PCI DSSとは？​準拠しない​ことで​発生する​リスクや​準拠方法を​紹介

※2024年7月31日に​情報を​更新しています。

PCI DSSは​クレジットカード情報を​安全に​取り扱う​ために​策定された​セキュリティー基準です。​クレジットカード決済を​受け付けている​お店や​ネットショップでは、​「うちは​PCI DSSへの​準拠は​必要？」​「そもそも​PCI DSSって​何？」と​疑問に​思う​ビジネスオーナーも​多いでしょう。

クレジットカードを​扱ううえで​知って​おきたい​PCI DSSの​概要や​要件、​準拠が​必要な​場合、​必要ない​場合に​ついて​詳しく​紹介します。​合わせて、​安全に​クレジットカードを​扱う​ための​ヒントや、​PCI DSSの​最高レベルである​「レベル1」に​準拠している​Squareの​サービスに​ついても​触れていますので、​新しく​クレジットカード決済を​取り扱う​ビジネスオーナーも​ぜひ参考に​してください。

目次

---

• PCI DSSとは
  ・PCI DSSが​策定された​背景
• PCI DSS準拠は​必要？
  ・カード情報の​非保持化とは
• 非保持化の​ために​できる​こと
  ・安全な​決済には​Square
• PCI DSS準拠が​必要な​事業者とは
• PCI DSSの​要件と​手続き
  ・12の​要件を​知る
  ・​自社の​レベルを​知る
  ・準拠手続きを​知る
• 準拠しないリスク
• 安全に​クレジットカードを​扱う​ために
  ・8個の​ヒント

---

PCI DSSとは

PCI DSSとは、​「Payment Card Industry Data Security Standard​（ペイメント・カード・インダストリー・データ・セキュリティー・スタンダード）」の​略称で、​クレジットカードの​会員情報を​扱う​事業者や団体を​対象に​策定された​国際的な​セキュリティー基準です。

クレジットカードの​国際ブランドである​Visa、​Mastercard、​Discover、​American Express、​JCBの​5社が​PCI DSSを​策定し、​独立組織である​PCI Security Standards Council​（以下、​PCI SSC）が​運用・管理を​担っています。

PCI DSSが​策定された​背景

PCI DSSは​2004年に​初版が​策定されました。​その背景には​インターネットの​普及が​あります。​これまで​対面で​行っていた​決済が​インターネットを​通して​行われるようになった​ことで、​安全性の​低い​ネットワークや​決済システムから​カード情報が​盗まれる​大規模な​被害が​発生するようになりました。

実際、​日本では​どの​程度の​被害が​起きているのでしょうか。​日本クレジット協会が​行っている​クレジットカードの​不正利用額に​関する​調査に​よると、​PCI DSSが​策定された​2004年の​被害額は​186億円、​約57％が​偽造カードに​よる​被害です。​被害額は​一旦減少する​ものの、​2013年頃から​増加傾向に​転じ、​2021年には​330億円にも​及んでいます。​2021年の​被害額の​内訳を​見ると、​偽造カードに​よる​被害が​0.5%にまで​減った​一方で、​番号盗用に​よる​被害が​94%にも​上っています。

番号盗用の​手口と​して​多いのが、​事業者からの​情報漏えい、​ハッキング、​フィッシング、​クレジットマスターです。​クレジットマスターは、​コンピューターの​プログラムを​使って、​利用可能な​クレジットカード番号を​見つけ出す巧妙な​手口で、​偶然​見つけた​番号を​悪用する​ため、​対処が​難しいと​されています。

参考：クレジットカード不正利用被害の​発生状況​（2022年12月）​（日本クレジット協会）

PCI DSS準拠は​必要？

コンビニエンスストアでの​買い物から、​サブスクの​登録や​ホテルの​予約まで、​生活の​さま​ざまな​場面で​利用されている​クレジットカード。​「うちの​お店でも​クレジットカードを​受け付けているけど、​PCI DSSを​取得する​必要は​ある？」と​疑問に​思う​事業者も​多いでしょう。

結論から​いうと、​クレジットカード情報を​保持しないのなら、​準拠する​必要は​ありません。​逆に​いえば、​クレジットカード情報を​保持するのなら、​PCI DSSへの​準拠が​必要です。

クレジットカードを​扱う​事業者は​加盟店と​呼ばれています。​後払いや​分割払いに​関する​ルールを​定めた​「割賦販売法」では、​加盟店に​対して​クレジットカード情報を​適切に​管理し、​不正利用対策を​行うように​義務付けています。​この​適切な​管理や​不正利用対策に​ついて具体的な​方法を​記載しているのが、​「クレジットカード・セキュリティガイドライン」です。

クレジットカード・セキュリティガイドラインでは、​加盟店に​対して​以下を​求めています。

カード情報を​保持しない​非保持化(非保持と​同等／相当を​含む)、​または​カード情報を​保持する​場合は​PCI DSSに​準拠する。

後述しますが、​PCI DSSに​準拠するには、​12の​要件に​基づく​400もの要求事項に​対応しなければいけません。​多くの​加盟店が​PCI DSS準拠よりも、​カード情報の​非保持化を​選ぶでしょう。

カード情報の​非保持化とは

カード情報に​ついて​もう​少し​詳しく​見ていきましょう。​クレジットカードは​下記の​図のような​作りになっています。

カード情報とは、​カード番号、​会員氏名、​有効期限、​サービスコード、​機密認証データ​（全トラックデータ、​セキュリティーコード、​PINなど）を​指します。

「非保持化」とは​上記の​カード情報を、​自社や​自店舗の​機器や​ネットワークで​「保存」​「処理」​「通過」しない​ことです。​もう​少し​具体的に​いうと、​お客さまから​預かった​カード情報を​所有している​パソコンや​タブレット、​サーバーで​保存、​処理、​通過させない​ことです。​ここで​いう​「非保持化」は​電磁的な​送受信に​限っており、​紙の​資料で​カード情報を​保存していても​「保持している」とは​みなされません。

非保持化の​ために​できる​こと

対面で​決済を​行う​お店では、​まず​自店舗で​使っている​決済端末を​確認しましょう。​ICチップ付きクレジットカードに​対応した​決済端末を​使っており、​かつ、​カード情報を​外部の​情報処理センターに​直接送信しているのなら、​対策は​もうすでに​済んでいます。

もし、​ICチップ付きクレジットカードに​対応していない​決済端末を​使っていたり、​自店舗の​パソコンに​カード情報を​保存していたりしている​場合は、​早急な​対策を​おすすめします。

ネットショップを​運営している​場合、​ネットショップ作成サービスを​使っていたり、​決済代行会社の​システムを​自社の​ウェブサイトに​組み込んでいたりする​ことが​多いでしょう。​カード情報が​自社の​サーバーなどを​通過していないかどうか、​チェックしてみましょう。​わからない​場合は、​ネットショップ作成サービスや​決済代行会社に​確認する​ことを​おすすめします。

安全な​決済には​Square

ICチップ付きクレジットカードに​まだ対応していない​お店や、​安全な​ネットショップ作成サービスを​探している​事業者に​おすすめなのが、​Squareです。

Squareの​特徴は、​対面決済と​非対面決済の​両方に​対応しており、​無料の​アカウントさえ​あれば​両方を​好きに​利用できる​ところです。

たとえば、​対面決済では​ICチップ付きクレジットカードに​対応した​決済端末を​用意しています。​カード情報は​Squareの​サーバーに​送られる​ため、​お店が​カード情報を​保持する​ことは​ありません。​磁気ストライプと​比べて​ICチップは​セキュリティー面で​格段に​優れています。​日本では​ICチップ付きクレジットカードの​普及が​進んで​おり、​「クレジットカード・セキュリティガイドライン」でも​ICチップに​対応した​決済端末を​設置する​ことを​求めています。​未対応の​場合、​直ちに​対応しましょう。

Squareでは、​手の​ひらサイズの​コンパクトな​決済端末Square リーダー​（4,980円）、​レシートプリンター内蔵の​Square ターミナル​（39,980円）、​スタッフ用の​大きな​タッチスクリーンと​お客さま用ディスプレイの​2画面を​搭載した​Square レジスター​（84,980円）、​iPad用レジスタンドの​Square スタンド​（29,980円）の​4種類の​決済端末から​選ぶ​ことができます。​どの​決済端末でも、​クレジットカード決済を​はじめ、​QRコード決済、​電子マネー決済に​対応可能です。

▲Squareが​提供している​決済端末一覧

また​非対面決済に​関しては、​Square 請求書、​Square オンラインビジネス​（ネットショップ作成機能）、​Square リンク決済など、​ビジネスの​形態に​合わせて​使える​複数の​方法が​あります。​もちろん、​カード情報は​Squareで​処理しているので、​手元に​残る​ことは​ありません。​各決済方法に​関して​詳しくは​「5分で​わかる​Squareの​使い方〜オンライン決済編〜」で​紹介しています。

対面決済でも​非対面決済でも、​PCI DSSの​最高レベルである​「レベル1」に​準拠した​Squareが​カード情報を​加盟店に​代わって​しっかりと​保護するので、​安心して​クレジットカードを​取り扱う​ことができます。

PCI DSS準拠が​必要な​事業者とは

「PCI DSS準拠は​必要？」の​項目では、​カード情報を​非保持化するのなら​PCI DSS準拠は​必要ないと​お伝えしました。​一方で、​準拠が​必要なのは​どんな​事業者なのでしょうか。

具体的には​下記のような​事業者です。

・業務上、​カード情報の​保持を​する​加盟店
・イシュア​（消費者に​クレジットカードを​発行する）
・アクワイアラーや​決済代行会社​（カードブランドと​加盟店の​間に​入り契約を​行う）

次項以降では、​業務上カード情報の​保持を​する​必要が​あり、​PCI DSSへの​準拠を​検討している​加盟店向けに​要件などを​説明していきます。

PCI DSS準拠に​必要な​6つの​目標と​12の​要件

PCI DSSは、​6つの​目標と​12の​要件、​さらに​細かい​要求事項で​構成されています。

目標1：安全な​ネットワークと​システムの​構築と​維持

要件1：ネットワークの​セキュリティーコントロールを​導入し、​維持します
要件2：すべての​システムコンポーネントに​安全な​設定を​適用します

目標2：アカウントデータの​保護

要件3：保存された​アカウントデータを​保護します
要件4：オープンな​公共ネットワークで​カード会員データを​伝送する​場合、​ 強力な​暗号化技術で​カード会員データを​保護します

目標3：脆弱性管理プログラムの​維持

要件5：すべての​システムと​ネットワークを​悪意の​ある​ソフトウェアから​保護します
要件6：安全性の​高い​システムおよび​ソフトウエアを​開発し、​保守します

目標4：強力な​アクセス制御手法の​導入

要件7：システムコンポーネントおよびカード会員データへの​アクセスを、​ 業務上必要な​適用範囲に​制限します
要件8：ユーザーを​識別し、​システムコンポーネントへの​アクセスを​認証します
要件9：カード会員データへの​物理的な​アクセスを​制限します

目標5：ネットワークの​定期的な​監視およびテスト

要件10：システムコンポーネントおよびカード会員データへの​すべての​アクセスを​記録し、​監視します
要件11：システムおよびネットワークの​セキュリティーを​定期的に​テストします

目標6：情報セキュリティーポリシーの​維持

要件12：事業体の​ポリシーと​プログラムに​より、​情報セキュリティーを​維持します

12の​要件に​加えて​400以上の​要求事項が​あり、​準拠の​過程では​これらの​要求事項に​すべて​対応しなければいけません。

PCI DSS準拠に​おける​加盟店レベル

加盟店は​年間取引件数などの​条件に​合わせて​レベル1から​レベル4に​分けられ、​レベルごとに​準拠手​続きが​異なります。​レベル1が​最高レベルに​あたり、​準拠手続きも​厳しい​ものとなっています。​レベル1に​準拠している​企業と​しては、​Squareや​LINE Pay、​アマゾンウェブサービスなどが​あります。

取引件数などの​条件は​各カードブランドが​定めており、​ここでは​Mastercardを​例に​挙げます。

レベル1：Mastercardと​Maestro​（※）の​年間取引総件数が​600万件を​超える​加盟店
レベル2：Mastercardと​Maestroの​年間取引総件数が​100万超、​600万件未満の​加盟店
レベル3：Mastercardと​Maestroの​年間Eコマース取引総件数が​2万件超、​Mastercardと​Maestroの​年間取引総件数が​100万件以下の​加盟店
レベル4：それ以外の​加盟店

※ Masetroは​Mastercardが​提供している​デビットカードの​ブランドです

レベル毎の​準拠手続き

次に​レベル毎の​準拠手続きを​紹介します。​手続きも​各カードブランドに​よって​微妙に​異なります。​ここでは​Mastercardを​例に​してます。

レベル1：年に​1回の​社内監査人​（ISA）​または​認定監査機関​（​QSA)に​よる​現場監査。​4半期ごとの​認定セキュリティー評価ベンダー​（ASV）に​よる​ネットワークの​スキャン

レベル2：年に​1回の​自己問診​（SAQ）に​よる​評価。​加盟店の​裁量に​よる​年に​1回の​認定監査機関​（​QSA)に​よる​現場監査。​4半期ごとの​認定セキュリティ評価ベンダー​（ASV）に​よる​ネットワークスキャン

レベル3と​レベル4：年に​1回の​自己問診​（SAQ）に​よる​評価。​4半期ごとの​認定セキュリティ評価ベンダー​（ASV）に​よる​ネットワークスキャン

現場監査​（オンサイトアセスメント）

PCI SSCから​認定を​受けた​監査機関​（​Qualified Security Assessor、​QAS）が​会社を​訪問し、​システムなどが​要件を​満たしているかどうかの​監査を​行います。​日本の​QASの​一覧は​日本カード情報セキュリティ協議会の​ウェブサイトで​公開されています。​社内監査人​（Internal Security Assessor、​ISA）が、​QASの​代わりに​監査を​行う​こともできます。​監査人は​誰でもなれるわけではなく、​QASと​同じ​レベルの​知識や​技術が​求められ、​ISA資格を​取得しなければなりません。​ISAの​育成講座は​日本語でも​開催されていますが、​受講には​30万円ほど​かかるようです。

ネットワークの​スキャン

PCI SSCから​認定を​受けた​セキュリティー評価ベンダー​（Approved Scanning Vendors、​ASV）が、​要件11で​求められている​ネットワークと​システムの​脆弱性スキャンを​行います。​日本の​ASVの​一覧は​日本カード情報セキュリティ協議会の​ウェブサイトで​公開されています。

自己問診​（SAQ）

自己問診​（Self-Assessment Questionnaire、​SAQ）では、​アンケートのような​形で​一つ​ずつ​設問に​答えていきます。​業種や​データの​取り扱い方に​よって、​SAQ A、​SAQ B、​SAQ P2PEなど​自己問診の​内容が​異なります。​PCI SSCの​ドキュメントライブラリーから​SAQの​日本語版を​ダウンロードする​ことができます。​前述で​紹介した​QASに​よる​現場監査や​ASVに​よる​ネットワークスキャンとは​異なり、​自己申告に​よる​手続きです。

準拠に​かかる​費用

上記の​準拠手続きを​クリアするには、​認定を​受けた​内部監査人​（ISA）​や​監査機関​（​QSA）、​セキュリティー評価ベンダー​（ASV）と​いった、​担当者や​第三者機関の​存在が​必要に​なってきます。​たとえば、​ISAの​育成講座には​約30万円と​いう​高額な​費用が​かかりますが、​ISA資格取得後も​定期的な​トレーニングの​受講が​求められます。​担当者は​それだけの​労力と​時間を​割いて、​資格の​取得と​維持に​努める​ことに​なります。​また、​SAQも​「アンケートに​答えるだけなら​自社で​できそうだ」とも​思えますが、​回答項目が​膨大で​専門用語も​多いため、​対応は​簡単ではないでしょう。​外部の​コンサルタント会社に​頼る​企業も​多く、​SAQだけで​年間数十万円、​レベル1に​該当する​場合は​年間数百万の​コストが​かかる​ことも​少なく​ありません。

準拠しないリスク

PCI DSSに​準拠せず、​また​ICチップや​非保持化にも​対応していない​場合、​どんな​リスクを​負うことになるのでしょうか。

PCI DSSや​割賦販売法では、​加盟店に​対して​法的な​罰則を​定めていません。​ただし、​カード情報を​安全に​取り扱う​ための​義務を​怠る​ことで、​場合に​よっては、​加盟店契約を​打ち切られ、​クレジットカードを​扱う​ことができなくなる​可能性が​あります。​また、​安全性が​低い​環境で​クレジットカードを​扱い、​情報漏えいが​起きた​場合、​監査や​調査に​伴う​コストが​発生するのみならず、​信用低下に​よる​顧客離れや​売上減少に​つながる可能性も​高いでしょう。

特に​コロナ禍の​影響に​より、​接触を​伴わない​キャッシュレス決済や​インターネットショッピングを​利用する​消費者は​増えています。​PCI SSCが​公表している​資料に​よれば、​小規模事業者の​うち4割が​情報漏えい​被害からの​回復に​5万ドル以上を​支払っています。​さらに、​3割の​消費者は​情報漏えい​被害を​受けた​事業者は​二度と​利用しないと​答えています。

安全に​クレジットカードを​扱う​ために

規模の​小さな​ビジネスに​とって、​情報漏えいに​伴う​コストや​ダメージは​経営に​大きな​影響を​及ぼします。​信用や​売上の​回復には​何年も​時間が​かかるでしょう。​最悪の​場合、​ビジネスを​たたまざるを​得ない​状況に​追い込まれるかもしれません。​こうした​ダメージを​避ける​ためにも、​安全な​環境で​クレジットカード情報を​取り扱いましょう。

PCI SSCが​公開している​8個の​ヒント

PCI SSCでは​小規模事業者に​向けて、​安全の​ために​できる​8個の​ヒントを​公開しています。​どれも​今すぐに​でもできる​ことばかりです。

1:カード情報を​まったく​保存しない。​カード情報は​安全な​決済端末に​入力する
2:強力な​パスワードを​使う
3:ソフトウェアは​最新の​状態に​保つ
4:強力な​暗号化を​使う
5:安全な​リモートアクセスを​使う
6:ファイアウォールが​正しく​設定されている​ことを​確認する
7:リンクは​クリックする​前に​考える
8:信頼できる​決済プロバイダーを​選ぶ

PCI DSS準拠は​一朝一夕で​できる​ことでは​ありません。​業務上カード情報を​保持する​必要の​ある​加盟店は、​すぐに​でも​PCI DSS準拠に​向けて​行動した​ほうが​いいでしょう。

クレジットカードを​安全に​扱うには、​Squareが​最適！

カード情報を​保持する​必要が​ない​場合は、​前述で​紹介した​ヒントにも​あるように​安全性の​高い​決済代行会社への​移行を​おすすめします。​Squareは​PCI DSSの​レベル1に​準拠しており、​加盟店に​代わって​カード情報の​保存や​処理を​行います。​また、​アルゴリズムを​活用しながら​不正取引を​検出し、​取引完了まで​加盟店と​お客さまの​両方を​見守っています。​ぜひ、​Squareの​導入を​ご検討ください。

---

Squareの​ブログでは、​起業したい、​自分の​ビジネスを​さらに​発展させたい、と​考える​人に​向けて​情報を​発信しています。​お届けするのは​集客に​使える​アイデア、​資金運用や​税金の​知識、​最新の​キャッシュレス事情など。​また、​Square加盟店の​取材記事では、​日々​経営に​向き合う​人たちの​試行錯誤の​様子や、​乗り越えてきた壁を​垣間見る​ことができます。​Squareブログ編集チームでは、​記事を​通して​ビジネスの​立ち上げから​日々の​運営、​成長を​サポートします。

執筆は​2020年7月16日​時点の​情報を​参照しています。​2024年7月31日に​記事の​一部情報を​更新しました。​当ウェブサイトから​リンクした​外部の​ウェブサイトの​内容に​ついては、​Squareは​責任を​負いません。​Photography provided by, Unsplash