PCI DSSとWeb診断の役割｜決済環境の確認から修正まで
クレジットカード決済を導入している企業では、カード情報を安全に扱うためのセキュリティ対策が欠かせません。
その基準の一つが「PCI DSS」です。
PCI DSSでどこまで確認が必要になるかは、利用している決済方法によって変わります。
経営者の立場では、決済の細かな仕組みを理解することよりも、「自社がどこまで管理し、何を確認する必要があるのか」を把握することが大切です。
この記事では、PCI DSSで確認する範囲や4種類の検査、自社で管理するWeb機能を診断して修正・再確認するまでの流れをご紹介します。
セキュリティー診断さん
ピーシーアイディーエスエス…？ なんか呪文みたい…。 うちのECサイトも関係あるのかな？
決済方法によって確認する範囲が変わる
PCI DSSとは、カード会員データを守るために定められたセキュリティ基準です。
確認する範囲は、「カード情報を自社で保存しているかどうか」だけでは決まりません。
どのような方法で決済しているか、自社がどこまで管理しているかによって変わります。
| ケース | カード情報・決済への関わり方 | 確認が必要となる範囲 |
|---|---|---|
| 自社でカード情報を保存・処理・伝送する | 自社のサーバーや業務でカード情報を扱う | カード情報に関わる業務、システム、端末、ネットワークなど |
| 外部の決済画面へ移動させる | 自社サイトから外部の決済画面へ利用者を移動させる | 決済画面へ移る仕組みや設定、自社側の管理方法など |
| 決済フォームやスクリプトを自社サイトに組み込む | 外部サービスを使い、自社ページ上で決済する | 決済ページに関わる自社サイトやコード、アクセス権限など |
| 決済代行を利用し、管理画面や連携環境に関与する | 管理画面やAPI連携、認証情報などを自社で扱う | 自社で管理するアカウント、連携システム、認証情報など |
まずは契約書や決済サービスの管理画面を確認し、自社がどこまで管理しているのか整理しましょう。
その内容を決済代行会社やアクワイアラーへ伝えると、必要な検査や提出物を確認しやすくなります。
自社だけで判断しにくい場合は、PCI DSSの専門家へ相談する方法もあります。
PCI DSS以外の規格も確認したい場合は、企業が確認したいセキュリティ認証の種類とメリットも参考にしてみてください。
PCI DSSで確認する主要ポイント
PCI DSSでは、Webサイトの弱点だけを調べるわけではありません。
カード情報に関わるシステムやアクセス権限、操作記録、社内での管理方法なども確認します。
主なポイントは次の5つです。
- カード情報を扱う範囲：どの業務やシステム、端末、ネットワークが関係するかを確認する
- 権限と認証：必要な担当者だけがカード情報や決済設定へアクセスできるようにする
- 更新と弱点への対策：ソフトウェアを更新し、弱点が見つかれば修正する
- 監視と記録：不審な操作や設定変更に気づけるよう、記録を残す
- 社内ルール：担当者や確認手順、問題が起きたときの連絡先を決めておく
また、弱点を調べる方法は対象によって異なります。
Webサイトを調べる方法もあれば、社内ネットワークや外部公開システムを対象とする検査もあります。
セキュリティー診断さん
なるほど、弱点を見つけて塞ぐのか！ でも、うちのサイトの弱点なんてどうやって見つけるんだろう…？ 専門家じゃないと無理じゃない？
PCI DSS対応で使う4種類の検査
PCI DSSへの対応では、目的や対象に応じて複数の検査を使い分けます。
「どれか一つを受ければよい」とは限らないため、自社に必要な検査は決済代行会社やアクワイアラーへ確認しましょう。
| 手段 | 主な役割 | 確認対象 | 実施主体 | 利用する場面 |
|---|---|---|---|---|
| 一般的なWeb診断 | Webサイトの弱点を見つけ、修正につなげる | 公開Webサイト、Webアプリ、公開APIなど | 診断サービスまたはセキュリティ担当者 | Webサイトの安全確認や修正前後の確認 |
| ASVスキャン | PCI DSSで定められた外部スキャンを行う | カード会員データ環境に接続・アクセスできる外部公開システム | PCI SSCが承認したASV（Approved Scanning Vendor） | PCI DSSで求められる定期的な外部スキャンなど |
| 内部スキャン | 社内側からアクセスできる機器やシステムの弱点を調べる | 内部ネットワークや内部システム | 要件を満たす社内担当者または外部事業者 | 定期確認や重要な変更後の確認 |
| 侵入テスト | 実際の攻撃を想定し、侵入につながる弱点がないか確かめる | カード会員データ環境の境界や重要システムなど | 独立した適格な社内担当者または外部事業者 | 定期的な検証や重要な変更後の確認 |
一般的なWeb診断の一つに、AIを活用した『セキュリティー診断さん』があります。
外部公開のWebサイトやWebアプリ、決済に関わる自社管理のWeb機能、公開APIなどを診断できます。
問題がある場所や危険度がわかるため、制作会社や開発会社へ修正を依頼するときにも活用できます。
内部スキャンやASVスキャン、PCI DSSの準拠確認には、それぞれ別の検査や手続きが必要です。
『セキュリティー診断さん』によるWeb診断とあわせて、契約先から指定された検査や手続きも進めましょう。
Web診断の結果を修正と再確認へつなげる
自社で管理するWeb機能を診断する場合は、まず対象を確認しましょう。
外部公開のWebサイトやWebアプリ、決済に関わる機能、公開APIなどが対象になります。
問題が見つかった後は、次の順番で対応します。
- レポートで問題がある場所と危険度を確認する
- 制作会社や開発会社へレポートを渡し、修正を依頼する
- 修正後に問題が解消されているか再確認する
- 契約先から指定されたスキャンや提出手続きを進める
『セキュリティー診断さん』の診断結果は、どこを修正する必要があるのか、どの問題から対応するべきかを判断する材料として活用できます。
レポートを制作会社や開発会社へ共有すれば、修正してほしい場所も具体的に伝えやすくなります。
修正後は再度確認し、PCI DSSの準拠確認については契約先の案内に沿って進めましょう。
決済の確認範囲を整理して必要な検査へ進もう
PCI DSSへの対応では、まず自社が決済のどこまでを管理しているのか確認することが大切です。
契約内容や管理画面を確認したうえで、必要な検査や提出物を決済代行会社やアクワイアラーへ確認しましょう。
自社で管理するWebサイトやWebアプリ、公開APIなどの弱点を調べる必要があれば、Web診断を活用できます。
問題が見つかったら修正を依頼し、修正後に解消されているか再確認しましょう。
そのうえで、契約先から指定された検査や提出手続きを進めます。
『セキュリティー診断さん』で、自社管理のWeb機能をどこまで診断するか相談してみませんか？
セキュリティー診断さん
まずは診断で弱点を見つけることから始めればいいんだな！ ヨシ！ これなら僕にもできそう(๑•̀ㅂ•́)و✧
関連記事
同じテーマを深掘りしやすい記事を優先して表示しています。
