PCI DSSとは？求められる6つの目的と12の要件や対応の流れを解説

PCI DSSとは、クレジットカード利用者の情報保護を目的に定められた、クレジットカード業界における情報セキュリティ基準のことです。JCBやMasterCard、VISAなど主要なブランド5社により、2004年に策定されました。

本記事では、PCI DSSの概要や求められる6つの目的と12の要件、認定を得る方法と対応の流れについて詳しく解説します。PCI DSSについて知りたい方、認定を受けたい方は、ぜひ参考にしてください。

PCI DSSとは

PCI DSS（Payment Card Industry Data Security Standard）とは、クレジットカード業界における情報セキュリティ基準のことです。クレジットカード利用者の情報を守るとともに、情報の漏洩による加盟店の信頼低下や顧客離れ、売上減少などのリスクを抑制する目的で、2004年12月に以下のブランド企業5社により策定されました。

• American Express
• Discover
• JCB
• MasterCard
• VISA

2020年には銀聯（ユニオンペイ）が加わり、現在では計6社で運用・管理されています。PCI DSSは、包括的かつ実績ある内容となっており、確認すればセキュリティ対策のアイディアを得られるでしょう。

ここからは、PCI DSSが策定された背景と準拠が求められる事業者について解説します。

PCI DSSが策定された背景

PCI DSSが策定された背景には、加盟店の負担とリスクの抑制があります。PCI DSSが策定されるまでは、各クレジットカードブランドが独自にセキュリティ基準を設けており、複数種類のカードを扱う加盟店は、それぞれの基準に対応しなければなりませんでした。また、サイバー攻撃が高度化・巧妙化しており、データ流出など大規模な被害が発生するようになりました。

そこで、国際的なクレジットカードブランド5社が共同で、統一的な基準を作成しました。作成された当初、日本ではなかなか認知されていませんでしたが、日本クレジット協会が2012年に準拠の実行計画（ナショナルプラン）を公表したことで、対応が進んでいます。

PCI DSSへの準拠が求められる事業者

会員データや機密認証データの保存や処理、送信する全ての事業者に、PCI DSSへの準拠が求められます。具体的には、コンビニエンスストア・スーパー・量販店といった加盟店やECサイト、銀行・決済代行サービス企業などです。求められる基準は、年間の取引量ごとに異なります。

PCI DSSのメリット

PCI DSSに準拠するメリットは、セキュリティと信頼性の向上です。準拠すれば、データのセキュリティの強化や不正アクセスの防止を行い、包括的なセキュリティ対策を実施できます。

PCI DSSに準拠した上で情報漏洩などのトラブルが発生した場合には、クレジットカード会社からのペナルティにおける一部が免責されます。また、基準に則った運用をアピールすることにより、顧客からの信頼性やブランドの向上に役立つでしょう。

PCI DSSにおける課題

続いて、PCI DSSにおける課題について解説します。

要件が煩雑

PCI DSSの要件は非常に煩雑です。公式文章は1,800ページを超えており、読むだけでも72時間以上かかるでしょう。また、対応するとなれば専門的な知識やスキルを有する人材が必要です。PCI DSSへの準拠に向けてシステムの改修が必要なケースもあり、コストや時間・手間もかかります。

継続的な取り組みが必要

PCI DSSへの対応は、一度行えば良いわけではなく継続的な取り組みが必要です。具体的には、定期的なモニタリングやテスト、評価が求められます。また、サイバー攻撃やセキュリティに関するテクノロジーは常に生み出されており、PCI DSSも改正が続けられています。企業もPCI DSSの改正などに合わせて、セキュリティ対策や体制の変更が必要です。

コストが発生

PCI DSSへの遵守・維持には、コストが発生します。具体的には、モニタリングやシステム改修を行う人材の確保・育成が挙げられます。システム改修などを行う人材の需要はDXにより増加している一方で、供給が追い付いていないため人件費が安くありません。自社での確保が難しく外注する場合には、その外注費が発生します。

PCI DSSで求められる6つの目的と12の要件

続いて、PCI DSSで求められる6つの目的と12の要件について解説します。

6つの目的

まずは6つの目的から紹介します。

セキュアなネットワーク・システムの構築と維持

セキュアなネットワーク・システムの構築と維持が必要です。通信内容の制御やモニタリングを行い、不正アクセス制限を実施しましょう。また、システムへのパッチ適用で、セキュリティが最新な状態を維持します。

ユーザーデータの保護

データを暗号化することにより、データ通信や保存中の不正アクセス防止が求められます。データ保持に関するポリシーは、明文化しなければなりません。また、会員番号（PAN）は隠すか切り捨てが必要です。

脆弱性管理プログラムの整備と維持

安全な環境の構築・維持を目的に、定期的な脆弱性の確認が必要です。具体的には、脆弱性スキャンと侵入テストを実施します。また、システムなどの開発におけるコーディング手法のガイドラインを作成・適用する必要があります。

強固なアクセス制御の導入

権限を有しない者がアクセスできないように、強固なアクセス制御を導入します。基本的には、必要な人のみに権限を与え、保持者を少なくしましょう。また、担当者の変更があれば、それに合わせて権限設定も見直します。

ネットワークにおける継続的なモニタリングと定期的なテスト

セキュリティインシデントに対するスピーディーな検出と対応には、継続的なモニタリングが必要です。セキュリティインシデントとは、コンピューターの利用や情報管理、情報システム運用において、セキュリティ上脅威となる事象のことです。詳細は以下をご覧ください。
⇒セキュリティインシデントとは？発生する3つの原因や事例、対策方法を解説

また、実際にインシデントが発生した際の対策手順などに問題がないか、定期的なテストによる確認も求められます。

情報セキュリティポリシーの整備・維持

データを保護する包括的なセキュリティポリシーの確立・維持が必要です。セキュリティポリシーを明文化するとともに定期的にレビューして、システムや業務プロセスの変更があれば、更新しましょう。また、ポリシーを浸透させるために、従業員に対するトレーニングの実施も求められます。

12の要件

続いて、12の要件について解説します。

ネットワークセキュリティ管理のインストールと維持

ファイアウォールやネットワークセキュリティツールを活用して、トラフィックを制御します。ファイアウォールとは、ネットワークを経由した侵入や不正な通信を防ぐセキュリティ対策のことです。

ファイアウォールの詳細を知りたい方は、以下をご覧ください。
⇒ファイアウォールの基本を知っておこう｜設定方法からトラブルシューティングまで

全システムコンポーネントに対する安全な構成の適用

システムのパスワードをデフォルト値から変更します。当初から設定されているパスワードは、サイバー攻撃者に知られている可能性があります。

保有するユーザーデータ保護

カード所有者に関するデータの保護が必要です。具体的には、データを暗号化して復号キーがなければ読み取れないようにします。

暗号化による公共ネットワークを介して送信されたユーザーデータの保護

データ送信時の盗聴や、不正アクセスを防止するための施策を実施します。暗号化などを実施しましょう。
⇒公開鍵暗号方式とは？仕組みやメリットなどをわかりやすく解説
⇒共通鍵暗号方式とは？種類やメリット・デメリット、他の暗号化技術も解説

全システム・ネットワークを悪質なソフトウェアから保護

ウイルスやマルウェア対策ツールを活用して、不正ソフトの侵入を防ぎます。また、侵入されても即刻検出して、削除できる体制構築が求められます。

安全なシステムとソフトウェアの開発・維持

安全性の高いコーディング手法を用いて、システム開発を行います。また、脆弱性をなくす目的で定期的なメンテナンスや、アップデートも実施する必要があります。

システムコンポーネントとユーザーデータへのアクセス制限

適切な権限の設定を行い、データが必要な担当者のみアクセスできる環境を構築します。権限の付与は、最小限に抑えることが重要です。

ユーザーの特定とシステムコンポーネントへのアクセス認証

一意のIDと強固なパスワードの活用でユーザー認証を実施して、権限を有しない者のアクセスをブロックします。知識や所有物、生体など複数の要素で認証を行う多要素認証を用いれば、セキュリティの向上が期待できます。

なお、多要素認証（MFA）の詳細を知りたい方は以下をご覧ください。
⇒MFA（多要素認証）とは？仕組みやメリット・デメリット、導入方法を解説

ユーザーデータへの物理的なアクセスの制限

ユーザーデータにアクセスできる権限の制限が求められます。適切な権限管理は、不審なアクセスの防止につながるでしょう。また、万が一アカウント権限を乗っ取られたとしても、権限がないものであれば被害を最小化できます。

アクセスログの記録と監視

アクセスログの記録と監視が必要です。侵入検知・防止システムやその他の追跡ツールを活用すれば、スピーディーに不審なアクティビティを検出して対処できます。

システムとネットワークのセキュリティに関する定期的なテスト

脆弱性の評価や侵入に対する定期的なテスト実施が求められます。セキュリティに関する問題を把握・対処すれば、サイバー攻撃を防げるでしょう。

組織的なポリシーとプログラムで情報セキュリティをサポート

コンプライアンスの遵守を目的に、セキュリティポリシーを明文化した上で、データを保護するルールやガイドラインの作成が必要です。また、従業員に対して、ポリシーなどを守らせるためのトレードを行うことが求められます。

取引規模に応じたPCI DSSのコンプライアンスレベル

PCI DSSで求められるコンプライアンスレベルは、年間の取引数量に応じて4段階に分かれています。ここからは、取引規模に応じたPCI DSSのコンプライアンスレベルについて解説します。

年間取引量が600万件超（PCI DSSレベル1）

年間取引量が600万件を超える企業に適用されるレベル1は、もっとも高度なコンプライアンス体制が求められます。データの保存や送信、処理に対する最高レベルのセキュリティを確保しなければなりません。規定の年間取引量を超えていなくても、情報の漏洩やサイバー攻撃によりデータを侵害された事業者は、レベル1の要件を満たす必要があります。

年間取引量が100万～600万件（PCI DSSレベル2）

年間取引量が100万～600万件の企業に適用されるレベル2では、年1回の自己問診と四半期ごとのネットワークスキャンが必要です。また、コンプライアンス証明（AOC）フォームの記入や侵入テストの実施も求められます。

eコマースの年間取引量が2万～100万件（PCI DSSレベル3）

年間取引量が2万～100万件の企業に適用されるレベル2でも、年1回の自己問診と四半期ごとのネットワークスキャンが必要です。AOCフォームへの記載・提出も必要ですが、侵入テストは不要です。

eコマースの年間取引量が2万件未満もしくはその他の取引が100万件まで（PCI DSSレベル4）

eコマースの年間取引量が2万件未満、もしくはその他の取引が100万件までの企業に適用されるレベル1では、年1回の自己問診が必要です。四半期ごとのネットワークスキャン実施が必要かは、企業の状態により異なります。AOCフォームの記入・提出は必要ありません。

PCI DSSの認証を得る方法

続いて、PCI DSSの認証を得る方法について解説します。

訪問審査

PCI SSCに認定された審査機関QSA（Qualified Security Assessor）による、年1回の訪問審査で認定を得る方法です。カード発行会社や取引量が多い事業者には、訪問審査が必要です。

ネットワークスキャン

PCI SSCに認定されたベンダーASV（Approved Scanning Vendor）のスキャンツールを活用して、認定を得る方法です。四半期に1回以上、外部に公開しているサーバーに対して脆弱性がないかなどが確認されます。取引量が中規模の事業者とインターネット接続している事業者には、ネットワークスキャンが必須です。

自己問診

PCI SSCが作成したアンケート形式のPCI DSS SAQ（自己問診票）に回答して、認定を得る方法です。一見簡単そうに思われがちですが、設問数は300問以上で業態ごとに種類が分かれているため、初めて取り組む企業の中にはハードルが高いと感じるところもあるでしょう。

主要な設問のみ50問をまとめた簡易診断表もあるため、まずは簡易版の利用がおすすめです。自己問診は、比較的取引量の多くない事業者を対象にしています。

PCI DSS対応の流れ

最後に、PCI DSS対応の流れを紹介します。

要件と対応が必要な範囲の把握

まずは、自社の取引量がどの程度でPCI DSSのどのレベルに準拠する必要があるかを把握しましょう。レベルにより求められる要件が異なります。

現状の分析と改善計画の立案

続いて、自社の現状を分析して求められる要件とのギャップを明確にします。データの保存場所やアクセス権限を有する人の把握と、セキュリティ対策の状況を改めて可視化することが重要です。改善点が見つかった場合には、対策を行うための計画を作成しましょう。

改善の実施

改善計画に基づき問題への対処を実施します。具体的には、セキュリティ対策ツールの導入やシステムの改修、業務マニュアルの作成・変更などを行います。また、改善後には要件に沿っているか確認しましょう。

テストや審査の実施

対策が完了したら訪問審査やネットワークスキャン、自己問診を行います。訪問審査やスキャンを受ける場合には、QSA・ASVへの連絡や準備も必要です。

継続的な監視と保守

PCI DSSの対応は、一度認証を受ければ完了ではありません。継続的な監視や保守が必要になります。また、取引量が増加すれば求められる対応に関するレベルが変わるケースもあります。継続的な監視や定期的なテストを実施して、毎年試験をパスする体制を構築しましょう。中には、PCI DSS対応のチームを会社内に設立する企業もあります。

まとめ

PCI DSSとは、クレジットカード業界における情報セキュリティ基準のことです。クレジットカード利用者の情報を守るとともに、加盟店の負担軽減とセキュリティ向上を目的に、国際的なカードブランド企業5社が2004年に策定しました。

PCI DSSの認証を得るには、現状の分析や要件に合わない事項の改善が必要です。まずは、自社がどのコンプライアンスレベルで、具体的にどのような要件が求められるかを確認しましょう。