2005 年以降、アメリカでは 9,000 件以上のデータ侵害により、100 億件以上の消費者記録が漏えいしています。これらは、2005 年にさかのぼって消費者に影響を与えたデータ侵害とセキュリティー侵害について報告している Privacy Rights Clearinghouse からの数値です。

消費者データの安全性と、決済エコシステムへの信頼を向上させるため、データセキュリティに対する最低限の基準が設けられました。Visa、MasterCard、アメリカン・エキスプレス、ディスカバー、および JCB が 2006 年に PCI セキュリティ基準審議会 (PCI SSC) を設立し、クレジットカードのデータを扱う企業のためのセキュリティ基準を運用・管理しています。

PCI DSS (Payment Card Industry Data Security Standard) は、カード保有者のデータや機密認証データを保存、処理、または転送するあらゆる組織のためのグローバル規模のセキュリティー基準です。消費者保護のベースラインレベルを規定し、決済エコシステム全体における不正利用やデータ侵害の削減に寄与しています。これは、カード決済を行うすべての組織に適用され、これらの基準を満たさない場合は多額の罰金や費用を支払うことになります。

PCI DSS 準拠には、主に次の 3 つの要素が含まれます。

1. 顧客が提供するクレジットカード情報。具体的には、機密情報であるカード詳細の収集と安全な転送です。
   
2. データの安全な保存。PCI 基準の 12 のセキュリティー領域に属する、暗号化、継続的な監視、カードデータへのアクセスに関するセキュリティーテストなどが含まれます。
   
3. 必要なセキュリティ管理の実施の有無を毎年検証すること。これには、フォーム、アンケート、外部の脆弱性スキャンサービス、第三者による監査などが含まれます (詳しくは、4段階のレベルを記した下記の表をご覧ください)。
   

クレジットカード決済を受け付けるすべてのビジネスは、取引量、地域、導入方法に関係なく、PCI DSS に準拠する必要があります。これにより、次のことが可能になります。

• カードデータの安全性を確保することで顧客の信頼を構築
  
• 不正利用やデータ侵害からビジネスを保護
  
• PCI 準拠の違反による罰金を回避
  

PCI 準拠の達成と維持をサポートする Stripe の機能

ビジネスモデルがカードデータの処理を伴う場合は、PCI DSS が定める 300 以上のセキュリティ管理の各要素を満たす必要があります。

PCI DSS については、PCI セキュリティ基準審議会 (PCI Security Standards Council) が発行している 1,800 ページを超える公式ドキュメントに詳しく記されており、規制への準拠を検証する際に使用するフォームについての説明だけで 300 ページ以上が費やされています。

Stripe は、さまざまなトークン化された導入方法 (Checkout、Elements、モバイル SDK、Terminal SDK など) を提供することで、企業の PCI 準拠への負担を大幅に軽減し、機密性の高いクレジットカードデータを直接処理しなくても済むよう支援します。

• Stripe Checkout と Stripe Elements では、すべてのカードデータの処理にオンライン決済フィールドを使用するため、カード保有者は、Stripe の PCI DSS 認証サーバーから直接提供される決済フィールドに、支払いに関する機密情報をすべて入力します。
  
• Stripe のモバイル SDK と Terminal SDK でも、カード保有者は支払いに関する機密情報を PCI DSS 認証サーバーに直接送信できます。
  

Stripe では、すべてのユーザーが PCI 準拠を実現できるよう、各種サポートを提供しています。

• Stripe PCI ウィザードが導入方法を分析し、準拠の負担を軽減する方法をアドバイス
  
• 取引量の増加に伴い、準拠の検証方法に変更が必要になった場合は、事前に通知
  
• クレジットカードデータを保存したり、決済フローが複雑であったりするために PCI QSA を使用する必要のある大企業やエンタープライズ企業は、世界中に 400 社以上存在する QSA 企業を利用可能。また、Stripe の各種導入方法を深く理解している複数の監査人をご紹介可能
  

PCI DSS 準拠の手順

1. 自社の PCI レベルを把握する

PCI に準拠するための最初のステップは、組織に適用される要件を知ることです。PCI 準拠には 4 つのレベルがあり、通常は 12 カ月間にビジネスが処理するクレジットカードでの取引量に基づきます。

レベルに応じて、認定スキャンベンダー (ASV) による定期的な脆弱性スキャンなどのさまざまな要件があります。また、別の事業体 (ペイメントゲートウェイ、決済サービスプロバイダー、独立した販売組織など) に代わって、カード保有者データ (CHD) や機密認証データ (SAD) の処理、保存、または転送に直接関与するサービスプロバイダーには、追加の要件もあります。

2. 導入タイプとドキュメント要件を把握する

PCI レベルがわかったら、次のステップは、準拠状態を検証するために完了すべき PCI ドキュメントを判別することです。Stripe で使用している導入のタイプや、貴社がサービスプロバイダーかどうかなどによって決まります。

レベル 1 ユーザー

レベル 1 のビジネスは、PCI 準拠の証明に自己問診票 (SAQ) を使用する資格がありません。認定審査機関 (QSA) が署名したコンプライアンスレポート (ROC) を毎年完了して PCI 準拠を検証します。

レベル 2 ～ 4 のユーザー

レベル 2 ～ 4 のユーザーの場合、決済の導入方法に応じて SAQ タイプが異なります。どの SAQ タイプが適切かわからない場合は、Stripe PCI ウィザードがお客様のビジネスに適したドキュメントのタイプを自動的に判別します。

サービスプロバイダー

貴社が別の事業体 (ペイメントゲートウェイ、決済サービスプロバイダー、独立した販売組織など) に代わって、カード保有者データ (CHD) や機密認証データ (SAD) の処理、保存、または転送に直接関与している場合は、サービスプロバイダーとして分類される可能性があります。つまり、検証が必要な追加要件があるということです。

3. 評価を完了し、SAQ ドキュメントを提出する

必要な評価を特定したら、次のステップは評価を実行し、関連する SAQ または ROC ドキュメントに記入し、レビューのために Stripe に送信します。

取引量の多いユーザーは、自社が営業している地域で事業登録している QSA のサービスを利用することも考えられます。QSA は、PCI 要件に照らしてシステムを確認し、不備の修正についてのアドバイスを提供します。また、適切なドキュメントを作成して署名し、Stripe と毎年共有します。

レベル 3 および 4 のユーザーは、自分の事業分野に適した PCI DSS 自己問診票に回答する必要があります。その他の加盟店向けリソースは、PCI セキュリティ基準審議会を通じて入手できます。Stripe はこの点についてもサポートを提供しています。PCI ダッシュボードのカスタマイズされたウィザードで一連の質問に回答すると、必要なドキュメントが生成されます。また、Stripe PCI ダッシュボードを使用して、自社で記入済みの SAQ または ROC ドキュメントをアップロードできます。

4. 監視と保守

PCI 準拠は単発の業務ではありません。これは、データフローや顧客との関係が構築され、続いていく上で、ビジネスの準拠状態を維持するための年次プロセスです。

PCI DSS は、カード保有者のデータの処理と保存に関する重要な基準を定めていますが、それだけではすべての決済環境を十分に保護できるわけではありません。代わりに、トークン化されたデータ (Stripe Checkout、Elements、モバイル SDK など) を使用する、より安全なカード承認方法に移行する方が、はるかに効果的に組織を保護できます。このアプローチを採用すると、俊敏性の高い企業は、潜在的なデータ侵害を軽減し、PCI を検証するために時間とコストのかかる従来のアプローチを使用する必要がなくなります。

企業が成長するにつれて、中核となるビジネスロジックとプロセスも進化するため、準拠要件も進化します。たとえば、オンラインビジネスでは、実店舗の開設、新しい市場への参入、カスタマーサポートセンターの立ち上げなどを決定する場合があります。決済カードデータに関する新しい決定がある場合は、選択した PCI 検証方法に影響を与えるかどうかを事前に確認し、必要に応じて PCI 準拠を再検証することをお勧めします。

複雑な PCI 準拠の詳細については、PCI セキュリティ基準審議会のウェブサイトを参照してください。このガイドと他のいくつかの PCI ドキュメントのみをご覧になっている場合は、以下の資料もお勧めします。

• PCI DSS の優先的アプローチ
  
• SAQ の手順とガイドライン
  
• SAQ 適格基準を使用したオンサイト評価要件の決定に関するよくあるご質問
  
• 決済カードデータを受け付ける消費者向け端末のアプリ開発事業者の義務に関するよくあるご質問
  

PCI 準拠をサポートする Stripe の機能

PCI レベル 1 のサービスプロバイダーである Stripe は、独立した PCI 認定審査機関によって、すべての PCI DSS 要件について毎年認定を受けています。つまり、すべての Stripe プロダクトはデフォルトでセキュリティー保護されているため、Stripe を利用することでビジネスの準拠要件が軽減されます。

Stripe では、すべてのユーザーが PCI 準拠を実現できるよう、各種サポートを提供しています。

中小企業向けのサポート

Stripe は、Checkout、Elements、モバイル SDK、Terminal SDK などのより安全な導入方法を活用する一部のユーザー向けに、事前入力済みの SAQ やガイド付きフローなど、準拠のためのカスタマイズされたジャーニーを提供することで、小規模ユーザーの PCI に関する負担を大幅に軽減します。

カスタマイズされたダッシュボード体験

Stripe は、利用を開始したお客様の取引履歴を分析し、カスタマイズされたダッシュボード体験を通じて準拠に関する負担を軽減する方法についてアドバイスします。

ビジネスの成長に合わせたサポート

年間取引量が増えると、1 年以内に PCI レベルが変わることがあります。Stripe は、PCI の更新日が近づいたタイミングで新しい要件を通知することで、こうした移行をサポートします。

複数のサービスプロバイダー

ビジネスで複数の業者を使用している場合、PCI 準拠プロセスが複雑になる可能性があります。Stripe は、プロバイダーからの AOC の提出をサポートすることで、スムーズに準拠できるようにします。
PCI 準拠状態の維持をサポートする Stripe の機能