PCI DSSとは？ぴーしーあいでぃーえすえす
PCI DSSとは、クレジットカードの会員データを扱う事業者が満たすべき国際的なセキュリティ基準。国際カードブランド5社が設立したPCI SSCが策定し、ネットワークの保護、保存データの暗号化、アクセス制御、監視、脆弱性管理など多数の要件からなる。法律ではなく、加盟店契約を通じて課される。
最終更新：2026-10-06
この語が出る過去問を解く →背景
カード決済では、カード会社・加盟店・決済代行など多数の事業者を同じ情報が通っていく。どこか1社の対策が弱ければそこから会員データが抜けるため、各社が自社の基準で対策していては連鎖全体の安全性が上がらない。ブランドごとに別々の基準を課していた時代は、事業者が何本もの監査に対応する負担も大きかった。基準を1本化して連鎖全体の水準をそろえたのがこの基準である。
具体例
日本では日本クレジット協会の「クレジットカード・セキュリティガイドライン」が、加盟店に対しカード番号を自社に残さない非保持化かPCI DSS準拠かを求めている。多くのEC事業者は、GMOペイメントゲートウェイなどの決済代行へ処理を委ねて自社に番号を残さない構成を採る。
試験での引っ掛け
法令ではなく業界の自主基準で、根拠が契約上の義務である点が他の法律と混同されやすい。また準拠すれば漏えいしない保証でもなく、年次の評価や定期的なスキャンを続けて初めて維持される状態である。非保持化は自社を適用範囲から外す対応であって、基準そのものが緩むわけではない。
関連用語
出た過去問
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問26（IPA）
クレジットカードなどのカード会員データのセキュリティ強化を目的として制定され、技術面及び運用面の要件を定めたものはどれか。
正解：PCI DSS
要点：PCI DSSはカード会員データ保護のための具体的要件
PCI DSSは、国際的なカードブランドが共同で策定した、カード会員データを取り扱う事業者向けのセキュリティ基準である。ネットワーク構築、データ保護、アクセス制御、監視、脆弱性管理などの要件を具体的な技術・運用レベルで定めている点が特徴で、加盟店や決済代行業者が準拠を求められる。
出典：令和元年度 秋期 情報セキュリティマネジメント試験 午前 問27（IPA）
クレジットカードなどのカード会員データのセキュリティ強化を目的として制定され、技術面及び運用面の要件を定めたものはどれか。
正解：PCI DSS
要点：PCI DSSはカード会員データ保護のための業界標準
PCI DSSは、国際カードブランドが共同で策定したクレジットカード会員データ保護のためのセキュリティ基準である。ネットワーク構成や暗号化、アクセス制御、監視、脆弱性管理など技術面と運用面の具体的な要件で構成され、カード情報を扱う事業者に準拠が求められる。
出典：平成31年度 春期 情報セキュリティマネジメント試験 午前 問14（IPA）
PCI DSS v3.2.1において、取引承認を受けた後の加盟店及びサービスプロバイダにおけるカードセキュリティコードの取扱方法の組みのうち、適切なものはどれか…
正解：保管しない。／保管しない。
要点：カードセキュリティコードは承認後は誰も保存してはならない
PCI DSSでは、カードセキュリティコードは取引の承認処理が終わった後、暗号化してあっても保存してはならない機微な認証データと位置付けられている。これは加盟店とサービスプロバイダのどちらにも等しく適用される。保存しなければ漏えいしようがない、という考え方に基づく要件である。
出典・参考
公式シラバスの1 技術要素 ＞ 2 情報セキュリティ管理 ＞ 情報セキュリティに関する基準に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。