PCI DSSとは？クレジットカード情報を守るセキュリティ基準と中小企業の対応ガイド

カード決済を導入している企業に「PCI DSSへの対応は済んでいますか？」と聞くと、「名前は聞いたことがある」「うちのような規模には関係ない」という反応をよく耳にします。しかし、1件でもクレジットカード情報を取り扱う事業者であれば、規模を問わずPCI DSSの適用範囲に入ります。

万一、カード情報が漏洩した場合にはカードブランドから高額な罰則金が科されたり、カード決済の停止に至ることもあります。この記事では、PCI DSSの概要・12の要件・準拠レベルの仕組み・中小企業が今日から取り組める実務対応まで、現場目線で解説します。

PCI DSSとは？（概要・なぜ重要か）

PCI DSS（Payment Card Industry Data Security Standard）は、クレジットカード情報を安全に取り扱うための国際セキュリティ基準です。Visa・Mastercard・American Express・Discover・JCBの主要5カードブランドが設立した団体「PCI SSC（PCI Security Standards Council）」が策定・管理しています。

現行バージョンは2022年3月にリリースされた「PCI DSS v4.0」で、2025年3月末に旧バージョン（v3.2.1）のサポートが終了し、v4.0への完全移行が完了しています。

なぜ準拠が必要なのか

PCI DSSは法律ではありませんが、カードブランドとの加盟店契約に準拠義務が盛り込まれています。準拠していない状態でカード情報漏洩が発生した場合、以下のようなリスクがあります。

・罰則金: カードブランドから加盟店やアクワイアラ（決済代行会社）に対して、数十万円から数千万円規模の罰則金が課される場合があります
・カード決済の停止: 加盟店としての資格を失い、クレジットカード決済が利用できなくなることがあります
・損害賠償: カード会社が負担した不正利用被害額を加盟店に請求される可能性があります
・ブランドダメージ: 顧客からの信頼失墜により、事業の継続に深刻な影響が及びます

PCI DSSの12の要件とは？

PCI DSSは、カード会員データを守るための要件を6つの目標のもとに全12項目にまとめています。

これらは独立した項目ではなく、互いに関連しています。たとえば要件4の「伝送データの暗号化」はTLS 1.2以上の使用が求められ、要件6の「脆弱性管理」はパッチ適用の定期実施につながります。

準拠レベルとSAQ（自己問診票）の仕組み

PCI DSSの準拠確認方法は、加盟店のカード取引件数に応じた「レベル」によって異なります。

加盟店レベルの分類（Visaの場合）

・レベル1: 年間600万件超のカード取引。QSA（認定セキュリティ評価機関）による年次オンサイト審査が必要
・レベル2: 年間100万件超600万件以下。SAQまたはQSA審査
・レベル3: 年間2万件超100万件以下のeコマース取引。SAQ提出
・レベル4: 年間2万件以下のeコマース、またはその他すべての加盟店。SAQ提出（カードブランドや決済代行会社の指示に従う）

多くの中小企業はレベル4に該当します。レベル4の場合、SAQ（Self-Assessment Questionnaire：自己問診票）に回答して準拠状況を確認するのが一般的な対応です。

SAQの種類

SAQには取引形態に応じた複数の種類があります。

・SAQ A: カード情報処理をすべて決済代行会社に委託しており、自社システムにカード情報が通過しないケース（Eコマースなど）
・SAQ B: 端末でカードをスワイプするのみで、電子カード情報を保存しないケース
・SAQ C: POSシステムがインターネットに接続されているケース
・SAQ D: 上記以外の全加盟店（最も対象範囲が広い）

自社がどのSAQに該当するかは、決済代行会社（Payment Service Provider）に確認するのが確実です。

中小企業が今日から取り組める対応手順

1. カード情報のスコープを把握する

まず「自社のどのシステムがカード情報に触れているか」を棚卸しします。

・カード情報が通過するシステム: ECサイト、POSシステム、決済ページ
・カード情報を保存しているか: ログファイル、データベース、バックアップ
・カード情報を外部に送信しているか: 決済代行会社へのAPI通信

多くの中小ECサイトでは、「決済ページをすべて決済代行会社にホスティングさせる」方式（リダイレクト型やiFrame型）を採用することで、自社システムにカード情報が一切通過しない構成を実現しています。この構成（SAQ A相当）はスコープを最小化できる有効な手段です。

2. 最低限の技術的対策を実施する

レベル4のSAQ A加盟店でも、以下は対応が求められます。

・TLS 1.2以上の適用: 決済ページへの通信はTLS 1.2以上を必須とし、古いプロトコル（SSL、TLS 1.0/1.1）は無効化する
・ソフトウェアのパッチ適用: OSとCMSを常に最新状態に保つ。定期的なパッチ管理の仕組みを作る（参考: パッチ管理の基礎）
・強固なパスワードとアクセス制御: 管理者アカウントには複雑なパスワードを設定し、多要素認証を導入する
・不要なサービスの停止: 使っていないポートやサービスは閉じておく

3. 脆弱性スキャンを定期実施する

レベル2以上の加盟店には、ASV（Approved Scanning Vendor：承認スキャニングベンダー）による四半期ごとのネットワークスキャンが義務付けられています。レベル4でも、決済代行会社から実施を求められる場合があります。

社内で実施できる脆弱性管理の考え方については、脆弱性管理の4ステップガイドを参考にしてください。

4. セキュリティポリシーとログ管理を整備する

要件10では、カード情報を扱うシステムのアクセスログを最低12か月（うち3か月分はすぐ参照できる状態で）保管することが求められます。

また要件12では、情報セキュリティポリシーの策定と全担当者への周知が必要です。

PCI DSSとISMSの違い

「PCI DSSとISMS（ISO 27001）は何が違うのか」という質問をよく受けます。

・PCI DSS: クレジットカード情報の保護に特化した業界標準。カード決済を行う加盟店に対して、カードブランドが要求するもの
・ISMS（ISO 27001）: 組織全体の情報セキュリティを管理するための包括的なマネジメント規格。第三者認証を取得することで、顧客・取引先への信頼証明になる（参考: ISMSとは？）

どちらも「情報を守る」目的は共通していますが、PCI DSSはカード情報という特定の対象を守るためのより狭く・具体的な要件集です。ISMSを取得済みの組織でも、PCI DSS準拠は別途確認が必要です。

よくある誤解と注意点

【注意】「決済代行会社を使えば何もしなくていい」は誤り

決済代行会社に全処理を委託している場合（SAQ A相当）でも、自社のWebサイトやサーバーの基本的なセキュリティ管理は加盟店側の責任です。決済ページへのリダイレクト元となるサイト自体が改ざんされれば、フィッシングや不正リダイレクトのリスクが生じます。

【注意】カード情報をメールやスプレッドシートで扱う慣行

電話注文を受ける際にカード番号をメモした紙やExcelに記録する運用は、PCI DSSに違反している可能性が高くあります。こうした手動処理フローも棚卸しの対象です。

【注意】「小さい会社は狙われない」という思い込み

攻撃者は企業規模を問わず、脆弱なシステムを自動的にスキャンして攻撃します。一般的に、大企業より中小企業のほうがセキュリティ対策が手薄で狙いやすいとされます。

【注意】準拠は一度限りではなく継続的な維持が必要

PCI DSSへの準拠は「合格したら終わり」ではなく、年次の確認・更新が求められます。システム構成の変更や新しいサービスの導入のたびに、スコープの見直しが必要です。

本記事のまとめ

PCI DSSは複雑に見えますが、中小企業の多くは「決済代行会社に処理を委託し、自社システムのセキュリティ基本管理を整える」というアプローチで対応できます。まず決済代行会社に「自社はどのSAQに該当するか」を確認するところから始めてみましょう。