PCI 3DSの審査と認証

3DS 2.0の新時代

3D Secure（3DS）は、支払者がカードの正当な保有者であることを認証することにより、オンラインでのカード決済取引のセキュリティを高めるために設計されたソリューションです。世界の主要な国際カードブランドはいずれも、EMVCoが管理する共通の3DS標準および仕様を採用しています。国際カードブランドは3DS取引への移行に伴うライアビリティシフトの期限を定めており、また改正欧州決済サービス指令（PSD2）は、オンライン決済に強力な顧客認証（SCA）を求めています。

ACS、DS、3DSS各製品の認証に用いられる最新のEMV® 3-D Secure Protocol and Core Functions Specificationはバージョン2.2.0であり、PCI SSCは2017年12月にPCI 3DS Core Security Standard v1.0を公開しました。世界の決済カード業界は、3DS 2.0という新たな時代に入っています。

3DS製品の認証

3DS製品のプロバイダおよびソフトウェアベンダーは、カードブランドのディレクトリサーバーと接続するために、EMVCoの3DS仕様への準拠認証に加え、各カードブランドのセキュリティプログラムへの適合認証を取得する必要があります。3DS製品仕様の詳細はEMVCoのWebサイトを、Visa SecureプログラムおよびVisaのEMV 3DS製品テストについてはVisa Technology PartnerのWebサイトをご参照ください。

PCI 3DSの認定が必要となるのはどの事業者か

以下は、ACSおよび3DSSに関するVisaの認証ガイドおよびチェックリストに基づく関連認証要件の概要と、当社からのご提案です。

（1）3DSSサービス

3DSサーバー（3DSS）のホスティングサービスプロバイダ、またはアクワイアラプロセッサである場合、3DE（3DSデータ環境）についてPCI DSSの認定に合格する必要があります。自社業務のために自ら3DSSを運用している加盟店の場合も、PCI DSS審査に合格する必要があります。

（2）ACSサービス

ACSサービスについては、ACSホスティングサービスプロバイダまたはイシュアプロセッサである場合、自社の3DEについてPCI DSSとPCI 3DSの双方の審査（またはPCI 3DSのパート1とパート2の双方）に合格することが求められます。ただしイシュアの場合は、ACSソリューションを購入するか自社でACSシステムを構築するかにかかわらず、これらの審査を受けるかどうかを選択できます。ACSを利用するイシュアに対して、両標準は必須とはされていません。

（3）クラウドサービスおよびクラウドサービスベンダー

3DS業務やACSサービスにクラウド技術の活用をご検討の企業にとっては、そのクラウドサービスベンダーがPCI 3DS標準による認定を受けているかどうかを確認することが極めて重要です。3DSサービスベンダーとして登録する前に、PCI 3DSのAOCとROCの双方をカードブランドへ提出する必要があります。

（4）HSM（Hardware Security Module）

PCI 3DS標準は、暗号鍵管理のために高い水準のHSMを求めています。ACSおよびDSでは、指定された暗号鍵（PCI 3DS Data Matrixに定義）に関するすべての鍵管理業務を、FIPS 140-2 レベル3（総合）以上の認証を受けたHSM、またはPCI PTS HSM承認済みのHSMを用いて実施しなければなりません。ACSサービスをご計画の場合は、適切な機種と水準のHSMをご用意ください。クラウドの鍵管理サービスの中にはFIPS 140-2 レベル2（総合）にとどまるものもあり、PCI 3DS要件を満たしません。

PCI 3DS認証の取得方法

（1）PCI DSS準拠状況を確認する

PCI 3DS Core Security Standardはパート1「基本セキュリティ要件」とパート2「3DSセキュリティ要件」の2部構成です。パート1はPCI DSSに相当するため、PCI 3DS環境についてPCI DSSの認定に合格していれば、あらためてパート1を受ける必要はありません。VisaはACSホスティング事業者およびイシュアプロセッサにPCI DSS認定を求めているため、PCI DSSは必須と捉えるべきです。

（2）製品（ACS、DS、3DSS）がEMVCoの承認を得ていることを確認する

ご利用のソフトウェアシステムがEMVCoおよびカードブランドの認証を取得しているかを確認してください。自社で構築する場合はLOAをご自身で取得する必要があり、ベンダーから調達する場合はLOAを保有していることを確認してもらってください。

（3）PCI 3DSセキュリティ標準に基づき、PCI 3DS環境を構築する

PCI DSS要件またはPCI 3DSパート1に基づき、システム、アプリケーション、データベース、ネットワーク、セキュリティコンポーネントを構築してください。クラウドサービスを利用する場合は、利用開始前にそのベンダーがPCI 3DSの認定を受けているかを確認してください。

（4）3DSデータのセキュリティを確保する

PCI 3DS Data Matrixに基づき、3DS環境内のすべての機微データは暗号化する必要があります。3DS取引データの多くはDS、3DSS、ACS間をAPIで転送されるため、TLSによる保護と、カードブランドが発行する関連証明書を整備してください。

（5）関連する手順と管理責任を整備・実行する

PCI 3DS標準は、多数の付随する管理方針、手順、リスク管理戦略に加え、準拠を証明するための実施記録を求めています。

（6）準拠要件に関する技術試験

技術試験の多くはPCI DSSまたはPCI 3DSパート1で求められるものですが、システムの認定に先立ち、アプリケーション・開発セキュリティ、コードレビュー、APIインターフェースの試験を実施しておく必要があります。

（7）PCI 3DS審査

PCI 3DSのQSA企業に審査を依頼してください。カードブランドの要件により、PCI 3DS審査の実施前にカードブランドへ通知する必要があります。審査には3〜5日間の現地確認と証跡レビューを要します。QSA企業の助言に従って環境を整備し、十分な準拠の証跡を保持しておくことで、よりスムーズかつ迅速に認定を取得できます。