PCI DSS最新動向――2020年東京オリンピック／パラリンピックに向けて再注目されるセキュリティ基準：PCI DSSの概要とVer3.1改訂箇所の紹介（1/3 ページ）

情報セキュリティ事故の多発や、2020年の東京オリンピック／パラリンピックを目前にし、クレジットカード業界のセキュリティ基準である「PCI DSS」が、あらためて注目を浴びています。本稿では、PCI DSSの概要と、最新版であるVer3.1の改訂内容について解説します。

[打川和男，＠IT]

今、注目を浴びるPCI DSS

　昨今の情報セキュリティ事故の多発や、2020年の東京オリンピック／パラリンピックを目前にし、クレジットカード業界のセキュリティ基準である「PCI DSS」が、あらためて注目を浴びています。

　PCI DSSは、「Payment Card Industry Data Security Standard」の略で、2004年12月に、クレジットカード情報およびその取引情報を保護するために、「American Express」「Discover」「JCB」「MasterCard」「VISA」の国際ペイメントブランド5社が策定した、クレジット業界におけるグローバルセキュリティ基準です。

図表1　PCI DSSとは？

　PCI DSSは、カード会員情報を格納、処理、または伝送する全ての組織、加盟店、サービスプロバイダーに対して適用されます。さらにそのうち、カード取扱件数が多い事業者は、「PCI SSC（Security Standards Council）」が認定する「QSA（Qualified Security Assessor：認定審査機関）」による準拠性確認が必要となります。

　PCI DSSの訪問審査が可能なQSAは増えてきています。「ISMS（ISO/IEC27001）」の審査機関でもある、BSIグループジャパンやエイエスアール、国際マネジメントシステム認証機構などを含め、インフォセック、NTTデータ先端技術、ブロードバンドセキュリティなどが日本国内においてQSAとして活動しています。

図表2　PCI DSSの歴史とスキーム

　PCI DSSが注目を浴びている理由の一つに、2020年の東京オリンピック／パラリンピックがあります。経済産業省では2014年に、「世界で最もクレジットカードが使いやすい安心・安全な国　日本」の実現を図り、「クレジットカード決済の健全な発展に向けた研究会」を設置しました。同研究会は、クレジットカード決済の健全な発展を目指して、課題の整理や具体的な対応策を検討することを活動内容としています。2014年7月には、その中間報告書が公表されました。主な検討テーマは、以下の通りです（参考リンク）。

• 2020年に向けたクレジットカードの利用環境の整備
  • オリンピック／パラリンピック東京大会などに向け、外国人旅行者等向け環境整備
• 行政・公共分野での利用拡大
  • 地方税などのクレジットカードでの納税の拡大
• 安心・安全への取り組み
  • IC化や情報漏えい対策、なりすまし防止、加盟店審査の強化など安心・安全への取り組み
• その他（データの活用、システムの統合）
  • コスト削減や新たな施策に向けた取り組み

図表3　経済産業省の活動

　報告書の中には、情報漏えい対策の一つとして、「やむを得ずカード情報を保有する加盟店および決済代行会社などプロバイダーに対しては、PCI DSSへの準拠を求める」との記載があります。

　さらに、経済産業省は2015年3月、「クレジット取引セキュリティ対策協議会」という取り組みも発足させました。その設立の目的は、「2020年オリンピック／パラリンピック東京大会の開催等を踏まえ、世界最高水準のクレジット取引のセキュリティ環境を整備するため、カード会社のみならずクレジット取引に関係する事業者等からなる推進体制を構築して、セキュリティ対策の強化に向けた取組の加速を図ること」とされています。

図表4　クレジット取引セキュリティ対策協議会　検討体制