午前I問題

PCI DSS（Payment Card Industry Data Security Standard）に関する記述として、適切なものはどれか。

ア）PCI DSSは日本の法律として制定されたクレジットカード情報保護に関する規制であり、違反した場合は刑事罰の対象となる。

イ）PCI DSSはカード会員データを保存・処理・伝送するすべての事業者に適用され、カード情報を「通過させるだけ」で保存・処理を行わない事業者は適用対象外である。

ウ）PCI DSSはカードブランドが設立したPCI SSCが策定した業界標準であり、法律ではなく加盟店契約に基づく契約上の義務として課される。

エ）PCI DSSの要件は大企業のみに適用され、年間取引件数が少ない中小の加盟店には適用されない。

午前I の解答・解説を見る

正解： ウ

解説：

  • ア）不正解。PCI DSSは日本の国内法ではなく、Visa・Mastercard・JCB・American Express・DiscoverのカードブランドがPCI SSC（Security Standards Council）を通じて策定した業界標準である。違反時の措置は刑事罰ではなく、カードブランドによる取引停止・違約金等の契約上の措置である。
  • イ）不正解。PCI DSSはカード会員データを「保存・処理・伝送」する事業者に加え、カード情報のネットワークを「通過させるだけ」の組織（決済ネットワークの中継事業者等）も適用対象に含まれる。
  • ウ）正解。PCI DSSはカードブランドが設立したPCI SSCが策定した業界標準であり、法律ではなく加盟店契約・アクワイアラとの契約に基づく契約上の義務として課される点が特徴である。
  • エ）不正解。PCI DSSはMerchant Level（年間取引件数）に応じて評価方法（QSAによるオンサイト監査かSAQによる自己診断か）が異なるが、取引件数の多寡にかかわらずすべての加盟店に準拠義務がある。
項目内容
策定主体PCI SSC（Visa・Mastercard・JCB・Amex・Discoverが設立）
法的性質法律ではなく加盟店契約上の義務
適用対象カード情報を保存・処理・伝送、または通過させる全事業者

午前II問題

PCI DSSの準拠評価と要件に関する記述として、適切なものはどれか。

ア）QSA（Qualified Security Assessor）はPCI SSCが認定した第三者審査機関であり、年間取引件数が最も多いMerchant Level 1の事業者は原則としてQSAによるオンサイト監査（ROC作成）が求められる。

イ）SAQ（Self-Assessment Questionnaire）はすべてのMerchant Levelの事業者が利用でき、Level 1の事業者もQSA監査の代わりにSAQのみで準拠評価を完了できる。

ウ）ASV（Approved Scanning Vendor）による脆弱性スキャンは、PCI DSSの要件では年1回の実施のみが義務付けられている。

エ）PCI DSS v4.0では、要件6（安全なシステム開発）とパスワードポリシーが完全に廃止され、代わりに多要素認証のみが必須要件となった。

午前II の解答・解説を見る

正解： ア

解説：

  • ア）正解。年間取引件数600万件以上のMerchant Level 1の事業者は、原則としてQSAによる年次オンサイト監査を受け、ROC（Report on Compliance：監査報告書）を作成することが求められる。
  • イ）不正解。SAQは主にMerchant Level 2〜4（取引件数の少ない事業者）向けの自己診断評価であり、Level 1の事業者はQSAによるオンサイト監査（ROC作成）が原則として必要でありSAQのみでは完了しない。
  • ウ）不正解。ASVによる脆弱性スキャンは要件11に基づき、四半期ごと（年4回）の実施が求められる。年1回の実施のみでは要件を満たさない。
  • エ）不正解。PCI DSS v4.0でも要件6（安全なシステムとアプリケーションの開発と保守）は存続しており、パスワードポリシーも廃止されていない。v4.0ではむしろ認証要件が強化され、多要素認証の適用範囲拡大等が図られている。
用語説明
QSAPCI SSC認定の第三者審査機関。Level 1のオンサイト監査を担当
ROCQSAによる監査報告書（Report on Compliance）
SAQ自己評価質問票。主にLevel 2〜4向けの自己診断
ASV承認スキャニングベンダー。四半期ごとの外部脆弱性スキャンを実施

午後問題

J社（従業員120名、ECサイト運営、年間カード取引件数約80万件＝Merchant Level 3）は自社ECサイトでクレジットカード決済を扱っており、決済処理は自社サーバでカード情報を直接受け取り、決済代行会社のAPIへ送信する方式（カード情報が自社サーバを経由する構成）を採用していた。

2026年8月、外部からの不正アクセスによりWebサーバが侵害され、購入時にカード情報を入力するフォームに悪意あるJavaScriptが埋め込まれる「Webスキマー（フォームジャッキング）」攻撃を受けていたことが判明した。攻撃者は約3か月間にわたり、決済フォーム入力時のカード番号・有効期限・セキュリティコードをリアルタイムで外部サーバに送信していた。調査の結果、以下が判明した。

- J社のPCI DSS準拠状況：前年度のSAQ（自己評価）は提出済みだったが、要件6（安全なシステム開発）に関する
  Webアプリケーションの脆弱性診断は実施していなかった
- 侵害の原因：ECサイトのCMSプラグインに既知の脆弱性があり、パッチ未適用のまま放置されていた
- 影響範囲：約4,500件のカード情報（番号・有効期限・セキュリティコード）が漏洩した可能性

設問1

J社のカード決済処理方式（自社サーバでカード情報を直接受け取る構成）がPCI DSS準拠の観点でどのような意味を持つか、また本件で欠けていた対策を、要件6に関連付けて70字以内で述べよ。

設問1の解答・解説を見る

正解例： 自社サーバがカード情報を直接処理するためPCI DSSの適用範囲が広く準拠負荷が高い。要件6が求めるWebアプリケーションの脆弱性診断・パッチ管理が未実施であった。（69字）

解説・採点基準（計15点）：

採点項目キーワード配点
カード情報を自社サーバで直接処理する構成のPCI DSS適用範囲への言及「適用範囲が広い」「自社で直接処理」等6点
要件6（脆弱性診断・パッチ管理）の不備への言及「要件6」「脆弱性診断」「パッチ未適用」等6点
70字以内で簡潔にまとめられている字数制限の遵守3点

決済フォームを外部の決済代行会社の画面に完全にリダイレクトする方式（カード情報が自社サーバを一切経由しない構成）であればPCI DSSの適用範囲を大幅に縮小できたが、J社は自社サーバでカード情報を扱う構成を選択していたため、要件6が求めるWebアプリケーションの脆弱性診断・既知脆弱性へのパッチ適用が特に重要であったが、これが実施されていなかった。

設問2

本件のような被害の再発防止策を、システム面・運用面それぞれの観点から1つずつ具体的に述べよ。また、本件発覚後にJ社がとるべき対応を1つ挙げよ。

設問2の解答・解説を見る

正解例（システム面）： 決済フォームを決済代行会社がホストするページに完全にリダイレクトする方式（またはiframe埋め込み方式）に変更し、カード情報が自社サーバを経由しない構成にすることでPCI DSSの適用範囲とWebスキマーのリスクを縮小する。

正解例（運用面）： CMSプラグインを含むソフトウェアコンポーネントのバージョン管理・既知脆弱性情報の定期的な確認・パッチ適用を運用プロセスとして確立し、要件6で求められる脆弱性診断（アプリケーション脆弱性スキャン・ペネトレーションテスト）を定期的に実施する。

正解例（発覚後の対応）： カードブランド・アクワイアラへの速報連絡、フォレンジック調査会社（PFI：PCI Forensic Investigator）による調査実施、影響を受けたカード会員への通知とカード再発行の依頼。

解説・採点基準（計15点）：

採点項目キーワード配点
システム面：決済フォームの外部化・自社経由の排除への言及「リダイレクト」「iframe」「カード情報非経由」等5点
運用面：パッチ管理・脆弱性診断の定期実施への言及「パッチ管理」「脆弱性診断」「要件6」等5点
発覚後の対応：カードブランド・アクワイアラへの報告またはフォレンジック調査への言及「カードブランド報告」「PFI」「フォレンジック調査」等5点

Webスキマー攻撃は決済フォームを扱う自社サーバ型のECサイトで特に警戒すべき攻撃であり、PCI DSSの適用範囲を縮小する設計（決済代行へのリダイレクト方式採用）自体が有効なリスク低減策となる点が本問の要点である。

重要キーワード

用語説明
PCI DSSクレジットカード業界のセキュリティ標準。PCI SSCが策定し加盟店契約に基づき適用される
QSA / ROCQSAはPCI SSC認定の第三者審査機関、ROCはその監査報告書。Level 1事業者に必要
SAQ / ASVSAQは自己評価質問票（主にLevel 2〜4）、ASVは四半期ごとの外部脆弱性スキャン実施ベンダー
Webスキマー（フォームジャッキング）ECサイトの決済フォームに不正スクリプトを埋め込みカード情報を窃取する攻撃手法
要件6（安全なシステム開発）PCI DSS 12要件のうち、脆弱性診断・パッチ管理・安全な開発を求める要件
PFI（PCI Forensic Investigator）PCI SSC認定のフォレンジック調査会社。カード情報漏洩インシデント発生時の調査を担う

まとめ

  • 午前I視点： PCI DSSは法律ではなく加盟店契約上の義務であり、カード情報を「通過させるだけ」の事業者も適用対象になる点に注意
  • 午前II視点： Merchant Levelに応じた評価方法（Level1はQSAオンサイト監査・ROC作成、Level2〜4は主にSAQ）とASVスキャンの四半期実施義務を正確に押さえる
  • 午後視点： 決済フォームの実装方式（自社サーバ経由かリダイレクト方式か）がPCI DSSの適用範囲とWebスキマーのリスクに直結する点を理解し、要件6の脆弱性診断・パッチ管理の不備を具体的に指摘・改善提案できるようにする