PCI 準拠代行業者により、コンプライアンス業務の一部が代行されるため、企業は Payment Card Industry Data Security Standard (PCI DSS) の要件を満たしやすくなります。これには、企業のシステム外部でのカードデータの処理、PCI DSS で求められる監査とスキャンの実行、または適用される自己問診に関するアドバイスなどが含まれます。

2025 年のデータ侵害の世界的平均コストは 440 万ドル であり、カード会員データが企業のシステムを経由する機会を減らすことで、このリスクを軽減できます。

以下では、PCI 準拠代行業者の役割、適用される PCI DSS の義務、およびその分類について説明します。

この記事でわかること

• PCI 準拠代行業者は、カードデータの処理や必要な監査およびスキャンの実行など、企業の PCI DSS 義務の一部を担います。

• PCI 準拠代行業者の種類には、決済プロバイダー、セキュリティ特化型のコンプライアンスベンダー、ホスト型決済フィールドプロバイダー、PCI コンサルタントなどがあります。

• ホスト型決済フィールドやトークン化などのツールを使用し、カード会員データをシステムの外部に保持することで、企業に適用される PCI DSS の範囲を縮小できます。

PCI 準拠代行業者とは

PCI 準拠代行業者は、ビジネスが PCI DSS の要件を満たすのを支援します。これらのプロバイダーは、ビジネスと、基準を策定しそれを適用するカードネットワークとの間に位置します。

代行業者向けの PCI DSS 要件とは

代行業者は、システムの性質上、カード会員データを大量に、かつ長期間保持する傾向があるため、一般的なビジネスよりも厳格な PCI DSS 準拠基準に直面します。この基準では、プロバイダーを取引量に基づいて 2 つのレベルに分けており、そのレベルによって自己評価で十分か、独立した監査が必要かが決まります。

Level 1 のプロバイダーは通常、年間30 万件を超える取引を処理するプロバイダーですが、基準はカードブランドによって異なる場合があります。これらのプロバイダーは、認定セキュリティ評価機関 (QSA) が実施する遵守状況レポート (ROC) を完了する必要があります。これは、QSA が管理をテストする完全な監査です。

Level 2 のプロバイダー (通常、年間取引件数が 30 万件以下のプロバイダー) は、代わりに自己評価問診票 (SAQ) を完了することで済む場合がほとんどですが、サービスが高リスクな環境に影響を及ぼす場合、カードブランドは依然として QSA 主導のレビューを要求することがよくあります。これは通常、代行業者向けの SAQ D を完了することを意味し、300 以上の PCI DSS 管理のほぼすべてを網羅しています。カードデータをトークン化するプロバイダーや、検証済みのポイントツーポイント暗号化ソリューションを使用するプロバイダーは、これらの管理の大部分を「該当なし」とマークできますが、カード会員データを保存するプロバイダーは、そのほぼすべてに対処する必要があります。

評価以外にも、代行業者には継続的な義務があります。認定スキャンベンダー (ASV) による四半期ごとのスキャン、年に 1 回のペネトレーションテスト、ファイルの整合性とアクセスログの継続的な監視などです。また、正式なインシデント対応計画と、カード会員データに触れるシステムを他のすべてのシステムから分離するネットワークセグメンテーションも必要です。カードネットワークは、プロバイダーが承認済みリストに掲載されていることを義務付けており、ビジネスは Visa または Mastercard を通じてそのステータスを確認できます。

どのような種類の PCI 準拠代行業者が存在するか

PCI 準拠代行業者の状況は、いくつかの明確なカテゴリに分かれています。

主な選択肢は以下のとおりです。

• 決済プロバイダー: これらは直接取引を処理し、多くの場合、ビジネスのシステム外でカードデータを処理することでビジネスの PCI スコープを縮小します。ビジネスが決済を受け付ける際、カードデータは顧客のブラウザーからプロバイダーのサーバーへと直接移動し、ビジネスの Web サーバーに接触することはありません。

• セキュリティに重点を置くコンプライアンスベンダー: これらは監査、スキャン、助言を行いますが、決済の処理は行いません。

• 決済入力フィールドをホスティングするプロバイダー: これらは、ビジネスのサイトではなく、プロバイダーが管理するドメイン上でカードデータをキャプチャーする決済フォームを提供します。

• PCI コンサルタント: これらはインフラではなく戦略について助言します。ビジネスがどの SAQ に該当するかを把握し、ドキュメントを準備し、要件を解釈するのを支援します。

PCI 準拠代行業者が提供するサービスとは

コンプライアンスに重点を置くプロバイダーの多くは、複数のサービスを組み合わせて提供しています。

この業界におけるサービスの範囲は以下のとおりです。

• トークン化: 機密性の高いカードデータを、プロバイダーのシステム外では悪用できないトークンに置き換えます。これにより、ビジネスの環境からカード会員データが取り除かれます。

• 決済入力フィールドのホスティング: 決済フォームをビジネスのサイトではなく、プロバイダーのドメインから直接提供します。これにより、生のカード番号がビジネスのサーバーを通過しなくなります。

• スコープ削減のコンサルティング: ビジネスのシステム内でカード会員データが流れる場所をマッピングし、そのフローから削除できるコンポーネントを特定します。

• セキュリティ評価: ビジネスの管理が各 PCI DSS 要件を満たしているかどうかをテストする正式なレビュー (多くの場合、QSA が実行) を実施します。

• 脆弱性スキャン: ASV によって四半期ごとに外部スキャンを実行します。これは、インターネット経由でカード会員データに触れるシステムを持つビジネスまたはプロバイダーに義務付けられています。

• ペネトレーションテスト: ネットワークセグメンテーションやアプリケーション層の防御に対する攻撃をシミュレートする、より敵対的なテストを年に 1 回実施します。

• 継続的なコンプライアンス監視: ファイルの整合性、アクセスログ、設定のドリフトを追跡します。PCI DSS 4.0.1 では、プロバイダーに対して、年に 1 回のチェックではなく継続的な検証を求めています。

PCI 準拠代行業者をどのように評価するか

効果的なスコープ削減ツールには共通のメカニズムがあります。つまり、カード会員データがサーバーに到達した後に保護しようとするのではなく、データ自体をサーバーから遠ざけるということです。プロバイダーの実装によって PCI の適用範囲がどのように変化するかを確認してください。ホスティングされた入力フィールドやトークン化によって、よりシンプルな SAQ カテゴリに移行できるでしょうか。それとも、カードデータは依然として途中でシステムに接触するでしょうか。カードデータがインフラのどこかで、たとえごく短時間であっても通過する場合、データが最初から到着しない場合と比べてスコープは広くなります。

プロバイダーのドキュメントには、プロバイダーが負う正確なコンプライアンス責任と、ビジネス側に残る責任が明記されているはずです。営業担当者の説明に頼るのではなく、この情報を熟読してください。プロバイダーと契約する前に、以下の点を確認してください。

認定ステータス

プロバイダーが Visa の Global Registry of Service Providers または同等の Mastercard リストに掲載されていることを確認します。プロバイダーの最新のコンプライアンスの証明書 (AOC) の日付を確認します。認定は毎年失効するため、継続的に維持する必要があります。

データの取り扱いとトークン化のプロセス

プロバイダーがトークン化を行うのが収集の時点か、データが自社のサーバーに到達した後かを確認します。トークンのスコープ、取引タイプ間で再利用可能かどうか、トークンが存在した後の元のデータの扱いについて質問してください。

導入の複雑さ

明確なドキュメントと、事前に構築された決済フォームのようなドロップインコンポーネントを提供するプロバイダーを利用すれば、通常、チームで大量のカスタムコードを保護し、保守する必要がなくなります。これにより、PCI の適用範囲が縮小します。

地理的なカバレッジと継続的なサポート

PCI DSS は、これらのカードネットワークが使用されているすべての場所に適用されます。国に関係なく、対象となるカードのデータを保存、処理、または送信するすべてのビジネスは準拠する必要があります。ただし、地域のデータ保管やプライバシーに関する法律、各地域のカードスキームのルール、プロバイダーのカバレッジは地域によって異なります。検討中のプロバイダーに対し、自社がビジネスを行うすべての国でインフラを運用しているか、また地域ごとの違いにどのように対応しているかを確認してください。

SAQ の要件

プロバイダーから、その実装によって自社がどの SAQ を満たすことができるかについて説明があるはずです。コンプライアンスに準拠した実装であれば、コンプライアンスの範囲が限定され、要件の緩い SAQ の要件を満たすことができるはずです。

Stripe は PCI サービスプロバイダー Level 1 であり、PCI 準拠の一部を自動化する機能をユーザーに提供しています。ビジネスが Stripe Elements、Checkout、Terminal SDK、またはモバイルライブラリを実装している場合、ダッシュボードでの SAQ の完了を Stripe が支援します。

Stripe Payments でできること

Stripe Payments は統合型のグローバル決済ソリューションです。成長中のスタートアップから大企業まで、あらゆるビジネスがオンラインや対面により、世界各地でスムーズに決済を導入できます。

Stripe Payments の特徴

• 決済体験の最適化: 組み込み済みの決済ユーザーインターフェイス (UI)、125 を超える決済手段、および Stripe が構築したデジタルウォレットである Link を利用して、スムーズな顧客体験を創出し、数千時間のエンジニアリング時間を節約できます。

• 新市場へのスピーディーな展開: 195 カ国、135 以上の通貨で利用可能な決済オプションにより、世界中の顧客にリーチし、多通貨管理の複雑さとコストを削減します。

• 対面とオンライン決済の統合: オンラインと対面を統合したコマース体験を構築。顧客とのやり取りをパーソナライズし、ロイヤルティを高め、収益拡大を促進します。

• 決済パフォーマンスの向上: ノーコードの不正利用対策や承認率改善のための高度な機能など、カスタマイズ可能で設定が簡単な決済ツールで収益を増加させます。

• 柔軟で信頼性の高いプラットフォームで事業成長: 業界最高レベルの信頼性を備えたプラットフォーム上でビジネスを構築し、拡大。稼働時間は 99.999% を誇ります。

Stripe Payments のオンラインおよび対面決済について、詳しくはこちらをご覧ください。今すぐ開始する場合はこちら。