ご自社のSAQの種別はどれですか
PCI SAQ（自己問診票）は、加盟店やサービスプロバイダが自らPCI DSSへの準拠状況を評価する仕組みです。10種類あるSAQの使い分けと、自己評価の5つのステップを解説します。
SAQは、組織の各種標準への準拠状況を評価するものです。例えばVisaのガイドラインでは、年間の取引件数が600万件未満の加盟店、または年間の取引件数が30万件未満のサービスプロバイダがSAQの対象となります。
PCI DSS SAQによる自己評価の5つのステップ
- SAQの種別を選択 — ご自社の環境に適合するもの
- 範囲の確認 — PCI DSS環境の正確さ
- 自己評価 — 要件への適合状況
- SAQ文書の作成 — 問診票・証跡
- 提出 — SAQの結果とAOCをアクワイアラへ
- ご自社に適合するSAQの種別を選択します。
- PCI DSS環境の範囲が正確であることを確認します。
- ご自社の環境がPCI DSS要件に適合しているかを自己評価します。
- 審査情報、問診票、裏付けとなる証跡を含むSAQ文書を作成します。
- SAQの審査結果と準拠宣言書（AOC）を、提出を求めている組織（アクワイアラ）へ提出します。
Eコマースの場合は、次のSAQの版が適用される可能性があります。
サービスプロバイダ
SAQ D（サービスプロバイダ向け）
サービスプロバイダのみが対象です。加盟店向けSAQ Dの要件を含み、さらに文書や顧客向けポリシー、手順のレビュー、設定の確認、アラート、ペネトレーションテストの記録などの要件が加わり、合計259問で構成されます。
加盟店
SAQ A
決済サービスを完全に外部委託している場合（URLリダイレクトやiFrameを用いた決済ページなど）が対象です。SAQ Aは文書の確認、設定の確認、ポリシーのレビュー、データの保持と廃棄、外部脆弱性スキャンを含みます。最も短いSAQの版で、設問は29問のみです。
SAQ A-EP
外部の決済プロセッサを利用しながら、決済ページを自社で管理している加盟店が対象です。SAQ A-EPはSAQ Aの項目に加え、ネットワーク管理、ホスト管理、データセキュリティ、脆弱性管理、アクセス制御、監視・試験の要件を含みます。決済処理に部分的に関与するため、追加要件が大幅に増えます。
SAQ D（加盟店向け）
自社で決済システムを保有する加盟店、またはカード会員データを電子的に保存している加盟店が対象です。加盟店向けSAQ DはSAQ A-EPよりも広範囲の要件を含み、加盟店向けのPCI DSS要件をすべて網羅します。
PCI DSSのSAQには10種類があり、ご提供の決済サービスの形態によって定まります。適切なSAQの種別は通常、取引のあるアクワイアラ、またはQSA（Qualified Security Assessor）の支援を受けて特定します。QSAはカード会員データ環境（CDE）、カード会員データの処理プロセス、カードデータフローを確認し、適用されるSAQの種別を正確に判断します。
SAQの種別についてさらに詳しく知りたい方、またPCI DSS準拠を効率的かつ正確に達成したい方には、QSAまたはQSACの専門的な助言を強くお勧めします。その知見により、ご自社の状況に即した有益な示唆を得られ、最も効果的な形で準拠を確実なものにできます。
