カードデータの保持は、ビジネスにとってリスクとなることが知られています。2025 年のデータ漏洩による世界的な平均コストは 444 万ドルでした。プライマリアカウント番号 (PAN) を保存するすべてのサーバー、ログファイル、バックアップは、Payment Card Industry Data Security Standard (PCI DSS) がカード保有者データ環境 (CDE) と呼ぶものの一部となり、その環境のあらゆる側面がコンプライアンス要件の対象となります。
トークン化により、PAN が単独では悪用価値のない代替値に置き換えられるため、その環境に実際に存在するデータが変化します。トークン化を適切に実装することで、コンプライアンスの義務を通常よりも大幅に縮小できます。以下では、PCI 準拠を目的としたトークン化の仕組み、保護の限界、その他のセキュリティコントロールを実装すべき場所、および PCI Security Standards Council がコンプライアンスに準拠したトークンシステムに求める要件について説明します。
重要なポイント
トークン化によって、システム全体を Payment Card Industry Data Security Standard (PCI DSS) のコンプライアンス対象から除外できますが、それはトークン生成、ボルトのセキュリティ、およびトークン化解除の管理が特定の技術基準を満たしている場合に限られます。
暗号化とトークン化では、PCI DSS におけるカードデータの保護方法が異なります。コンプライアンスに準拠した多くのアーキテクチャでは、どちらか一方を選択するのではなく、両方を利用しています。
最もシンプルな PCI 準拠の自己問診票を利用できるかどうかは、システムのどこかにトークン化が存在するかどうかではなく、実装においてカードデータがどのように流れるかによって決まります。
PCI DSS 準拠とは
PCI DSS への準拠とは、カード保有者データを保存、処理、または送信するすべてのビジネスに対して PCI Security Standards Council が設定したセキュリティ要件を満たすことを意味します。この標準は、ネットワークセキュリティ、アクセス制御、暗号化、および監視に及ぶ 12 の中核要件をカバーしています。これは、単一の決済端末を稼働している場合でも、年間何百万件もの取引を処理している場合でも適用されます。
トークン化に関する PCI DSS の見解
トークン化に関する PCI DSS のガイダンスでは、トークンを作成したシステムの外部でトークンが価値を持たず、そのシステムが適切に分離されて安全に保護されている場合、トークンが存在する環境は実際のカードデータを保持しているかのように評価する必要はないとアドバイスされています。各 PAN は依然としてどこか (通常は暗号化された保管庫内) に存在しますが、トークン化とは、それが単一の場所にのみ存在し、複数のシステムに分散していないことを意味します。
トークン化により PCI 準拠の範囲を縮小する方法
トークン化は、読み取り可能なカードデータが保存または送信される場所を制限することで、PCI 準拠の範囲を縮小します。これは、トークン化システムの外部の何者かによって、トークンから元の PAN に戻すことができない場合に限って成り立ちます。誰かが既知の論理を使用してトークンから PAN を計算できる場合、そのトークンは範囲を縮小しません。
範囲縮小のための PCI DSS トークン化ガイドラインと要件
PCI Security Standards Council のガイドラインには、範囲縮小を主張するあらゆるシステムに対する具体的な技術的期待事項が含まれています。これらは 2 つの主なカテゴリー、トークン生成とトークン保管庫に分類されます。
トークンの生成
トークン生成は、リバースエンジニアリングに耐えられるものでなければなりません。特定のカード番号の長さと構造を模倣する形式保持トークンは、置換自体が可逆的な数式によって導き出されたものではなく予測不可能である限り安全です。
一方向のプロセスで作成され、数学的な逆関数がないトークンは、復元可能なキーを使用した暗号化によって生成されたトークンよりも確実に範囲縮小の対象となります。暗号化された値は、トークンのように見えるようにフォーマットされている場合でも、PCI DSS の定義に基づくカード保有者データとみなされます。トークンの生成方法によって、評価者がシステムをどのように分類するかが決まります。PCI DSS ガイドラインでは、ブルートフォース攻撃への耐性についても言及しています。トークン化アルゴリズムを推測できたり、繰り返しの試行によって元に戻したりできる場合、そのトークンは生成方法に関係なく範囲縮小の対象にはなりません。
トークン保管庫
トークンを保存するためのシステムは保管庫と呼ばれます。トークン保管庫は、セグメント化されたネットワークゾーンに設置され、トークンを元の PAN にマッピングするデータに対して厳格なロールベースのアクセス制御を適用し、フォレンジックレビューをサポートするのに十分な詳細さですべてのトークン解除イベントのログを記録する必要があります。PCI DSS 評価者は通常、トークン解除はまれで意図的であり、監査可能でなければならないという基準を堅持しています。ガイダンスでは、社内チームかサードパーティかを問わず、トークン化プロバイダーにも独自の PCI DSS 評価を受けることが義務付けられています。侵害された保管庫では、トークン化の目的が損なわれます。
ドキュメントでは、評価者に対して範囲の縮小を証明する必要があり、PAN が平文 (暗号化されていない読み取り可能なデータ) で存在する場所、トークン化が発生する場所、システム全体でトークンが引き継がれる場所を正確に示すデータフロー図を含める必要があります。新しいシステムが決済経路に入るたびに、この図を更新する必要があります。そうしないと、他に変更がなくても、範囲縮小の主張が現実と一致しなくなります。
PCI DSS におけるトークン化と暗号化の比較
トークン化と暗号化はどちらも同じ基盤となるデータを保護しますが、PCI DSS では範囲に関してこれらをまったく異なるものとして扱います。暗号化された PAN は、通常、暗号テキスト (暗号化された形式) を読み取るために必要な復号化キーに保存システムがアクセスできない場合を除き、範囲内に留まります。暗号テキストを保持するシステムは、実際のリスクは低いにもかかわらず、平文で PAN を保存するシステムと同じアクセス制御、アクティビティログ記録、および脆弱性管理の要件を満たす必要があります。
トークン化では、保護するキーがありません。適切に実装された一方向プロセスを通じてトークンが生成された場合、数学的に元に戻すことができないため、トークンを保持するシステムは CDE の外部に存在することになります。
実際には、暗号化とトークン化はそれぞれ異なる保護手段を追加するため、PCI 準拠の多くのアーキテクチャでは両方が使用されています。暗号化はオーソリおよび入金のために保管庫内の PAN を保護し、トークン化は、取引の参照、返金の発行、または顧客への下 4 桁の表示など、実際の番号を必要とせずにそれ以外のすべての場所で PAN を保護します。最終的に、暗号化は使用可能なデータを保護し、トークン化はシステムからデータを完全に取り除きます。
実装後、トークン化コンプライアンスを維持する責任は誰にありますか？
PCI DSS への準拠には継続的な検証が必要であり、トークン化では、標準の通常のパッチ適用 (セキュリティ更新の適用) と監視サイクルに加えて、独自のメンテナンスが追加されます。サードパーティのトークン化プロバイダーを利用している場合でも、プロバイダーが独自の PCI DSS 検証を維持していることを確認し、毎年コンプライアンス証明書をレビューする責任は自社にあります。ベンダー側で認定が失効した場合、お客様側で何も変更がなかったとしても、お客様自身の範囲縮小の主張がリスクにさらされます。
社内では、誰かがデータフロー図を所有し、新しいシステムが決済経路に入るたびに更新する必要があります。たとえば、新しい分析ツールが接続されたり、サポートチームがトラブルシューティングのために取引データをスプレッドシートにエクスポートして、前回の評価で誰も考慮していなかった平文の PAN が見つかったりすると、範囲の縮小が気付かないうちに損なわれる可能性があります。保管庫のアクセスログについても定期的にレビューを行い、想定されるビジネスプロセスと一致しないトークン解除リクエストを発見する必要があります。
多くの中規模ビジネスにおいて、これは決済インフラを管理する担当者 (多くの場合、財務担当者またはエンジニア) の責任であり、年次評価サイクル中に適格セキュリティ評価機関 (QSA) と連携します。トークン化をエンドツーエンドで処理する決済代行業者を使用する小規模ビジネスは負担が軽くなりますが、エクスポート、スクリーンショット、または本来の範囲縮小の対象外となったカスタマーサービスのワークフローを通じて、PAN が自社システムに再導入されていないことを確認する必要があります。
トークン化だけで PCI DSS コンプライアンスを保証するのに十分ですか？
トークン化によって範囲は縮小しますが、範囲内に残るシステムのコンプライアンス義務がなくなるわけではありません。保管庫は依然として完全なコンプライアンスを必要とします。生成ロジック、トークンから PAN へのマッピングデータ、およびトークン解除コントロールはすべて、PCI DSS の完全な基準を満たさなければなりません。
トークン化前のタッチポイントも対象範囲内に留める必要があります。決済画面や POS (point-of-sale) 端末など、トークン化される前の PAN を処理するシステムには、転送時の暗号化、ネットワークセグメンテーション、脆弱性スキャンが必要です。
自己問診票 (SAQ) の利用資格のギャップ
多くのビジネスでは、トークン化ソリューションを導入していれば、最もシンプルな自己問診票である自己問診票 A (SAQ A) を利用できる資格があると考えています。しかし、それが当てはまるのは、通常は組み込みの決済画面または組み込みコンポーネントを通じて、カードデータが顧客のブラウザーから決済代行業者に直接送信され、ビジネスが PAN を取り扱ったり、送信したり、保存したりすることがないようにトークン化システムが機能している場合に限られます。生カードデータがトークン化される前に、たとえ短時間であっても自社のサーバーを通過するようなトークン化アプローチでは、それ以降のトークン化がどれほど強力であっても、そのサーバーはより広い範囲にとどまります。
Stripe Payments でできること
Stripe Payments は統合型のグローバル決済ソリューションを提供します。成長中のスタートアップから大企業まで、あらゆるビジネスがオンライン、対面、そして世界各地でスムーズに決済を導入できます。
Stripe Payments の特徴
決済体験の最適化: 構築済みの決済 UI、125 種類以上の決済手段、Stripe が構築したウォレット「Link」により、スムーズな顧客体験を実現するとともに、数千におよぶ開発時間を削減します。
新市場へのスピーディーな展開: 195 カ国、135 以上の通貨で利用可能な決済オプションにより、世界中の顧客にリーチし、多通貨管理の複雑さとコストを削減します。
対面とオンライン決済の統合: オンラインと対面を統合したコマース体験を構築。顧客とのやり取りをパーソナライズし、ロイヤルティを高め、収益拡大を促進します。
決済パフォーマンスの向上: ノーコードの不正利用対策や承認率改善のための高度な機能など、カスタマイズ可能で設定が簡単な決済ツールで収益を増加させます。
柔軟で信頼性の高いプラットフォームで事業成長: 業界最高レベルの信頼性を備えたプラットフォーム上でビジネスを構築し、拡大。稼働時間は 99.999% を誇ります。
Stripe Payments のオンラインおよび対面決済について、詳しくはこちらをご覧ください。今すぐ開始する場合はこちらをご覧ください。
この記事の内容は、一般的な情報および教育のみを目的としており、法律上または税務上のアドバイスとして解釈されるべきではありません。Stripe は、記事内の情報の正確性、完全性、妥当性、または最新性を保証または請け合うものではありません。特定の状況については、管轄区域で活動する資格のある有能な弁護士または会計士に助言を求める必要があります。