PCI DSSとは？クレジットカード情報を守るセキュリティ基準をわかりやすく解説【IPA試験対策】

対象試験と出題頻度

PCI DSSは、ITパスポート・情報セキュリティマネジメント・基本情報技術者・応用情報技術者で出題されることがあるテーマです。

クレジットカード情報に関するセキュリティ基準として、基本的な概念を押さえておきましょう。

詳細をクリックして確認

対象試験：
ITパスポート
情報セキュリティマネジメント
基本情報技術者
応用情報技術者

出題頻度：
★★☆☆☆
ランクC（応用）余裕があれば覚える

用語の定義

PCI DSS（Payment Card Industry Data Security Standard）とは、一言で言うと「クレジットカード情報を安全に取り扱うための国際的なセキュリティ基準」のことです。

イメージとしては、「クレジットカードを扱うお店やシステムの安全ルールブック」のようなものです。
飲食店が食品衛生法を守らなければならないように、クレジットカード情報を扱う事業者はPCI DSSという基準を守る必要があります。「カード情報を盗まれないようにしっかり管理してね」というルールが、細かく定められているわけです。

情報処理試験を勉強していると、「PCI DSSって誰が守るの？」「ISMSとは何が違うの？」という疑問が浮かびがちです。PCI DSSはクレジットカード情報を扱うすべての事業者が対象で、カードブランド（Visa、Mastercard等）が共同で策定した業界基準です。ISMSは情報セキュリティ全般の認証制度ですが、PCI DSSはクレジットカードに特化した基準という違いがあります。

解説

PCI DSSは、クレジットカード情報の漏えいや不正利用を防ぐために、国際的なカードブランドが共同で策定したセキュリティ基準です。

ECサイト、小売店、決済代行会社など、カード情報を扱うあらゆる事業者が準拠を求められます。

PCI DSSが生まれた背景

かつて、クレジットカード情報の漏えい事件が世界中で多発していました。カード情報が盗まれると、不正利用による被害がカード会員や加盟店、カード会社に及びます。

そこで2004年、Visa、Mastercard、American Express、Discover、JCBの5大カードブランドが共同でPCI SSC（PCI Security Standards Council）を設立し、統一的なセキュリティ基準としてPCI DSSを策定しました。

PCI DSSの対象となる事業者

PCI DSSは、クレジットカード情報を「保存」「処理」「伝送」するすべての事業者が対象です。具体的には以下のような事業者が該当します。

「うちは小さなお店だから関係ない」と思うかもしれませんが、クレジットカード決済を導入している限り、規模に関係なくPCI DSSの対象となります。ただし、カード情報を自社で保存せず、決済代行会社に任せている場合は、準拠の負担が軽減されます。

PCI DSSの6つの目標と12の要件

PCI DSSは、6つの目標と12の要件で構成されています。試験では12の要件すべてを暗記する必要はありませんが、「6つの目標がある」「セキュリティ対策が体系的に定められている」という点を理解しておきましょう。

PCI DSSとISMSの違い

情報セキュリティの認証制度としてはISMS（ISO/IEC 27001）が有名ですが、PCI DSSとは目的と対象が異なります。

簡単に言えば、PCI DSSは「クレジットカード専用の具体的なルール」、ISMSは「情報セキュリティ全般の管理の仕組み」です。両方を取得している企業も多くあります。

---

試験ではこう出る！

PCI DSSは、クレジットカードのセキュリティに関する問題で登場することがあります。以下のポイントを押さえておきましょう。

---

【確認テスト】理解度チェック

ここまでの内容を理解できたか、簡単なクイズで確認してみましょう。