--- title: "PCI DSSとは？クレジットカード情報を守る国際基準【SG試験】" description: "PCI DSSはクレジットカード情報を保護するための国際セキュリティ基準です。対象範囲や目的を整理し、SG試験・情報セキュリティマネジメント試験で問われる適用対象や誤解ポイントを分かりやすく解説します。 選択肢で問われる目的・対象・責任範囲を押さえ、似た用語や対策との違いを判断できるようにします。" last_modified_at: "2026-06-13" canonical_url: "https://stemtazoo.github.io/sg/pci-dss/" section: "sg" --- ## まず結論 PCI DSS（Payment Card Industry Data Security Standard）は、クレジットカード情報を安全に扱うために、カード業界が定めたセキュリティ基準です。 SG試験では「誰に適用されるか」と「何を守る基準か」に加えて、**要件番号と対策の対応関係**を判断させる問題として出題されます。 ## このページで切り分けること（先にここだけ） このページは、**PCI DSSがカード会員データを守るための基準であること**を中心に整理します。 - 要件1：ファイアウォールなどで安全なネットワークを構成・維持する - 要件3：保存されるカード会員データを保護する - 要件6：安全性の高いシステムとアプリケーションを開発・保守する - 要件7：カード会員データへのアクセスを業務上必要な範囲に制限する > 迷ったら、**「ネットワークの境界か、保存データか、Webアプリか、アクセス制御か」** を見ます。 ## SG試験で選択肢を切る判断軸（PCI DSS編） - 「ファイアウォールをインストールして構成を維持」と書かれている → 要件1の話 - 「保存されるカード会員データを保護」と書かれている → 要件3の話 - 「WAF」「Webアプリケーション」「SQLインジェクション」「XSS」と書かれている → 要件6の話 - 「カード会員データへのアクセスを業務上必要な範囲に制限」と書かれている → 要件7の話 --- ## 直感的な説明 ネットショップや店舗でクレジットカードを使うとき、 「このお店、大丈夫かな？」と不安になることがありますよね。 PCI DSSは、 👉「カード情報を扱う会社は、このルールを守ってね」 という**共通ルール**です。 つまり、 - 店舗 - ECサイト - 決済代行会社 など、**カード情報に触れるすべての組織に求められる“最低限の安全基準”**です。 --- ## 定義・仕組み PCI DSSは、VisaやMastercardなどのカードブランドが共同で策定した **クレジットカード情報保護のための国際的なセキュリティ基準**です。 ポイントは次の3つです。 ### ① 対象 - クレジットカード情報を保存・処理・送信するすべての組織 （加盟店・決済代行業者など） 👉 **企業の規模に関係なく適用される** --- ### ② 守る対象 - カード番号 - 有効期限 - セキュリティコード など 👉 **「カード情報そのもの」を守る基準** ### カードセキュリティコードは承認後に保管しない カードセキュリティコード（CAV2 / CVC2 / CVV2 / CID）は、PCI DSSでは機密認証データとして扱います。 SG試験では、取引承認後の取扱いが問われることがあります。 | 立場 | 取引承認後の取扱い | |---|---| | 加盟店 | 保管しない | | サービスプロバイダ | 保管しない | 重要なのは、**暗号化しても保管してはいけない** という点です。 カードセキュリティコードは、カード情報を偽造したり不正な取引を行ったりするために悪用されるおそれがあります。 そのため、取引承認後は、加盟店でもサービスプロバイダでも保管しないと判断します。 選択肢で「暗号化して保管する」と書かれていても、カードセキュリティコードについては誤りです。 --- ### ③ 内容（考え方） 細かい技術よりも、次のような基本対策が中心です。 - ネットワークの保護（ファイアウォールなど） - アクセス制御（必要最小限の権限） - ログの監視 - 脆弱性管理 - セキュリティポリシーの整備 👉 ISMSのように広い概念ではなく、 **「カード情報に特化した具体的な運用ルール」**なのが特徴です。 ### WAFはどの要件に関係する？ 古い過去問で出る PCI DSS Version 2.0 の要件では、WAFの導入は **要件6：安全性の高いシステムとアプリケーションを開発し、保守すること** の詳細要件として整理します。 WAFは、Webアプリケーションの前段で通信内容を確認し、SQLインジェクションやXSSなどのWebアプリ攻撃を検知・遮断する対策です。 そのため、選択肢に「WAFの導入」が出たら、単なるネットワークファイアウォールの要件ではなく、**Webアプリケーションを守る要件6** と結びつけます。 | 選択肢の表現 | PCI DSSでの見方 | |---|---| | カード会員データを保護するため、ファイアウォールを構成・維持する | 要件1 | | 保存されるカード会員データを保護する | 要件3 | | WAFを導入し、Webアプリケーションへの攻撃を検知・遮断する | 要件6 | | カード会員データへのアクセスを業務上必要な範囲に制限する | 要件7 | なお、PCI DSSの版によって要件番号や表現は変わります。SG試験では、問題文に版数が示されている場合は、その版の表現に合わせて読みます。 --- ## どんな場面で使う？ ### 使うべき場面 - ECサイトでクレジットカード決済を導入する - 決済システムを外部委託する - カード情報を社内システムで扱う 👉 **カード情報を扱うなら必ず関係する** --- ### 注意が必要な場面 - 「うちは小規模だから関係ない」 - 「決済を外注しているから関係ない」 👉 どちらも誤りです。 **委託していても責任は残る（委託先管理が重要）** --- ## よくある誤解・混同 ### ❌ ISMSと同じもの → ⭕ PCI DSSは「カード情報に特化した業界基準」 ISMSは「組織全体の情報セキュリティ管理」 --- ### ❌ 大企業だけ対象 → ⭕ 小規模な店舗・ECサイトでも対象 --- ### ❌ 外部委託すれば対応不要 → ⭕ 委託先も含めて管理責任がある 👉 SG試験では 「委託したので責任はない」と書かれていたら誤り --- ### ❌ 脆弱性評価の基準（CVSS）と同じ → ⭕ PCI DSSは「運用ルール」 CVSSは「脆弱性の深刻度を数値化する指標」 👉 **“守るルール”と“評価する指標”の違い**が重要 --- ### ❌ カードセキュリティコードは暗号化すれば承認後も保管できる → ⭕ カードセキュリティコードは、承認後は暗号化していても保管しない 加盟店でもサービスプロバイダでも、取引承認後はカードセキュリティコードを保管しないと判断します。 --- ### ❌ WAFは要件1のファイアウォールと同じ扱いである → ⭕ WAFはWebアプリケーションを守る対策として、要件6と結びつけて考える 通常のファイアウォールは、主に通信元・通信先・ポートなどを見てネットワーク境界を守ります。 一方、WAFはWebアプリケーションへのリクエスト内容を見て、SQLインジェクションやXSSなどを検知・遮断します。 SG試験では、**「WAF」「Webアプリ」「SQLインジェクション」「XSS」なら要件6** と判断します。 --- ## 確認問題（SG試験対策） PCI DSSの説明として最も適切なものはどれか。 - ア. すべての業種に共通する労務管理の法令要件である。 - イ. クレジットカード会員データを扱う事業者向けのセキュリティ基準である。 - ウ. 無線LAN暗号化方式の技術仕様そのものである。 - エ. インシデント報告の書式だけを定めたガイドである。
▶ クリックして答えと解説を見る（ここを開く） **正解：イ** ### 解説 - ア：労務法令ではありません。 - イ：カード情報保護のための業界基準です。 - ウ：暗号方式そのものを定義する規格ではありません。 - エ：報告書式限定ではなく管理策全般を扱います。 👉 判断ポイント PCI DSSは「カード会員データ保護の実務基準」。
## まとめ（試験直前用） - PCI DSS＝クレジットカード情報保護の業界基準 - 対象は「カード情報を扱うすべての組織」 - WAFの導入は、Webアプリケーションを守る要件6と結びつける - 小規模でも、委託していても対象 - カードセキュリティコードは、承認後は暗号化していても保管しない - ISMSとは別物（より具体・対象限定） - 「責任がない」と書かれていたら誤りと判断する ## 公式情報・参考リンク - PCI Security Standards Council（PCI SSC）: [PCI DSS の公式ページ](https://www.pcisecuritystandards.org/standards/pci-dss/) - PCI Security Standards Council（PCI SSC）: [PCI DSS v2.0 Requirements and Security Assessment Procedures](https://www.pcisecuritystandards.org/minisite/en/docs/pci_dss_v2-0.pdf) - PCI Security Standards Council（PCI SSC）: [Document Library（公式ドキュメント一覧）](https://www.pcisecuritystandards.org/document_library/) ※試験対策では、版数や細かな要件番号を暗記するよりも、PCI DSSが「カード会員データを扱う組織向けのセキュリティ基準」である点を優先して整理すると判断しやすくなります。