PCI DSSとは？基準の定義と全体像
PCI DSSは「Payment Card Industry Data Security Standard」の略称で、日本語ではクレジット業界のデータセキュリティ基準と訳されます。カード番号や有効期限といった会員データの漏えいや不正利用を防ぐことを目的に、事業者が守るべき技術面と運用面の要件をまとめたものです。
この基準は、カード情報を保存・処理・送信するすべての事業者を対象としています。加盟店だけでなく、決済代行会社やデータを預かる委託先も含まれる点が特徴です。カード決済に関わる限り、規模の大小を問わず対応が必要と理解しておくと安心できます。
PCI DSSが策定された経緯と運営団体
PCI DSSは、国際的なカードブランド5社が共同で設立した団体であるPCI SSC（PCI Security Standards Council）によって管理・運営されています。各ブランドが個別に定めていたセキュリティ要件を統一し、共通の基準として整備した点に大きな意義があります。
基準は固定されたものではなく、攻撃手法の高度化に合わせて改訂が重ねられています。最新のバージョンでは、多要素認証の強化やリスクに応じた柔軟な対応が盛り込まれました。導入時は、必ず現行バージョンの内容を確認したうえで対応方針を決めることが重要です。
PCI DSSが守る「カード会員データ」の範囲
PCI DSSが保護対象とするのは、主にカード会員データと機密認証データです。前者にはカード番号や会員名、有効期限が含まれ、後者にはカード裏面のセキュリティコードや暗証番号などが該当します。
特にセキュリティコードや暗証番号は、認証後に保存してはならない情報として厳しく制限されています。どの情報をどこまで保持してよいのかを正しく理解することが、対応範囲を見極める出発点です。自社が扱うデータを棚卸しし、保護対象を明確にする作業から始めましょう。
PCI DSS準拠が求められる背景と対象事業者
次に、なぜPCI DSSへの準拠が求められるのか、その背景と対象となる事業者を確認します。日本国内では法制度とも関連しており、準拠は単なる推奨ではなく実質的な必須要件へと位置づけられています。
国内の法制度とPCI DSSの関係
日本では割賦販売法の改正により、カード情報を取り扱う加盟店や決済事業者に対して、情報の適切な管理が義務づけられました。その具体的な安全対策の指針としてPCI DSSへの準拠が示されており、実務上の基準として広く参照されています。
つまりPCI DSSは、業界の自主基準にとどまらず、法令が求める安全管理措置を満たす手段としての性格も持ちます。カード決済を導入する事業者にとって、準拠は取引継続の前提条件と捉えるべきです。対応を先延ばしにするほど、事業リスクが高まる点に注意が必要です。
準拠しない場合に生じるリスク
PCI DSSに準拠しないまま情報漏えいが発生した場合、事業者は損害賠償やカードブランドからの制裁金といった金銭的負担を負う可能性があります。加えて、カード決済の取り扱いを停止されるおそれもあり、事業継続そのものへ影響します。
金銭面の損失に加えて、顧客からの信頼低下という無形の打撃も深刻です。一度失った信用の回復には長い時間を要します。準拠は防御コストではなく、事業の信頼を守るための投資として位置づけると判断を誤りにくくなります。
PCI DSSを構成する6つの目標と12の要件
PCI DSSでは、カード会員データを保護するための取り組みを6つの目標と12の要件に整理しています。ネットワークやデータの保護だけでなく、アクセス制御、監視、セキュリティポリシーなど幅広い対策が求められます。ここでは、それぞれの目標と対応する要件を解説します。
安全なネットワークとシステムの構築・維持【要件1・2】
要件1では、ネットワークセキュリティコントロールを導入・維持し、不正な通信やアクセスからカード会員データ環境を保護します。要件2では、すべてのシステムコンポーネントに安全な設定を適用し、初期設定のまま運用することなどによるリスクを抑えます。
アカウントデータの保護【要件3・4】
要件3では、保存するアカウントデータを適切に保護します。特にカード番号などの重要なデータについて、保存量の最小化や読み取り不能化などの対策が求められます。要件4では、オープンな公共ネットワークを通じてカード会員データを送信する場合に、強力な暗号化技術で保護します。
脆弱性管理プログラムの維持【要件5・6】
要件5では、システムやネットワークをマルウェアなどの悪意のあるソフトウェアから保護します。要件6では、脆弱性への対応や安全な開発・保守などを通じて、セキュアなシステムとソフトウェアを維持することが求められます。
強固なアクセス制御の実施【要件7・8・9】
要件7では、システムやカード会員データへのアクセスを業務上必要な範囲に制限します。要件8では利用者の識別と認証を適切に行い、要件9ではカード会員データへの物理的なアクセスを制限します。必要な人だけが必要な情報へアクセスできる環境を整えることが目的です。
システムとネットワークの定期的な監視・テスト【要件10・11】
要件10では、システムコンポーネントやカード会員データへのアクセスを記録・監視します。要件11では、脆弱性スキャンやペネトレーションテストなどを実施し、システムやネットワークのセキュリティを定期的に検証します。
情報セキュリティポリシーとプログラムの整備【要件12】
要件12では、情報セキュリティを支える方針や運用プログラムを整備します。役割や責任の明確化、リスク管理、従業員へのセキュリティ教育などを継続的に実施し、組織全体でPCI DSSへの対応を維持できる体制を構築します。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でセキュリティ診断の一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
PCI DSS準拠の確認・報告方法
PCI DSSでは、自社の環境が要件を満たしているかを評価し、その結果を所定の方法で報告します。必要となる評価・報告方法は一律ではなく、事業者の決済環境やカードブランド、アクワイアラーなどから求められる条件によって異なります。ここでは、代表的な方法を紹介します。
QSAによる評価とROC
専門的な第三者評価が求められる場合には、PCI SSCが認定したQSA（Qualified Security Assessor）による評価が行われます。評価結果はROC（Report on Compliance）にまとめられ、PCI DSSの各要件を満たしているかを詳細に確認します。
SAQによる自己評価
SAQ（Self-Assessment Questionnaire）は、対象となる事業者が自社でPCI DSSへの準拠状況を確認・報告するための自己評価質問票です。決済方法やシステム構成などによって複数の種類があり、自社が適用条件を満たすSAQを選択して評価します。
ASVによる外部脆弱性スキャン
PCI DSSの適用要件によっては、PCI SSCが認定したASV（Approved Scanning Vendor）による外部脆弱性スキャンも必要です。インターネットに接続された対象システムを外部から検査し、既知の脆弱性や設定上の問題などを確認します。SAQやROCとは役割が異なり、必要に応じてこれらの評価・報告とあわせて実施します。
PCI DSS準拠を継続するためのポイント
PCI DSSへの対応は、一度評価を受けて終わりではありません。システムや運用環境は継続的に変化するため、要件を満たした状態を維持し、必要なタイミングで評価や報告を行うことが重要です。
自社に必要な評価・報告方法を確認する
必要な評価方法や提出書類などは、カードブランドやアクワイアラーなどが定めるコンプライアンスプログラムによって異なります。年間の取引件数などが判断基準として用いられる場合もあるため、自社にどの要件が適用されるのかを提出先へ確認しましょう。
継続的にセキュリティ対策を実施する
PCI DSSでは、脆弱性管理やアクセス監視などを継続的に行うことが求められます。例えば、適用対象となる外部脆弱性スキャンは定期的に実施する必要があります。システム変更や新たな脆弱性の発見などにも対応できるよう、日常業務のなかにセキュリティ対策を組み込むことが重要です。
自社でPCI DSS対応を進める際の実務的なハードル
PCI DSSの全体像を理解できても、実際の対応には専門知識と工数が必要です。ここでは、自社だけで進めようとしたときに直面しやすい課題と、外部の力を借りる判断基準を整理します。
対応範囲の特定と工数の負担
PCI DSS対応でつまずきやすいのが、準拠すべき範囲を正確に見極める作業です。カード情報が流れる経路や保存場所を洗い出し、対象システムを特定する工程は複雑で、専門的な知識を要します。範囲を誤ると、対応漏れや過剰な負担につながります。
加えて、12要件を満たす技術対策と文書整備には相応の工数がかかります。通常業務と並行して進めるには限界があり、担当者の負荷が集中しがちです。自社のリソースだけで完結できるかを早い段階で見極めることが、遅延を防ぐうえで重要です。
外部サービスを活用する判断基準
専門人材が不足している場合や、初めてPCI DSSへ取り組む場合は、外部の診断・支援サービスを活用する選択が現実的です。脆弱性診断やペネトレーションテスト、準拠支援コンサルティングなど、目的に応じたサービスが提供されています。
外部サービスを選ぶ際は、自社の課題が範囲策定なのか、技術的な検査なのか、運用の定着なのかを明確にすることが出発点です。必要な工程だけを部分的に依頼する方法もあります。まず資料を集めて対応内容と費用感を比較し、自社に合う支援を見極めましょう。
PCI DSS対応を支援する診断・コンサルティングサービス
PCI DSSの要件には脆弱性スキャンやペネトレーションテストの実施、準拠に向けた範囲策定や運用支援が含まれます。これらの工程を自社だけで担うのが難しい場合に、活用を検討したいサービスを紹介します。
Webアプリケーション脆弱性検査ツール vex
- 自動巡回、またはシナリオマップによる簡易なシナリオ作成
- ユーザの利用環境に合わせて幅広く利用できる柔軟な利用形態
- 目的や利用者に合わせた日本語/英語10種類の多種多様なレポート
株式会社ユービーセキュアが提供する「Webアプリケーション脆弱性検査ツール vex」は、Webサーバーへ疑似攻撃リクエストを送り、レスポンスを解析して脆弱性を検査する純国産ツールです。自動巡回やシナリオマップなど3つのシナリオ作成機能を備え、Webサイトの特性に応じた画面遷移を再現できます。一般的なWebアプリケーションの脆弱性に加え、マルチバイト文字列の取り扱いに起因する脆弱性にも対応。OWASPやPCI DSSなどのガイドラインに対応したレポートも作成できます。
PCIDSSコンサルティングサービス （ICMSソリューションズ株式会社）
- PCI DSS準拠・運用を7フェーズで体系的に支援。
- 教育、範囲策定、GAP分析、改善を一貫サポート。
- QSAが監査ノウハウに基づき助言。
まとめ
PCI DSSとは、クレジットカードの会員データを守るために定められた国際的なセキュリティ基準です。6つの目標と12の要件で構成され、ネットワーク保護からデータ暗号化、アクセス制御、監視、ポリシー整備までを体系的に求めます。準拠の証明には訪問審査やASVスキャン、自己問診があり、取引規模に応じてレベルが分かれます。国内では法制度とも結び付き、準拠は事業継続の前提です。自社の状況を整理し、必要に応じて外部の診断や支援サービスも活用しながら、無理なく対応を進めましょう。
