「PCI DSS の認証取得って、本当に必要？」
「v4.0 で何が変わった？v3.2.1 からの移行はもう完了している？」
「認証取得の費用と期間、自社で対応するには何から始める？」
PCI DSS (Payment Card Industry Data Security Standard) は、クレジットカード情報を取り扱う事業者が満たすべき国際的なセキュリティ基準です。Visa・Mastercard・JCB・American Express・Discover の 5 大ブランドが共同で策定しており、2024 年 4 月に最新版の v4.0 が完全発効しました。本記事では、PCI DSS の 12 要件、v4.0 の変更点、EC 事業者の準拠方法、取得費用の目安まで 2026 年最新情報で解説します。
決済の導入や見直しでお悩みではありませんか？審査に強いJPCCが、あなたの事業に合った決済導入を無料でご相談に乗ります。
PCI DSS とは？基本概要
PCI DSS は、クレジットカード情報を「処理」「保存」「伝送」する全ての事業者が対象です。EC 事業者・PSP・カード会社・処理代行業者など決済プロセスに関わるあらゆるプレイヤーが対象範囲に含まれます。
適用される事業者の範囲
カード番号 (PAN) を扱う全ての事業者が対象ですが、実務上は 年間カード取引量に応じて 4 つのレベルに分類されます。
- レベル 1: 年間 600 万件超 (大手 EC・大型加盟店)
- レベル 2: 100〜600 万件 (中堅 EC)
- レベル 3: 2〜100 万件 (中小 EC)
- レベル 4: 2 万件未満 (個人事業主・小規模 EC)
レベルが高いほど厳格な認証 (外部監査・第三者評価) が求められます。
PCI DSS の 12 要件
PCI DSS は以下の 6 つの目標と 12 要件で構成されます。
- 1. 安全なネットワーク構築: ファイアウォール、デフォルトパスワード変更
- 2. カード情報保護: 保存データ保護、伝送時暗号化
- 3. 脆弱性管理: マルウェア対策、安全なシステム開発
- 4. 強力なアクセス制御: 必要最小限のアクセス権、ユーザー識別、物理アクセス制限
- 5. 監視とテスト: アクセスログ、定期的な脆弱性テスト
- 6. ポリシー維持: 情報セキュリティポリシーの策定と運用
12 要件の詳細は約 400 項目に及び、全てを自社で運用するには相応のリソースが必要です。
v4.0 の主要変更点 (v3.2.1 からの移行)
v4.0 は 2022 年 3 月に公開され、2024 年 4 月に v3.2.1 からの完全移行が完了しました。主な変更点は以下です。
1. 認証の強化 (多要素認証)
カード会員データ環境 (CDE) へのすべてのアクセスに対して多要素認証 (MFA) が必須化されました。従来は管理者のみだったものが全アカウントに拡大。
2. 暗号化要件の強化
従来許容されていた SSL/早期 TLS の廃止、暗号化アルゴリズムの最低水準引き上げ。
3. 脆弱性対策の継続性
四半期ごとの脆弱性スキャン、年次の侵入テストが厳格化。
4. カスタマイズドアプローチの導入
従来の「定義された要件」に加えて、事業者の独自の対策で同等の効果を示せれば認められる柔軟性が追加。
5. クライアント側スクリプトの管理
EC サイトの決済画面で読み込む JavaScript のインベントリ管理と整合性チェックが必須化 (Magecart 攻撃対策)。
EC 事業者の準拠オプション (2 つの選択肢)
EC 事業者は以下の 2 つから選択する必要があります。
オプション 1: カード情報の非保持化 (推奨)
トークン決済 や PSP のリダイレクト型決済を利用し、自社でカード情報を扱わない仕組みにする方法。PCI DSS の準拠対応範囲をほぼゼロに縮小できます。
- 初期コスト: ほぼゼロ (PSP 導入費用程度)
- 運用コスト: PSP の決済手数料に内包
- 対応期間: 1〜2 週間で実装可能
オプション 2: PCI DSS 認証取得
自社で 12 要件・約 400 項目に対応し、認定セキュリティ評価機関 (QSA) による監査を受ける方法。
- 初期コスト: 500〜2,000 万円 (規模により変動)
- 年間維持コスト: 100〜500 万円
- 対応期間: 6 ヶ月〜2 年
ROI が成立するのは年商数十億円超の大規模 EC に限られます。中小事業者は非保持化が現実解です。
月商規模別の準拠戦略
月商 100 万円未満
非保持化一択。PSP 経由のトークン決済で対応。コスト負担なく要件達成可能。
月商 100〜5,000 万円
非保持化が現実解。PCI DSS 認証取得を検討する段階ではない。
月商 5,000 万円〜10 億円
非保持化が基本路線。一部の付加機能 (独自カスタマイズ決済画面等) で部分的に認証取得を検討する場合あり。
月商 10 億円超
事業特性に応じて PCI DSS 認証取得も視野に。複数 PSP の利用や独自決済システムを構築する場合は必須化。
認証取得を選択する場合の実務フロー
月商規模・事業特性から PCI DSS 認証取得を選択する場合、以下のフローで進めます。
1. QSA (認定セキュリティ評価機関) の選定
QSA は PCI DSS 認証監査を実施する有資格機関で、国内では約 10 社が登録されています。費用は QSA により幅があるため、2〜3 社から見積を取得し、業界経験・サポート体制で選定します。
2. ギャップ分析 (現状診断)
12 要件・約 400 項目に対する自社の対応状況を診断。所要 1〜2 ヶ月、費用 100〜300 万円程度。ギャップが大きい場合は対応計画の優先順位付けに直結します。
3. 是正対応 (リメディエーション)
ネットワーク分離 (CDE: Card Data Environment の構築)、ログ管理基盤の整備、ポリシー策定、社員教育などを実施。所要 6〜18 ヶ月、最も時間とコストがかかるフェーズです。
4. 本番監査 (オンサイトアセスメント)
QSA が現地監査を実施し、AoC (Attestation of Compliance) を発行。所要 1〜2 ヶ月、費用 300〜800 万円程度。
5. 年次更新
認証は 1 年間有効。毎年同様の監査を受ける必要があり、年間維持コスト 100〜500 万円が継続発生します。
SAQ (自己問診票) と認証取得の使い分け
PCI DSS 認証は監査方法によって複数のタイプがあります。事業形態と取扱規模で適用方式が決まります。
SAQ A (最も簡易)
カード情報を一切扱わない事業者向け。決済画面を完全に PSP に委ねる構成 (リダイレクト型) でのみ適用可能。22 問程度の自己問診で完結します。
SAQ A-EP
決済画面の表示は自社サイトでも、カード情報の送信は PSP に直接行く iframe や JavaScript SDK 方式向け。約 150 問の自己問診が必要。
SAQ D-MER (加盟店向け、最も詳細)
自社でカード情報を処理・保存する事業者向け。約 300 問の自己問診と全要件の対応が必要。レベル 2〜4 加盟店で適用。
ROC (Report on Compliance)
レベル 1 加盟店 (年間 600 万件超) は QSA による外部監査が必須。SAQ ではなく ROC レポート形式で報告します。
中小 EC 事業者は SAQ A または SAQ A-EP で対応可能なケースが大半。これが 非保持化推奨の実務的理由です。
PCI DSS と関連法規との関係
PCI DSS は 改正割賦販売法 および クレジットカード・セキュリティガイドライン の中で、EC 事業者の遵守すべき選択肢の一つとして位置付けられています。法的には「非保持化 OR PCI DSS 準拠」の選択制ですが、実務上は非保持化が大勢です。
よくある質問
Q1. PCI DSS を取得していない PSP は危険ですか？
はい、利用すべきではありません。国内主要 PSP は全て PCI DSS 認証を取得しています。契約前に必ず認証ステータスを確認してください。
Q2. v4.0 の対応はもう完了している必要がありますか？
2024 年 4 月で v3.2.1 は廃止されているため、すべての PCI DSS 認証取得済事業者は v4.0 への移行が完了している必要があります。未対応の場合は認証無効リスク。
Q3. 非保持化を選択しても完全に責任がなくなりますか？
カード情報そのものの責任はなくなりますが、EC サイト自体のセキュリティ (脆弱性対策・不正ログイン対策) は事業者の責任です。セキュリティガイドライン 6.0 版 全体への準拠が必要です。
