PCIコンプライアンス：ホスティングのレベルとその意味

WooCommerceストアを立ち上げ、決済ゲートウェイを接続し、注文を受け付け始めた。すると決済代行会社やセキュリティ監査でPCIコンプライアンスについて指摘され、突然DSS、SAQ、QSA、ROCといった略語が並び、どれが自社に当てはまるのかわからなくなる。

ほとんどの小規模ストアのオーナーにとって、実態は最初の印象よりシンプルです。ただし、シンプルだからといって任意というわけではなく、ホスティング環境はほとんどの人が考える以上に重要です。ここでは、各レベルの仕組みと要件、そしてホストに求めるべきポイントを解説します。

PCIコンプライアンスとは何か、そしてなぜ自社に適用されるのか

PCI DSS（Payment Card Industry Data Security Standard）は、カードを受け付けるすべての事業者が決済データを確実に保護するよう、主要カードブランドが策定したセキュリティ基準です。ストアが何らかの形でクレジットカードやデビットカードを受け付けているなら、規模や売上高に関係なく適用されます。

カード番号を一切目にしない場合でも、決済の流れの一部であることに変わりはありません。サイトがカード会員データを収集、送信、またはリダイレクトした時点で、スコープに含まれます。

4つの加盟店レベル

レベルは主に年間のカード取引件数で決まりますが、正式な判断はアクワイアラー（加盟店契約会社）や決済代行会社が行います。レベル4でも免除されるわけではなく、検証が簡単になるだけです。侵害が起きたり、決済代行会社にリスクが高いと判断されたりすると、上のレベルに引き上げられることがあります。

ほとんどの小規模WooCommerceストアはレベル4に該当し、訪問審査ではなく書類とスキャンで検証を受けます。実際に求められる対応は、チェックアウトの構成と、カードデータがサーバーに触れるかどうかによって変わります。

自己評価問診票（SAQ）とは

レベル2から4では、SAQがコンプライアンスを検証する主な手段です。データ保護、アクセス制御、設定、脆弱性管理を網羅した体系的なチェックリストです。どのバージョンを記入するかは、チェックアウトでカードデータをどう扱うかによって完全に決まり、決済代行会社がそれを確認します。

よくある誤解：Stripe ElementsやBraintreeのホステッドフィールドなど、埋め込み型のフィールドを使うストアはSAQ Aだと思い込みがちですが、実装によってはSAQ A-EPが適用される場合があります。記入を始める前に決済代行会社に確認してください。

ホスティングの位置づけ

PCIの要件は、ゲートウェイだけでなく、サイトを支えるサーバーにも及びます。カードデータがサーバーを通過する、サーバーによってリダイレクトされる、またはサーバーの影響を受ける場合、ホスティングもコンプライアンスの対象になります。

責任共有モデル

PCI準拠のホストを使えば、ストアが自動的に準拠するわけではありません。責任は次のように分担されます。

1. ホスト インフラを担当：データセンターのセキュリティ、ネットワーク制御、サーバーの強化、システムのパッチ適用。
2. 決済ゲートウェイ 自社の認定インフラでカードデータを処理し、お客様のサーバーにカードデータを置かないようにします。
3. お客様 アプリケーション層を担当：WooCommerceの設定、稼働させるプラグイン、アクセス権を持つ人、脆弱性をどれだけ早く修正するか。

たとえば、ホストがOSのパッチをスケジュールどおりに適用していても、古いバージョンのWooCommerceや脆弱なプラグインを使っていれば、そのギャップはお客様の責任です。

PCI準拠のホストに求めるべきもの

これらに答えられないホストなら、ほかを探す十分な理由になります。

ほとんどの小規模ストアにとって最もシンプルな道筋

1. 完全ホスト型のPCI認定ゲートウェイを使う Stripe、PayPal、Squareなどを使えば、カードデータがお客様のサーバーに触れることはありません。
2. SAQの種類を確認する 決済代行会社または銀行に確認します。完全委託型のチェックアウトであれば、多くの場合SAQ Aです。
3. PCIに沿ったセキュリティを備えたホスティングを選ぶ スコープが小さい場合でも同様です。
4. 年次のSAQと四半期ごとのASVスキャンを完了する コンプライアンスを文書として残しておくためです。

PCIとセキュリティを支援するプラグイン

プラグインを入れただけで準拠できるわけではありませんが、適切なプラグインはお客様の責任範囲であるアプリケーション層を強化します。

コンプライアンスを自ら管理する

最もよくある誤りは、ゲートウェイやホストがすべてを担ってくれると思い込むことです。どちらもすべては担いません。実践的な出発点は次のとおりです。

1. 加盟店レベルとSAQの種類を確認する 決済代行会社または銀行に確認しましょう。その一度のやり取りで、適用される内容のほとんどが明確になります。
2. チェックアウトの流れを監査する。 顧客が支払う際に、カードデータがどこへ送られるかを正確に把握しましょう。
3. ホスティングを見直す。 文書化されたAOC、含まれるセキュリティ機能、そしてお客様側に残る責任を確認しましょう。
4. 四半期ごとのASVスキャンをスケジュールする。 見落とされがちですが、適切なホストやベンダーがいれば簡単です。
5. 年次のSAQを完了する。 フォームはPCI Security Standards Councilがpcisecuritystandards.orgで公開しています。

要件を理解し、一貫して行動に移すこと。それが実践におけるコンプライアンスです。

Bright Hosting エンジニアリングチーム

認定WordPress・WooCommerce開発者が24時間365日対応します。