PCI DSS準拠が必要なのはどの事業者か

サービスプロバイダ

PCI DSSが定義する「サービスプロバイダ」とは、加盟店または他のサービスプロバイダに代わって、決済カード会員データの伝送・処理・保存を伴うサービスを提供する組織をいいます。これには決済処理サービスの提供者、ウォレット事業者、各種決済チャネルを統合するプラットフォーム、オンラインマーケットプレイスなど、カード会員データのセキュリティに影響を及ぼす事業者が含まれます。

また、仮想ホスティングサービスを提供するデータセンターやクラウドサービス事業者は、取引サービスに直接関与しないものの、カード会員データのセキュリティに一定の影響を及ぼし得るため、サービスプロバイダに分類されます。加盟店とは異なり、サービスプロバイダは2つのレベルに区分されます。VISAを例にとると、分類と準拠要件は次のとおりです。

レベル1

• 年間の取引件数が30万件を超える。
• QSAによる年次の現地審査と、準拠報告書（ROC）の提出。
• 準拠宣言書（AOC）の提出。
• PCI DSS認定ASV（Approved Scanning Vendor）による外部脆弱性スキャンの四半期報告の実施。

レベル2

• 年間の取引件数が30万件未満。
• 自己問診票（SAQ）の年次提出。
• 準拠宣言書（AOC）の提出。
• PCI DSS認定ASV（Approved Scanning Vendor）による外部脆弱性スキャンの四半期報告の実施。

加盟店

レベル1

• 年間の取引件数が600万件を超える。
• QSAによる年次の現地審査と、準拠報告書（ROC）の提出。
• 準拠宣言書（AOC）の提出。
• ASVによる外部脆弱性スキャンの四半期報告の実施。

レベル2

• 年間の取引件数が100万件から600万件。
• 自己問診票（SAQ）の年次提出。
• 準拠宣言書（AOC）の提出。
• ASVによる外部脆弱性スキャンの四半期報告の実施。

レベル3

• 年間の取引件数が2万件から100万件。
• 自己問診票（SAQ）の年次提出。
• 準拠宣言書（AOC）の提出。
• ASVによる外部脆弱性スキャンの四半期報告の実施。

レベル4

• 年間の取引件数が2万件以下。
• 自己問診票（SAQ）の年次提出。
• 準拠宣言書（AOC）の提出。
• ASVによる外部脆弱性スキャンの四半期報告の実施（任意）。

詳細はVISAのWebサイトをご参照ください：usa.visa.com/support/small-business/security-compliance.html および usa.visa.com/partner-with-us/pci-dss-compliance-information.html