PCI DSS

解説

PCI DSSは、カード会員データを保護するために、国際カードブランドが共同で策定したセキュリティ基準です。PCI DSSを管理するPCI SSC（PCI Security Standards Council）は、2006年にAmerican Express、Discover、JCB、Mastercard、Visaの5社が設立し、のちにUnionPayが加わりました。カード情報を保存、処理、または伝送するすべての事業者が、PCI DSSの対象になります。

2026年9月時点の現行版は、2024年6月に公開されたv4.0.1です。なお、v4.0で将来日付とされていた要件は、2025年3月31日以降、原則としてすべての対象事業者に必須となっています。

種類

PCI DSSの12の要件は、次の6つの目標に分類されています。

• 安全なネットワークの構築（要件1・2）
• アカウントデータの保護（要件3・4）
• 脆弱性の管理（要件5・6）
• アクセス制御（要件7・8・9）
• ネットワークの定期的な監視とテスト（要件10・11）
• 情報セキュリティ方針の維持（要件12）

実務での使われ方

コンタクトセンターでは、電話でカード番号を聞き取る運用がある場合に、次の点が課題になります。

• 通話録音：カード番号やセキュリティコードが録音に残る
• オペレーターの画面と手元：番号の表示範囲や、メモの取り扱い
• アクセス権限：録音や応対履歴を誰が参照できるか

対応策としては、番号を入力する場面だけ録音を一時停止する方法があります。また、顧客が電話機のプッシュボタンで番号を直接入力し、プッシュ音をオペレーターにも録音にも残さない方式（DTMFマスキング）も用いられます。

日本国内では、割賦販売法の実務上の指針である「クレジットカード・セキュリティガイドライン」が、加盟店に対して、PCI DSSへの準拠か、自社の機器やネットワークでカード情報を保存・処理・通過させない「非保持化」を求めています。同ガイドラインは、2026年3月11日に6.1版が公表されています。

注意点

録音の一時停止は、DTMFマスキングと比べて安全性が低いとされています。録音を止めても、オペレーターが番号を聞き取る流れは残るためです。一方で、DTMFマスキングでは、カード情報がコンタクトセンターのシステムを経由せずに決済代行事業者へ送られるため、コンタクトセンターをPCI DSSの対象範囲から外しやすくなります。

出典

• PCI Security Standards Council
• PCI DSS 規格ページ（PCI Security Standards Council）