EC用語集・運営・物流・法令・AI
カード情報の非保持化とは？
- 意味
- 自社の機器やネットワークで、クレジットカード情報の「保存」「処理」「通過」をいずれも行わないこと。EC加盟店のカード情報保護対策の一つです。
- 例
- 自社サイトの入力フォームからカード番号を自社サーバーに送る作りをやめ、決済代行会社の決済画面に移って支払う方式（リダイレクト型）に切り替える、といった対応が非保持化の例です。
カード情報の非保持化とは
クレジットカード・セキュリティガイドラインでは、非保持化を「自社で保有する機器・ネットワークにおいてカード情報を保存・処理・通過のいずれも行わないこと」と定義しています。ここでいうカード情報には、カード番号・会員名・有効期限などに加え、セキュリティコードなどの機密認証データも含まれ、機密認証データの保持も認められていません。
EC加盟店のカード情報保護対策（指針対策）は、「非保持化する」か「カード情報を保持する場合はPCI DSSに準拠する」かのどちらかとされています。
非保持化の実現方法（通過型と非通過型）
決済代行会社（PSP）を使う決済の仕組みは、カード情報が自社の機器を通る「通過型」と、通らない「非通過型」に分けられます。ガイドラインでは、過去の漏えい事故の多くは通過型の加盟店で起きたとされ、PCI DSSに準拠済みの決済代行会社が提供する非通過型を導入することで非保持化できると説明されています。
- リダイレクト（リンク）型：決済代行会社の決済画面に移ってカード決済を行う方式
- JavaScript型（トークン型）：自社の決済画面に決済代行会社が提供するプログラムを組み込んで決済を行う方式
店舗が確認しておきたいこと
- 自社の決済が通過型か非通過型か。ガイドラインでは、漏えい事故が起きてから通過型だったと気づく事例があるとされています
- カード会社や決済代行会社からカード情報を受け取り、自社で保存・処理・通過している場合は、決済以外の目的でも「保持」となり、PCI DSSへの準拠が必要です
- 紙の伝票やそのスキャン画像、電話の録音にカード情報が残る場合は「保持」には当たらないとされていますが、それ以外で非保持化できていることが前提です
- 非保持化する前に扱っていた過去のカード情報の保護や、お客様からの照会への対応も留意点とされています
- ECサイトの構築・運用を外部に委託している場合は、委託先が加盟店に必要な脆弱性対策を理解したうえで構築・運用しているかを確認する
非保持化しても残るリスク
ガイドラインでは、現在の主な情報漏えいは、非保持化を実現したEC加盟店でWebサイトの脆弱性などを原因として起きていると指摘されています。そのため【6.0版】からは、カード情報を保持しているかどうかにかかわらず、システムとWebサイトの「脆弱性対策」も指針対策に加えられました。
導入ガイド【附属文書20】でも、非保持化した加盟店で脆弱性対策が続けられず、不正アクセスやシステムの改ざんを許してカード情報が盗まれる漏えいが主流になりつつあるとされています。決済画面の改ざんによって、入力されたカード情報が盗まれる被害もこの一つです。
関連する用語との違い
PCI DSSは、カード情報を保持する事業者が準拠する国際的なセキュリティ基準です。EMV 3-Dセキュアは、盗まれたカード情報の悪用を防ぐ不正利用対策で、非保持化とは目的が異なります。Webスキミング（決済画面の改ざん）は、非保持化していても起こりうる被害として区別して備える必要があります。
カード情報の非保持化のよくある質問
カートサービスを使っていれば、非保持化できていると考えてよいですか？
使っている決済の方式によって異なります。ガイドラインでは、EC加盟店は自社の決済システムが通過型か非通過型かを確認し、通過型の場合は非通過型への移行か、PCI DSSへの準拠が必要とされています。カート会社や決済代行会社に、どの方式かを確認しておくと安心です。
非保持化していれば、情報漏えいの心配はありませんか？
そうとは限りません。ガイドラインでは、非保持化した加盟店でもWebサイトの脆弱性を突かれてカード情報が盗まれる事案が起きているとされ、保持・非保持にかかわらず脆弱性対策が必要とされています。
カード情報の非保持化について詳しく読む
関連する用語
出典
2026年10月22日に確認した内容です。制度や機能は変わることがあるため、最新は公式の情報をご確認ください。