概要
PCI DSS（Payment Card Industry Data Security Standard：ペイメントカード業界データセキュリティ標準）はVisa・Mastercard・JCB・AmericanExpress・Discoverの5大カードブランドが設立したPCI SSC（Security Standards Council）が策定したセキュリティ標準です。カード情報を取り扱う全事業者に適用され、法律ではなく「契約上の義務」として課されます。
適用対象
カード情報（Primary Account Number：PAN）を保存・処理・伝送するすべての組織に適用されます。
適用対象の例：
- オンラインショッピングサイト
- 実店舗のPOSシステム
- カード情報を処理する決済代行会社
- カード情報が通過するネットワークを管理する組織カード情報を「通過させるだけ」の組織も対象です。
PCI DSS 12要件（v4.0）
6つのゴールと12要件
| ゴール | 要件番号 | 要件の概要 |
|---|---|---|
| 安全なネットワークの構築・維持 | 1 | ファイアウォールのインストールと維持 |
| 2 | デフォルトパスワードの変更 | |
| カード会員データの保護 | 3 | 保存するカード会員データの保護 |
| 4 | オープンな公共ネットワークでのデータ暗号化 | |
| 脆弱性管理 | 5 | マルウェア対策ソフトの使用と定期的な更新 |
| 6 | 安全なシステムとアプリケーションの開発と保守 | |
| 強力なアクセス制御 | 7 | カード会員データへのアクセスを業務上必要な範囲に制限 |
| 8 | システムコンポーネントへのアクセスの識別と認証 | |
| 9 | カード会員データへの物理アクセスの制限 | |
| ネットワークの監視とテスト | 10 | ネットワークリソースとカード会員データへのすべてのアクセスの追跡と監視 |
| 11 | セキュリティシステムとプロセスの定期的なテスト | |
| 情報セキュリティポリシーの維持 | 12 | 全担当者の情報セキュリティポリシーの維持 |
主要な技術要件のポイント
| 要件 | 具体的な内容 |
|---|---|
| 要件3（保存データ保護） | PANの保存時はAES-256等で暗号化または切り詰め・マスキング |
| 要件4（転送時暗号化） | TLS 1.2以上を使用（SSL・TLS 1.0・1.1は禁止） |
| 要件8（認証） | MFAの要求（特権ユーザ・リモートアクセス） |
| 要件10（ログ） | 全ログを少なくとも12か月保存（最新3か月はオンライン） |
| 要件11（テスト） | 年次ペネトレーションテスト・四半期ごとの脆弱性スキャン |
準拠評価の方法
規模による分類（Merchant Level）
| レベル | 年間取引件数 | 評価方法 |
|---|---|---|
| Level 1 | 600万件以上 | 年次オンサイト監査（QSAによる） |
| Level 2 | 100万〜600万件 | 年次SAQ + 四半期ASV スキャン |
| Level 3 | 2万〜100万件 | 年次SAQ |
| Level 4 | 2万件未満 | SAQ（カードブランドの要求による） |
用語の整理
| 用語 | 説明 |
|---|---|
| QSA（Qualified Security Assessor） | PCI SSCが認定した第三者審査機関。Level 1の監査を実施 |
| SAQ（Self-Assessment Questionnaire） | 事業者が自己評価するためのチェックリスト（12種類） |
| ASV（Approved Scanning Vendor） | 四半期ごとの外部脆弱性スキャンを実施する承認スキャンベンダー |
| AoC（Attestation of Compliance） | 準拠を証明する文書 |
| ROC（Report on Compliance） | QSAによる監査報告書 |
PCI DSS v4.0（2022年発行）の主要変更点
| 変更点 | 内容 |
|---|---|
| ゴールベースのアプローチ | 要件の「目的（カスタマイズアプローチ）」を満たす別の実装も認める |
| 多要素認証の拡充 | カード会員データ環境（CDE）へのアクセス全般でMFAを必須化 |
| パスワード要件の強化 | 最低12文字・複雑性（文字種の組み合わせ）を要求 |
| フィッシング対策の追加 | 従業員へのフィッシング対策トレーニングを明示的に要求 |
| Eコマースへの強化 | ペイメントページのスクリプト管理・整合性確認 |
SC試験での頻出ポイント
- PCI DSSの適用対象：カード情報を保存・処理・伝送する全組織（「通過するだけ」も対象）
- ログの保存期間：12か月間（うち最新3か月はオンラインアクセス可能な状態で保存）
- TLSバージョンの制限：PCI DSSではSSL・TLS 1.0・TLS 1.1は使用禁止（TLS 1.2以上を使用）
- 年次ペネトレーションテストと四半期スキャンの違い：ペネスト（年次・侵入シミュレーション）とASVスキャン（四半期・外部IP・自動スキャン）
- QSAとSAQの違い：QSAは外部認定機関による監査（Level 1）、SAQは事業者自身によるチェックリスト
よくある誤問・ひっかけパターン
誤り① 「カード情報を自社サイトで処理しなければPCI DSSは適用されない」→ 誤。カード情報が通過するネットワークを管理する場合も対象です。
誤り② 「PCI DSSは法律なので違反すると刑事罰がある」→ 誤。PCI DSSは法律ではなくカードブランドとアクワイアラ間の契約上の義務です。違反時はペナルティ（罰金）や取り扱い停止が課されます。
誤り③ 「TLS 1.1を使えばPCI DSSの要件4を満たせる」→ 誤。TLS 1.1はv4.0で禁止されています。TLS 1.2以上が必要です。
関連用語
- ISMS（ISO/IEC 27001） — ISMSはISO基準。PCI DSSはカード業界標準
- 個人情報保護法とGDPR — 個人情報の法的保護との関係
- TLS（Transport Layer Security） — PCI DSSで要求されるTLSバージョン
重要キーワード
| 用語 | 説明 |
|---|---|
| PCI DSS | クレジットカード情報を扱う組織に適用されるセキュリティ標準 |
| PAN | Primary Account Number。カード番号。保存時は暗号化・マスキングが必要 |
| QSA | PCI SSC認定の第三者審査機関 |
| SAQ | 事業者自身が行うPCI DSS準拠のチェックリスト |
| ASV | 四半期ごとの外部脆弱性スキャンを実施する認定スキャンベンダー |
| AoC | 準拠を証明するための文書。Attestation of Compliance |