EC取引、リモートワーク、フードデリバリープラットフォームでの取引などが引き続き成長を見せた2024年。越境取引やオンライン決済が急速に伸びるなか、カード会員データのセキュリティがとりわけ重要になっています。消費者の個人情報の盗用や悪用を防ぐため、ペイメントカード業界セキュリティ基準審議会（PCI SSC）は、カード会員データを保存、処理または送信するすべての事業者に対し、PCI DSSの要件に準拠するよう求めています。簡単に言うと、PCI DSSでは12の要件とそのサブ要件で様々なセキュリティ対策を定め、カード会員データの保護を図っているのです。
PCI DSSとは？
PCI DSSは、Payment Card Industry Data Security Standardsの略で、カード会員データへの未承認のアクセスや不正利用を防ぐことを目的とした、国際組織Payment Card Industry Security Standard Council（以下「PCI SSC」）が策定・管理するクレジットカードの情報に関する一連のセキュリティ基準です。
PCI SSCは主要国際カードブランドのAmerican Express、Discover Financial Services、JCB、MasterCard、Visa、UnionPay（銀聯）によって組織されています。PCI DSSは、これらのブランドのカード会員データを取り扱う際のセキュリティについて定めた業界共通の基準で、カード会員データを保存、処理、または伝送するすべての事業者が対象となります。これらの国際ブランドのカードを取り扱う加盟店（Merchant）やサービスプロバイダ（Service Provider）はいずれも、規模や取引量にかかわらず、PCI DSSに則ってカード会員データを保護する必要があります。
PCI DSSへの準拠が必要な事業者は？
カード会員データを保存、処理、または伝送するすべての事業者は、PCI DSSの要件に準拠しなければなりません。事業者は、どのようにカード会員データを保存、処理、送信するかによって、タイプ分けとレベル分けがされます。まずは自社が加盟店（Merchant）なのか、それともサービスプロバイダ（Service Provider）なのかを判断しましょう。
加盟店
加盟店とは、製品の販売やサービスの提供により、カードで代金を受け取る事業者を指します。したがって、カード払いを受け付ける実店舗やオンラインショップは、バーチャル製品またはサービスのダウンロード販売・提供、大型デパートを含め、すべて加盟店ということになります。
サービスプロバイダ
サービスプロバイダとは、カード会員データを伝送、処理、保存（Transmit、Process、Store）する、またはカード会員データのセキュリティを制御する、もしくは当該セキュリティに影響を与えるサービスを提供する事業者を指します。たとえば、第三者決済処理業者、決済サービスや電子ウォレットなどのサービスを提供する決済代行会社、ネットモールのほか、バーチャルホストサービスを提供するデータセンターやクラウドサービスを提供する事業者等もサービスプロバイダとなります。
自社が加盟店かサービスプロバイダかが分かったら、次にPCI DSSのレベルを判定しましょう。レベル1：加盟店およびサービスプロバイダ。PCI DSSのQSA（Qualified Security Assessor、認定セキュリティ評価者）の訪問審査を受け、報告書を受け取ります。レベル2～4：加盟店およびレベル2のサービスプロバイダ。PCI DSS自己問診票（Self-Assessment Questionnaire、以下「SAQ」）を使用して自己評価します。QSAの支援を受ければ、より早く正確に評価を完了できるでしょう。
誰がPCI DSSの認証取得を支援してくれる？
QSA（Qualified Security Assessor）
QSAは、PCI SSCの認定を受けた訓練と認定を受け、PCI DSSの審査を行い、準拠報告書（ROC）と準拠証明書（AOC）を提出する権限を与えられた専門の評価者です。QSAは、最新のPCI DSSに関して定期的に講習を受けて試験に合格し、その都度資格を更新する必要があります。QSAの訪問審査は、レベル1の加盟店およびサービスプロバイダの必須要件となっています。
QSAC（Qualified Security Assessor Company）
QSACは、QSAを雇用して専門の審査および支援サービスを行う企業です。PCI DSSの具体的な要求事項を解説し、いかにして安全な決済環境を構築するかについて指導します。
QSA・QSACはどう選ぶ？
- PCI SSCの公式サイトで認定を受けたQSAやQSACを検索できます。
- 同業者やパートナーに聞く：PCI DSSの審査を受けたことのある企業に話を聞き、優良なQSAやQSACを紹介してもらうのもよいでしょう。
- 評価・事例の分析：QSA・QSACの口コミや事例を分析し、経験や専門知識の有無を確認しましょう。
- 直接問い合わせ：複数のQSAやQSACから、サービスの範囲、費用の基準、作業の流れなどについて話を聞いてみましょう。このようにして自社に合ったQSAやQSACを見つけ、PCI DSS認証取得までしっかりサポートを受けることで、決済環境のセキュリティを守り、準拠を実現しましょう。
どうやって？
PCI DSSの認証取得は通常、4つのフェーズに分けられます。
1. 環境準備フェーズ
審査対象環境の確認、およびコンサルティングの段階です。基礎評価：まず現行のセキュリティ対策を評価し、ギャップおよび改善すべき点を特定します。スコーピング：PCI DSS準拠対応が必要なシステム、ネットワーク、アプリケーションの範囲を確定します。コンサルタントやQSAに依頼：自社に合ったQSAやQSACを選び、審査対象環境の確認、今後の改善プロセスの指導、審査の段取りといった支援を受けます。セキュリティ訓練：従業員に関連するセキュリティ訓練を行い、全体的なセキュリティ意識を高めます。
2. 資料準備フェーズ
必要な制御措置を準備・実施する段階です。ポリシーと手順：PCI DSSの要件に準拠するようセキュリティポリシーおよび運用手順を策定・変更します。文書収集：準拠を証明するために必要な書類やエビデンスを揃えます。
3. 審査フェーズ
QSAによる訪問審査の段階です。内部評価：正式審査の前に内部で自己評価を実施し、すべての問題が解決されていることを確認します。訪問審査：QSAが訪問審査を実施します。実際に基準に準拠した運用がなされているかどうか検証します。
4. 報告フェーズ
QSAが準拠報告書と準拠証明書を発行する段階です。報告書の作成：QSAがROC（準拠報告書）とAOC（準拠証明書）を作成します。報告書の提出：AOCにはPCI DSSの認証に必須の情報が記載されます。ROCには詳細な機密情報が記載されますが、AOCには機密性の高い情報は記載されませんので、カードブランド、アクワイアラ、提携企業などの関係機関から求められた場合は、AOCを提出することをおすすめします。証明書の発行：準拠証明書を受け取った事業者は、PCI DSSの基準に準拠していることになります。
期間はどれくらいかかる？
初めの審査対象環境の確認から最後の報告書の提出まで、PCI DSSの認証取得には通常3～5か月かかります。認証取得までの主なフェーズおよび各フェーズは次の通りです。
- 準備フェーズ（1～2か月）：審査対象環境の確認、およびコンサルティングの段階
- 資料準備フェーズ（1か月）：必要な制御措置を準備・実施
- 審査フェーズ（5～7日）：QSAによる訪問審査
- 報告フェーズ（半月～1か月）：QSAが準拠報告書と準拠証明書を発行
実際にかかる期間は、以下の要因によって異なる場合があります。準備状況：事業者の事前の準備が十分であるか、比較的良好であり、セキュリティ対応の土台がしっかりしている場合は、より早く準拠が実現できます。システムや運用プロセスの複雑さ：IT環境、ネットワーク構成、運用プロセスの複雑さも認証取得までのスピードに影響します。投入するリソース：事業者が投入するリソース（人手、時間、予算）およびプロジェクト管理の効率。スムーズに認証を取得するためには、以下の点が重要です。事前準備：できるだけ早く準備を始めましょう。特に文書やポリシーの整理には早めに取りかかるようにしましょう。効果的なコミュニケーション：準拠作業全体を通じてPCI DSSのQSAとこまめに連絡を取り、問題に気が付いたら、すぐに解決しましょう。維持と改善：認証取得後も引き続きセキュリティ対策の維持と改善に努め、長期的にPCI DSSへの準拠状態を維持しましょう。
費用はいくらかかる？
初回の認定では、PCI DSSの要件を満たすために、ハードウェアやソフトウェアの新規導入が必要となる可能性があります。以下に費用項目をリストアップしました。
A. システム関連費用
Webサーバ、アプリケーションサーバ、DBサーバなどの機能ごとにサーバを分割しなければならないため、機器増設または仮想サーバ設置が必要となる可能性があります。また、NTPサーバ、FIMサーバ、ログサーバなどのセキュリティコンポーネントの実装も必要です。
B. セキュリティ機器の費用
ファイアウォール、ルーター等のネットワークセキュリティシステム（NSCs）、不正侵入防御／検知システム（IPS/IDS）、WAF（Webアプリケーションファイアーウォール）等の増設が必要となります。
C. データ暗号化機器の費用
カード番号（PAN）の暗号化には、セキュリティ確保のため、HSM（ハードウェアセキュリティモジュール）の導入が必要となる可能性があります。
D. 人材教育・研修
PCI DSS では、セキュリティ意識向上研修、セキュアコーディング研修、インシデント対応計画（IRP）の訓練など、人員への教育・研修が義務付けられています。脆弱性スキャンやペネトレーションテストを自社の担当者が実施する場合、その担当者にも十分なセキュリティ研修が必要となり、研修コストが増える可能性があります。
E. 技術検査
PCI DSS では、内部脆弱性スキャン、外部脆弱性スキャン（ASV）、内部・外部ペネトレーションテスト、ワイヤレススキャン、カード番号スキャン、コードレビューなど、各種の定期的な技術検査が求められます。この部分では通常、追加費用が発生します。
F. その他
サービスプロバイダーの場合、アクワイラーやカードブランドから、VISA Registry や MasterCard SDP（サービスプロバイダー登録）などの名簿への登録を求められることがあります。
PCI DSS 準拠の経験がない中小規模のサービスプロバイダーの場合、想定される追加費用の項目は以下のとおりです。
PCI DSS 認証費用は？
上記の想定される追加費用に加えて、PCI DSS 評価の費用は、QSA が評価と報告書の作成に要する時間によっても変動します。
評価に要する時間は、以下の要因によって決まります。
1. システムの複雑さ：ホスト数、使用している OS の種類、システムに導入されたコンポーネント、複数の OS 構成やセキュリティ設定は、監査時のサンプリング数に影響し、監査時間を増加させます。
2. セキュリティ機器とネットワーク：評価範囲内のセキュリティ機器（ファイアウォール、IPS、IDS、WAF、スイッチ、ルーター、SIEM、DRP など）は、設定、更新、アクセス制御、ログなどの確認が必要です。機器が多く、ネットワーク構成が複雑なほど、評価時間は長くなります。
3. アクワイラーおよびサービスプロバイダーとの接続：アクワイラーやサービスプロバイダーとの接続が多いほどデータフロー（Dataflow）が複雑になり、確認により多くの時間が必要になります。
4. データベースおよびカードデータの保存・暗号化方式：カードデータのフローや保存方式が多様なほど、より多くの暗号化やセキュリティ対策が必要となり、確認項目が増えます。
5. 事業拠点の数：店舗、データセンター、オフィスの数は評価に要する日数を増加させます。例えば銀行、通信事業者、多数の店舗やオフィスを持つ企業ではサンプリング範囲が大きくなります。また、カードデータを保存するバックアップデータセンターも評価範囲に含まれます。
一般に、PCI DSS 評価の費用は、PCI SSC が定める年会費や地域ごとの QSA の人件費の違いにより、地域によって異なります。例えば東南アジアでは、中小規模のサービスプロバイダーの場合、現地評価に 3】5 日、報告書作成に約 1 週間を要します。交通費を除き、PCI DSS 認証費用は通常、新台湾ドル 40 万〜60 万元程度です。
ただし、実際のお見積もりは上記の複雑さの要因によって異なります。
越境 EC、第三者決済プラットフォーム、サービスプロバイダーのいずれであっても、PCI DSS への準拠は極めて重要です。これらのコンプライアンス対策を実施することで、アクワイラーや監督当局に準拠証明を提示できるだけでなく、データ漏えい・窃取のリスクを低減し、取引の安全性に対する消費者の信頼を高めることができます。
PCI DSS への準拠には 400 を超える要件が含まれ、基準の理解と解釈、証跡の提出、認証の取得から、その後の準拠維持までを網羅します。どのように継続的な準拠を確保すればよいのでしょうか。
短期間で迅速かつ効果的に準拠を達成するには、QSAC（認定セキュリティ評価会社）への依頼を検討することをお勧めします。
認証取得後は、自動モニタリング、アラート、定期的なデータ提出、リアルタイムの可視化ステータスなどの機能を備えたコンプライアンス管理システムを活用することで、企業が常に準拠とセキュリティを維持できます。