Payment Card Industry Data Security Standard (PCI DSS) では、保存時およびネットワーク経由の移動時にカード保有者のデータを保護することがビジネスに義務付けられています。これは、強力な暗号化のほか、証明書の強度から暗号鍵の生成、保存、廃棄に至るまですべてを網羅する一連のサポートルールの適用が必要であることを意味します。

これらの PCI 暗号化要件を満たすことは、コンプライアンスチェックリスト以上の影響をもたらします。これにより、攻撃対象領域を縮小し、情報漏えいが発生した場合のビジネスの露出度合いを抑えることができます。データ漏えいの平均コストは 2025 年に世界で 444 万ドルに達し、機密記録を保護することの重要性が浮き彫りになっています。以下では、PCI DSS で実際に求められる暗号化要件、現在その基準を満たしているアルゴリズムとプロトコル、および暗号化がトークン化やネットワークセグメンテーションなどの関連戦略とどのように相互作用するかについて説明します。

この記事でわかること

• PCI DSS では、保存時および転送時の両方でカード保有者データに強力な暗号化を使用することが求められており、256 ビット鍵を使用する Advanced Encryption Standard (AES) および Transport Layer Security (TLS) 1.2 以上が許容されるベースラインとして定められています。

• 暗号化とトークン化は異なる問題を解決するため、ポイントツーポイント暗号化 (P2PE) とトークン化を組み合わせることで、PCI 準拠の範囲を縮小できます。

• 基本的な暗号化アルゴリズムが堅牢であっても、鍵管理の脆弱性は、ビジネスが PCI DSS 評価で不合格になる最も一般的な理由の 1 つです。

PCI 暗号化要件とは

PCI DSS の暗号化ルールは、コンプライアンスチェックリストの保存されたカード保有者データを対象とする要件 3 と、ネットワーク間を移動するデータを対象とする要件 4 で定義されています。PCI 監査人は、カード情報の取り扱い方法を評価する際に、これら両方の領域を確認します。

要件 3 によると、プライマリアカウント番号 (PAN) を保存する場合は、データベース、ログファイル、またはバックアップのいずれであっても、それが表示される場所はどこでも読み取り不可能にする必要があります。強力な暗号化が主な保護方法ですが、特にレシートや顧客向けの画面で PAN をマスキングする場合は、切り捨てやハッシュ化も選択肢となります。要件 4 では、オープンなパブリックネットワークを通過するすべてのカードデータはエンドツーエンドで暗号化する必要があると規定されています。内部的な便宜上、または標準に先立つ従来の環境に対する例外はありません。

機密認証データ (SAD) は異なるアプローチをとっており、完全な磁気ストライプまたはチップデータ、カード検証値 (CVV)、および PIN ブロックが含まれます。PCI DSS では、暗号化のステータスに関係なく、オーソリ完了後にこれらを保存することはできません。

PCI DSS は暗号化にどの暗号化標準とプロトコルを承認しているか

PCI DSS は「強力な暗号化」を要求しており、PCI セキュリティ基準審査会によって、少なくとも 112 ビットの有効なキー強度を提供するあらゆる方法として定義されています。実際には、この定義は受け入れられる選択肢の短いリストを指しています。

• 保存中のデータ: AES-256 が一般的な標準です。強度のしきい値をクリアしており、クラウドプロバイダーや決済インフラストラクチャで広くサポートされています。Triple DES (3DES) は一部の構成では技術的に要件を満たしますが、PCI セキュリティ基準審査会はこれを非推奨としており、ほとんどの新しいシステムでは完全にスキップされています。

• 非対称暗号化: 対称キーの交換または証明書の署名に使用され、一般的に 2048 ビット以上の Rivest-Shamir-Adleman (RSA)、または 224 ビット以上の楕円曲線暗号 (ECC) を意味します。

• 転送中のデータ: TLS 1.2 が最低ラインであり、TLS 1.3 が実質的なデフォルトと見なされることが増えています。SSL はすべてのバージョンで、また初期の TLS バージョン (1.0 および 1.1) は明示的に許可されていません。

• 暗号スイート: 認定されるスイートには既知の脆弱性がない必要があり、RC4 (Rivest Cipher 4) や古い設定から残されたエクスポートレベルの暗号は除外されます。

• 証明書の強度: 公開証明書には、2048 ビットの RSA 以上、有効期限が切れていないこと、および信頼できる認証局からの発行が必要です。

• プロトコルネゴシエーション: サーバーは、許可されていないプロトコルバージョンにフォールバックする接続試行を、黙って許可するのではなく、拒否する必要があります。

暗号化によって PCI コンプライアンスの範囲はどのように縮小されるか

PCI DSS の用語におけるコンプライアンスの範囲とは、カード保有者データを保存、処理、または転送するすべてのシステムに加え、それらのセキュリティに影響を与える可能性のある、それらの資産に接続されたあらゆるものを意味します。これは総称してカード保有者データ環境 (CDE) と呼ばれます。

システムが復号化する手段を持たずに暗号化されたカード保有者データを処理する場合、PCI セキュリティ基準審査会はそれを範囲外、または少なくとも縮小された範囲のカテゴリーとして扱います。ここで P2PE が役立ちます。PCI リストに掲載されている P2PE ソリューションは、検証済みのハードウェア内部のインタラクションポイントでカードデータを暗号化します。復号化はビジネス独自のインフラストラクチャではなく、P2PE ソリューションプロバイダーの安全な環境に限定されます。

P2PE は評価範囲を大幅に狭めるため、検証済みの P2PE ソリューションは通常、短い PCI SAQ の 1 つである P2PE 自己問診票 (SAQ) の対象となります。セグメンテーションにより、範囲はさらに狭まります。カードデータシステムを一般的なビジネスシステムとは切り離して独自のネットワークセグメントに分離すると、カード保有者データを一切扱わないシステムを評価対象から完全に除外できます。

暗号化かトークン化か: PCI 暗号化の要件を最も満たす戦略はどちらか

暗号化により PAN は読み取り不可能な暗号文に変換されますが、元の番号は依然としてどこかに存在します。適切なキーを持つ者であれば誰でも、プロセスを元に戻すことができます。トークン化では、ビジネスの環境から PAN を完全に取り除き、元の番号と数学的な関係がなく、盗まれても価値がないトークンに置き換えます。

サブスクリプション、保存された決済手段、またはワンクリック決済など、最初の取引の後に顧客の決済手段を参照する必要がある場合、トークン化は大きな違いをもたらします。暗号化された PAN が内部に保存されている場合、ビジネスは依然として完全なカード番号とその付随するすべて (キー管理の義務、拡大された監査範囲、関連するキーが侵害された場合のエクスポージャーなど) を保持していることになります。しかし、代わりに Stripe などの決済代行業者が生成して保持するトークンを保存すれば、機密値がそもそもシステムに触れることはありません。多くの設定では、長期的に保存されるものにはトークン化を使用し、ネットワークを移動するものには暗号化を使用するなど、両方を組み合わせています。

キー管理が PCI 暗号化で見落とされがちな部分である理由

暗号化は、そのキーがどれだけ適切に保護されているかに依存しますが、そうしたプラクティスは見落とされがちです。以下に注意してください。

• 分割された知識と二重管理: 完全な暗号化キーに 1 人の人間がアクセスできる必要はありません。キーのコンポーネントを複数の人に分割し、キーの再構築に複数の人を要求することで、特定の個人が環境を単独で侵害することを防ぎます。

• 安全なキーの保存: キーは、保護するデータとは別に、通常はハードウェアセキュリティモジュール (HSM) または同等のキー管理システムに保存する必要があります。暗号化された値と同じデータベースまたはファイルシステムから遠ざける必要があります。

• 定義された暗号期間: すべてのキーには、保護するデータの量や使用頻度などの要因に基づいて、廃止および交換されるまでの文書化された寿命が必要です。

• 文書化されたキー保管者の責任: キー管理タスクの責任者を書面による手順で特定する必要があります。それらの保管者は、その責任を正式に認める必要があります。

PCI DSS 4.0 では、ビジネスは暗号化アーキテクチャを少なくとも 12 カ月に 1 回は見直し、使用されているアルゴリズム、プロトコル、およびキーの長さが現在も標準を満たしており、時代遅れになっていないことを確認する必要があります。

ビジネスが PCI 暗号化要件を満たさない場合はどうなるか

PCI DSS 暗号化要件を満たさない場合、侵害の前後で起こることが変わります。インシデントが発生する前でも、コンプライアンス違反は年次レビュープロセスで明らかになります。アクワイアリングバンクとカードネットワークは、ビジネスをコンプライアンス違反とフラグ付けし、カード決済の処理を継続する能力に影響を与え、将来的に監視の強化や追加のレビュー要件を促す可能性があります。

侵害が発生し、その時点でそれらの管理が満たされていなかったことが調査で判明した場合、結果はさらに深刻になります。カード保有者データが関連する侵害が確認された後は、通常、フォレンジック調査が必要になります。保存時および転送時に PAN が適切に暗号化されていたかどうかを具体的に調べます。暗号化されていなかった場合、責任は決済代行業者またはアクワイアリングバンクと共有されず、ビジネス側に重くのしかかることになります。

このような結果が出た後に、アクワイアリングバンクや決済代行業者の信頼を回復することは困難になる可能性があります。暗号化の失敗は内部データ処理の他の弱点も浮き彫りにする傾向があるため、銀行は他の箇所で抜け穴が見つかった場合に、単一の管理を修正しただけでは納得しない可能性が高いからです。

Stripe Payments でできること

Stripe Payments は統合型のグローバル決済ソリューションを提供します。成長中のスタートアップから大企業まで、あらゆるビジネスがオンライン、対面、そして世界各地でスムーズに決済を導入できます。

Stripe Payments の特徴

• 決済体験の最適化: 構築済みの決済 UI、125 種類以上の決済手段、Stripe が構築したウォレット「Link」により、スムーズな顧客体験を実現するとともに、数千におよぶ開発時間を削減します。

• 新市場へのスピーディーな展開: 195 カ国、135 以上の通貨で利用可能な決済オプションにより、世界中の顧客にリーチし、多通貨管理の複雑さとコストを削減します。

• 対面とオンライン決済の統合: オンラインと対面を統合したコマース体験を構築。顧客とのやり取りをパーソナライズし、ロイヤルティを高め、収益拡大を促進します。

• 決済パフォーマンス of 向上: ノーコードの不正利用対策や承認率改善のための高度な機能など、カスタマイズ可能で設定が簡単な決済ツールで収益を増加させます。

• 柔軟で信頼性の高いプラットフォームで事業成長: 業界最高レベルの信頼性を備えたプラットフォーム上でビジネスを構築し、拡大。稼働時間は 99.999% を誇ります。

Stripe Payments のオンラインおよび対面決済について、詳しくはこちらをご覧ください。今すぐ 開始する場合はこちら。