クレジットカード決済を扱う事業者が、カード会社や決済代行会社から「PCI DSSに準拠してください」と求められる場面が増えています。
PCI DSS（Payment Card Industry Data Security Standard）は、カード会員データを安全に取り扱うための国際的なセキュリティ基準です。しかし「準拠すると具体的に何をやらされるのか」「そもそも自社は対象なのか」が分からず、対応の全体像をつかめないまま検索する担当者は少なくありません。
本記事では、PCI DSS準拠の中身（12の要件）と対象事業者の線引き、自社のレベルと検証手段（訪問審査・スキャン・自己問診）、準拠までの手順と費用の目安、そして割賦販売法との関係までを整理します。あわせて、カード情報を自社で持たずに準拠の負担を軽くする「非保持化」と、その実現手段となる決済代行サービスについても解説します。
目次
一括ダウンロードする
PCI DSS準拠とは｜カード会員データを守る国際基準
ここでは、PCI DSSがどのような基準で、「準拠」とは何を満たした状態を指すのかを先に押さえます。
PCI DSS準拠とは、カード会員データを保存・処理・伝送する事業者が、定められた要件を満たしていることを、決められた方法で証明した状態を指します。
PCI DSSは、American Express、Discover、JCB、MasterCard、VISAの国際カードブランド5社が共同で設立したPCI SSC（Payment Card Industry Security Standards Council）が運用する、クレジットカード業界の国際セキュリティ基準です。
「準拠」の中身は、基準の運用面を担う公的なガイドラインが次のように定義しています。
安全なネットワークの構築やカード会員データの保護等、12の要件に基づいて約400の要求事項から構成されており、「準拠」とは、このうち該当する要求事項に全て対応できていることをいう。PCI DSS準拠の検証方法としては、①オンサイトレビュー（認定セキュリティ評価機関（QSA）による訪問審査）又は②自己問診（SAQ、自己評価によってPCI DSS準拠の度合いを評価し、報告することができるツール）による方法がある。
出典：クレジットカード・セキュリティガイドライン【6.0版】｜クレジット取引セキュリティ対策協議会（一般社団法人日本クレジット協会）
PCI DSS準拠とは、12の要件（約400の要求事項）のうち自社に該当するものにすべて対応し、それを訪問審査または自己問診で証明した状態です。この後は、自社に該当するかどうかから、満たすべき要件、証明の方法までを順に見ていきます。
出典・参考資料（2件）
PCI DSS準拠が必要な事業者｜自社が対象かの線引き
ここからは、自社が準拠の対象になるのかを、カード情報の扱い方から判断できるように整理します。
カード情報を保存・処理・伝送する事業者が原則すべて対象
PCI DSSは、クレジットカード会員データを保存・処理・伝送するすべての事業者を対象とします。ECサイトの運営事業者、実店舗でカード決済を受け付ける加盟店、決済を仲介するサービスプロバイダーなど、カード情報が自社の環境を通過する事業者は、規模の大小にかかわらず原則として対象に含まれます。
日本国内では、この対応が法律とも結びついています。割賦販売法は、カード情報を取り扱う加盟店に対し、その適切な管理と不正利用の防止を義務づけています（詳細は割賦販売法とPCI DSS準拠の関係で解説します）。
決済代行に任せて「非保持化」した場合、義務はどう変わるか
対象の線引きで重要なのが、自社がカード情報を「持つか・持たないか」です。カード情報を自社の機器やネットワークで保存・処理・通過させない状態を「非保持化」と呼びます。国内のガイドラインは、非保持化を次のように定義しています。
本ガイドラインで示す加盟店における「非保持化」とは、「自社で保有する機器・ネットワークにおいて『カード情報』を『保存』『処理』『通過』しないこと」を言い、カード情報に含まれる「機密認証データ」の保持も認められない。
出典：クレジットカード・セキュリティガイドライン【6.0版】｜クレジット取引セキュリティ対策協議会（一般社団法人日本クレジット協会）
非保持化を実現すると、カード情報そのものが自社環境を通らなくなるため、PCI DSSで求められる要求事項の多くが自社の適用範囲から外れます。決済代行会社が提供するリンク型・トークン型の決済を利用し、カード情報を自社で受け取らない構成にすると、後述する自己問診（SAQ）の負担が軽くなります。
ただし、非保持化はPCI DSS準拠の代わりになる措置であって、「準拠が不要になる」わけではない点に注意が必要です。この違いは非保持化で準拠負担を軽くするの章で詳しく整理します。自社の状況ごとの対象の目安は、次の表で確認できます。
| 自社サーバーでカード情報を保存・処理している | 決済代行にすべて委託し、カード情報を自社で持たない（非保持化） | リダイレクト・トークン型で一部が自社サイトを経由する | |
|---|---|---|---|
| PCI DSSとの関係 | 準拠の対象（適用範囲が広い） | 準拠に並ぶ措置として認められる | 準拠の対象（範囲は限定的） |
| 主な対応の方向性 | PCI DSS準拠（自己問診はSAQ Dが基本） | 非保持化＋簡易な自己問診（SAQ A など） | 非保持化＋自己問診（SAQ A-EP など）＋脆弱性対策 |
※自己問診（SAQ）は準拠を自ら評価・報告する検証手段で、各タイプの意味は後述の「SAQの種類」で解説します。実際の該当はアクワイアラー等の指示によります。
非保持化そのものの意味や、EC事業者に非保持化が求められる理由・具体的な実現方法をもう一段掘り下げたい場合は、次の記事で詳しく解説しています。
PCI DSSの12の要件（6つの目標）
ここでは、準拠で求められる中身である「6つの目標」と「12の要件」を、最新のv4.0.1にもとづいて一覧で示します。名前だけでは実務のイメージがつかみにくいため、各要件が何を求めているかも一言ずつ添えます。
| 6つの目標 | 要件 | 求められること（概要） |
|---|---|---|
| 安全なネットワークのシステムの構築と維持 | 要件1：ネットワークセキュリティコントロールの導入と維持 | ファイアウォール等でカード情報を扱う区画を保護する |
| 要件2：すべてのシステムコンポーネントにセキュアな設定を適用する | 初期パスワードや不要な既定設定を安全な設定に変更する | |
| アカウントデータの保護 | 要件3：保存されたアカウントデータの保護 | 保存するカード情報を暗号化し、不要なデータは保持しない |
| 要件4：オープンな公共ネットワークでの送信時に、強力な暗号化技術でカード会員データを保護する | 通信経路でカード情報を暗号化して送る | |
| 脆弱性管理プログラムの維持 | 要件5：悪意のあるソフトウェアからすべてのシステムおよびネットワークを保護する | マルウェア対策を導入し最新の状態に保つ |
| 要件6：安全なシステムおよびソフトウェアの開発と維持 | 脆弱性を修正し、安全な開発・運用を行う | |
| 強力なアクセス制御の実施 | 要件7：システムコンポーネントおよびカード会員データへのアクセスを、業務上必要な適用範囲(Need to Know)によって制限する | カード情報に触れる権限を業務上必要な人だけに限定する |
| 要件8：ユーザーの識別とシステムコンポーネントへのアクセスの認証 | 利用者を一意に識別し、多要素認証などで本人確認する | |
| 要件9：カード会員データへの物理アクセスを制限する | サーバー室や書類など物理的なアクセスを制限する | |
| ネットワークの定期的な監視とテスト | 要件10：システムコンポーネントおよびカード会員データへのすべてのアクセスをログに記録し、監視すること | アクセスのログを記録・監視し追跡できるようにする |
| 要件11：システムおよびネットワークのセキュリティを定期的にテストする | 脆弱性スキャンやテストを定期的に実施する | |
| 情報セキュリティ・ポリシーの維持 | 要件12：組織の方針とプログラムによって情報セキュリティをサポートする | セキュリティ方針を定め、従業員に周知・教育する |
出典・参考資料（1件）
- 出典：PCIDSS Ver4.0.1／PCI DSS要求基準の構成（6つの項目・12の要件）｜JCDSC 日本カード情報セキュリティ協議会（PDF）
v4.0系での主な変更点（カスタマイズアプローチ）
現行のPCI DSSはv4.x系で、要件を満たす手法に柔軟性を持たせる「カスタマイズアプローチ」が導入されました。従来の定められた手法（定義アプローチ）に加え、同等のセキュリティ目的を別の手法で達成する事業者向けの選択肢が用意された形です。
V4.0以降では、セキュリティ目的を達成するための異なる手法を採用している事業体のために、「カスタマイズアプローチ」という柔軟性を高める仕組みを導入した。
出典：PCIDSS Ver4.0.1｜JCDSC 日本カード情報セキュリティ協議会
v4.0からv4.0.1への更新の詳細な内容は、PCI SSC公式の変更概要文書で確認できます。導入にあたっては、最新版の要求事項を公式資料で確かめることをおすすめします。
とくにECサイトを運営する場合、v4.0で正式な要件になった6.4.3（決済ページのスクリプト管理）と11.6.1（改ざん検知）が自社に必須かどうかは、決済ページの接続方式によって変わります。要件番号レベルで対応要否を確認したい方は、次の記事で接続方式別の必須対応を整理しています。
【2025年3月31日発効】PCI DSS v4.0 の 6.4.3・11.6.1 とは｜EC 決済ページの接続方式別に必須対応を整理
PCI DSS v4.0 のうち EC 決済ページに直接効く 6.4.3（スクリプト管理）と 11.6.1（改ざん検知）が、2025 年 3 月 31 日をもって正式な要件へ移行しました。要件番号レベルで自社の対応要否を確認したいという担当…
事業者レベルと検証手段（訪問審査・スキャン・SAQ）
ここからは、自社が「どのレベルで」「何をもって準拠を証明するのか」を確認します。求められる証明方法は、年間のカード取引件数によって変わります。
事業者レベルの判定境界（年間取引件数）
加盟店のレベルは、年間のカード取引件数を基準にカードブランドが区分します。最上位（訪問審査が求められるレベル）の境界は、ブランドによって次のように異なります。
| 最上位レベル | 中位レベル | 下位レベル | |
|---|---|---|---|
| 年間取引件数の目安 | VISA・MasterCard 600万件以上／American Express 250万件以上／JCB 100万件以上 | いずれかのブランドで100万件以上（最上位を除く） | いずれのブランドでも100万件未満 |
| 主な検証手段 | 訪問審査（QSA）が中心 | 自己問診（SAQ）または訪問審査 | 自己問診（SAQ）が中心 |
※事業者レベルの区分と年間取引件数の目安。最上位の境界はブランドにより異なり、レベル定義や必要な手続きの最終確認はアクワイアラーの指示によります。
おおまかには、取引件数が多い上位レベルの事業者ほど厳格な検証（訪問審査）が求められ、100万件に満たない多くの中小事業者は自己問診（SAQ）を中心に準拠を証明します。レベルの正確な区分や必要な手続きは、契約するアクワイアラー（決済を取りまとめるカード会社）の指示に従って確認するのが実務的です。
出典・参考資料（1件）
- 出典：PCIDSS Ver4.0.1「PCI DSSの適用レベル」｜JCDSC 日本カード情報セキュリティ協議会（PDF）
検証手段：訪問審査・ASVスキャン・自己問診（SAQ）
準拠を証明する手段は、主に次の3つです。どれが必要になるかは、前述の事業者レベルによって決まります。
- 訪問審査（QSA審査）：認定審査会社（QSA）の審査員が、カード情報を扱うシステムや業務を実際に審査します。年1回実施し、報告書（ROC）と準拠証明書（AOC）を作成します。上位レベルの事業者に求められます。
- ASVスキャン（脆弱性スキャン）：PCI SSCが認定した業者（ASV）が、外部ネットワークの脆弱性スキャンを四半期ごとに実施します。1年分の結果レポートをそろえて対応状況を示します。これは外部からアクセスできる決済システムを持つ場合（決済ページを自社に持つSAQ A-EPや自社でカード情報を扱うSAQ Dなど）に求められるもので、決済を完全委託してカード情報を持たないSAQ Aの事業者では基本的に不要です（最終的な要否はアクワイアラーの指示によります）。
- 自己問診（SAQ）：定められた問診票に自ら回答し、準拠の度合いを自己評価・報告します。多くの中小事業者が用いる方法で、後述のとおりカード情報の扱い方に応じてタイプが分かれます。
出典・参考資料（1件）
- 出典：PCIDSS Ver4.0.1（検証手段・審査の流れ）｜JCDSC 日本カード情報セキュリティ協議会（PDF）
SAQの種類と、非保持化した場合の該当
自己問診（SAQ）には、カード情報の扱い方に応じた複数のタイプがあります。決済代行に委託してカード情報を持たない事業者ほど、対象となる要求事項が少ない軽いタイプに該当します。
| SAQ A | SAQ A-EP | SAQ B／B-IP | SAQ C／C-VT | SAQ D | |
|---|---|---|---|---|---|
| 主な該当対象 | すべてのカード情報の取り扱いを準拠済みの第三者に完全委託し、自社ではカード情報を保存・処理・伝送しないEC・通信販売の加盟店。設問数が最も少ない | 決済処理を準拠済みの第三者に部分的に委託するものの、決済ページの整合性に影響するWebサイトをもつEC加盟店 | 電子的にカード情報を保存しない、インプリンタや専用端末のみを使う加盟店 | インターネット接続の決済アプリや仮想端末を使い、電子的にカード情報を保存しない加盟店 | 上記に当てはまらないすべての加盟店。自社でカード情報を保存・処理する場合が該当し、対象となる要求事項が最も多い |
※SAQの主なタイプと該当対象。決済代行への完全委託でカード情報を持たない場合はSAQ Aが基本で、自社保持の場合はSAQ Dとなります。
このように、非保持化によってSAQ DからSAQ Aへ移れば、準拠のために確認・対応すべき項目は絞り込まれます。自社対応の負担を抑えたい事業者にとって、非保持化は現実的な選択肢になります。実店舗で決済端末を使う対面の加盟店も、電子的にカード情報を保存しない構成であれば、専用端末を使うSAQ BやB-IP、決済アプリを使うSAQ Cなどの軽いタイプに該当します。
出典・参考資料（1件）
- 出典：PCIDSS Ver4.0.1「どのタイプのSAQを使えばよいか」｜JCDSC 日本カード情報セキュリティ協議会（PDF）
自社の立ち位置を確認する（取引件数×カード情報の保持有無）
ここまでのレベル・検証手段・SAQの種類を、自社の状況（年間取引件数とカード情報を持つか持たないか）から一度に確認できるよう整理すると、次のようになります。
| 決済代行に完全委託し、カード情報を持たない（多くの中小EC） | 決済ページを自社に持つ／リダイレクト・トークン型のEC | 実店舗で決済端末を使い、カード情報を電子的に保存しない | 自社サーバーでカード情報を保存・処理している | 年間取引件数が上位レベルに達する（最上位レベル） | |
|---|---|---|---|---|---|
| 想定される検証手段 | 自己問診（SAQ）中心。ASVスキャンは基本不要 | 自己問診（SAQ）＋ASVスキャン＋脆弱性対策 | 自己問診（SAQ）中心 | 自己問診（SAQ）＋ASVスキャン（対象範囲が広い） | 訪問審査（QSA）＋ASVスキャン |
| 該当するSAQの目安 | SAQ A | SAQ A-EP | SAQ B／B-IP／C など | SAQ D | ROC（審査報告書） |
※自社の状況から見た検証手段とSAQの目安。あくまで一般的な対応で、正確な区分と必要な手続きはアクワイアラーの指示に従って確認します。
多くの中小EC事業者は、決済代行にカード情報を預ける非保持化によって、最上段のSAQ Aに当てはまります。まずは自社が「カード情報を持っているか」と「年間の取引件数」を確認し、そのうえでアクワイアラーに最終的な区分を確かめるのが実務的な進め方です。
割賦販売法とPCI DSS準拠の関係（非保持化 or 準拠の二択）
ここでは、国内でPCI DSS対応が求められる法的な背景を整理します。準拠が「なぜ必要なのか」は、割賦販売法とその実務指針であるガイドラインの二層で理解すると正確です。
2018年（平成30年）6月1日に施行された改正割賦販売法は、カード情報を取り扱う加盟店に対して、その適切な管理と不正利用の防止を義務づけました。条文は「経済産業省令で定める基準に従い…必要な措置を講じなければならない」と定めています。
クレジットカード番号等取扱業者（…）は、経済産業省令で定める基準に従い、その取り扱うクレジットカード番号等（…）の漏えい、滅失又は毀損の防止その他のクレジットカード番号等の適切な管理のために必要な措置を講じなければならない。
出典：割賦販売法 第三十五条の十六（クレジットカード番号等の適切な管理）｜e-Gov法令検索
この条文自体は「PCI DSSに準拠せよ」とは書いていません。義務の具体的な中身を示すのが、クレジット取引セキュリティ対策協議会がまとめる「クレジットカード・セキュリティガイドライン」です。ガイドラインは、割賦販売法で義務づけられた措置の実務上の指針として位置づけられており、加盟店には次の対応を求めています。
カード情報を保持しない非保持化（非保持と同等/相当を含む）、又はカード情報を保持する場合はPCI DSSに準拠する
出典：クレジットカードを取り扱う加盟店の皆様へ｜一般社団法人日本クレジット協会
このように、日本国内の加盟店に実務上求められるのは、「カード情報を持たない（非保持化）」か「持つならPCI DSSに準拠する」かの二択です。EC加盟店の場合は、これに加えてWebサイトの脆弱性対策も求められます。法律で抽象的な管理義務が定められ、その具体策をガイドラインが示す、という二層の関係を押さえておくと判断を誤りません。
この二層の関係と、加盟店に求められる二択を図にすると次のとおりです。
出典・参考資料（2件）
PCI DSS準拠までの手順・流れ
ここでは、実際に準拠へ進む際の一般的な流れを示します。自社対応でも支援会社に委託する場合でも、大きくは次のステップをたどります。
- 対象範囲の確定：カード情報がどこを通り、どこに保存されるのかを洗い出し、準拠の適用範囲を明確にします。非保持化できる部分を切り分けると、範囲を小さくできます。
- ギャップ分析：該当する要件・要求事項に対し、現状で満たせていない箇所（ギャップ）を洗い出します。
- 対策の実装：暗号化・アクセス制御・ログ管理など、不足している対策を実装します。
- 審査・自己評価：事業者レベルに応じて、訪問審査（QSA）を受けるか、自己問診（SAQ）で自己評価します。必要に応じてASVスキャンを実施します。
- 継続的な維持：準拠は一度きりではなく、四半期ごとのスキャンや定期的な見直しで維持します。
審査まで必要か、自己問診で足りるかは事業者レベルによって変わるため、最初のステップである対象範囲の確定とレベルの確認から着手するのが実務的です。
PCI DSS準拠にかかる費用・期間の目安
費用は、自社の事業者レベル・カード情報の扱い方・自社対応か委託かによって大きく変わります。確定した金額は契約するアクワイアラーや支援会社によって異なりますが、目安として次のような幅があります。
- 自己問診（SAQ）で足りる場合：外部への審査費用は発生しないため、負担は比較的小さく収まります。非保持化してSAQ Aに該当できる多くの中小EC事業者はこのパターンにあたり、実質的なコストは自社での確認作業（工数）と、利用する決済代行サービスの手数料が中心になります。
- 訪問審査（QSA）が必要な場合：訪問審査を毎年受ける上位レベルの事業者では、コンサルティングや審査に相応の費用がかかり、支援会社の公開情報では審査だけで1日あたり数十万円から、規模によっては年間で数百万円規模になる例もあります。これに加えて、四半期ごとのASVスキャンの費用も継続的に発生します。
出典・参考資料（2件）
準拠までの期間も、現状のシステムやギャップの大きさによって数か月単位で変わります。正確な費用と期間は、自社のレベルと対象範囲を確定したうえで、アクワイアラーや支援会社に見積もりを依頼して確認してください。個別の決済サービスの料金は、後述の各サービスの資料で確かめられます。
一括ダウンロードする
非保持化で準拠負担を軽くする｜決済代行という選択肢
ここまで見てきたとおり、カード情報を自社で持たない「非保持化」は、準拠の負担を大きく軽くする現実的な手段です。ここでは、非保持化と準拠の違いを整理したうえで、非保持化を実現する決済代行サービスを紹介します。
非保持化とPCI DSS準拠の違い（非保持化＝準拠免除ではない）
非保持化と準拠は、どちらもカード情報を守るための措置ですが、性質が異なります。準拠は「自社の環境でカード情報を安全に管理・保持する」ためのもの、非保持化は「自社の環境にカード情報を一切持たない」ためのものです。ガイドラインは、両者の関係を次のように整理しています。
非保持化はPCI DSS準拠とイコールではないものの、カード情報保護という観点では同等の効果があるものと認められるため、本ガイドラインにおいては、PCI DSS準拠に並ぶ措置とする。
出典：クレジットカード・セキュリティガイドライン【6.0版】｜クレジット取引セキュリティ対策協議会（一般社団法人日本クレジット協会）
注意したいのは、非保持化は「準拠に並ぶ措置」であって、セキュリティ対策そのものが不要になるわけではない点です。決済代行やクラウドサービスからカード情報の還元を受けて自社で保存・処理・通過させている場合は、非保持化にあたらず準拠が必要になります。EC加盟店では、非保持化に加えてWebサイトの脆弱性対策も引き続き求められます。
そのうえで、カード情報を自社で受け取らずに決済できる決済代行サービスを使えば、非保持化を実現し、自己問診の負担を抑えられます。以下では、カード情報の非保持化に対応する決済代行サービスを紹介します。
決済代行がカード情報を自社に通さない仕組みは、リンク型・トークン型・API型といった「接続方式」によって変わり、導入時の開発の重さや自社が負うセキュリティ責任の範囲も方式ごとに異なります。どの方式が自社に向くかを整理してから比較したい場合は、次の記事が参考になります。
出典・参考資料（1件）
- 出典：クレジットカード・セキュリティガイドライン【6.0版】（非保持化の定義・位置づけ）｜クレジット取引セキュリティ対策協議会（一般社団法人日本クレジット協会）（PDF）
以下は、ご紹介する決済代行サービスの比較表です。
| サービス名 | サブスクペイ | Paysys（ペイシス） |
|---|---|---|
| 運営会社 | 株式会社ROBOT PAYMENT | 株式会社ペイメントフォー |
| 初期費用 | 個別見積り | 0円〜（BtoB限定プラン） BtoCは個別見積り |
| 月額費用 | 個別見積り | 個別見積り |
| カード決済手数料 | 2.5%〜 | 1.99%（BtoB限定プラン） BtoCは個別見積り |
| カード情報の持ち方 | メールリンク決済・決済フォームで 加盟店がカード情報を保持しない | URL型・フォーム型で 加盟店がカード情報を保持しない |
| PCI DSS準拠状況 | 4.0.1準拠 | 準拠（SAQ Type-D） |
| EMV 3-Dセキュア | ●無料で標準対応 | ●無料で標準対応 |
| 主な対応決済手段 | クレジットカード／口座振替 コンビニ／銀行振込 メールリンク／掛け払い ほか | クレジットカード／PayPay コンビニ／ペイジー 口座振替 ほか |
| 継続課金 | ●変動金額・残高不足時の自動切替に対応 | ●クレカ・WEB口座振替に対応 |
| サポート | 専任担当による電話・メール （平日9:00〜18:00） | 専任担当による電話・メール （平日9:30〜17:30） |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
※2026年8月時点の各社公式情報・MCB FinTechカタログ掲載情報による。料金は個別見積のため、最新の条件は各社の資料でご確認ください。
1. サブスクペイ（株式会社ROBOT PAYMENT）
サブスクペイは、株式会社ROBOT PAYMENTが提供する、継続課金・サブスクリプション事業に強い決済・顧客管理サービスです。決済用URLを発行して送るメールリンク決済や、決済フォームを利用することで、加盟店がカード情報を自社で受け取らずにクレジットカード決済を行えます。
クレジットカードのほか、口座振替・コンビニ決済・銀行振込・掛け払いなど多様な決済手段を一元管理でき、残高不足時に他の決済手段へ自動で切り替える継続課金にも対応します。累計14,000社以上の導入実績があり、本人認証のEMV 3-Dセキュア2.0を追加費用なしの標準機能として提供します。サービス自体もPCI DSS 4.0.1に準拠したシステム・管理体制で運用されています。
2. Paysys（ペイシス）（株式会社ペイメントフォー）
株式会社ペイメントフォーが提供するPaysys（ペイシス）は、システム開発を必要とせずに導入できるオンライン決済サービスです。管理画面から請求用のURLやQRコードを発行し、メール・SMS・SNSなどで案内するだけで、カード情報を自社で保有せずにクレジットカード決済を完結できます。
メールリンク型・フォーム型・API連携型の3方式に対応し、法人（BtoB）と個人（BtoC）双方の請求・回収シーンをカバーします。カードは主要5ブランドに対応し、EMV 3-Dセキュアを無料で標準提供。PCI DSSはSAQ Type-D準拠として運用されており、加盟店はカード情報を持たない構成で決済を導入できます。
ここではカード情報の非保持化に対応する2サービスを取り上げましたが、実店舗・EC・サブスクといった販売形態ごとに、より多くのオンライン決済システムを手数料や入金サイクルなどの条件で比較したい場合は、次の記事でまとめて確認できます。導入を本格的に検討する際の全体比較としてご活用ください。
オンライン決済システムおすすめ36選を徹底比較｜実店舗・EC・サブスク別の選び方
ECサイトやWebサービスの決済手段が少なく、購入直前の離脱（カゴ落ち）に悩んでいませんか。クレジットカードに加えてコンビニ払いやQRコード決済、後払いまで顧客の希望に応えようとすると、決済会社ごとの個別契約や入金管理の手間が膨らみ、決済手…
まとめ
PCI DSS準拠とは、カード会員データを扱う事業者が12の要件を満たし、訪問審査または自己問診でそれを証明した状態を指します。自社が対象かどうかは、カード情報を保存・処理・伝送しているかで決まり、決済代行に任せて非保持化すれば、求められる対応の範囲と自己問診の負担は大きく軽くなります。
国内では、割賦販売法とクレジットカード・セキュリティガイドラインにより、加盟店には「非保持化」か「PCI DSS準拠」かの対応が求められます。まずは自社のカード情報の扱い方と事業者レベルを確認し、非保持化で負担を抑えられないかを検討することから始めるとよいでしょう。カード情報を持たずに決済を導入できるサービスの資料もあわせて確認し、自社に合った進め方を見極めてください。
一括ダウンロードする
よくある質問（FAQ）
Q. PCI DSSとは何ですか？
A. PCI DSSとは、クレジットカード会員データを安全に取り扱うために国際カードブランド5社が共同で策定した、クレジットカード業界の国際セキュリティ基準です。American Express・Discover・JCB・MasterCard・VISAが設立したPCI SSC（Payment Card Industry Security Standards Council）が運用・管理しています。
6つの目標と12の要件（約400の要求事項）で構成され、この要件を満たしていることを訪問審査または自己問診で証明した状態を「PCI DSS準拠」と呼びます。
Q. PCI DSSへの準拠は法律上の義務ですか？
A. PCI DSSへの準拠は、日本国内では割賦販売法にもとづき、カード情報を保持する加盟店に実務上求められる対応です。割賦販売法はカード情報を取り扱う加盟店に「適切な管理のために必要な措置」を義務づけており、その実務指針であるクレジットカード・セキュリティガイドラインが「非保持化」か「PCI DSS準拠」かの対応を求めています。
条文自体はPCI DSSを名指ししていませんが、カード情報を保持するなら準拠が実務上の要件になります。
出典・参考資料（2件）
Q. カード情報を非保持化すればPCI DSSに準拠しなくてよいのですか？
A. 非保持化はPCI DSS準拠に並ぶ措置として認められますが、「PCI DSS準拠が一切不要になる」わけでも、セキュリティ対策そのものがなくなるわけでもありません。決済代行やクラウドサービスからカード情報の還元を受けて自社で保存・処理・通過させている場合は非保持化にあたらず、PCI DSS準拠が必要になります。EC加盟店では、非保持化に加えてWebサイトの脆弱性対策も引き続き求められます。
出典・参考資料（1件）
- 出典：クレジットカード・セキュリティガイドライン【6.0版】（非保持化の定義・位置づけ）｜クレジット取引セキュリティ対策協議会 一般社団法人日本クレジット協会（PDF）
Q. 自社がPCI DSS準拠の対象かどうかは、どう判断すればよいですか？
A. PCI DSS準拠の対象になるかは、自社がカード会員データを「保存・処理・伝送」しているかどうかで決まります。ECサイトの運営事業者・実店舗の加盟店・決済を仲介する事業者など、カード情報が自社環境を通過する事業者は、規模の大小にかかわらず原則として対象です。決済代行にすべて委託してカード情報を自社で持たない構成にすれば、対象となる要求事項は絞り込まれます。
Q. SAQ（自己問診）とは何ですか？
A. SAQ（自己問診）とは、定められた問診票に自ら回答して準拠の度合いを自己評価・報告する検証手段で、訪問審査を求められない多くの中小事業者が用います。カード情報の扱い方に応じてタイプが分かれ、決済代行に完全委託してカード情報を持たない加盟店は設問が最も少ないSAQ A、自社でカード情報を保存・処理する加盟店は対象項目が最も多いSAQ Dに該当します。
Q. PCI DSS準拠にはどのくらいの費用がかかりますか？
A. PCI DSS準拠の費用は、自己問診（SAQ）で足りる場合は審査費用が発生せず比較的小さく、訪問審査（QSA）が必要な場合は年間で数百万円規模になる例もあります。ASVスキャンは数十万円程度が一つの目安です。確定した金額は、事業者レベル・カード情報の扱い方・自社対応か委託かによって変わるため、契約するアクワイアラーや支援会社に見積もりを依頼して確認してください。
Q. PCI DSS v4.0.1では何が変わったのですか？
A. v4.0.1はv4.0の限定的な更新版で、大きな変更は先行するv4.0で導入されています。そのv4.x系での主な変更点は、要件を満たす手法に柔軟性を持たせる「カスタマイズアプローチ」の導入です。従来の定められた手法（定義アプローチ）に加え、同等のセキュリティ目的を別の手法で達成する事業者向けの選択肢が用意されました。
v4.0からv4.0.1への詳細な変更点はPCI SSC公式の変更概要文書で示されているため、導入にあたっては最新版の要求事項を公式資料で確かめることをおすすめします。
オンライン決済サービスの料金・手数料を一括チェック
MCB FinTechカタログでは、オンライン決済システム・代行サービスの最新の資料をまとめて取り寄せられます。カード情報の非保持化に対応したサービスを比較し、自社の準拠負担を抑えられる決済手段を検討する材料としてご活用ください。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
