最終更新日：2026年6月13日

sg sg-security-law it_security_operations vendor_management

まず結論

PCI DSS（Payment Card Industry Data Security Standard）は、クレジットカード情報を安全に扱うために、カード業界が定めたセキュリティ基準です。

SG試験では「誰に適用されるか」と「何を守る基準か」に加えて、要件番号と対策の対応関係を判断させる問題として出題されます。

このページで切り分けること（先にここだけ）

このページは、PCI DSSがカード会員データを守るための基準であることを中心に整理します。

  • 要件1：ファイアウォールなどで安全なネットワークを構成・維持する
  • 要件3：保存されるカード会員データを保護する
  • 要件6：安全性の高いシステムとアプリケーションを開発・保守する
  • 要件7：カード会員データへのアクセスを業務上必要な範囲に制限する

迷ったら、「ネットワークの境界か、保存データか、Webアプリか、アクセス制御か」 を見ます。

SG試験で選択肢を切る判断軸（PCI DSS編）

  • 「ファイアウォールをインストールして構成を維持」と書かれている → 要件1の話

  • 「保存されるカード会員データを保護」と書かれている → 要件3の話

  • 「WAF」「Webアプリケーション」「SQLインジェクション」「XSS」と書かれている → 要件6の話

  • 「カード会員データへのアクセスを業務上必要な範囲に制限」と書かれている → 要件7の話

直感的な説明

ネットショップや店舗でクレジットカードを使うとき、
「このお店、大丈夫かな？」と不安になることがありますよね。

PCI DSSは、
👉「カード情報を扱う会社は、このルールを守ってね」
という共通ルールです。

つまり、

  • 店舗
  • ECサイト
  • 決済代行会社

など、カード情報に触れるすべての組織に求められる“最低限の安全基準”です。

定義・仕組み

PCI DSSは、VisaやMastercardなどのカードブランドが共同で策定した
クレジットカード情報保護のための国際的なセキュリティ基準です。

ポイントは次の3つです。

① 対象

  • クレジットカード情報を保存・処理・送信するすべての組織
    （加盟店・決済代行業者など）

👉 企業の規模に関係なく適用される

② 守る対象

  • カード番号
  • 有効期限
  • セキュリティコード など

👉 「カード情報そのもの」を守る基準

カードセキュリティコードは承認後に保管しない

カードセキュリティコード（CAV2 / CVC2 / CVV2 / CID）は、PCI DSSでは機密認証データとして扱います。

SG試験では、取引承認後の取扱いが問われることがあります。

立場 取引承認後の取扱い
加盟店 保管しない
サービスプロバイダ 保管しない

重要なのは、暗号化しても保管してはいけない という点です。

カードセキュリティコードは、カード情報を偽造したり不正な取引を行ったりするために悪用されるおそれがあります。 そのため、取引承認後は、加盟店でもサービスプロバイダでも保管しないと判断します。

選択肢で「暗号化して保管する」と書かれていても、カードセキュリティコードについては誤りです。

③ 内容（考え方）

細かい技術よりも、次のような基本対策が中心です。

  • ネットワークの保護（ファイアウォールなど）
  • アクセス制御（必要最小限の権限）
  • ログの監視
  • 脆弱性管理
  • セキュリティポリシーの整備

👉 ISMSのように広い概念ではなく、 「カード情報に特化した具体的な運用ルール」なのが特徴です。

WAFはどの要件に関係する？

古い過去問で出る PCI DSS Version 2.0 の要件では、WAFの導入は 要件6：安全性の高いシステムとアプリケーションを開発し、保守すること の詳細要件として整理します。

WAFは、Webアプリケーションの前段で通信内容を確認し、SQLインジェクションやXSSなどのWebアプリ攻撃を検知・遮断する対策です。

そのため、選択肢に「WAFの導入」が出たら、単なるネットワークファイアウォールの要件ではなく、Webアプリケーションを守る要件6 と結びつけます。

選択肢の表現 PCI DSSでの見方
カード会員データを保護するため、ファイアウォールを構成・維持する 要件1
保存されるカード会員データを保護する 要件3
WAFを導入し、Webアプリケーションへの攻撃を検知・遮断する 要件6
カード会員データへのアクセスを業務上必要な範囲に制限する 要件7

なお、PCI DSSの版によって要件番号や表現は変わります。SG試験では、問題文に版数が示されている場合は、その版の表現に合わせて読みます。

どんな場面で使う？

使うべき場面

  • ECサイトでクレジットカード決済を導入する
  • 決済システムを外部委託する
  • カード情報を社内システムで扱う

👉 カード情報を扱うなら必ず関係する

注意が必要な場面

  • 「うちは小規模だから関係ない」
  • 「決済を外注しているから関係ない」

👉 どちらも誤りです。
委託していても責任は残る（委託先管理が重要）

よくある誤解・混同

❌ ISMSと同じもの

→ ⭕ PCI DSSは「カード情報に特化した業界基準」
ISMSは「組織全体の情報セキュリティ管理」

❌ 大企業だけ対象

→ ⭕ 小規模な店舗・ECサイトでも対象

❌ 外部委託すれば対応不要

→ ⭕ 委託先も含めて管理責任がある

👉 SG試験では
「委託したので責任はない」と書かれていたら誤り

❌ 脆弱性評価の基準（CVSS）と同じ

→ ⭕ PCI DSSは「運用ルール」 CVSSは「脆弱性の深刻度を数値化する指標」

👉 “守るルール”と“評価する指標”の違いが重要

❌ カードセキュリティコードは暗号化すれば承認後も保管できる

→ ⭕ カードセキュリティコードは、承認後は暗号化していても保管しない

加盟店でもサービスプロバイダでも、取引承認後はカードセキュリティコードを保管しないと判断します。

❌ WAFは要件1のファイアウォールと同じ扱いである

→ ⭕ WAFはWebアプリケーションを守る対策として、要件6と結びつけて考える

通常のファイアウォールは、主に通信元・通信先・ポートなどを見てネットワーク境界を守ります。

一方、WAFはWebアプリケーションへのリクエスト内容を見て、SQLインジェクションやXSSなどを検知・遮断します。

SG試験では、「WAF」「Webアプリ」「SQLインジェクション」「XSS」なら要件6 と判断します。

確認問題（SG試験対策）

PCI DSSの説明として最も適切なものはどれか。

  • ア. すべての業種に共通する労務管理の法令要件である。
  • イ. クレジットカード会員データを扱う事業者向けのセキュリティ基準である。
  • ウ. 無線LAN暗号化方式の技術仕様そのものである。
  • エ. インシデント報告の書式だけを定めたガイドである。
▶ クリックして答えと解説を見る（ここを開く）

正解：イ

解説

  • ア：労務法令ではありません。
  • イ：カード情報保護のための業界基準です。
  • ウ：暗号方式そのものを定義する規格ではありません。
  • エ：報告書式限定ではなく管理策全般を扱います。

👉 判断ポイント
PCI DSSは「カード会員データ保護の実務基準」。

まとめ（試験直前用）

  • PCI DSS＝クレジットカード情報保護の業界基準
  • 対象は「カード情報を扱うすべての組織」
  • WAFの導入は、Webアプリケーションを守る要件6と結びつける
  • 小規模でも、委託していても対象
  • カードセキュリティコードは、承認後は暗号化していても保管しない
  • ISMSとは別物（より具体・対象限定）
  • 「責任がない」と書かれていたら誤りと判断する

公式情報・参考リンク

※試験対策では、版数や細かな要件番号を暗記するよりも、PCI DSSが「カード会員データを扱う組織向けのセキュリティ基準」である点を優先して整理すると判断しやすくなります。

© 2024-2026 stemtazoo. All rights reserved.