令和 3 年 3 月 11 日

「クレジットカード・セキュリティガイドライン［2.0 版］」を取りまとめました
クレジット取引セキュリティ対策協議会「クレジット取引セキュリティ対策協議会(注 1)（以下「協議会」という）（議長 中央大学法科大学院 笠井教授）」では、本会議を開催し、「クレジットカード・セキュリティガイド（注 2）を取りまとめました。
ライン（以下「本ガイドライン」という）［2.0 版］」
本ガイドラインでは、①クレジットカード番号等の適切管理義務者の拡充と当該事業者が講ずるべき法令上の指針対策、及び②非対面取引における不正利用防止対策の強化、特に本人認証の強化策を新たに盛り込んでおります。
なお、本ガイドラインは、割賦販売法で求められるセキュリティ対策にかかる措置の実務上の指針として位置付けられ、本ガイドラインに掲げる措置又はそれと同等以上の措置を講じている場合には、同法で定める必要かつ適切な措置が講じられていると認められるもの(以下「指針対策」という)です。
協議会では、我が国のキャッシュレス社会のさらなる安全・安心なクレジットカード利用環境の実現が図られるよう、引き続きクレジットカード取引に関係する幅広い事業者と連携しつつ、セキュリティ対策の強化に向けた取組を推進してまいります。
（注1） クレジット取引セキュリティ対策協議会
クレジットカード取引に関係する幅広い事業者及び行政、業界団体等の連携により、我が国のクレジットカード取引において「国際水準のセキュリティ環境」を整備するために、2016 年 2 月に設立された。
(委員・オブザーバー一覧は別添参照)（注 2）クレジットカード・セキュリティガイドライン［2.0 版］
公表版

https://www.j-credit.or.jp/security/pdf/plan̲2021.pdf

概要版

https://www.j-credit.or.jp/security/pdf/overview̲2021.pdf◎お問い合わせは下記までお願いいたします。
クレジット取引セキュリティ対策協議会 事務局
一般社団法人日本クレジット協会 セキュリティ対策推進センター〒103-0016 東京都中央区日本橋小網町 14 番 1 号 住生日本橋小網町ビル
TEL：03-5643-0011
投稿先：東商記者クラブ・日銀記者クラブ

別 紙

令和 3 年 3 月 11 日
クレジット取引セキュリティ対策協議会

クレジットカード・セキュリティガイドライン［2.0 版］の主な改正点
1. クレジットカード番号等の適切管理義務主体者の拡充と指針対策
改正割賦販売法（令和 3 年 4 月 1 日施行）によりクレジットカード番号等の適切管理義務者として追加された事業者を、「決済代行業者等」注 1 及び「コード決済事業者等」注 2 として定義し、当該事業者に求められる指針対応を取りまとめました。
(1)決済代行業者等① PCI DSS に準拠し、これを維持・運用する。
② 非保持化（非保持と同等/相当を含む）の対策を講じている対面取引は、当該対策に加え、リスクに応じた必要なセキュリティ対策を講じるとともに、適切な管理運営を行う。
(2)コード決済事業者等① PCI DSS に準拠し、これを維持・運用する。
② コード決済事業者等から委託を受けてカード情報を他の決済情報により特定できる状態で管理している事業者についても PCI DSS に準拠し、これを維持・運用する。
(注 1)決済代行業者等（割賦販売法 35 条の 16 第 1 項第 4 号又は第 7 号該当事業者）
以下のいずれかの業務を行う決済代行業者（PSP 含む）※1、EC モール、EC システム提供会社※2 等の事業者の総称。
① 特定のアクワイアラーのために加盟店に立替払いをする業務。
② 加盟店のためにクレジットカード情報（以下「カード情報」という。
）をアクワイアラーに提供（当該アクワイアラー以外の者を通じた提供を含む。
）する業務。
※1 ここでいう決済代行業者は、インターネット上の取引において EC 加盟店にクレジットカードスキームを提供し、カード情報を処理する事業者である PSP と、インターネット以外の取引において加盟店にクレジットカードスキームを提供し、カード情報を処理する事業者をいう。
※2 ここでいう EC システム提供会社は、アクワイアラーとの契約有無にかかわらず、決済システムを運営し EC 加盟店にサービスとして提供する事業者をいう。ASP/SaaS として EC 加盟店にサービス提供する形式や、EC 加盟店に購入プラットフォームを提供する形式等がある。
(注 2)コード決済事業者等（同法 35 条の 16 第 1 項第 5 号又は第 6 号該当事業者）
以下のいずかの業務を行う事業者。
① カード会員からカード情報の提供を受けて QR コードや決済用の ID※3 など対面取引・非対面取引の決済に用いることができる情報と結び付け、カード会員に当該情報を提供する業務。
② 上記①の事業者から委託を受けてカード情報を他の決済情報により特定できる状態で管理する業務。
※3 カード会員データ（クレジットカード番号、クレジットカード会員名、サービスコード、有効期限）が事前に登録された際に、カード会員データの代わりにクレジットカード決済が可能となる ID
または番号を指す。

2. 非対面取引における不正利用防止対策の強化
クレジットカードの非対面取引における不正利用防止対策として、イシュアー、アクワイアラー及び PSP が取組む本人認証の強化等について取りまとめました。
(1)カード会社（イシュアー）① EMV 3-D セキュアへの対応
本人認証手段である「3-D セキュア」においては最新のバージョンである EMV 3-D セキ
ュアを早期に導入する。
② クレジットカードと連携するコード決済事業者等に対する多面的・重層的な対策の実施
クレジットカードを、コード決済事業者等が提供する他の決済サービスと連携（紐づけ）する取引の時点で、オーソリゼーションによるモニタリング、セキュリティコードの照合、
3-D セキュアにおけるパスワード照合及びリスクベース認証等の取引の時点の対策を複数組み合わせることにより、セキュリティ対策を多面的・重層的に講じる必要がある。
(2)アクワイアラー及び PSP① EMV 3-D セキュアへの対応
EMV 3-D セキュアの導入態勢を早急に整備し、加盟店に対して導入を求める必要がある。
② クレジットカードと連携する決済サービスを提供する決済事業者等との契約時におけるセキュリティ対策の確認
コード決済事業者等のクレジットカードと連携することにより他の決済手段を提供する事業者と包括加盟店契約等を締結する場合には、当該事業者が、一般社団法人キャッシュレス推進協議会がとりまとめた「コード決済における不正流出したクレジットカード番号等の不正利用防止対策に関するガイドライン」や一般社団法人日本資金決済業協会がとりまとめた「銀行口座との連携における不正防止に関するガイドライン」など関係するガイドラインに準拠する等、十分な安全対策が講じられていることを確認する必要がある。

別 添

クレジット取引セキュリティ対策協議会
本会議委員・オブザーバー 一覧【委 員】＜クレジットカード事業者＞ 11 社
イオンクレジットサービス(株)、SMBC ファイナンスサービス(株) 、(株)オリエントコーポレーション、(株)クレディセゾン、(株)ジェーシービー、(株)ジャックス、トヨタファイナンス(株)、三井住友カード(株)、三菱 UFJ ニコス(株)、ユーシーカード(株)、楽天カード(株)＜決済代行業者＞ 1 団体
EC 決済協議会＜加盟店＞ 8 社(株)ジャパネットホールディングス、(株)JTB、J.フロントリテイリング(株)、(株)三越伊勢丹ホールディングス、ヤフー(株)、ユニー(株)、(株)ヨドバシカメラ、楽天(株)＜情報処理センター＞ 1 社(株)NTT データ＜機器メーカー＞ 2 社
NEC プラットフォームズ(株)、オムロンソーシアルソリューションズ(株)＜セキュリティ事業者＞ 2 社
トレンドマイクロ(株)、P.C.F.FRONTEO(株)＜消費者団体＞ 1 団体
(一社)全国消費者団体連絡会＜学識経験者＞ 2 名
笠井修・中央大学法科大学院教授、田中良明・早稲田大学教授【オブザーバー】＜国際ブランド＞ 5 社
アメリカン・エキスプレス・インターナショナル,Inc.
ビザ・ワールドワイド・ジャパン(株)マスターカード・ジャパン(株)三井住友トラストクラブ(株)〔ダイナースクラブ〕
UnionPay International Co.,Ltd〔銀聯〕＜団体事務局＞ 3 団体
日本百貨店協会、日本チェーンストア協会、(公社)日本通信販売協会＜官庁＞
経済産業省