EC用語集・運営・物流・法令・AI

PCI DSSとは？

読み：ぴーしーあいでぃーえすえす／Payment Card Industry Data Security Standard

意味: カード会員データを扱う事業者のための国際的なセキュリティ基準。国際カードブランド5社が設立したPCI SSCが定めています。
例: 定期購入の決済のために、自社のサーバーにお客様のカード番号を保存して使っている場合は、カード情報を「保持」していることになるため、PCI DSSへの準拠が求められます。

PCI DSSとは

PCI DSSは、カードの支払いデータを守るための技術面・運用面の基本的な要件をまとめた基準です。定めているPCI Security Standards Council（PCI SSC）は、2006年にAmerican Express、Discover、JCB International、Mastercard、Visaの5社によって設立されたと案内されています。

PCI SSCの説明では、カード会員データを保存・処理・伝送する事業者などが対象で、加盟店、決済処理事業者、カード会社、サービス提供事業者などが挙げられています。

PCI DSSの構成

クレジットカード・セキュリティガイドライン【6.1版】では、PCI DSSは安全なネットワークの構築やカード会員データの保護など12の要件で構成され、業態やシステム・ネットワークの構成によって求められる事項が異なるため、自社が対応すべき事項を確認したうえで準拠する必要があると説明されています。同ガイドラインは、基準書として「PCI DSS v4.0.1」を案内しています。

日本のEC加盟店との関係

割賦販売法ではカード番号等の適切な管理が義務付けられており、その実務上の指針であるガイドラインでは、EC加盟店のカード情報保護対策を「非保持化」または「保持する場合はPCI DSS準拠」としています。カード会社や決済代行会社など加盟店以外の事業者には、PCI DSS準拠が指針対策とされています。

自社でカード情報を保存・処理・通過していないかを棚卸しする
カード会社や決済代行会社からカード情報を受け取って自社で扱う場合も「保持」になる
カード情報を扱う業務を委託するときは、PCI DSSに準拠しているなど必要な対策を講じている事業者を選び、契約後も実施状況を確認する
国内の認定セキュリティ評価機関（QSA）の多くが参加する日本カード情報セキュリティ協議会（JCDSC）が、資料提供や相談窓口を設けているとされています

漏えいが起きた場合との関係

ガイドラインでは、カード情報が漏えいした場合、契約するカード会社や決済代行会社の要請に従って、ネットワークからの切り離しやカード決済の一時停止、フォレンジック調査、PCI DSS準拠状況の確認などを行うとされています。決済を再開する際には、自己問診（SAQ）などの提出や再発防止策の協議を経て、カード会社が判断する流れが示されています。

導入ガイド【附属文書20】では、漏えいが起きるとカード取引の停止に加え、調査から決済再開の審査までにかなりの時間がかかり、調査費用や不正利用の被害補償額、カードの差し替え費用などが加盟店に請求されて大きな負担になりうるとされています。

PCI DSSのよくある質問

小さなショップでもPCI DSSに準拠する必要がありますか？

カード情報を保持しない（非保持化する）場合、ガイドライン上のカード情報保護対策は非保持化で満たす形になります。自社でカード情報を保存・処理・通過している場合は、規模にかかわらずPCI DSSへの準拠が求められるため、まず自社の決済の仕組みを確認してください。

PCI DSSに準拠していれば、ほかの対策は不要ですか？

ガイドラインでは、EC加盟店のシステムとWebサイトの脆弱性対策は、カード情報の保持・非保持にかかわらず必要とされています。また、EMV 3-Dセキュアや不正ログイン対策などの不正利用対策も別に求められています。

PCI DSSについて詳しく読む

出典

2026年10月22日に確認した内容です。制度や機能は変わることがあるため、最新は公式の情報をご確認ください。

運営・物流・法令・AIのほかの用語

EC用語集の一覧へ