カードBINコンプライアンスガイド｜PANの保存・表示要件
近年、カード発行の増加に伴い、従来の6桁BIN（カード番号の先頭6桁で銀行識別番号を示す）はもはや十分ではなくなり、8桁BINへの移行が進んでいます。その影響で、多くの決済担当者が戸惑いを感じています：
「顧客対応で“最初の8桁＋最後の4桁”を表示するのはNGなのか？」
「6桁BINと8桁BINで、処理の仕組みに違いはあるのか？」
複雑な理論的説明を避け、本記事ではPCI DSS v4.0.1に基づく実務的なコンプライアンス要件を分かりやすく解説します。特に、日常業務で頻繁に発生する2つの主要なケースである、PAN表示（マスキング）とPAN保存（トランケーション）に焦点を当てています。
1. 表示：PANはどこまで表示できるのか？（PCI DSSマスキング要件）
これは、カスタマーサービス担当者や不正利用分析担当者から頻繁に寄せられる質問です。PAN表示に関するPCI DSSの基本原則は非常にシンプルです。正当な業務上の必要性がない限り、PAN全体を表示してはなりません。
1.1 安全な「統一表示形式」
PCI DSS v4.0.1では、画面表示、紙のレシート、ログなどにPAN（Primary Account Number：プライマリアカウント番号）を表示する際、マスキングを行うことが求められています。表示時に許容される「最大表示桁数」として一般的に認められている形式は、「BINプレフィックス＋下4桁」です。
- 6桁BINカード： 123456******1234（先頭6桁＋末尾4桁）
- 8桁BINカード： 12345678****1234（先頭8桁＋末尾4桁）
結論: 6桁BINまたは8桁BINのいずれを使用する場合でも、「BIN＋下4桁」を表示することが最も安全な基本方針です。この形式は、運用上必要となるルーティングや識別の要件を満たしながら、コンプライアンス上の許容範囲を超えるリスクを回避できます。
1.2 PANをマスキング範囲以上に表示できる条件とは？
完全なPANを表示することは認められていますが、以下の2つの厳格な条件を満たす場合に限られます：
- 明確かつ文書化された業務上の正当な理由が存在すること（例：不正利用調査、異常取引の確認など）
- アクセスが明示的に承認され、役割に基づいて制限され、自動的な監査証跡が生成されること
レベル1（一般カスタマーサービス）：基本的な本人確認を行う場合は、下4桁のみを表示します（例：***********1234）。
レベル2（不正検知／リスク管理）：リスクルールがトリガーされた場合（例：盗難カードの確認など）に限り、システムは追加の桁情報（またはPAN全体）を表示します。また、「誰が」「いつ」「なぜ」アクセスしたのかを含む厳格な監査証跡を自動的に記録します。
2. Part 2 — 保存：どのデータを“保存”できるのか？(PANトランケーションルール)
強力な暗号化を除き、PANの一部を保存する最も一般的な方法はトランケーションです。この手法により、システムは完全なPANを保護対象として保持することなく、業務処理に必要なカード番号の一部を保存できます。
2.1 トランケーション範囲：6桁BINと8桁BINの違い
マーケティング施策、割引処理、取引ルーティング、顧客向けレシート対応などを目的として、システムでは一般的に「トランケーション済みPAN」を保存します。許容されるトランケーション形式は、カードブランドによって若干異なります。以下に標準的なガイドラインを示します：
許容されるPANトランケーション形式
| PAN / BIN 桁数 | カードブランド | 許容されるトランケーションフォーマット | 16桁カード 6桁または8桁PAN |
Discover JCB Mastercard UnionPay Visa |
少なくとも4桁を削除すること 最大で先頭8桁 ＋ その他の任意の4桁まで保持可能 |
|---|---|---|
| 15桁PAN | American Express | 少なくとも5桁を削除すること 最大で先頭6桁 ＋ 末尾4桁まで保持可能 |
| 15桁未満のPAN | Discover | 最大で先頭6桁 ＋ その他の任意の4桁まで保持可能 |
保存形式とセキュリティ上の影響
| 許容される保存フォーマット | 例 (16桁PAN) | セキュリティ上の影響影響および推奨事項 |
|---|---|---|
| 6桁BIN＋末尾4桁 | 456318******1234 | "中間6桁が未知となり、推測コストが高い（確率：1/100,000）" |
| 8桁BIN＋末尾4桁 | 52395310****1234 | "未知の桁数はわずか4桁しか残らない。さらに、PANの妥当性確認に使用されるLuhnアルゴリズを組み合わせることで、総当たり攻撃による有効なPANの推測成功確率は大幅に高まり、約1,000分の1まで低下するとされている" |
PCI SSC およびカードブランド では、8桁BINの保存が認められています。データセキュリティの観点では、業務上8桁BINを使用する明確な必要性がない限り、「先頭6桁＋末尾4桁」 の形式で保存することを強く推奨します。 保存する桁数が増えるほど、万が一データ漏えいが発生した際にPANが復元されるリスクは大幅に高まります。
