2005 年以来、アメリカでは 9,000 件以上のデータ侵害により、100 億件以上の消費者記録が漏洩しています。これは、Privacy Rights Clearinghouse が発表した最新の数字で、2005 年までさかのぼり、消費者に影響を与えたデータ漏洩やセキュリティ侵害について報告しています。消費者データの安全性と決済エコシステムに対する信頼を向上させるため、データセキュリティの最低基準が設けられました。Visa、Mastercard、American Express、Discover、JCB は 2006 年に PCI SSC (Payment Card Industry Security Standards Council) を設立し、クレジットカードデータを扱う企業のセキュリティ基準を管理・運営しています。

PCI DSS (Payment Card Industry Data Security Standard) は、カード保有者データや機密性の高い認証データを保存、処理、または送信するすべての事業体に対する世界的なセキュリティ基準です。PCI DSS は、消費者を保護するための基準レベルを設定し、決済エコシステム全体にわたる不正利用やデータ漏えいの削減を支援します。PCI DSS は、決済カードを受理または処理するすべての組織に適用され、これらの基準を満たさない組織には重大な罰則、罰金、およびコストが課せられます。

PCI DSS 準拠には以下の主な 3 つの要素が関係します。

1. 顧客からのクレジットカード情報の入力処理。すなわち、機密性の高いカード情報が安全に収集および送信されること
   
2. データの安全な保存。PCI 基準の 12 のセキュリティドメイン (暗号化、継続的な監視、カードデータへのアクセスにおけるセキュリティテストなど) で概説されています
   
3. 必要なセキュリティ管理が実施されていることを毎年検証すること。これには、書式、アンケート、外部の脆弱性スキャンサービス、第三者による監査などが含まれます (4 段階の要件レベルが記載された表については、以下の手順ガイドを参照してください)。
   

クレジットカード決済を受け付けるすべての企業は、その件数、地域、導入方法にかかわらず、PCI DSS に準拠する必要があります。このフレームワークに準拠することで、企業は次のことが可能になります。

• カードデータの安全性を確保することで顧客の信頼を構築
  
• 不正利用やデータ漏洩からの保護
  
• PCI 準拠違反による罰金を回避
  

組織での PCI 準拠の達成と維持に対する Stripe のサポート方法

ビジネスモデルでカードデータを扱う必要がある場合、PCI DSS の 300 件以上のセキュリティ管理要件をすべて満たすことを求められる可能性があります。PCI Security Standards Council が発行する PCI DSS の公式ドキュメントは 1,800 ページを超え、準拠を検証する際に使用するフォームを説明した部分だけでも 300 ページ以上にわたります。

Stripe はトークン化されたさまざまな導入方法 (Checkout、Elements、モバイル SDK、Terminal SDK など) を提供しているため、機密性の高いクレジットカードデータを直接扱う必要がなくなり、企業の PCI 準拠にかかる負担が大幅に軽減されます。

• Stripe Checkout および Stripe Elements では、ホストされた決済フィールドを使用してすべての決済カードデータを処理します。そのため、カード保有者は機密性の高いすべての決済情報を、PCI DSS で検証済みのサーバーから直接提供される決済フィールドに入力します。
  
• Stripe のモバイル SDK および Terminal SDK でも、カード保有者は機密性の高い決済情報を PCI DSS で検証済みのサーバーに直接送信できます。
  

導入のタイプに関係なく、Stripe はすべてのユーザーに対して PCI 準拠を支援し、複数の方法でサポートを提供します。

• Stripe PCI ウィザードが導入方法を分析し、法令遵守の負担を軽減する方法について助言します。
  
• 取引量の増加によって準拠の検証方法の変更が必要になる場合は、事前に通知します。
  
• クレジットカードデータを保存したり、より複雑な決済フローを利用したりしているために、PCI QSA と連携する必要がある大企業やエンタープライズビジネス向けに、世界中に 400 を超える QSA 企業があります。Stripe のさまざまな導入方法を熟知している複数の監査機関をご紹介できます。
  

PCI DSS 準拠の手順

1. PCI レベルを把握する

PCI に準拠するための最初のステップは、組織に適用される要件を知ることです。PCI 準拠には 4 つのレベルがあり、通常は 12 カ月間にビジネスが処理するクレジットカード取引量に基づきます。

レベルに応じて、認定スキャンベンダー (ASV) からの定期的な脆弱性スキャンなど、異なる要件があります。他の事業体に代わってカード保有者データ (CHD) および / または機密認証データ (SAD) の処理、保存、または送信に直接関与する事業体 (例: 決済ゲートウェイ、決済代行業者、および独立系販売組織) である代行業者には、追加の要件もあります。

(a) SAQ A、SAQ A-EP、または SAQ D を実施するレベル 2 の加盟店は、法令遵守の検証に QSA を利用する必要があります
(b) Visa はレベル 4 の加盟店を認識せず、レベル 3 を年間 100 万件未満の取引と定義しています。さらに、Mastercard ガイダンスに従い、レベル 4 加盟店は PCI DSS に準拠する必要がありますが、適用法または規制で義務付けられている場合を除き、法令遵守の検証は必要ありません。

2. 導入タイプとドキュメント要件を把握する

PCI レベルがわかったら、次のステップは、Stripe で使用している導入のタイプや、代行業者であるかどうかなどに基づいて、準拠状態を検証するために完了すべき PCI ドキュメントを判別することです。

レベル 1 ユーザー

レベル 1 の事業者は、PCI 準拠を証明するために SAQ を使用することはできません。毎年 PCI 準拠を検証するために、QSA または加盟店の執行役員が署名した ROC を完了する必要があります。

レベル 2 ～ 4 のユーザー

レベル 2 ～ 4 のユーザーの場合、決済の導入方法に応じて SAQ タイプが異なります。どの SAQ タイプが適切かわからない場合は、Stripe PCI ウィザードがビジネスに適したドキュメントのタイプを自動的に判別します。

代行業者

他の事業体 (決済ゲートウェイ、決済代行業者、独立系販売組織など) に代わって、カード保有者データ (CHD) および / または機密認証データ (SAD) の処理、保管、または送信に直接関与している場合、代行業者に分類される可能性があります。代行業者は通常以下を行います。

• 他の組織のためのカード保有者データの処理
  
• クライアントに代わってカード保有者データを保存
  
• システム間でのカード保有者データの送信
  
• カード保有者データのセキュリティに影響を与える可能性のあるサービス、またはカード保有者環境のセキュリティに影響を与える可能性のあるサービスの提供
  

一般的な例としては、決済ゲートウェイ、(カード保有者データを保存する) ホスティングプロバイダー、サードパーティデータセンター、決済アプリケーションを提供する企業、トークン化代行業者などがあります。

代行業者には、検証する必要がある追加要件があります。

3. 評価を完了し、SAQ ドキュメントを提出する

必要な評価を特定したら、次のステップは評価を実行し、関連する SAQ または ROC ドキュメントを完成させ、レビューのために Stripe に提出することです。

大口ユーザーは、事業を展開している地域で事業登録されている QSA のサービスを確保することをお勧めします。QSA は、PCI 要件に照らしてシステムをレビューし、不備があれば改善策をアドバイスします。また、QSA は毎年 Stripe と共有するための適切な文書を作成し、署名します。

レベル 3 およびレベル 4 のユーザーは、業種に応じた PCI DSS 自己評価アンケートに記入する必要があります。PCI Security Standards Council を通じて、その他の加盟店向けリソースを利用できます。Stripe もサポートを提供しており、PCI ダッシュボードのカスタマイズウィザードでは、一連の質問を行い、必要な文書を作成します。Stripe PCI ダッシュボードを使用して、自己記入した SAQ または ROC 文書をアップロードできます。

4. 監視と保守

PCI 準拠は単発の業務ではありません。これは、データフローや顧客接点が進化する中で、ビジネスの準拠状態を維持するための年次プロセスです。

PCI DSS は、カード保有者データの処理と保存に関する重要な基準を定めていますが、それだけではすべての決済環境を十分に保護できるわけではありません。代わりに、トークン化されたデータ (Stripe Checkout、Elements、モバイル SDK など) を使用する、より安全なカード承認方法に移行する方が、組織をはるかに効果的に保護できます。このアプローチを採用すると、俊敏性の高い企業は、潜在的なデータ侵害を軽減し、時間とコストのかかる従来の PCI 検証の取り組みを回避できます。

企業が成長するにつれて、中核となるビジネスロジックとプロセスも進化するため、準拠要件も進化します。たとえば、オンラインビジネスでは、実店舗の開設、新しい市場への参入、カスタマーサポートセンターの立ち上げなどを決定する場合があります。決済カードデータに関する新しい事柄がある場合は、選択した PCI 検証方法に影響を与えるかどうかを事前に確認し、必要に応じて PCI 準拠を再検証することをお勧めします。

PCI 準拠の複雑な世界に関する詳細については、PCI Security Standards Council のウェブサイトをご覧ください。このガイドと他のいくつかの PCI に関するドキュメントを読むだけであれば、これらから始めることをお勧めします。

• PCI DSS の優先アプローチ
  
• SAQ 説明書およびガイドライン
  
• SAQ 適格基準の使用に関するよくあるご質問 (現地審査要件 を決定するため)
  
• 決済カードデータを受け入れる消費者向けデバイスのアプリを開発する企業の義務に関するよくあるご質問
  

組織での PCI 準拠の維持に対する Stripe のサポート方法

PCI レベル 1 代行業者である Stripe は、独立した PCI 認定セキュリティ評価機関により、すべての PCI DSS 要件に照らして毎年認定を受けています。つまり、すべてのプロダクトはデフォルトで安全であり、準拠要件を軽減できます。

導入のタイプに関係なく、Stripe はすべてのユーザーに対して PCI 準拠を支援し、複数の方法でサポートを提供します。

小規模ビジネス向けのサポート

Stripe は、カスタマイズされた準拠プロセスを提供することで、小規模ユーザーの PCI 準拠の負担を大幅に軽減します。これには、Checkout、Elements、モバイル SDK、Terminal SDK などのより安全な導入方法を利用するユーザー向けの、事前入力された SAQ およびガイド付きフローが含まれます。

カスタマイズされたダッシュボードの機能

Stripe のご利用を始めると、取引履歴が分析され、カスタマイズされたダッシュボードの機能を通じて、法令遵守の負担を軽減する方法についての助言が提供されます。

ビジネスの成長に合わせたサポート

年間取引量が増加すると、1 年以内に PCI レベルが変更となる可能性があります。Stripe は、PCI の更新日が近づくと新しい要件をアラートで通知し、移行をサポートします。

複数の代行業者

ビジネスで複数の処理業者を使用している場合、PCI 準拠のプロセスが複雑になる場合があります。Stripe は代行業者からの AOC の提出に対応することでこれを簡素化し、準拠のプロセスをスムーズにします。

MOTO (通信販売 / 電話販売) 決済のサポート

Stripe は、電話ベースで安全にカード情報を収集するサードパーティ製サービスと連携して、MOTO 決済を受け付けるビジネスをサポートします。これらのサービスでは、画面タッチによるカード番号の送信や音声認識などのテクノロジーを利用してカード情報の収集を自動化しており、手作業でカード情報を転記する必要がありません。この方法により、「ヒューマンインザループ」を不要にして PCI 準拠の負担を大幅に軽減できます。MOTO のユースケースでは、考えられる SAQ の結果は 3 つあります。

• SAQ-A: PCI 準拠のサードパーティ製ソリューションを利用して電話でカード保有者データを収集し、カードデータが Stripe に直接送信される、ペイコネクターのユースケース。このユースケースでは、データが電話を通じて提示されている間にユーザーがカードデータにアクセスすることは禁止されており、ユーザーの環境内でカード保有者データを保存、処理、送信してはいけません。
  
• SAQ C-VT: ユーザーが MOTO 決済を通じてカードデータを受け取り、そのデータを Stripe ダッシュボードに直接入力します。この状況では、手作業での送信は定期的ではなく限定的なユースケースのみとし、カード情報の電子的な保存は許可されていないことを知っておく必要があります。
  
• SAQ-D: ユーザーが顧客からカード保有者データを収集し、ユーザーの環境内にカード保有者データを電子的に保存しているすべてのユースケース。
  

PCI 準拠と MOTO の導入に関する具体的なガイダンスについては、PCI 認定セキュリティ評価機関 (QSA) に相談することをお勧めします。