2005 年以降、アメリカでは 9,000 件以上のデータ侵害により、100 億件以上の消費者記録が侵害されています。これらは、2005 年にさかのぼって消費者に影響を与えたデータ侵害とセキュリティー侵害について報告している Privacy Rights Clearinghouse からの最新の数値です。消費者データの安全性と、決済エコシステムへの信頼を向上させるため、データセキュリティーに対する最低基準が設けられました。Visa、MasterCard、アメリカン・エキスプレス、ディスカバー、および JCB は、2006 年、 PCI セキュリティー基準審議会 (PCI SSC) を設立しました。この審議会ではクレジットカードのデータを扱う企業に対するセキュリティー基準が運用、管理されます。

PCI DSS (Payment Card Industry Data Security Standard) は、カード保有者のデータや機密認証データを保存、処理、または転送するあらゆる組織に対するグローバル規模のセキュリティー基準です。消費者保護のベースラインレベルを規定し、決済エコシステム全体における不正利用やデータ侵害の削減に寄与しています。これは、決済カードを受け付けまたは処理するすべての組織に適用され、これらの基準を満たさない組織は多額の違約金、罰金、および費用を支払うことになります。

PCI DSS 準拠には、主に次の 3 つの要素が含まれます。

1. 顧客からのクレジットカード情報の入力処理。具体的には、機密情報であるカード詳細の収集と安全な転送です。
   
2. データの安全な保存。PCI 基準の 12 のセキュリティー領域に属する、暗号化、継続的な監視、カードデータへのアクセスに関するセキュリティーテストなどが含まれます。
   
3. 必要なセキュリティ管理の実施の有無を毎年検証すること。これには、フォーム、アンケート、外部の脆弱性スキャンサービス、第三者による監査などが含まれます (4 つのレベルの要件をまとめた表については、以下の詳細なガイドをご覧ください)。
   

クレジットカード決済を受け付けるすべてのビジネスは、取引量、地域、導入方法に関係なく、PCI DSS に準拠する必要があります。このフレームワークに準拠することで、ビジネスは次のことが可能になります。

• カードデータの安全性を確保することで顧客の信頼を構築
  
• 不正利用やデータ侵害から身を守る
  
• PCI 準拠の違反による罰金を回避
  

組織の PCI 準拠の達成と維持をサポートする Stripe の機能

ビジネスモデルがカードデータの処理を伴う場合は、PCI DSS が定める 300 以上のセキュリティ管理の各要素を満たす必要があります。PCI DSS については、PCI Security Standards Council によって発行されている 1,800 ページを超える公式ドキュメントがあり、規制への準拠を検証する際に使用するフォームについての説明だけで 300 ページ以上が費やされています。

Stripe は、さまざまなトークン化された導入方法 (Checkout、Elements、モバイル SDK、Terminal SDK など) を提供することで、企業の PCI の負担を大幅に軽減し、機密性の高いクレジットカードデータを直接処理しなくても済むよう支援します。

• Stripe Checkout と Stripe Elements では、すべての決済カードデータの処理にオンライン決済フィールドを使用するため、カード保有者は、Stripe の PCI DSS 認証サーバーから直接提供される決済フィールドに、支払いに関する機密情報をすべて入力します。
  
• Stripe のモバイル SDK と Terminal SDK でも、カード保有者は支払いに関する機密情報を PCI DSS 認証サーバーに直接送信できます。
  

導入タイプに関係なく、Stripe はすべてのユーザーに対して PCI の推進者として機能し、いくつかの異なる方法でサポートを提供します。

• Stripe PCI ウィザードが導入方法を分析し、準拠の負担を軽減する方法をアドバイスします。
  
• 取引量の増加に伴い、準拠の検証方法に変更が必要になった場合は、事前にお知らせします。
  
• クレジットカードデータを保存したり、決済フローが複雑であったりするために PCI QSA を使用する必要のある大企業やエンタープライズ企業は、世界中に 400 社以上存在する QSA 企業を利用できます。また、Stripe の各種導入方法を深く理解している複数の監査人をご紹介できます。
  

PCI DSS 準拠の詳細なガイド

1. 自社の PCI レベルを把握する

PCI 準拠を達成するための最初のステップは、組織に適用される要件を知ることです。PCI 準拠には 4 つのレベルがあり、通常は 12 カ月間にビジネスが処理するクレジットカード取引の量に基づきます。

レベルに応じて、認定スキャンベンダー (ASV) による定期的な脆弱性スキャンなどのさまざまな要件があります。また、別の事業体 (ペイメントゲートウェイ、決済サービスプロバイダー、独立した販売組織など) に代わって、カード保有者データ (CHD) や機密認証データ (SAD) の処理、保存、または転送に直接関与する事業体であるサービスプロバイダーには、追加の要件もあります。

2. 導入タイプとドキュメント要件を把握する

PCI レベルがわかったら、次のステップは、Stripe で使用している導入のタイプや、貴社がサービスプロバイダーかどうかなどに基づいて、準拠状態を検証するために完了する必要のある PCI ドキュメントを判別することです。

レベル 1 ユーザー

レベル 1 のビジネスは、PCI 準拠の証明に SAQ を使用する資格がありません。QSA が署名した ROC を毎年完了して PCI 準拠を検証する必要があります。

レベル 2 ～ 4 のユーザー

レベル 2 ～ 4 のユーザーの場合、決済の導入方法に応じて SAQ タイプが異なります。どの SAQ タイプが適切かわからない場合は、Stripe PCI ウィザードがお客様のビジネスに適したドキュメントのタイプを自動的に判別します。

サービスプロバイダー

貴社が別の事業体 (ペイメントゲートウェイ、決済サービスプロバイダー、独立した販売組織など) に代わって、カード保有者データ (CHD) や機密認証データ (SAD) の処理、保存、または転送に直接関与している場合は、サービスプロバイダーとして分類される可能性があります。つまり、検証が必要な追加要件があるということです。

3. 評価を完了し、SAQ ドキュメントを提出する

完了する必要がある評価を特定したら、次のステップは評価を実行し、関連する SAQ または ROC ドキュメントに記入し、レビューのために Stripe に送信することです。

取引量の多いユーザーは、自社が営業している地域で事業登録している QSA のサービスを利用する必要があります。QSA は、PCI 要件に照らしてシステムを確認し、不備の修正についてのアドバイスを提供します。また、適切なドキュメントを作成して署名し、Stripe と毎年共有します。

レベル 3 および 4 のユーザーは、自分の事業分野に適した PCI DSS 自己問診票に回答する必要があります。その他の加盟店向けリソースは、PCI Security Standards Council を通じて入手できます。Stripe はこの点についてもサポートを提供しています。PCI ダッシュボードのカスタマイズされたウィザードで一連の質問に回答すると、必要なドキュメントが生成されます。また、Stripe PCI ダッシュボードを使用して、自社で記入済みの SAQ または ROC ドキュメントをアップロードできます。

4. 監視と保守

PCI 準拠は 1 回限りのイベントではないことに注意することが重要です。これは、データフローや顧客とのタッチポイントが進化しても、ビジネスの準拠状態を維持するための年次プロセスです。

PCI DSS は、カード保有者のデータの処理と保存に関する重要な基準を定めていますが、それだけではすべての決済環境を十分に保護できるわけではありません。代わりに、トークン化されたデータ (Stripe Checkout、Elements、モバイル SDK など) を使用する、より安全なカード承認方法に移行する方が、はるかに効果的に組織を保護できます。このアプローチを採用すると、俊敏性の高い企業は、潜在的なデータ侵害を軽減し、PCI を検証するために時間とコストのかかる従来のアプローチを使用する必要がなくなります。

企業が成長するにつれて、中核となるビジネスロジックとプロセスも進化するため、準拠要件も進化します。たとえば、オンラインビジネスでは、実店舗の開設、新しい市場への参入、カスタマーサポートセンターの立ち上げなどを決定する場合があります。決済カードデータに関する新しい決定がある場合は、選択した PCI 検証方法に影響を与えるかどうかを事前に確認し、必要に応じて PCI 準拠を再検証することをお勧めします。

複雑な PCI 準拠の詳細については、PCI Security Standards Council のウェブサイトを参照してください。このガイドと他のいくつかの PCI ドキュメントのみをご覧になっている場合は、以下にご紹介するドキュメントから始めることをお勧めします。

• PCI DSS の優先的アプローチ
  
• SAQ の手順とガイドライン
  
• SAQ 適格基準を使用したオンサイト評価要件の決定に関するよくあるご質問
  
• 決済カードデータを受け付ける消費者向け端末のアプリ開発事業者の義務に関するよくあるご質問
  

組織の PCI 準拠状態の維持をサポートする Stripe の機能

PCI レベル 1 のサービスプロバイダーである Stripe は、独立した PCI 認定審査機関によって、すべての PCI DSS 要件について毎年認定を受けています。つまり、すべての Stripe プロダクトはデフォルトでセキュリティー保護されているため、Stripe を利用することでビジネスの準拠要件が軽減されます。

導入タイプに関係なく、Stripe はすべてのユーザーに対して PCI の推進者として機能し、いくつかの異なる方法でサポートを提供します。

中小企業向けのサポート

Stripe は、Checkout、Elements、モバイル SDK、Terminal SDK などのより安全な導入方法を活用する一部のユーザー向けに、事前入力済みの SAQ やガイド付きフローなど、準拠のためのカスタマイズされたジャーニーを提供することで、小規模ユーザーの PCI に関する負担を大幅に軽減します。

カスタマイズされたダッシュボード体験

Stripe は、利用を開始したお客様の取引履歴を分析し、カスタマイズされたダッシュボード体験を通じて準拠に関する負担を軽減する方法についてアドバイスします。

ビジネスの成長に合わせたサポート

年間取引量が増えると、1 年以内に PCI レベルが変わることがあります。Stripe は、PCI の更新日が近づいたタイミングで新しい要件を通知することで、こうした移行をサポートします。

複数のサービスプロバイダー

ビジネスで複数の業者を使用している場合、PCI 準拠プロセスが複雑になる可能性があります。Stripe は、プロバイダーからの AOC の提出をサポートすることで、スムーズに準拠できるようにします。