カード情報を自社で持たないという基本的な考え方
この教材でわかること：サイトで商品やサービスの販売・決済を行っている場合に知っておきたい、クレジットカード情報の扱いに関する基本的な考え方です。
このカテゴリでは、「個人情報保護法とサイト運営者の義務（基本編）」で、お客様の個人情報を扱う上での法律上の義務を見てきました。クレジットカード情報は、氏名やメールアドレスよりもさらに取り扱いに注意が必要な情報です。この教材では、カード情報を安全に扱うための基本的な考え方を解説します。
原則：カード番号は自社で持たない
サイトで決済を受け付ける場合に最も重要な原則は、「カード番号を自社のサーバーやシステムで保存・処理しない」ということです。StripeやPayPal、国内の決済代行サービスなど、信頼できる決済事業者を利用し、カード番号の入力・保存・処理をその事業者側に任せる構成にすれば、自社のシステムにカード番号そのものが触れる場面自体をなくすことができます。
PCI DSSという国際基準
クレジットカード業界には、PCI DSS（Payment Card Industry Data Security Standard）という、カード情報を取り扱う事業者向けの国際的なセキュリティ基準があります。PCI SSC（PCI Security Standards Council）という業界団体が策定・運用しています。カード番号を自社で直接保存・処理する場合、この基準への準拠が求められますが、要求事項は幅広く、専門知識や相応のコストが必要です。小さな会社が自社でこの基準に対応するのは現実的に大きな負担になります。
日本国内のルール：非保持化という考え方
日本クレジット協会が公開している「クレジットカード・セキュリティガイドライン」でも、加盟店（カード決済を受け付ける事業者）は、カード情報を「保持しない」こと（非保持化）、またはカード情報を保持する場合はPCI DSSに準拠することが基本方針として示されています。つまり、自社でカード番号を持たない構成にすることが、最も負担の少ない現実的な選択肢として位置づけられています。割賦販売法（クレジットカードの取引に関する法律）の改正により、カード決済を取り扱う加盟店には、こうした対策を講じることが義務として課されています。
制作会社・決済代行事業者に確認すること
自社のサイトの決済の仕組みがどうなっているか分からない場合は、教材「制作会社に確認すること」で紹介している考え方と同じく、担当の制作会社や決済代行事業者に直接確認することが確実です。「カード番号は当社のサーバーを経由しますか」「利用している決済事業者はどこですか」という2点を聞くだけでも、現状を把握できます。
今日からできること
- 自社のサイトの決済の流れで、カード番号が自社のサーバーに保存・通過していないかを確認する
- 利用している決済事業者が、Stripe・PayPalなど広く知られた事業者であるかを確認する
- 不明な点があれば、教材「制作会社に確認すること」を参考に、制作会社・決済代行事業者に直接確認する
参考にした公開情報
この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別の契約・システム構成に応じた対応は、利用している決済代行事業者や制作会社に直接ご確認ください。