PCI DSS 準拠とは？意味と具体例

PCI DSS 準拠とは、カードデータを扱う事業者が、この基準の要件を満たしている状態を指します。PCI DSS(ペイメントカード業界データセキュリティ基準)は、決済カードのデータを保存、処理、送信するすべての組織に向けたセキュリティ規則の集まりです。PCIセキュリティ基準評議会が管理しており、カード会員データを盗難や不正から守ることを目的としています。

PCI DSS 準拠の仕組み

この基準は6つの目標のもとに12の主要要件で構成されています。安全なネットワークの構築と維持、保存されたカード会員データの保護、システムへのパッチ適用、必要な人だけへのアクセス制限、ネットワークの監視とテスト、セキュリティポリシーの維持などが含まれます。評議会は基準を随時更新するため、最新版はウェブサイトで確認してください。

何をすべきかは、カードの受け方で変わります。

• ホスト型の決済ページ、またはリダイレクト。 顧客は決済事業者のページでカード情報を入力します。カード番号が自社のシステムを通らないため、通常は短い自己問診票で確認が済みます。
• 自社サイトへの埋め込みフォーム。 自社サイトの対象範囲が広がるため、問診票も長くなります。
• カード番号を自分で保管または入力する。 最も範囲が広く、より厳しい管理、スキャン、場合によっては外部の審査が必要です。

どの問診票が該当するかは、通常決済処理会社や決済ゲートウェイが案内し、毎年の準拠の確認を求められることもあります。無視すると手数料が課されたり、最悪の場合はカードを受け付けられなくなったりします。

例

コンサルタントは支払いリンクつきの請求書を送り、請負業者は電話でカード情報を受けます。両者のリスクを比べます。

形態	カード番号を扱う主体	一般的な負担
ホスト型ページの支払いリンク	決済事業者	低い: 毎年の短い自己問診
スプレッドシートへのカード入力	事業者自身	高い: 絶対に避ける
決済事業者のカード端末	事業者の端末ではなく提供元の端末	低い〜中程度

最も簡単なルールは、カード番号をメール、メモ、チャット、スプレッドシートに書かないことです。取引先から送られてきたら削除し、支払いリンクを使うよう依頼してください。支払いリンクを載せる請求書は請求書ジェネレーターで作成できます。安全な導入方法はクレジットカード決済の受け付け方のガイドで紹介しています。

関連用語

• 決済ゲートウェイ: カードデータを安全に取得し、自社で扱わずに済むようにします。
• 決済処理会社: PCIに関する最初の相談先になることが多いです。
• 加盟店口座: 通常、その規約にPCI準拠の要件が含まれます。

PayToMeは公開ベータ版で、オンライン決済は決済事業者であるStripe経由で提供中です。PayToMeにサインインできます。