強力な暗号技術で保護する |
脆弱性管理プログラムを維持する | 要件5：すべてのシステムとネットワークを悪意あるソフトウェアから守る |
脆弱性管理プログラムを維持する | 要件6：安全なシステムとソフトウェアを開発し、維持する |
強力なアクセス制御を導入する | 要件7：業務上知る必要がある範囲に応じて、カード会員データとシステム構成要素へのアクセスを制限する |
強力なアクセス制御を導入する | 要件8：固有のIDを割り当て、システム構成要素へのユーザーアクセスを制御・監視する |
強力なアクセス制御を導入する | 要件9：カード会員情報への物理的なアクセスを制限する |
ネットワークを定期的に監視・テストする | 要件10：ネットワークリソースとカード会員データへのすべてのアクセスを追跡・監視する |
ネットワークを定期的に監視・テストする | 要件11：セキュリティシステムと手順を定期的にテストする |
情報セキュリティ方針を維持する | 要件12：従業員と委託先向けの情報セキュリティ方針およびプログラムを定め、組織の情報セキュリティを支える |
日本のEC加盟店には、どんなルールがある？
日本では、PCI DSSに加えて、経済産業省の「クレジットカード・セキュリティガイドライン」への対応が求められます。このガイドラインは、割賦販売法のセキュリティ対策義務の実務上の指針とされています。加盟店に関わる主な内容は次の3つです。
カード情報の非保持化：自社でカード番号を保存・処理・通過させないことです。
EMV 3Dセキュア：カード利用時の本人認証の仕組みです。原則すべてのEC加盟店に、2025年3月末までの導入が求められました。
セキュリティ・チェックリストの対策：2025年4月以降、すべてのEC加盟店に、脆弱性対策などチェックリストに記載された対策の実施が求められています。
自社でカード情報を扱わない構成にすれば、PCI DSSで対応すべき範囲を小さくできる場合があります。具体的な対象範囲は、契約しているカード会社や決済代行会社に確認してください。
PCI DSSに対応しないとどうなる？
カード会社から高額な罰金を科されたり、情報漏えいが起きたときの責任が重くなったりするおそれがあります。ブランドの評判や顧客からの信頼を失うこともあります。
決済サービスが停止される可能性もあります。売上の多くをカード決済に頼っている事業者にとっては、事業への影響が大きくなります。
対応の負担を減らすには？
PCI DSSへの対応は、厳格な基準への対応と継続的な監視が必要で、人手も時間もかかります。負担を減らす方法の一つは、PCI DSSの認証を受けた決済代行会社を利用し、自社でカード情報を扱わない構成にすることです。
基本の考え方を理解し、社内でセキュリティへの意識を高めることも、対応の負担を減らします。
AirwallexはPCI DSS対応をどう支援する？
AirwallexはPCI DSSの認証を受けた決済サービス事業者で、決済に必要な対応の負担を軽くします。オンライン決済に、次のような仕組みがあります。
送信中と保存中の顧客データを、暗号化して保護する。
トークナイゼーション（カード番号などを別の文字列に置き換えて扱う仕組み）で、顧客の情報を守る。
不正利用をリアルタイムで防ぐ。
セキュリティの専門チームが、継続的に支援する。
よくある質問
PCI DSSとは何ですか？
カード会員データを守るための国際的なセキュリティ基準です。カード情報を受け付け、保存、処理、送信する事業者が対象で、12の基本要件があります。
PCI DSSは日本の事業者にも関係しますか？
関係します。カード情報を扱う事業者は、多くの場合カード会社との契約でPCI DSSへの対応を求められます。日本のEC加盟店には、経済産業省のガイドラインに基づく非保持化や3Dセキュアなどの対応も求められています。
非保持化とPCI DSSはどう関係しますか？
非保持化は、自社でカード番号を保存・処理・通過させないことです。自社でカード情報を扱わなければ、PCI DSSで対応すべき範囲を小さくできる場合があります。詳しい範囲は、カード会社や決済代行会社に確認してください。
自社がどのレベルか、どうやって分かりますか？
取引件数などに応じてカード会社ごとにレベルが決まります。契約しているカード会社や決済代行会社に確認するのが確実です。
他の地域の記事を読む：Netherlandsイギリスイスラエルオーストラリアシンガポールニュージーランドフランスヨーロッパ米国グローバル
Channing Lovett
Senior Associate, Content Marketing
Channing Lovett is a fintech writer at Airwallex, where she leverages her diverse background in communication, tech, and financial SaaS to create insightful content. Channing’s expertise lies in simplifying complex concepts, helping readers to navigate the intricacies of their end-to-end financial operations with confidence. Her writing explores topics such as digital payments, cross-border transactions, and embedded finance, among others.
