PCI DSSとWeb診断の役割｜決済環境の確認から修正まで
クレジットカード決済を導入している企業では、カード情報を安全に扱うためのセキュリティ対策が欠かせません。
その基準の一つが「PCI DSS」です。
PCI DSSでどこまで確認が必要になるかは、利用している決済方法によって変わります。
経営者の立場では、決済の細かな仕組みを理解することよりも、「自社がどこまで管理し、何を確認する必要があるのか」を把握することが大切です。
この記事では、PCI DSSで確認する範囲や4種類の検査、自社で管理するWeb機能を診断して修正・再確認するまでの流れをご紹介します。
セキュリティー診断さん
ピーシーアイディーエスエス…？ なんか呪文みたい…。 うちのECサイトも関係あるのかな？
決済方法によって確認する範囲が変わる
PCI DSSとは、カード会員データを守るために定められたセキュリティ基準です。
確認する範囲は、「カード情報を自社で保存しているかどうか」だけでは決まりません。
どのような方法で決済しているか、自社がどこまで管理しているかによって変わります。
| ケース | カード情報・決済への関わり方 | 確認が必要となる範囲 |
|---|---|---|
| 自社でカード情報を保存・処理・伝送する | 自社のサーバーや業務でカード情報を扱う | カード情報に関わる業務、システム、端末、ネットワークなど |
| 外部の決済画面へ移動させる | 自社サイトから外部の決済画面へ利用者を移動させる | 決済画面へ移る仕組みや設定、自社側の管理方法など |
| 決済フォームやスクリプトを自社サイトに組み込む | 外部サービスを使い、自社ページ上で決済する | 決済ページに関わる自社サイトやコード、アクセス権限など |
| 決済代行を利用し、管理画面や連携環境に関与する | 管理画面やAPI連携、認証情報などを自社で扱う | 自社で管理するアカウント、連携システム、認証情報など |
まずは契約書や決済サービスの管理画面を確認し、自社がどこまで管理しているのか整理しましょう。
その内容を決済代行会社やアクワイアラー（加盟店を管理するカード会社）へ伝えると、必要な検査や提出物を確認しやすくなります。
自社だけで判断しにくい場合は、PCI DSSの専門家へ相談する方法もあります。
PCI DSS以外の規格も確認したい場合は、企業が確認したいセキュリティ認証の種類とメリットも参考にしてみてください。
| 用語 | ざっくり解説 |
|---|---|
| PCI DSS | カード情報を守るための安全基準 |
| サーバー | Webサイトやデータを保管・処理する機器 |
| 決済フォーム | カード情報などを入力する決済画面 |
| スクリプト | Webページ上で処理を動かすプログラム |
| コード | Webサイトを動かすプログラムの記述 |
| アクセス権限 | 誰が何を操作できるか決める設定 |
| 決済代行会社 | カード決済の処理を代わりに行う会社 |
| API連携 | 別のサービス同士で情報をやり取りする仕組み |
| アクワイアラー | カード加盟店を管理するカード会社 |
PCI DSSで確認する主要ポイント
PCI DSSでは、Webサイトの弱点だけを調べるわけではありません。
カード情報に関わるシステムやアクセス権限、操作記録、社内での管理方法なども確認します。
主なポイントは次の5つです。
- カード情報を扱う範囲：どの業務やシステム、端末、ネットワークが関係するかを確認する
- 権限と認証：必要な担当者だけがカード情報や決済設定へアクセスできるようにする
- 更新と弱点への対策：ソフトウェアを更新し、弱点が見つかれば修正する
- 監視と記録：不審な操作や設定変更に気づけるよう、記録を残す
- 社内ルール：担当者や確認手順、問題が起きたときの連絡先を決めておく
また、弱点を調べる方法は対象によって異なります。
Webサイトを調べる方法もあれば、社内ネットワークや外部公開システムを対象とする検査もあります。
セキュリティー診断さん
なるほど、弱点を見つけて塞ぐのか！ でも、うちのサイトの弱点なんてどうやって見つけるんだろう…？ 専門家じゃないと無理じゃない？
PCI DSS対応で使う4種類の検査
PCI DSSへの対応では、目的や対象に応じて複数の検査を使い分けます。
「どれか一つを受ければよい」とは限らないため、自社に必要な検査は決済代行会社やアクワイアラーへ確認しましょう。
| 手段 | 主な役割 | 確認対象 | 実施主体 | 利用する場面 |
|---|---|---|---|---|
| 一般的なWeb診断 | Webサイトの弱点を見つけ、修正につなげる | 公開Webサイト、Webアプリ、公開APIなど | 診断サービスまたはセキュリティ担当者 | Webサイトの安全確認や修正前後の確認 |
| ASVスキャン | PCI DSSで定められた外部スキャンを行う | カード会員データ環境に接続・アクセスできる外部公開システム | PCI SSCが承認したASV（Approved Scanning Vendor） | PCI DSSで求められる定期的な外部スキャンなど |
| 内部スキャン | 社内側からアクセスできる機器やシステムの弱点を調べる | 内部ネットワークや内部システム | 要件を満たす社内担当者または外部事業者 | 定期確認や重要な変更後の確認 |
| 侵入テスト | 実際の攻撃を想定し、侵入につながる弱点がないか確かめる | カード会員データ環境の境界や重要システムなど | 独立した適格な社内担当者または外部事業者 | 定期的な検証や重要な変更後の確認 |
どの検査が必要になるかは、決済方法や自社で管理している範囲によって変わります。
自社で管理するWebサイトやWebアプリ、公開APIなどの弱点を確認するなら、一般的なWeb診断が役立ちます。
AIを活用した『セキュリティー診断さん』なら、こうしたWebサイトやWebアプリなどを手軽に診断し、問題がある場所や危険度を確認できます。
ASVスキャンや内部スキャン、PCI DSSの準拠確認には別の検査や手続きが必要なので、契約先の案内も確認しながら進めましょう。
| 用語 | ざっくり解説 |
|---|---|
| 公開API | 外部から利用できるデータ連携の窓口 |
| カード会員データ環境 | カード情報を扱うシステムや機器の範囲 |
| ASV | PCI SSCが認めた外部スキャン事業者 |
| ASVスキャン | PCI DSS指定の外部向け弱点検査 |
| PCI SSC | PCI DSSを管理する国際的な組織 |
| 内部スキャン | 社内の機器やシステムの弱点検査 |
| 内部ネットワーク | 社内だけで使う通信環境 |
| 侵入テスト | 攻撃を想定して侵入できないか調べる検査 |
Web診断の結果を修正と再確認へつなげる
Web診断で弱点が見つかったら、次は「どこから直すか」を確認していきます。
対象になるのは、外部公開のWebサイトやWebアプリ、決済に関わる機能、公開APIなどです。
問題が見つかった後は、次の順番で進めるとわかりやすいでしょう。
- レポートで問題がある場所と危険度を確認する
- 制作会社や開発会社へレポートを渡し、修正を依頼する
- 修正後に問題が解消されているか再確認する
- 契約先から指定されたスキャンや提出手続きを進める
『セキュリティー診断さん』のレポートでは、見つかった弱点ごとに危険度が示されるため、どこから対応すべきか優先順位をつけやすくなります。
制作会社や開発会社へそのまま共有できるので、「どこを直してほしいのか」も具体的に伝えやすいです。
修正後は問題が解消されているかを確認し、PCI DSSの準拠確認は契約先の案内に沿って進めましょう。
まとめ：決済の確認範囲を整理して必要な検査へ進もう
PCI DSSへの対応では、まず自社が決済のどこまでを管理しているのか確認することが大切です。
契約内容や管理画面を確認したうえで、必要な検査や提出物を決済代行会社やアクワイアラーへ確認しましょう。
自社で管理するWebサイトやWebアプリ、公開APIなどの弱点を調べる必要があれば、Web診断を活用できます。
『セキュリティー診断さん』なら、見積もりのやり取りをせずに申し込めるため、Webサイトの安全性を確認したいときにも始めやすいです。
PCI DSS対応を進める一歩として、まずは自社のWeb機能に見落としている弱点がないか確認してみませんか？
セキュリティー診断さん
まずは診断で弱点を見つけることから始めればいいんだな！ ヨシ！ これなら僕にもできそう(๑•̀ㅂ•́)و✧
関連記事
同じテーマを深掘りしやすい記事を優先して表示しています。
