PCI 3DSとは、EMVCoのEMV 3-Dセキュアプロトコルの安全な実装をサポートするため、PCIセキュリティ基準審議会（PCI SSC）によって新たに公開された2つのセキュリティ基準のことです。EMV 3-Dセキュアはカード保持者が未承認の非対面決済（Card not present、CNP）を防ぐのに有効な手段であり、PCのブラウザやモバイル端末を通じたオンライン取引における非対面不正利用被害から加盟店を守ります。EMVCoとPCI SSCは、3Dセキュアサービス全体の安全性を確保するため、EMV 3-Dセキュアサービスの機能の検証、および環境やデータのセキュリティ評価が確実に行われるよう共同で取り組んでいます。
初の認証サービス「VISA認証サービス」が始まって以来17年にわたり、3Dセキュア1.0は非対面決済（CNP）における本人認証サービスに大いに利用されてきました。しかし一方で、3Dセキュア1.0には、カード会員データの登録（enrollment）や認証（Authentication）の仕方が複雑で、決済の障害になりやすく、導入後にかご落ち率（離脱率）が上がるという課題もありました。加えて、最近ではモバイル取引（モバイルコマース）も盛んになってきました。そこで、新たに登場したのが、シンプルかつ安全な3Dセキュア2.0です。そのセキュリティ基準であるPCI 3DSの策定は、セキュリティ審査全体の利便性をさらに向上させました。
3Dセキュア（EMV®3-D Secure – Protocol and Core Functions Specification v2.0）は、EMVCoによって策定された製品および機能のフレームワークで、3Dセキュア取引におけるACS、DS、3DSSのプロダクトとメッセージの規格を定めたものです。加えて、PCIセキュリティ基準審議会（PCI SSC）によって、PCI 3DSコアセキュリティ基準（Security Requirements and Assessment Procedures for EMV®3-D Secure Core Components: ACS,DS and 3DS Server）が策定され、3DSシステムの運用環境とデータのセキュリティ保護のために利用されています。また、モバイル装置向けには、EMVCoによって3DS SDK規格が定められ、PCI SSCによってその審査が行われています。運用面においては、すべての3Dセキュアプロダクト（ACS、DS、3DSS）はEMVCoの製品テストに合格し、各カードブランド（American Express、JCB、Discover、MasterCard、Union Pay、Visa）の運用テストを経て、はじめて相互運用性（Interoperability）が保証されます。PCI SSCのセキュリティ要件とは、3Dセキュア製品の運用環境におけるセキュリティの要件ということであり、PCI SSCの認可を受けたQSAによって審査されます。通常、3Dセキュア製品がカードブランドの運用テストに合格し、アクワイアラや加盟店（Acquirers、Merchants）がPCI 3DSの審査に合格してはじめて、正式にオンラインで3Dセキュアサービスを運用することが許可されます。
以下、3つの組織の役割、要件、使用基準について解説します。
EMVは当初規格の策定に参加したEuropay、MasterCard、Visaの3社の頭文字を取ったもので、現在PCI 3DSを管理しているのがEMVCoです。EMVCoは1999年2月にEMVの3社によって設立され、現在はAmerican Express、Discover、JCB、MasterCard、Union Pay（銀聯）、Visaが参加しています。
EMVCoの主な仕事は、3Dセキュアプロダクトの規格、基準、認証制度の策定および管理であり、3Dセキュアプロダクトが世界中でセキュリティと相互運用性を確保できるよう指導しています。EMV 3-Dセキュア2.0規格はACS、DS、3DSSプロダクトのテストに用いられます。これにはモバイル向け3DS SDK（ソフトウェア開発キット）に適用される3DS SDK規格も含まれます。3Dセキュアプロダクトは、EMVCoのテストに合格してからでなければ販売できません。
3Dセキュアに参加しているカードブランドはAmerican Express、Discover、JCB、MasterCard、Union Pay（銀聯）、Visaです。これらカードブランドでは通常3Dセキュアサービスにおける決済事業者向けの実装ガイダンス（Implementation Guidance）および3Dセキュア基準以外の既存のペイメントシステム（Payment Systems）との接続運用基準を策定しています。
また、各ブランドでは決済事業者（イシュア、加盟店、サービスプロバイダ）が3Dセキュア2.0を使用せずに非対面決済（CNP）を行った場合のライアビリティシフトの期限も定めており、例えばVisaでは2019年4月をもって、3Dセキュア2.0未対応のイシュアのライアビリティを強制的に移行すると定めています。
カードブランドは、3Dセキュアプロダクトに対し、実装ガイダンスとテスト基準に則った運用テストを実施します。テストに合格したプロダクトには3Dセキュアサービスの提供を許可する承認書（Letter of Approval）が発行されます。また、カードブランドは、決済事業者に対し、3Dセキュアの運用環境とデータのセキュリティに関し、PCI SSCの認定を受けたQSAの審査を受けるよう求めています。
PCI SSCはAmerican Express、Discover、JCB、MasterCard、Visaによって設立され、主にペイメントカード業界のセキュリティ基準の策定と管理を行っています。これには、PCI DSS、PCI 3DS、PCI 3DS SDKなどのセキュリティテスト要件（Security Requirements）を含みます。また、PCI SSCでは認定審査を実施するQSA（認定セキュリティ評価者）の選抜、訓練、認定も行っています。セキュアベクターズ・インフォメーション・テクノロジーズは初めてPCI 3DSの認定を受けたQSA企業の一つです。
決済事業者のうち、イシュア（Issuer）とイシュアが使用するACS（Access Control System）は、EMVの製品審査とカードブランドの運用テストに合格している必要があります。また、イシュアの運用環境とデータセキュリティについては、QSAがPCI 3DSのセキュリティ要件に従って実施する審査に合格して、ROC（準拠報告書）とAOC（準拠証明書）を取得し、これをカードブランドに提出してはじめて3Dセキュアサービスを提供することができます。サービスプロバイダ（Service Provider）や加盟店（Merchant）が使用する3DSサーバーも、審査に合格し、カードブランドの実装基準に準拠する必要があります。
3Dセキュアプロダクト（ACS、DS、3DSS、3DS SDK）は、プロダクト間の相互運用性（Interoperability）を確保するため、EMVCoが策定したEMV® 3-D Secure–Protocol and Core Functions Specification v2.0（EMV 3-Dセキュア2.0）に基づいて機能と規格が審査されます。審査に合格するとEMVCoから承認書（Letter of Approval）が発行され、プロダクトはEMVCoのウェブサイトに掲載されます。
PCI 3DSコアセキュリティ基準（Security Requirements and Assessment Procedures for EMV® 3-D Secure Core Components: ACS, DS, and 3DS Server）は、Part1とPart2に分かれています。Part1の3DSベースラインセキュリティ要件には、3DSシステムの運用環境に求められるセキュリティ基準が記載されています。
一方、Part2の3DSセキュリティ要件では、3Dセキュアシステムの運用そのもののシステムやデータのセキュリティが定められています。
事業者によって対応するシステムおよび適用されるPCI 3DSコアセキュリティ基準の要件は異なります。決済事業者やサービスプロバイダは、環境、人員、システム、データのセキュリティを、自社に適用される技術要件や管理要件に準拠させる必要があります。
なお、決済事業者やサービスプロバイダの使用する環境、または3Dセキュアシステムが運用される環境が、すでにPCI DSSの認証を受けており、PCI 3DSの運用に必要な対象範囲がPCI DSS認定審査の対象範囲と同一である（排除項目が存在しない）場合、PCI 3DSではPart2の要件にのみ対応すればよいとされています。
処理される3Dセキュア取引データは、いずれもPCI 3DSの要件に準拠していなければなりません。したがって、決済事業者やサービスプロバイダは、既存の、または運用を計画している3Dセキュアシステムのデータフローやデータの保存方法がPCI 3DS Data Matrixのデータの保存と保護に関する各要件に準拠しているかどうか、チェックする必要があります。これには認証データ、鍵データ、暗号鍵（ACS、DSに適用）の保護と保存の規定が含まれます。準拠要件において保存が禁止されているデータは、システムの取引処理プロセスにおいて非保持が徹底される必要があります。ベンダが提供または設置に協力したシステムであっても、ベンダに3Dセキュアデータの取り扱い方法を確認しなければなりません。
PCI 3DSは、決済事業者やサービスプロバイダに対し、アクセス制御ポリシーやソフトウェア開発手順等の管理ポリシーおよび管理手順を定め、3Dセキュアサービスのセキュリティ管理をPCI 3DSに準拠させるよう求めています。また、PCI 3DSでは、運用上のリスクの存在を前提として、対応するセキュリティ対策と実施レベルを定めており、リスク評価結果、ハードウェア・ソフトウェア目録、ネットワーク構成図およびデータフロー図（Network Diagrams、Data Flow Diagrams）、各テストおよび実施記録など、管理に必須の文書や記録を作成し、保存するよう求めています。
PCI 3DSでは以下のテクニカルテストが求められています。
これらのテストは、専門のテストプロバイダに委託しても、社内の専門技術者が行ってもかまいません。ただし、外部脆弱性スキャンは、PCI SSCから認定されたASVが行う必要があります。
PCI 3DSの認定サービスプロバイダがPCI 3DS QSAです。リストはPCI SSCのウェブサイトで検索できます。セキュアベクターズ・インフォメーション・テクノロジーズは、現在アジア太平洋地域においてPCI 3DS審査サービスを提供している数少ないQSAです。審査作業は組織の規模や3Dセキュアシステムの実装方法によって異なります。一般に、審査前または審査開始段階でスコープ（対象範囲）を確認します。審査期間中は3～5日間かけてオンサイト評価（訪問審査）を実施し、さらにオフサイトで評価担当者のレポートとエビデンスをチェックします。審査完了後、QSA企業が準拠報告書（Report On Compliance、ROC）に署名し、審査を受けた事業者が準拠証明書（Attestation of Compliance、AOC）に署名すれば、認定となります。
決済事業者やサービスプロバイダは、カードブランドやアクワイアラの求めに応じてAOCまたはROCを提出しなければならず、これにより、その年の審査が完了となります。PCI 3DSコアセキュリティ基準では毎年1回審査を受けるよう定めています。
ご不明な点がございましたら、お気軽にお問い合わせください！
