EC取引、リモートワーク、フードデリバリープラットフォームでの取引などが引き続き成長を見せた2024年。越境取引やオンライン決済が急速に伸びるなか、カード会員データのセキュリティがとりわけ重要になっています。消費者の個人情報の盗用や悪用を防ぐため、ペイメントカード業界セキュリティ基準審議会（PCI SSC）は、カード会員データを保存、処理または送信するすべての事業者に対し、PCI DSSの要件に準拠するよう求めています。簡単に言うと、PCI DSSでは12の要件とそのサブ要件で様々なセキュリティ対策を定め、カード会員データの保護を図っているのです。
PCI DSSとは？
PCI DSSは、Payment Card Industry Data Security Standardsの略で、カード会員データへの未承認のアクセスや不正利用を防ぐことを目的とした、国際組織Payment Card Industry Security Standard Council（以下「PCI SSC」）が策定・管理するクレジットカードの情報に関する一連のセキュリティ基準です。
PCI SSCは主要国際カードブランドのAmerican Express、Discover Financial Services、JCB、MasterCard、Visa、UnionPay（銀聯）によって組織されています。PCI DSSは、これらのブランドのカード会員データを取り扱う際のセキュリティについて定めた業界共通の基準で、カード会員データを保存、処理、または伝送するすべての事業者が対象となります。これらの国際ブランドのカードを取り扱う加盟店（Merchant）やサービスプロバイダ（Service Provider）はいずれも、規模や取引量にかかわらず、PCI DSSに則ってカード会員データを保護する必要があります。
PCI DSSへの準拠が必要な事業者は？
カード会員データを保存、処理、または伝送するすべての事業者は、PCI DSSの要件に準拠しなければなりません。事業者は、どのようにカード会員データを保存、処理、送信するかによって、タイプ分けとレベル分けがされます。まずは自社が加盟店（Merchant）なのか、それともサービスプロバイダ（Service Provider）なのかを判断しましょう。
加盟店
加盟店とは、製品の販売やサービスの提供により、カードで代金を受け取る事業者を指します。したがって、カード払いを受け付ける実店舗やオンラインショップは、バーチャル製品またはサービスのダウンロード販売・提供、大型デパートを含め、すべて加盟店ということになります。
サービスプロバイダ
サービスプロバイダとは、カード会員データを伝送、処理、保存（Transmit、Process、Store）する、またはカード会員データのセキュリティを制御する、もしくは当該セキュリティに影響を与えるサービスを提供する事業者を指します。たとえば、第三者決済処理業者、決済サービスや電子ウォレットなどのサービスを提供する決済代行会社、ネットモールのほか、バーチャルホストサービスを提供するデータセンターやクラウドサービスを提供する事業者等もサービスプロバイダとなります。
自社が加盟店かサービスプロバイダかが分かったら、次にPCI DSSのレベルを判定しましょう。レベル1：加盟店およびサービスプロバイダ。PCI DSSのQSA（Qualified Security Assessor、認定セキュリティ評価者）の訪問審査を受け、報告書を受け取ります。レベル2～4：加盟店およびレベル2のサービスプロバイダ。PCI DSS自己問診票（Self-Assessment Questionnaire、以下「SAQ」）を使用して自己評価します。QSAの支援を受ければ、より早く正確に評価を完了できるでしょう。
誰がPCI DSSの認証取得を支援してくれる？
QSA（Qualified Security Assessor）
QSAは、PCI SSCの認定を受けた訓練と認定を受け、PCI DSSの審査を行い、準拠報告書（ROC）と準拠証明書（AOC）を提出する権限を与えられた専門の評価者です。QSAは、最新のPCI DSSに関して定期的に講習を受けて試験に合格し、その都度資格を更新する必要があります。QSAの訪問審査は、レベル1の加盟店およびサービスプロバイダの必須要件となっています。
QSAC（Qualified Security Assessor Company）
QSACは、QSAを雇用して専門の審査および支援サービスを行う企業です。PCI DSSの具体的な要求事項を解説し、いかにして安全な決済環境を構築するかについて指導します。
QSA・QSACはどう選ぶ？
- PCI SSCの公式サイトで認定を受けたQSAやQSACを検索できます。
- 同業者やパートナーに聞く：PCI DSSの審査を受けたことのある企業に話を聞き、優良なQSAやQSACを紹介してもらうのもよいでしょう。
- 評価・事例の分析：QSA・QSACの口コミや事例を分析し、経験や専門知識の有無を確認しましょう。
- 直接問い合わせ：複数のQSAやQSACから、サービスの範囲、費用の基準、作業の流れなどについて話を聞いてみましょう。このようにして自社に合ったQSAやQSACを見つけ、PCI DSS認証取得までしっかりサポートを受けることで、決済環境のセキュリティを守り、準拠を実現しましょう。
どうやって？
PCI DSSの認証取得は通常、4つのフェーズに分けられます。
1. 環境準備フェーズ
審査対象環境の確認、およびコンサルティングの段階です。基礎評価：まず現行のセキュリティ対策を評価し、ギャップおよび改善すべき点を特定します。スコーピング：PCI DSS準拠対応が必要なシステム、ネットワーク、アプリケーションの範囲を確定します。コンサルタントやQSAに依頼：自社に合ったQSAやQSACを選び、審査対象環境の確認、今後の改善プロセスの指導、審査の段取りといった支援を受けます。セキュリティ訓練：従業員に関連するセキュリティ訓練を行い、全体的なセキュリティ意識を高めます。
2. 資料準備フェーズ
必要な制御措置を準備・実施する段階です。ポリシーと手順：PCI DSSの要件に準拠するようセキュリティポリシーおよび運用手順を策定・変更します。文書収集：準拠を証明するために必要な書類やエビデンスを揃えます。
3. 審査フェーズ
QSAによる訪問審査の段階です。内部評価：正式審査の前に内部で自己評価を実施し、すべての問題が解決されていることを確認します。訪問審査：QSAが訪問審査を実施します。実際に基準に準拠した運用がなされているかどうか検証します。
4. 報告フェーズ
QSAが準拠報告書と準拠証明書を発行する段階です。報告書の作成：QSAがROC（準拠報告書）とAOC（準拠証明書）を作成します。報告書の提出：AOCにはPCI DSSの認証に必須の情報が記載されます。ROCには詳細な機密情報が記載されますが、AOCには機密性の高い情報は記載されませんので、カードブランド、アクワイアラ、提携企業などの関係機関から求められた場合は、AOCを提出することをおすすめします。証明書の発行：準拠証明書を受け取った事業者は、PCI DSSの基準に準拠していることになります。
期間はどれくらいかかる？
初めの審査対象環境の確認から最後の報告書の提出まで、PCI DSSの認証取得には通常3～5か月かかります。認証取得までの主なフェーズおよび各フェーズは次の通りです。
- 準備フェーズ（1～2か月）：審査対象環境の確認、およびコンサルティングの段階
- 資料準備フェーズ（1か月）：必要な制御措置を準備・実施
- 審査フェーズ（5～7日）：QSAによる訪問審査
- 報告フェーズ（半月～1か月）：QSAが準拠報告書と準拠証明書を発行
実際にかかる期間は、以下の要因によって異なる場合があります。準備状況：事業者の事前の準備が十分であるか、比較的良好であり、セキュリティ対応の土台がしっかりしている場合は、より早く準拠が実現できます。システムや運用プロセスの複雑さ：IT環境、ネットワーク構成、運用プロセスの複雑さも認証取得までのスピードに影響します。投入するリソース：事業者が投入するリソース（人手、時間、予算）およびプロジェクト管理の効率。スムーズに認証を取得するためには、以下の点が重要です。事前準備：できるだけ早く準備を始めましょう。特に文書やポリシーの整理には早めに取りかかるようにしましょう。効果的なコミュニケーション：準拠作業全体を通じてPCI DSSのQSAとこまめに連絡を取り、問題に気が付いたら、すぐに解決しましょう。維持と改善：認証取得後も引き続きセキュリティ対策の維持と改善に努め、長期的にPCI DSSへの準拠状態を維持しましょう。
費用はいくらかかる？
初回の認定では、PCI DSSの要件を満たすために、ハードウェアやソフトウェアの新規導入が必要となる可能性があります。以下に費用項目をリストアップしました。
A. システム関連費用
Webサーバ、アプリケーションサーバ、DBサーバなどの機能ごとにサーバを分割しなければならないため、機器増設または仮想サーバ設置が必要となる可能性があります。また、NTPサーバ、FIMサーバ、ログサーバなどのセキュリティコンポーネントの実装も必要です。
B. セキュリティ機器の費用
ファイアウォール、ルーター等のネットワークセキュリティシステム（NSCs）、不正侵入防御／検知システム（IPS/IDS）、WAF（Webアプリケーションファイアーウォール）等の増設が必要となります。
C. データ暗号化機器の費用
カード番号（PAN）の暗号化には、セキュリティ確保のため、HSM（ハードウェアセキュリティモジュール）の導入が必要となる可能性があります。
D. Personal Training
PPCI DSS mandates training for personnel including awareness training, secure coding training, and conducting drills for Incident Response Plans (IRP). If staff perform Vulnerability Scans or Penetration Tests, they will also require adequate security training, potentially increasing training costs.
E. Technical Test
PCI DSS requires various periodic technical tests including Internal Vulnerability Scans, External Vulnerability Scans (ASV), Internal and External Penetration Tests, Wireless Scans, Card Number Scans, and Code Reviews. This section typically incurs additional expenses.
F. Other
If you are a service provider, acquiring institutions or card organizations may require registration in their service provider registries like VISA Registry or MasterCard SDP (Service Provider Registration).
For a small to medium-sized Service Provider without prior PCI DSS compliance experience, the estimated additional expenses might include as listed below:
PCI DSS Certification Costs?
In addition to the potential additional costs mentioned above, the cost of PCI DSS Assessment can be varied with the time required by PCI DSS QSAs to complete the Assessment and Report.
The estimated assessment time depends on the following factors:
1. System Complexity: The number of hosts, types of operating systems used, components installed on systems, multiple OS configurations, and security configurations all affect the sampling required during audits and increase audit time.
2. Security Equipment and Networks: The number of security devices within the assessment scope such as Firewalls, IPS, IDS, WAF, Switches, Routers, SIEM, DRP, etc., requires configuration, updates, access control checks, logging, and more, thereby increasing assessment time with more devices and complex network planning.
3. Connections to Acquiring Institutions and Service Providers: More connections to acquiring institutions and service providers form more complex data flows (Dataflows), necessitating additional time for inspection.
4. Database and Card Data Storage and Encryption Methods: Diverse card data flows and storage methods require more encryption or security measures, resulting in additional inspection items.
5. Number of Operational Units: The number of stores, data centers, and operational offices increases the days required for Assessment, e.g., banks, telecom companies, and businesses with numerous stores and offices with extensive sampling. Moreover, backup data centers storing card data are also included in the scope.
Generally speaking, PCI DSS Assessment costs vary by region due to different annual fees set by the PCI SSC and varying salaries for QSAs in different regions. In Southeast Asia, e.g., a small to medium-sized service provider requires 3-5 days for on-site Assessment and around a week for report compilation. Excluding travel costs, PCI DSS certification costs typically range between NT$400,000 to NT$600,000.
However, an actual quotation depends on the complexity factors mentioned above.
Whether you are a cross-border e-commerce business, a third-party payment platform, or a service provider, adhering to PCI DSS compliance requirements is crucial. Implementing these compliance measures not only provides your acquiring bank and regulatory authorities with a certificate of compliance but also directly helps your business reduce the risk of data breaches and theft while enhancing consumer confidence in the security of their transactions.
PCI DSS compliance consists of over 400 requirements, covering everything from understanding and interpreting the standards, providing evidence, and obtaining certification, to maintaining compliance in the future. How do you ensure ongoing compliance?
It is recommended to consider hiring a QSAC (Qualified Security Assessor Company) to help you quickly and effectively achieve compliance in a short time.
After certification, you can utilize a compliance management system offering features such as automated monitoring, alerts, regular data submission, and real-time visual status updates. This ensures that your business remains compliant and secure at all times.