PCI DSSとは（Payment Card Industry Data Security Standard）

ペイメントデータセキュリティ基準　PCI DSSとは？

国際的なクレジット産業向けのデータセキュリティ基準
（Payment Card Industry Data Security Standard）
国際カードブランド５社（VISA、 MasterCard 、American Express、JCB、 Discover）が共同で設立し、2020年より銀聯が参加、計6社によるPCIセキュリティ基準審議会(米国）が制定する事実上の基準です。

PCI DSS　設立の背景

元来、セキュリティ基準は各国際カードブランドにより独自で定められていました。一般的に複数のカードを扱う加盟店にとって、各セキュリティ基準を満たすには非常に大きな負荷が生じていました。

近年、インターネットの急速な発展はEコマースの増加を促し、決済のグローバル化が広がりました。一方で、サイバー攻撃のボーダレス化も進み、攻撃は複雑かつ巧妙化になりました。大規模なクレジットカード被害が世界規模で発生するようになりました。

そこでクレジットカード情報のセキュリティを強化し、加盟店のリスクと負担の減少およびグローバルに推進するために、国際カードブランド5社により統一されたデータセキュリティ評価基準・PCI DSSが策定されました。

PCI DSS はカード会員データを保護するために規定された技術面および運用面のベースラインとして活用できます。体系的かつ定量的に策定されているため、米国の企業ではクレジットカード情報に限らず組織全体のセキュリティ対策として採用して注目をされています。

PCI DSS　設立の背景

PCI DSSを順守する目的と要件【v4.0】

安全なネットワークとシステムの構築と維持

要件1：ネットワークセキュリティコントロールの導入と維持
要件2：すべてのシステムコンポーネントにセキュアな設定を適用する

アカウントデータの保護

要件3：保存されたアカウントデータの保護
要件4：オープンな公共ネットワークでの送信時に、強力な暗号化技術でカード会員データを保護する

脆弱性管理プログラムの維持

要件5：悪意のあるソフトウェアからすべてのシステムおよびネットワークを保護する
要件6 : 安全なシステムおよびソフトウェアの開発と維持

強固なアクセス制御の実施

要件7：システムコンポーネントおよびカード会員データへのアクセスを、業務上必要な適用範囲（Need to Know）によって制限する
要件 8：ユーザの識別とシステムコンポーネントへのアクセスの認証
要件 9: カード会員データへの物理アクセスを制限する

ネットワークの定期的な監視とテスト

要件 10 : システムコンポーネントおよびカード会員データへのすべてのアクセスをログに記録し、監視すること
要件 11 : システムおよびネットワークのセキュリティを定期的にテストする

情報セキュリティポリシーの維持

要件 12: 組織の方針とプログラムによって情報セキュリティをサポートする

PCI DSSに要求される準拠事項とは

加盟店のレベル

レベル	Visa Inc.（AIS）	MasterCard（SDP）	JCB（JCBデータセキュリティプログラム）	American Express （DSOP）	Discover
1	・当該ブランドの年間の取引件数が600万件以上、または地域のVisaがレベル1と判断したグローバルな加盟店	・当該ブランドの年間の取引件数が600万件以上・過去にカード情報の漏えい事件を起こした加盟店・MasterCardがレベル1と判断した加盟店・Visaがレベル1と判断した加盟店	・当該ブランドの年間の取引件数が100万件以上(推奨・2018年4月1日より必須）・International取引を処理する加盟店、または過去にカード情報の漏えい事件を起こした加盟店	・当該ブランドの年間の取引件数が250万件以上またはAmericanExpressがレベル1と判断した加盟店	・当該ブランドの年間取引件数が600万件以上・他のペイメントブランドがレベル1と判断した加盟店
2	・当該ブランドの年間の取引件数が100万～600万件	・当該ブランドの年間の取引件数が100～600万件である加盟店・Visaがレベル2と判断した加盟店	・当該ブランドの年間の取引件数が100万件未満	・当該ブランドの年間の取引件数が5万～250万件以上またはAmericanExpressがレベル2と判断した加盟店	・当該ブランドの取引が100万件以上、600万件未満の加盟店
3	・当該ブランドの年間の電子商取引における取引件数が2万～100万件	・当該ブランドの年間の電子商取引における取引件数が2万～100万件取り扱う加盟店・Visaがレベル3と判断した加盟店	該当なし	・当該ブランドの年間の取引件数が1万件以上5万件未満	・上記以外のすべての加盟店
4	・当該ブランドの年間の電子商取引における取引件数が2万件未満・当該ブランドの年間の取引件数が100万件未満	・レベル1～3以外のすべての加盟店	該当なし	・当該ブランドの年間の取引件数が１万件未満の加盟	該当なし

加盟店の検証要件

レベル	Visa Inc.（AIS）	MasterCard（SDP）	JCB（JCBデータセキュリティプログラム）	American Express （DSOP）	Discover
1	・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン・準拠報告のドキュメントフォーム	・PCI DSS Prioritized Approach Milestone1※ ・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン	・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン	・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン	・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン・準拠証明書・スキャン結果の提出は必須ではない
2	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン・準拠報告のドキュメントフォーム	・PCI DSS Prioritized Approach Milestone1※ ・PCI SSC主催の加盟店トレーニングに参加し、資格継続している監査担当者による年1回の自己問診、またはQSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン・準拠証明書	・準拠証明書・SAQ AOC必須（ROC AOCを提出する場合を除く）。特定の種類のSAQはスキャンが必要	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン・準拠証明書・スキャン結果の提出は必須ではない
3	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン・準拠証明書	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン	該当なし	・SAQ AOCはオプション（American Expressが要請する場合は必須）。特定の種類のSAQはスキャンが必須	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン・準拠証明書・スキャン結果の提出は必須ではない
4	・年1回の自己問診（推奨）・ASVによる四半期ごとのネットワークスキャン（推奨）・アクワイアラが定める準拠要件・準拠証明書	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン（推奨）	該当なし	・SAQ AOCはオプション（American Expressが要請する場合は必須）。特定の種類のSAQはスキャンが必須	該当なし

※PCI DSS Prioritized Approach Milestone1:12要件の優先順位付けを行うための参考資料（要件の取捨選択ではない）。非対面加盟店は対象外

サービスプロバイダのレベル

レベル	Visa Inc.（AIS）	MasterCard（SDP）	JCB（JCBデータセキュリティプログラム）	American Express （DSOP）	Discover
1	・Visa Netに接続するプロセッサ、または取引の伝送／処理／保存の件数が年間30万件以上あるサービスプロバイダ	・すべてのTPP※1 ・年間30万件超の取引を伝送／処理／保存するDSE※2 ・過去にカード情報の漏えい事件を起こしたことがあるすべてのTPP及びDSE	・すべてのTPP	・当該ブランドの取引件数が年間250万件以上、またはAmericanExpressがレベル1と判断したサービスプロバイダ	・年間30万件超のカード取引を伝送、処理、保存するTPP ・Discoverが独自に定めたTPP
2	・取引の伝送／処理／保存の件数が年間30万件未満のサービスプロバイダ	・年間30万件以下の取引を伝送／処理／保存するDSE	・すべてのTPP	・当該ブランドの取引件数が年間250万件未満、またはAmericanExpressがレベル1でないとみなすサービスプロバイダー	・年間30万件未満のカード取引を伝送、処理、保存するTPP
3	該当なし	該当なし	該当なし	該当なし	該当なし

※1　TPP （サードパーティープロセッサ）：取引処理サービスをアクワイアラのために行うサービスプロバイダ（インターネットペイメントサービス等）
※2　DSE （データストレージエンティティ）：取引処理サービスを加盟店又は他のサービスプロバイダのために行うサービスプロバイダ（Webホスティングサービス等）

サービスプロバイダの検証要件

レベル	Visa Inc.（AIS）	MasterCard（SDP）	JCB（JCBデータセキュリティプログラム）	American Express （DSOP）	Discover
1	・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン・準拠証明書（AOC）	・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン	・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン	・年次のオンサイトセキュリティ評価レポート・四半期毎のネットワークスキャン・年次コンプライアンスレポート準拠証明（ROC AOC）	・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン
2	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン・Visa Incのサービスプロバイダリストには掲載されない（レベル1として検証すれば掲載）・準拠証明書（AOC）	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン	・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン	・年次SAQ D（サービスプロバイダ）および四半期ネットワークスキャンまたは望ましい場合、年次コンプライアンスレポート準拠証明（ROC AOC）	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン

レベル	Visa Inc.（AIS）	MasterCard（SDP）	JCB（JCBデータセキュリティプログラム）	American Express （DSOP）	Discover
1	・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン・準拠報告のドキュメントフォーム	・PCI DSS Prioritized Approach Milestone1※ ・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン	・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン	・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン	・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン・準拠証明書・スキャン結果の提出は必須ではない
2	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン・準拠報告のドキュメントフォーム	・PCI DSS Prioritized Approach Milestone1※ ・PCI SSC主催の加盟店トレーニングに参加し、資格継続している監査担当者による年1回の自己問診、またはQSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン・準拠証明書	・準拠証明書・SAQ AOC必須（ROC AOCを提出する場合を除く）。特定の種類のSAQはスキャンが必要	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン・準拠証明書・スキャン結果の提出は必須ではない
3	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン・準拠証明書	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン	該当なし	・SAQ AOCはオプション（American Expressが要請する場合は必須）。特定の種類のSAQはスキャンが必須	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン・準拠証明書・スキャン結果の提出は必須ではない
4	・年1回の自己問診（推奨）・ASVによる四半期ごとのネットワークスキャン（推奨）・アクワイアラが定める準拠要件・準拠証明書	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン（推奨）	該当なし	・SAQ AOCはオプション（American Expressが要請する場合は必須）。特定の種類のSAQはスキャンが必須	該当なし

レベル	Visa Inc.（AIS）	MasterCard（SDP）	JCB（JCBデータセキュリティプログラム）	American Express （DSOP）	Discover
1	・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン・準拠証明書（AOC）	・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン	・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン	・年次のオンサイトセキュリティ評価レポート・四半期毎のネットワークスキャン・年次コンプライアンスレポート準拠証明（ROC AOC）	・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン
2	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン・Visa Incのサービスプロバイダリストには掲載されない（レベル1として検証すれば掲載）・準拠証明書（AOC）	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン	・QSAによる年1回のオンサイト監査・ASVによる四半期ごとのネットワークスキャン	・年次SAQ D（サービスプロバイダ）および四半期ネットワークスキャンまたは望ましい場合、年次コンプライアンスレポート準拠証明（ROC AOC）	・年1回の自己問診・ASVによる四半期ごとのネットワークスキャン

ICMS(国際マネジメントシステム認証機構)

PCI DSSとは（Payment Card Industry Data Security Standard）

PCI DSSとは（Payment Card Industry Data Security Standard）

ペイメントデータセキュリティ基準　PCI DSSとは？

PCI DSS　設立の背景