2025 年にはカード決済詐欺による被害額が世界で 330 億ドルを超え、カード詐欺全体の 73% を e コマースが占めています。 Payment Card Industry Data Security Standard (PCI-DSS) はこれに対抗するために存在し、2025 年 3 月に義務化されたバージョン 4.0 では、多くの e コマース企業が依然として実装に向けて奮闘している重要な新しい要件が導入されました。
コンプライアンスと規制シリーズの一部
完全ガイドを読む2025 年にはカード決済詐欺による被害額が世界で 330 億ドルを超え、カード詐欺全体の 73% を e コマースが占めています。 Payment Card Industry Data Security Standard (PCI-DSS) はこれに対抗するために存在し、2025 年 3 月に義務化されたバージョン 4.0 では、多くの e コマース企業が依然として実装に向けて奮闘している重要な新しい要件が導入されました。
良いニュース: Shopify Payments や Stripe Checkout などのホスト型決済ソリューションを使用すると、PCI の範囲が大幅に縮小されます。悪いニュース: それは決してゼロではありません。カード番号が表示されない場合でも、カード支払いを受け入れるすべての e コマース ビジネスには PCI-DSS 義務があります。
重要なポイント
- PCI-DSS v4.0 では、カード所有者データへのすべてのアクセスにカスタマイズされた検証アプローチと必須の MFA が導入されています
- トークン化により、カード番号が非可逆トークンに置き換えられるため、PCI スコープの 80 ～ 90% が排除されます。
- SAQ の選択によってコンプライアンスの負担が決まります --- 適切な SAQ を選択すると、数か月の作業が節約されます
- 四半期ごとの ASV スキャンと年次侵入テストは交渉の余地のない要件です
PCI-DSS v4.0: 変更点
2022 年にリリースされ、2025 年 3 月 31 日から完全に義務化された PCI-DSS v4.0 は、この 10 年以上で最も重要な規格のアップデートとなります。重要な変更はあらゆる e コマース ビジネスに影響を与えます。
v4.0 の主な変更点
| 変更 | 影響 | 締め切り |
|---|---|---|
| カスタマイズされたアプローチが可能 | 企業は、目的を達成する代替管理を設計できます。 | 現在活動中 |
| 対象を絞ったリスク分析 | 一部のコントロールのリスクベースの頻度 (ログレビューなど) | 現在活動中 |
| 強化された認証 | CDE (リモートだけでなく) へのすべてのアクセスには MFA が必要です。 2025 年 3 月 | |
| 自動ログレビュー | 監査ログの異常を検出する自動化メカニズム | 2025 年 3 月 |
| スクリプト管理 | 支払いページ スクリプトのインベントリと整合性の監視 | 2025 年 3 月 |
| Eコマーススキミング防止 | 支払いページへの不正な変更を検出するメカニズム | 2025 年 3 月 |
| 対象となるパスワード要件 | 最小 12 文字 (システムが 12 文字をサポートできない場合は 8 文字) | 2025 年 3 月 |
| 認証前の SAD の暗号化 | 機密認証データは、認証前に保存する場合は暗号化する必要があります。 2025 年 3 月 |
スクリプト管理の要件
要件 6.4.3 は、e コマースに特に影響します。支払いページ上のすべてのスクリプトのインベントリを維持し、不正な変更を検出するメカニズムを実装する必要があります。これは次のことを意味します:
- チェックアウト ページに読み込まれるすべての JavaScript ファイルを文書化する必要があります
- コンテンツ セキュリティ ポリシー (CSP) ヘッダーはスクリプト ソースを制限する必要があります
- サブリソース整合性 (SRI) ハッシュはスクリプトの内容を検証する必要があります
- 監視メカニズムは、許可されていないスクリプトの変更を警告する必要があります
この要件は、攻撃者が悪意のあるスクリプトを支払いページに挿入してカード データを盗む、Magecart スタイルのスキミング攻撃を直接ターゲットにしています。
トークン化について理解する
トークン化は、PCI 範囲を縮小する上で最も影響力のあるテクノロジーです。これは、機密性の高いカード データを、侵害された場合に悪用できる価値がない非機密性のトークンに置き換えます。
トークン化の仕組み
- 顧客は、決済プロバイダーがホストするフォームにカードの詳細を入力します (サーバーには決して入力しません)。
- 決済プロバイダーがカードを表すトークンを作成します
- システムはトークン (例:
tok_1MqLkJLkdIwHu7ixUAuBjz5Y) のみを保存します。 - 以降の請求については、トークンを決済プロバイダーに送信します。
- プロバイダーはトークンを実際のカードの詳細にマッピングし、支払いを処理します。
トークン化と暗号化
| 側面 | トークン化 | 暗号化 |
|---|---|---|
| 可逆性 | 可逆的ではありません (トークンはランダムです) | キーでリバーシブル |
| PCI スコープ | システムをスコープから削除します | システムは引き続き対象範囲内にあります |
| キー管理 | 管理するキーがありません | キー管理が必要 |
| パフォーマンス | ルックアップベース、高速 | コンピューティングベース、わずかに遅い |
| 侵害の影響 | トークンは攻撃者にとって役に立たない | 暗号化されたデータは、キーが侵害された場合に価値があります。 |
主要なプラットフォームでの実装
Shopify: トークン化はすべて Shopify Payments によって処理されます。販売者がカードのデータに触れることはありません。 PCI コンプライアンスは Shopify のレベル 1 認定によってカバーされています。 SAQ-A の責任者はあなたです。
Stripe: Stripe Elements または Stripe Checkout を使用して、カード データが Stripe のサーバーに直接送信されるようにします。バックエンドはトークンのみを受け取ります。これにより、実装に応じて SAQ-A または SAQ-A-EP の資格が得られます。
Odoo とのカスタム支払い統合: Odoo でカスタム e コマース ソリューションを構築している場合は、ホストされたフィールドまたはリダイレクト アプローチを使用して、PCI 準拠の支払いゲートウェイ (Stripe、Adyen、Authorize.net) と統合します。 Odoo サーバー上で生のカード データを決して処理しないでください。
SAQ 選択ガイド
完了する必要がある自己評価アンケート (SAQ) は、カード データの取り扱い方法によって異なります。適切な SAQ を選択し、よりシンプルな SAQ の資格を得るために支払いフローを設計することは、PCI で行う最も重要な決定です。
SAQ タイプ選択ガイド
| SAQタイプ | 誰のためのものですか | 質問の数 | 要件 |
|---|---|---|---|
| SAQ-A | 完全にアウトソーシング (ホスト型支払いページ/iframe) | ~25 | カードデータがシステムに影響を与えることはありません |
| SAQ-A-EP | 支払いは外部委託しますが、サイトがページを管理します | ～140 | ドメイン上の支払いページ、データは処理者に直接送信される |
| SAQ-B | インプリントまたはスタンドアロン端末のみ | ~40 | 電子カード会員データの保存なし |
| SAQ-B-IP | IP接続を備えたスタンドアロンPTS端末 | ~80 | ターミナルはネットワーク経由でプロセッサに接続します。 |
| SAQ-C | インターネットに接続された決済アプリケーション | ～160 | アプリケーションはカードを処理しますが、データは保存しません。 |
| SAQ-C-VT | 仮想ターミナル (手動キー入力、Web ベース) | ~80 | 一度に 1 つのトランザクション、電子ストレージなし |
| SAQ-D | 他の全員 (保存、処理、送信) | ～330 | 完全な PCI 評価が必要 |
意思決定フロー
顧客をホスト型の支払いページ (Shopify Checkout、Stripe Checkout、PayPal) にリダイレクトしますか? 「はい」の場合、SAQ-A。
支払いプロバイダーのフォームをページに埋め込みますか (Stripe Elements、Braintree Hosted Fields)? 埋め込んでいる場合は、SAQ-A-EP。ページはフォームをホストしますが、カード データはプロバイダーに直接送られます。
一時的であってもカード データがサーバーにアクセスされることはありますか? はいの場合は、SAQ-D。これは完全な評価であり、代わりに SAQ-A または SAQ-A-EP の資格を得るために再構築することを強く検討する必要があります。
コストへの影響
| SAQタイプ | 一般的な年間コンプライアンスコスト | 努力レベル |
|---|---|---|
| SAQ-A | $2,000 - $5,000 | 日々 |
| SAQ-A-EP | $10,000 - $30,000 | 週間 |
| SAQ-C | $20,000 - $50,000 | 数週間から数か月 |
| SAQ-D | 50,000ドル～300,000ドル以上 | 月 |
カード データを自分で処理するのではなく、ホストされた支払いフォームを使用するというアーキテクチャの決定により、年間 50,000 ～ 250,000 ドルのコンプライアンス コストを節約できます。
3D セキュア 2.0: 責任転嫁と不正防止
3D セキュア 2.0 (3DS2) は、オンライン カード取引に認証レイヤーを追加します。適切に実装されれば、不正行為の責任は販売者からカード発行会社に移ることになります。
3DS2 の仕組み
- 顧客がサイトで支払いを開始する
- 決済プロバイダーが取引データをカード発行会社に送信します。
- 発行者のリスクエンジンがトランザクションを評価します (デバイスの指紋、トランザクション履歴、金額)
- 摩擦のないフロー: 低リスクのトランザクションはサイレントに認証されます (顧客のアクションは必要ありません)。
- チャレンジ フロー: リスクの高い取引には追加の認証が必要です (生体認証、OTP、アプリ確認)
- 認証結果が返され、決済が行われます
3DS2 の利点
- 責任のシフト: 認証された取引の場合、不正行為の責任が発行銀行に移転されます。
- 不正行為の削減: 3DS2 は、認証されていないトランザクションと比較して不正行為率を 40 ～ 60% 削減します。
- 優れた UX: スムーズな認証により、トランザクションの 85 ～ 95% で顧客による追加のアクションが不要になります。
- 規制への準拠: PSD2 強力な顧客認証 (SCA) では、EU 取引には 3DS2 が必要です
実装に関する考慮事項
- 支払いプロバイダーを通じて 3DS2 を有効にします (Stripe、Adyen、およびほとんどのプロバイダーがネイティブでサポートしています)
- リスクベースの認証しきい値を構成: 低価値または低リスクのトランザクションを除外しながら、高リスクのトランザクションに 3DS2 を適用します。
- 認証率を監視する: チャレンジされるトランザクションが多すぎる場合は、リスク シグナルを確認します。
- 本番稼働前に、摩擦のないフローとチャレンジ フローの両方を徹底的にテストします
脆弱性スキャンと侵入テスト
PCI-DSS では、対象となるすべての環境に対して自動脆弱性スキャン (四半期ごと) と手動侵入テスト (毎年) の両方が必要です。
四半期ごとの ASV スキャン
承認済みスキャン ベンダー (ASV) は、四半期ごとに外部脆弱性スキャンを実行する必要があります。要件:
- スキャンは、カード所有者データ環境 (CDE) 内のすべての外部向け IP アドレスとドメインをカバーする必要があります。
- 重大度の高い脆弱性 (CVSS 4.0+) はすべて、スキャンが成功する前に修復して再スキャンする必要があります。
- 合格スキャンレポートは監査目的で保存する必要があります
- 一般的な ASV: Qualys、Tenable、SecurityMetrics、Trustwave
年次侵入テスト
要件 11.4 では、以下の年次侵入テストを義務付けています。
- ネットワークセグメンテーション制御 (範囲を縮小するために使用される場合)
- CDE の外周
- CDE 内の内部システム
- 決済アプリケーションのアプリケーション層テスト
v4.0 の新機能: 侵入テストでは、セグメンテーション制御が機能していること、および CDE がネットワークの残りの部分から適切に分離されていることを明示的に検証する必要があります。
継続的なモニタリング
PCI-DSS v4.0 では、四半期および年次のテストに加えて、継続的なモニタリングを重視しています。
- 重要なシステム ファイルおよび支払いページ スクリプトに対するファイル整合性監視 (FIM)
- CDE ネットワーク境界における侵入検知/防止システム (IDS/IPS)
- 異常検出のための自動ログレビュー (新しい v4.0 要件)
- 不正アクセスの試みに対するリアルタイムのアラート
PCI 準拠の e コマース アーキテクチャの構築
PCI コンプライアンスへの最も効果的なアプローチは、アーキテクチャの決定を通じて範囲を最小限に抑えることです。
推奨アーキテクチャ
階層 1: 支払いページ (最小限の範囲)。 チェックアウト ページの iframe に埋め込まれたホストされた支払いフィールド (Stripe Elements、Adyen ドロップイン) を使用します。カード データは顧客のブラウザから決済プロバイダーに直接送信されます。サーバーがそれを認識することはありません。
層 2: アプリケーション サーバー (範囲外)。 e コマース アプリケーション (Shopify、Odoo、カスタム) は、注文管理、在庫、顧客データを処理します。トークンを介してのみ支払いプロバイダーと通信します。
層 3: データ ストレージ (カード データの範囲外)。 データベースには注文の詳細、顧客情報、支払いトークンは保存されますが、カード番号、CVV、有効期限は保存されません。
ネットワークのセグメンテーション
インフラストラクチャの一部がカード データを処理する場合、ネットワークのセグメント化が重要です。
- CDE を別のネットワーク セグメント (VLAN、サブネット、または VPC) に分離します。
- CDE との間のトラフィックを制限するファイアウォール ルールを実装する
- セグメンテーション境界を越えるすべてのトラフィックを監視します
- 侵入テスト中にセグメンテーション制御をテストする
PCI-DSS を超えた包括的なコンプライアンス アーキテクチャ ガイダンスについては、エンタープライズ コンプライアンス ハンドブック を参照してください。
よくある質問
Shopify でのみ販売する場合、PCI 準拠は必要ですか?
はい、ただし範囲は最小限です。 Shopify は PCI-DSS レベル 1 認定のサービス プロバイダーです。つまり、Shopify が面倒な作業を処理します。ただし、SAQ-A を毎年完了し、基本的なセキュリティ慣行を維持する責任は依然としてあります。つまり、強力なパスワード、管理画面での MFA、Shopify の外部にカード データを保存しないこと、セキュリティに関するスタッフのトレーニングなどです。
四半期ごとの ASV スキャンが失敗した場合はどうなりますか?
特定された脆弱性を修復し、再スキャンをリクエストする機会があります。スキャンの失敗にはペナルティはありません。四半期期間内にスキャンが成功しなかった場合のみです。ただし、スキャンに常に失敗し、コンプライアンスを証明できない場合は、取得銀行が処理手数料を増額したり、より厳格な評価を要求したり、極端な場合には販売アカウントを停止したりする可能性があります。
PCI への準拠は法律で義務付けられていますか?
PCI-DSS は政府の規制ではありません。カード ブランド (Visa、Mastercard、American Express、Discover、JCB) からの契約上の要件です。コンプライアンスは、取得銀行との販売契約を通じて強制されます。違反した場合、カード ブランドからの罰金 (月額 5,000 ドルから 100,000 ドル)、取引手数料の増加、不正取引に対する責任が発生する可能性があります。一部の法域 (ネバダ州、ミネソタ州、ワシントン州) では、PCI-DSS 要件を組み込んだ法律を制定しています。
PCI-DSS は GDPR とどのように関係しますか?
PCI-DSS と GDPR は、アクセス制御、暗号化、インシデント対応などの分野で重複していますが、焦点は異なります。 PCI-DSS は特にペイメント カード データを保護しますが、GDPR は EU 居住者のすべての個人データを保護します。支払いカード番号も GDPR の下では個人データであるため、両方に準拠する必要があります。さまざまな規制がどのように相互作用するかについて詳しくは、データ プライバシー比較ガイド をご覧ください。
次は何ですか
カード支払いを受け入れる企業にとって、PCI-DSS への準拠は必須ではありません。幸いなことに、最新の支払いプラットフォームでは、カード データ処理の最も機密性の高い部分をユーザーに代わって処理することで、支払いが劇的に簡単になりました。あなたの仕事は、適切なアーキテクチャを選択し、適切な SAQ を完了し、継続的なセキュリティ慣行を維持し、標準の進化に合わせて最新の状態を保つことです。
ECOSIRE は、e コマース企業が最初から PCI 準拠の支払いアーキテクチャを構築するのを支援します。当社の Shopify 実装 は最小限の PCI スコープに対して Shopify のレベル 1 認定を活用し、Odoo ERP 統合 はシステムを PCI スコープから除外するトークン化された支払いフローを使用します。支払いのセキュリティ評価については、お問い合わせ してください。
ECOSIRE によって発行 — Odoo ERP、Shopify eCommerce、OpenClaw AI にわたる AI を活用したソリューションで企業のスケールアップを支援します。
執筆者
ECOSIRE Teamテクニカルライティング
ECOSIRE のテクニカルライティングチームは、Odoo ERP、Shopify による EC、AI エージェント、Power BI による分析、GoHighLevel による自動化、そしてエンタープライズソフトウェアのベストプラクティスを扱っています。私たちのガイドは、企業が十分な情報に基づいてテクノロジーを判断できるよう支援します。
関連記事
電子商取引のための AI コンテンツ生成: 商品説明、SEO など
AI を使用して e コマース コンテンツを拡張します: 商品説明、SEO メタ タグ、電子メールのコピー、ソーシャル メディア。品質管理フレームワークとブランドの声の一貫性に関するガイド。
AI を活用したダイナミックプライシング: リアルタイムで収益を最適化
AI 動的価格設定を実装し、需要弾力性モデリング、競合他社の監視、倫理的な価格設定戦略により収益を最適化します。アーキテクチャと ROI のガイド。
電子商取引向け AI 不正検出: 販売を妨げずに収益を保護
AI 詐欺検出を実装すると、誤検知率を 2% 未満に抑えながら、不正取引の 95% 以上を捕捉できます。 ML スコアリング、行動分析、ROI ガイド。
コンプライアンスと規制のその他の記事
電子商取引のサイバーセキュリティ: 2026 年のビジネスを守る
2026 年の完全な e コマース サイバーセキュリティ ガイド。PCI DSS 4.0、WAF セットアップ、ボット保護、支払い詐欺防止、セキュリティ ヘッダー、およびインシデント対応。
化学産業向け ERP: 安全性、コンプライアンス、バッチ処理
ERP システムが化学会社の SDS 文書、REACH および GHS 準拠、バッチ処理、品質管理、危険物輸送、配合管理をどのように管理するか。
輸出入取引用ERP: 多通貨、物流、コンプライアンス
ERP システムが商社の信用状、税関書類、インコタームズ、多通貨損益計算書、コンテナ追跡、関税計算をどのように処理するか。
ERP を使用した持続可能性と ESG レポート: コンプライアンス ガイド 2026
ERP システムを使用して、2026 年の ESG 報告コンプライアンスをナビゲートします。 CSRD、GRI、SASB、スコープ 1/2/3 排出量、炭素追跡、Odoo の持続可能性をカバーします。
監査準備チェックリスト: 書籍の準備をする
財務諸表の準備状況、裏付け文書、内部統制文書、監査人の PBC リスト、一般的な監査結果を網羅した完全な監査準備チェックリスト。
電子商取引ビジネスのためのオーストラリア GST ガイド
ATO 登録、75,000 ドルの基準値、少額輸入、BAS 申請、デジタル サービスの GST を網羅した、e コマース ビジネス向けのオーストラリア GST 完全ガイド。