実践的なセキュリティ基準として最近よく耳にする「PCI DSS」とは、どのようなものだろうか。PCI DSS（Payment Card Industry Data Security Standard）とは、5大国際カードブランド（Visa International、MasterCard Worldwide、American Express、Discover Financial Services、JCB International）が2004年に共同で作成したカード会員データの漏えい防止を目的とした情報セキュリティ対策の実装要求基準である。2006年にPCIセキュリティ標準協議会（PCI SSC：PCI Security Standards Council）が設立されてから米国を中心に急速に普及している事実上の国際標準となっている。現在は、このPCI SSCという団体が基準の策定や改良、普及・導入支援を実施している。
一方、PCI DSSの普及促進策は、それぞれの国際カードブランドが独自に実施することになっており、それぞれ固有の普及プログラム名が付けられている。例えばVISAの場合は、「Account Information Security」、Master Cardの場合は、「Site Data Protection」と呼んでいる。内容も各社各様で、PCI DSSに準拠しなかった場合の罰金制度などにもばらつきがあるのが現状だ。
ここでいうカード会員データとは、クレジットカード番号と有効期限、アルファベット表記された会員氏名、サービスコードを指す。このうち、クレジットカード番号と有効期限、アルファベット表記された会員氏名の3つの情報が入手できればインターネットの通販サイトなどで、カードの所有者でなくとも買い物ができることはご存じだろう。PCI DSSは、カード会員データの漏えいに伴うクレジットカードの不正使用による莫大な被害を減少させることを目的に定められた情報セキュリティ対策の実装要求基準なのである。従って、制定の背景に大量のクレジット会員データの相次ぐ漏えい事件があることは言うまでもない。
この点について、PCI DSSが対象とするカード会員データを機密情報と読み替えればカード決済にかかわらない一般企業にも応用できると解説する人もいるが、カード会員データは本来機密情報ではない。カード会員データは、国際カードブランド、カード発行会社、カード決済利用店舗（加盟店）を開拓するアクワイアラ（加盟店管理業者）、カード決済を受け付ける加盟店とそれぞれのコンピュータ処理にかかわるサービスプロバイダーなど多数の事業者間で頻繁に流通する情報であり、機密情報とは性質を異にする「要保護情報」である。このことは、PCI DSSの個々の要求事項を正確に理解する上で重要な概念の1つだ。同時に、異なる事業者間で頻繁に流通する情報を守るためにデータ処理に関係するすべての事業者に求められる最低限のセキュリティ水準（ベースラインセキュリティ）を示すことの困難さにもつながっている。
急成長のチャットbot市場、2018年度の売上金額は前年度比倍増――ITR調べ
日本国内のベンダー29社への調査を基にしたチャットbot市場の実績と予測です。
日本におけるカスタマーサクセスは「夜明け前」 これから乗り越えるべき3つの壁とは？
日本におけるカスタマーサクセス推進の鍵は「期待値コントロール」と「日本人の特性を踏...
消費者が秋らしさを感じるもの 「さんま」以外に何がある？――クロス・マーケティング調べ
クロス・マーケティングは、全国の20〜69歳の男女1000人を対象に「秋の味覚に関する調査...
ITmediaはアイティメディア株式会社の登録商標です。
PCI DSSと国際カードブランド各社の普及プログラム
