PCI DSSの基本説明とJCDSC によるサポート体制(Japan Card Data Security Consortium)

2024年1月20日版
日本カード情報セキュリティ協議会（JCDSC）
Copyright 2024 © JCDSC

日本カード情報セキュリティ協議会（JCDSC）について
安全なカード社会の実現を図ることをテーマに、PCI DSS の普及・推進活動や、カード情報に関係する企業・団体の情報交流を行うため、2009年4月に設立されました。
会員企業はセキュリティ専門会社、国内QSA・ASV会社、カード会社、決済代行企業、加盟店企業、Tベンダー会社など約300社が参加 (2024年1月現在)

JCDSC主催のPCI DSSセキュリティ・フォーラム（2023.6.21 東京国際フォーラム）PCI DSSの国際評議会(PCI SSC)米国本部から、Executive DirectorのLance Johnson氏が来日。
JCDSC運営委員らと行われた会議（2023.7.11、中央区の日本橋人形町)
Copyright 2024 © JCDSC

Page-2

おもな内容1. クレジットカード情報保護の世界基準=PCI DSS
2. 適用レベルの分類と準拠確認の手続き
3. 準拠に向けた取組みと参考資料
4. クレジットカード・セキュリティガイドラインにおけるJCDSCの役割【本資料について】
・「クレジット取引セキュリティ対策協議会 実行計画2016」に基づき、(一社)日本クレジット協会が同協会会員を対象に、2016年6月～7月に札幌から沖縄まで全国9都市で説明会を行い、PCI DSSについてはJCDSC運営委員が説明を担当いたしました。
・この資料は会場で配付したものを基本に、その後改訂を続けた「実行計画」や2020年からの「クレジットカード・セキュリティガイドライン」の内
容、PCI DSSに関する2024年1月現在の情報を加えて更新しています。

Copyright 2024 © JCDSC

Page-3

1.クレジットカード情報保護の世界基準=PCI DSS

Copyright 2024 © JCDSC

Page-4

PCI DSSとは
1.

カード会員情報や取引情報の保護を目的に、2004年に国際クレジットカードブランドが共同で策定した、ネットワークなどの処理システムや情報管理に関するセキュリティ要件（基準）。ISMSより範囲は狭いが、具体的で深さが要求される。

2.

「クレジット取引セキュリティ対策協議会」の実行計画は、カード情報を保持する事業者については、PCI DSS準拠を求めることとした。

PCIDSS = Payment Card Industry Data Security Standard
AmericanExpress
DSOP

DiscoverNetwork
DISC

Master
Card
SDP

VISA
AIS

JCB
JDSP

国際カードブランド各社と実施プログラム(下段の文字)
Copyright 2024 © JCDSC

Page-5

PCI DSS要求基準の構成 = 6つの項目・12の要件
I.

安全なネットワークのシステムの構築と維持

PCIDSS Ver4.0

要件1: ネットワークセキュリティコントロールの導入と維持要件2: すべてのシステムコンポーネントにセキュアな設定を適用する

II.

アカウントデータの保護
要件3: 保存されたアカウントデータの保護
要件4: オープンな公共ネットワークでの送信時に、強力な暗号化技術でカード会員データを保護する

III.

脆弱性管理プログラムの維持
要件5: 悪意のあるソフトウェアからすべてのシステムおよびネットワークを保護する
要件6: 安全なシステムおよびソフトウェアの開発と維持IV.

強力なアクセス制御の実施
要件7: システムコンポーネントおよびカード会員データへのアクセスを、業務上必要な適用範囲(Need to Know)によって制限する
要件8: ユーザーの識別とシステムコンポーネントへのアクセスの認証
要件9: カード会員データへの物理アクセスを制限する

V.

ネットワークの定期的な監視とテスト
要件10: システムコンポーネントおよびカード会員データへのすべてのアクセスをログに記録し、監視すること
要件11: システムおよびネットワークのセキュリティを定期的にテストする

VI.

情報セキュリティ・ポリシーの維持
要件12: 組織の方針とプログラムによって情報セキュリティをサポートする

対象となる範囲において上記の要件をすべて遵守し、これを自己問診(SAQ)、もしくは第三者機関(QSA)の確認によって証明する ＝ PCI DSS準拠
Copyright 2024 © JCDSC

Page-6

参考：ISMS(ISO27001)と PCI DSSの比較
例：パスワードに関する要求事項の比較【ISMS】 ISO/IEC 27001:2014 付属書A
A.9.4.3 パスワード管理システム• P/W管理システムは、対話式でなければならず、また良質なP/Wを確実にするものでなければならない。

「良質なパスワード」のレベルは、守るべき情報資産の機密度合や、リスクの大きさを考慮して、企業が自主的に決定する。

【PCI DSS】 v4.0の要求事項• パスワードは数字と英字の両方を含めて12文字以上にする。(8.3.6)※システムの都合で12文字にできない場合は8文字で可• 直近４回使用されたパスワードは、新しいパスワードとして使用できないようにする。(8.3.7)• 無効な認証試行が行われた場合、10回以下の試行回数でユーザーＩＤをロックアウトする。
(8.3.4)• ロックアウト時間は最低30分間、または本人確認ができるまでとする。(8.1.7)• ユーザーが、デフォルト（配布時の）パスワードを最初に使用した後、強制的に変更する(8.3.5)

クレジットカード情報の安全に特化しているので、・内容を具体的に指示・対応レベルが示されている
Copyright 2024 © JCDSC

Page-7

PCI DSS基準書・日本語版の入手• PCI SSCの日本語サイトからv4.0日本語版が取り出せます。
https://www.pcisecuritystandards.org/lang/ja-ja/「PCI DSS」の基準書や、下段にはSAQ(自己問診)の各タイプ、説明書とガイドラインの日本語版があり、ダウンロードできます。
Copyright 2024 © JCDSC

Page-8

2.適用レベルの分類と準拠確認の手続き

Copyright 2024 © JCDSC

Page-9

PCI DSSの適用レベル
加盟店
対面クレジット
カード会社

PSP

非対面

(非対面/ネット)レベルA①～④を基に、4ブランドにより選別する①VISA 600万件以上

QSA による訪問審査（Qualified SecurityAssessors:認定審査会社）

自己問診（SAQ）(Self AssessmentQuestionnaire)②Master 600万件以上

レベルA
すべて

③JCB 100万件以上④Amex 250万件以上

QSA審査または※SAQ

レベルB

レベルB

4ブランドいず
れかが100万件以上(レベルA以外)

レベルC
4ブランドいずれも100万件未満※SAQの場合
はROCの作成が必要

国際ブランドから指定のアクワイアラー
またはプロセッシング全社(Approved Scanning
Vendors : 認定スキャニングベンダー)

・内部・外部ネットワークのぜい弱性スキャン（3か月ごと）※外部N/WスキャンはASVが実施するレベルB

サービスプロバイダーのレベル・件数は別途定められています。

イシュアー
またはレベルA以外のアクワイアラー

対応期限 (年度)2019年度ASVスキャン

内部・外部ネットワーク、アプリケーションへのペネトレーションテスト（年1回）はシステム環境により別途必要

2017年度Copyright 2024 © JCDSC

Page-10QSAの訪問審査によるPCI DSS準拠QSA（認定審査会社）の審査員が、実際にクレジットカード情報が取り扱われているシステムや業務を審査して、報告を行う。
✓ 訪問審査は年1回行われる。
✓ 審査後、結果を記したレポートが引き渡される。
➢ 「ROC（Report on Compliance：報告書）」➢ 「AOC（Attestation of Compliance：準拠証明書）」✓ 契約先のアクワイアラーまたはカードブランドにより、AOCの提出を求められた場合、すみやかに提出する必要がある。

Copyright 2024 © JCDSC

Page-11QSA(認定審査期間)による訪問審査
QSAは、PCI DSSで求められる要件の準拠状況を“テスト手順”に定められた方法（規定や証跡の確認、インタビュー、システム設定の確認）で審査。

要件によっては、１つの要件に対して、複数のテスト手順（＝審査項目）が存在
V4.0では、セキュリティ目的を達成するための異なる手法を採用している事業体のために、「カスタマイズアプローチ」という柔軟性を高める仕組みを導入した。

Copyright 2024 © JCDSC

Page-12日本国内QSAの一覧と連絡先

日本国内のおもなQSAは、JCDSCサイトに一覧表を掲載し、各QSAの連絡先や担当者（部署）、特色なども申告原稿ベースで載せています。
※現在時点で免許が有効なQSAであるかは、PCI SSCのサイトで、英文名称で検索して確認してください。
https://listings.pcisecuritystandards.org/assessors_and_solutions/
qualified_security_assessors
Copyright 2024 © JCDSC

Page-13

SAQによるPCI DSS準拠
SAQ （自己問診 = Self Assessment Questionnaire） は、自己調査によって準拠を証明する方法
1. 内部・外部N/Wスキャン検査を四半期ごとに実施し、対応の必要がある脆弱性がない・または解決済である結果レポート1年分をそろえます。
※システム環境により、内部・外部ペネトレーションテストや、アプリケーションぜい弱性検査も求められます。

2. 所定のSAQに指定されている、PCI DSS要件のすべての項目に対応済であることを確認して記入し、内容責任について事業者の役員が署名します。
※業務内容により適合するSAQタイプは異なります。次のページの資料を参照ください。

3. 契約先のアクワイアラーまたはカードブランドによる、所定の手続きに添って提出します。
※決済件数の取扱いレベルにより、必ず提出する場合と、要求されたら提出する場合があります。ブランドやカード会社によりガイドラインが異なりますので、契約先へお問合せください。
※SAQには、支援したQSAや ISA （Internal Security Assessor＝PCI DSSの社内審査資格者) がある場合、署名する欄があります。
QSAの支援・署名は必須ではありません。受理はアクワイアラー判断です。
Copyright 2024 © JCDSC

Page-14

どのタイプのSAQを使えばよいか(1)
加盟店の業態により、使用するSAQにはいろいろなタイプがあります。
P8に案内したPCI SSCのサイトから「SAQの説明書とガイドライン」の日本語版をダウンロードして、どのタイプのSAQを使用すべきか、検討しましょう。サービスプロバイダーは1種類のみです。

タイプ A すべてのアカウントデータ機能をPCI DSSに準拠した検証済みサードパーティに完全に委託する、カード非提示型加盟店（Eコマースまたは通信販売／電話注文）。加盟店のシステムまたは施設でアカウントデータを電子的に保存、処理、または伝送しない。
対面チャネルには適用されない。サービスプロバイダーには適用されない。

タイプ A-EP 決済処理をPCI DSSに準拠した検証済みサードパーティに部分的に委託し、それ自体はアカウントデータを受領しな
いが、決済取引のセキュリティおよび／または消費者アカウントデータを受領するページの整合性に影響を与えるウェブサイトを持つEコマース加盟店。加盟店のシステムまたは施設でアカウントデータを電子的に保存、処理、または伝送しない。Eコマースチャネルにのみ適用される。サービスプロバイダーには適用されない。

タイプ B 以下のみを使用する加盟店： 電子アカウントデータ保存しないインプリンタ、および／または電子アカウントデータを保存しないスタンドアロン型ダイヤルアップ端末。 Eコマースチャネルには適用されない。
サービスプロバイダーには適用されない。

タイプ B-IP ペイメントプロセッサーにIP接続された、スタンドアロン型のPCIリストに掲載された認可済みPTS（PINトランザクションセキュリティ）POI（加盟店端末装置）デバイスのみを使用する加盟店。電子アカウントデータは保存しない。
Eコマースチャネルには適用されない。サービスプロバイダーには適用されない。

タイプ C インターネット接続された決済アプリケーションシステムを持つ加盟店。電子アカウントデータは保存しない。
Eコマースチャネルには適用されない。サービスプロバイダーには適用されない。
Copyright 2024 © JCDSC

Page-15

どのタイプのSAQを使えばよいか(2)タイプ C-VT 孤立したコンピューティングデバイスと安全に接続されたウェブブラウザを使用して、PCI DSSに準拠した検証済み
サードパーティの仮想決済端末ソリューションに、キーボードで一度に1件の取引について決済アカウントデータを手入力する加盟店。電子アカウントデータは保存しない。 Eコマースチャネルには適用されない。サービスプロバイダーには適用されない。。

タイプ P2PE 検証済みでPCIリストに掲載されたポイントツーポイント暗号化（P2PE）ソリューションのみを利用する加盟店。平分ア
カウントデータにアクセスできず、電子アカウントデータを保存しない。 Eコマースチャネルには適用されない。サービスプロバイダーには適用されない。

タイプ SPoC PCI SCC検証済みSPoCソリューションリストに掲載された、セキュアカードリーダーを備える商用オフザシェルフのモバ
イルデバイス（例：スマートフォン、タブレット等）を使用する加盟店。平分アカウントデータにアクセスできず、電子アカウントデータを保存しない。無人カード提示型、通信販売／電話注文（MOTO）、Eコマースチャネルには適用されない。
サービスプロバイダーには適用されない。

タイプ D(加盟店用) D：上記のタイプの説明に含まれていないすべての加盟店。 サービスプロバイダーには適用されない。

タイプ D(サービスプロバイダー用) ペイメントブランドによってSAQ実施対象と定義されるすべてのサービスプロバイダー。
※プランドごとのルールにより、SAQでの準拠を認めず、QSA審査が求められる場合があります。

Copyright 2024 © JCDSC

Page-16

SAQへの記入
業態などの設問に回答を記入し、ｾCI DSSの要件に対応しているかどうかを回答していきます。
そして回答内容に間違いがないことを、経営役員が署名して完成させます。
下は「加盟店用D」の一例です。

Copyright 2024 © JCDSC

Page-17

ASVスキャン および ペネトレーションテスト
№ PCI要件

頻度

検査名称

内容

①

11.2

3か月ごと

ワイヤレスアクセスポイントの特定・監視

②

11.3

3か月ごと

外部脆弱性スキャン

・ASVが実施する

③

11.3

3か月ごと

内部脆弱性スキャン

・有資格の内部スタッフが実施する・不正なワイヤレスアクセスに対処する・カード会員データ環境(CDE)の境界全体および重要なシステムを対象とする

④11.4

年1回

外部・内部へのペネトレーション(侵入)テスト

・要件 6.2.4に記載された脆弱性を最低限特定するためのアプリケーション層ペネトレー
ションテスト・侵入テストの結果および是正活動の結果を少なくとも12か月間保存

内部・外部のN/Wスキャンは全事業者に必須の検査で、そのうち外部N/WスキャンはPCI SSC認定の検査機関（ASV）が実施します。
国内ASVはQSAと同じく、JCDSCサイトに一覧表が掲載されています。
Copyright 2024 © JCDSC

Page-18

ASVスキャンとはPCI SSCによって認定されたベンダー（ASV: Approved Scanning Vendor)によって実行される外部からの脆弱性スキャン
スキャン実施イメージ⚫PCI DSS 要件11.3で要求される項目⚫「ASV Program Guide」で定められているセキュリティレベルを満たしているか確認する→ アカウント推測攻撃やサービス不能攻撃などは実施対象外ではあるが、業界標準のセキュリティレベルを確認可能

internetASVスキャンの実施

外部脆弱性スキャンシステム

外部ネットワークの対象⚫PCI DSS対象システムが所持している全てのグローバルIPアドレスが対象→ カード情報を取り扱っていないシステムでも、扱っているシステムと同一のセグメントに設置されている場合はスキャン対象となる⚫4半期に一度、ASVによって実施される必要がある⚫ASVによって合格（PASS）レポートが発行されルータ

外部に公開されている全てのサーバに対してスキャンを実施します。

ファイアウォール
メール
サーバ

DNS
サーバ

Web
サーバ

社内LANルータるまで繰り返す必要がある

社内メール社内DNS
社内Web
サーバ サーバ
サーバ
L3スイッチカード会員データ環境

出典：NRIセキュアテクノロジー株式会社資料
Copyright 2024 © JCDSC

Page-19

3.準拠に向けた取組みと参考資料

Copyright 2024 © JCDSC

Page-20

準拠までのスケジュール準拠が確認されるまでの一般的な流れ① QSAに審査を依頼する前に「ギャップ分析」を行った上で、プロジェクト全体のスケジュールを立てる② PCI DSSすべての要件が満たされるよう対策を行う③ 審査の前には、「ASVスキャン」や「ペネトレーションテスト」によって脆弱性の対処が完了していることを確認し、規程類や証跡なども準備しておく
コンサルタント (必要な場合)または QSAASV(月) 0ギ
ャップ分析ス
コープ
調査
1

改実善
施検
討

2

調脆査弱
性

34

調脆査弱
性改
善

5

訪問
審
査

678

AOC

社
内体
制の構
築QSA

改
善
対応

9

再審
査

10 11

受
領維
持活動12ｹ月※SAQを用いる場合は、QSAに依頼する必要はありません。

規模やセキュリティ達成状況によって、準拠までの期間や費用に差
Copyright 2024 © JCDSC

Page-21

審査の範囲（スコープ）InternetWEB

本社

PCI DSSでは、スコープ（審査の範囲）を、事業者側が自由に決めることはできません。
カード会員データを取り扱っている（伝送・処理・保管されている）環境と、それに分離されずに接続されている環境はすべて対象です。
カード会員データ（Card holder Data）

プライマリアカウント番号(PAN)等

工場

支店

店舗

センシティブ認証データ（Sensitive Authentication Data)

磁気ストライプデータ等

Copyright 2024 © JCDSC

Page-22

スコープの縮小－スコーピングとセグメンテーション• スコープ定義の手順（１）準拠の必要性確認
伝送・処理・保管、いずれかを行っていればPCI DSS準拠の必要があります（PCI DSSの対象です）

当該システムでは、PANが伝送・処理・保管されていますか？

PANを取り扱わない（非保持化）（２）-１．直接対象となる範囲の確認

PANを全て外部委託先に預ける

PANが伝送・処理・保管されているシステ
ムコンポーネントはどれですか？

あてはまるシステムコンポーネントはすべて対象です
対象システムを外部サービスに切り替える（２）-２．間接的に対象となる範囲の確認（PANを伝送・処理・保管していなくても）そこに直接接続（フラットネットワーク）しているシステムコンポーネントはどれですか？

そのシステムコンポーネントも、すべて対象です
接続するシステムを限定、分離（セグメンテーション）
Copyright 2024 © JCDSC

Page-23

スコープの縮小－非保持化：トランケーション• カード番号として復元できないように切り落とす

カード番号の上6ケタと下4ケタ
は、表示や保持をしても、PCIDSSの対象になりません。

Copyright 2024 © JCDSC

Page-24

スコープの縮小－非保持化：トークナイゼーション
トークナイゼーションとは、データの一部、または全部を別の一意の乱数に取り替えて単独では元に戻せないトークンとすること。
➢ トークンはカード会員データとしては扱わない※PCI DSSでは暗号化された場合でもカード会員データとして扱う➢ 手続きを踏むことで元のデータの参照が可能➢ トークナイゼーションの仕組みそのものは検証される必要がある。
• ※システム内部でトークン化を行った場合は、• 非保持化とは認められない。

PCI SSC「PCI DSS Tokenization Guidelines」より

http://www.jcdsc.org/topics/vol02.php

Copyright 2024 © JCDSC

Page-25

外部サービスの利用－ P2PE

• Point-to-Point Encryption (P2PE)➢ P2PE準拠ソリューションを使用すれば、PCI DSSスコープを縮小できる

加盟店環境のPCI DSSスコープを大幅縮小

出典：PCI DSS徹底解説 / NTTデータ先端技術株式会社
http://www.intellilink.co.jp/article/pcidss/15.html
Copyright 2024 © JCDSC

Page-26

各種検査会社・コンサル会社の一覧「参考資料集」

・ペネトレーションテストや内部･外部ネットワーク検査など、各種ぜい弱性検査を実施できる会社、コンサル会社、およびカード情報非保持検査実施会社について、特色や連絡先情報を含めて一覧表を掲載しています。
・PCI DSS準拠を支援するセキュリティ・ソリューションを、要求事項別に一覧表にして掲載しています。
・日本語版PCI DSS基準書と各種タイプ別SAQの入手方法も紹介。
Copyright 2024 © JCDSC

Page-27

4.クレジットカード・セキュリティガイドライン
における、JCDSCの役割
Copyright 2024 © JCDSC

Page-28

JCDSCの役割
割賦販売法の実施基準に位置づけられている、クレジットカード・セキュリティガイドライン【4.0版】 (2023年3月改訂・公表)
P26
PCI DSS認定セキュリティ評価機関（QSA）の団体である、日本カード情報セキュリティ協議会（以下「JCDSC」という）が、PCI DSS準拠の取組をサポートするため、各種資料の提供や相談窓口を設置しており、活用されたい。

・2016年の「実行計画」の段階から、現在の「クレジットカード・セキュリティガイドライン」に至るまで、PCI DSSに関する専門団体としてJCDSCが紹介されてきました。
PCI DSS準拠を支援するセミナーの開催や、多くの問合せに対応しています。

Copyright 2024 © JCDSC

Page-29