PCI DSSとは何ですか？

クレジットカード情報を取り扱う企業が遵守すべきセキュリティ基準。カード業界の国際標準。

PCI DSSのポイントは？

Payment Card Industry Data Security Standardの略。VISA、Mastercard、JCBなど主要カードブランド5社が策定。12の要件で構成（ファイアウォール、暗号化、アクセス制御など）。2024年にPCI DSS v4.0への移行が完了

【ぴーしーあいでぃーえすえす】

💡 カード情報を守る「支払い業界の掟」

📌 このページのポイント

PCI DSS セキュリティ要件の構造イメージ

ひよこ

どんな会社が対象なの？

ペンギン先生

クレジットカード情報を保存・処理・伝送するすべての企業だよ。ECサイト、決済代行会社、POS端末メーカー、ホテル、航空会社など。規模の大小を問わず、カード番号を1件でも扱うなら対象になるんだ

ひよこ

12の要件って何？

ペンギン先生

大きく6つのカテゴリに分かれているよ。ファイアウォールの設置、デフォルトパスワードの変更、保存データの暗号化、通信の暗号化、ウイルス対策、安全なアプリ開発、アクセス制御、ユーザー認証、物理的セキュリティ、ネットワーク監視、セキュリティテスト、セキュリティポリシーの策定。包括的だね

ひよこ

準拠しないとどうなるの？

ペンギン先生

カード情報の漏洩が発生した場合、PCI DSS非準拠だと莫大な罰金（数百万〜数千万ドル）が課される可能性がある。加えてカード決済の取り扱い停止や、ブランドからの契約解除もありえる。事業継続に直結するリスクだよ

ひよこ

小さなECサイトでも必要？

ペンギン先生

最も簡単な方法は「自社でカード情報を一切扱わない」こと。Stripe、PayJP、GMOペイメントゲートウェイなどの決済代行サービスを使えば、カード情報は代行会社側で処理されるから、ECサイト側のPCI DSS準拠の負担は大幅に軽減されるよ

まとめ：ざっくりこれだけ覚えればOK！

「PCI DSS」って出てきたら「クレジットカード情報を守るためのセキュリティ基準」と思えればだいたいOK！

📖 おまけ：英語の意味

「Payment Card Industry Data Security Standard」＝ペイメントカード業界データセキュリティ基準

💬 カード情報の漏洩事件が相次いだことから、業界全体で統一基準を作ったんだよ