要約
PCI DSS（Payment Card Industry Data Security Standard）は、企業によるクレジットカードデータの取り扱い方法を規定する、必須のセキュリティフレームワークです。2006年にAmerican Express、Discover、JCB International、Mastercard、Visaによって設立されたPayment Card Industry Councilが管理するこの基準は、規模にかかわらず、カード会員情報を受け入れ、保存、または送信するすべての組織に適用されます。コンプライアンス違反は、1回の侵害につき最大$ 500,000の罰金、法的責任、および風評被害につながる可能性があります。コンプライアンスは、6つの主要目標と11の技術要件で構成されています。その範囲は、ファイアウォールの設定やパスワードの衛生管理から、物理的なアクセス制御、スタッフのトレーニングまで多岐にわたります。また、企業は年間の取引量に基づいて4つのコンプライアンスレベルに階層化されており、規模の大きい組織ほど、より厳格な文書化要件が課せられます。コンプライアンスの維持は、継続的に変化する責任であり、一度きりのチェックリストではありません。
PCI DSSとクレジットカードデータのセキュリティについて
PCI DSS（Payment Card Industry Data Security Standard）は、企業によるクレジットカードデータの取り扱い方法を規定するフレームワークです。貴社でクレジットカード情報の処理、保存、または転送を行っている場合、PCI DSSへの準拠は不可欠です。
PCI DSSは、カード会員情報が安全に使用、保存、および送信されることを保証します。ルールに従うことは、業界のベストプラクティスです。顧客に対して、あなたの会社が信頼できることを証明できます。
しかし、PCIに準拠していない場合、事業に深刻な打撃を与えかねない高額な罰金を科される可能性もあります。
PCIコンプライアンスとは何ですか？
PCIコンプライアンスとは、カード会員データを保護するためにPayment Card Industry Councilが定めたセキュリティ規格を満たすためのプロセスです。ガイドラインは、PCIコンプライアンスプロセスの第一歩です。自社に何が期待されているかを把握し、それに応じてプロセスを構築する必要があります。その後、ドキュメント作成が始まります。カード所有者のデータを安全に保つために、あらゆる対策を講じていることを証明する必要があります。
PCI委員会を設立したのは誰ですか？
PCIコンプライアンスは、PCI DSSそのものから始まります。Payment Card Industry Councilは、2006年に以下の各社の代表者によって設立されました。
- American Express
- 検出
- JCB International
- MasterCard
- Visa
各社は協議会の責任を平等に分担し、ビジネスパートナーにはすべてPCI DSSへの準拠を求めています。
PCIは、データセキュリティ基準（DSS）と、以下のような関連資料を作成しました。
- 仕様フレームワーク
- ツールキット
- 測定ガイド
- 参考資料
カード会員データを受け入れ、保存、または送信するすべての企業は、PCI DSSに準拠する必要があります。非常に小規模な企業や、サードパーティの決済代行業者と連携している企業であっても、準拠する必要があります。
コンプライアンスに違反した場合、どうなりますか？
コンプライアンスに違反した場合、セキュリティ侵害インシデント1件につき最大 $ 500,000の罰金が科される可能性があります。さらに、攻撃で情報が漏洩した可能性のあるすべての人に通知する必要があり、その通知には多額の費用がかかる場合があります。
消費者は、個別にお客様を訴えることもできます。政府からの罰金も科せられる可能性があります。
PCIに準拠していますか？
収集するカード会員データの安全性について、憶測で判断しないでください。ガイドラインの内容について詳しく学び、コンプライアンスを確保するためにプロセスを確認してください。
PCI DSSの基準は、6つの目標から始まります。各企業は以下を行う必要があります。
- 安全なネットワークを構築および維持します。
- カード会員データを保護します。
- 脆弱性管理プログラムを維持してください。
- 強力なアクセス制御対策を実装します。
- ネットワークを定期的に監視およびテストします。
- 情報セキュリティポリシーを維持してください。
PCI DSSの要件とは何ですか？
こうした目標を達成するには、どうすればよいでしょうか。PCI DSSの要件で、その手順が定められています。
- まずファイアウォールからファイアウォールをインストールして維持し、侵入者を阻止するために可能な限り最適な構成にします。
- パスワードを強化する。デバイスに付属しているパスワードは使用せず、パスワードのベストプラクティスに従っていることを確認する方法を探してください。
- 保管時の保護カード会員データを保存する場合は、セキュリティで保護されていることを確認してください。
- 転送中の保護ネットワーク間でデータを移動する場合は、暗号化されていることを確認してください。
- 攻撃を阻止します。アンチウイルスプログラムをインストールし、常に最新の状態に保ちます。
- 強化安全なシステムを構築し、維持します。
- 電子的なアクセスを制限します。すべての人がカード会員データに触れることを許可しないでください。知る必要のある人だけがそれを見ることができるようにしてください。
- 追跡。会社のコンピューターにアクセスできる各担当者に一意のIDを付与します。
- 物理的なアクセスを制限してください。カード会員データのハードコピーに誰もが触れられる状態にしないでください。
- テスト定期的なテストスケジュールを設定し、それを遵守してください。
- 明文化。従業員と契約者のセキュリティに関するポリシーを明記したドキュメントを作成します。
PCIコンプライアンスのレベルとは何ですか？
カード所有者のデータを収集するすべての企業は、規模に関わらず、PCI DSSに準拠する必要があります。しかし、大企業は、規則を理解し、認識していることを証明するために、より多くのステップを踏む必要があります。
Visaを例に考えてみましょう。この会社（世界最大手の決済ネットワーク）は、4つのコンプライアンスレベルを設けています。
その4つのレベルとは、次のとおりです。
| レベル | Visaの年間取引量 | 書類の提出要件 |
|---|---|---|
| レベル1 | 年間600万件を超えるVisa取引 | 会計帳票2件 |
| レベル2 | 年間100万〜600万件のVisa取引 | Level 3/4よりも多くのドキュメント |
| レベル3 | 年間2万〜100万件のVisaトランザクション | レベル4よりも多くのドキュメント |
| レベル4 | 年間2万件未満のVisa eコマース取引、および最大100万件のVisa取引 | アンケートのみ |
グループによってルールが変わることはありません。しかし、取引件数が増えることで直面するリスクは増大します。その結果、Visaはコンプライアンスを証明するために、大企業に対してより多くの書類を要求しています。
小規模なレベル4の企業の場合は、アンケートへの回答のみで済むことがあります。ただし、レベル1の企業は、2種類の会計フォームに記入する必要があります。
PCI DSSで遵守すべきことと禁止事項は何ですか？
ルールは単純に見えるかもしれません。しかし、企業は収集したデータをどのように扱うべきかについて混乱しやすいものです。いくつかのベストプラクティスを理解すると役立つ場合があります。
| 〜してください | すべきではありません。 |
|---|---|
| 最新情報を入手する。PCIを注意深くフォローし、新しいリリースの情報を常にご確認ください。業界の変化や新たなリスクの出現に伴い、遵守すべきルールも変化する可能性があります。 | パートナーシップを軽く見ないでください。POS（販売時点情報管理）ハードウェアおよびソフトウェアの最安値を探すのはやめましょう。取引先企業もPCI DSSに準拠し、リスクを真摯に受け止めていることを確認してください。 |
| リスク評価を実施する。環境を定期的に評価する。懸念される領域を発見した場合は、できるだけ早くリスクを軽減してください。 | ネットワークを統合します。カード所有者のデータは、企業のオープンサーバーに侵入したハッカーがアクセスできないようにする必要があります。データを安全に保つために、可能な限りセグメント化してください。 |
| 定期的にトレーニングを実施する。従業員の行動を監視しないまま放置すると、サーバー上のスプレッドシートにカード会員データを保存するなど、コンプライアンスを危険にさらすような回避策を生み出す可能性があります。従業員の再トレーニングが必要になります。 | 気にしないでください。コンプライアンスは、常に変化し続ける目標です。常にセキュリティを最優先に考えてください。 |
PCI DSSコンプライアンスの確保を支援するパートナーをお探しの場合は、Oktaをご検討ください。コンプライアンスの道のりでOktaがどのように役立つかについては、ホワイトペーパーをダウンロードしてください。
よくある質問（FAQ）
PCI DSSとは何の略ですか？
PCI DSSは、Payment Card Industry Data Security Standardの略です。これは、企業によるクレジットカードデータの取り扱い方法を規定する必須のセキュリティフレームワークであり、カード所有者情報が安全に使用、保存、送信されることを保証します。
PCI DSSへの準拠が義務付けられているのは誰ですか？
PCI DSSへの準拠は普遍的なものであり、大企業から小規模な販売事業者、さらにはサードパーティの決済代行業者を利用している事業者まで、カード会員データに何らかの形で関わるすべての事業者に適用されます。
PCI DSSに準拠しない場合、企業にはどのような罰金が科される可能性がありますか？
コンプライアンス違反は、深刻な金銭的影響をもたらします。1回のセキュリティ侵害で、最大 $ 500,000 の罰金、影響を受けた全個人への侵害通知の義務化、消費者による個別の訴訟、政府による追加の罰則が科される可能性があります。
PCIコンプライアンスのレベルはどのように決定されますか？
PCIコンプライアンスのレベルは、年間の取引量に基づいて決まります。たとえばVisaでは、4つのレベルを次のように定義しています。レベル1は取引件数が600万件超、レベル2は100万～600万件、レベル3は2万～100万件、レベル4はeコマースでの取引件数が2万件未満かつ総取引件数が100万件以下です。コンプライアンスを証明するために、大企業はより厳格な文書化要件に直面します。
PCI DSSコンプライアンスで避けるべきよくある間違いとは？
よくある間違いとして、パートナーシップを軽視し、ベンダーやパートナーもPCI DSSに準拠しているかどうかの確認を怠ることが挙げられます。また、オープンサーバーに侵入したハッカーがカード保持者データにアクセスできないように、企業はネットワークを統合することを避けるべきです。最後に、コンプライアンスを継続的な責任ではなく、一度限りのタスクとして扱うことは、重大なリスクとなります。
PCI DSSコンプライアンスは、一度限りの要件ですか、それとも継続的なプロセスですか？
PCI DSSは一度取得すれば終わりという認定ではありません。脅威情勢は絶えず変化しているため、規格自体も時間とともに更新されます。企業はコンプライアンスを生きたプログラムとして捉え、定期的なリスク評価の実施、スタッフの継続的な再教育、PCIコンソーシアムの最新情報への対応を徹底する必要があります。
参考文献
Oktaについて。（PCI Security Standards Council）
PCI-DSS：セキュリティ違反による罰則。カリフォルニア大学サンタクルーズ校。
決済セキュリティの維持。（PCI Security Standards Council）
クレジットカード会社：2021年発行会社トップ15。CardRates.com。
PCIコンプライアンスはお客様とお客様の顧客のデータを安全に保護しますVisa。
