WooCommerceストアをセットアップし、決済ゲートウェイを接続して注文の処理を開始しました。ある時点で、おそらく決済処理業者またはセキュリティ監査から、PCIコンプライアンスについて言及されたかもしれません。今やDSS、SAQ、QSA、ROCといった頭字語を整理する必要があり、どれが実際に適用されるのかすぐにはわかりません。
ほとんどの小規模店舗オーナーにとっての現実は、最初に見た目よりも単純です。しかし、「単純」は「任意」を意味するものではなく、店舗が稼働しているホスティング環境は、多くの人が理解しているよりも重要です。
このガイドでは、PCIコンプライアンスレベルの仕組み、加盟店に求められること、ホスティングプロバイダーに求めるべきことについて説明します。
ほとんどのWooCommerceマーチャントにとって、PCIが適用されるかどうかという実用的な問題ではなく、コンプライアンスの負担が実際にどれだけ彼らにかかるかという問題です。ほとんどの中小規模マーチャントは、アウトソーシングされた決済ゲートウェイに依存してエクスポージャーを最小限に抑えていますが、ホスティングの分離とセキュリティプラグインの導入は、引き続き重要なサポート要因となります。
PCI DSSは、Payment Card Industry Data Security Standardの略です。これは、主要なカードブランドが、カード決済を受け付けるすべてのビジネスが顧客の支払いデータを適切に保護することを保証するために作成したフレームワークです。WooCommerceストアが何らかの形でクレジットカードまたはデビットカードの取引を処理する場合、規模や月間売上高に関係なく、PCI DSSが適用されます。
たとえ企業が顧客のカード番号を物理的に目にすることがなくても、それは支払いチェーンの一部となります。ウェブサイトがカード保有者データを収集、送信、またはリダイレクトした瞬間から、PCIの範囲内となります。コンプライアンスは大規模な企業であることではなく、不正行為、データ侵害、および金銭的責任のリスクを軽減することです。店舗がオンラインでカード決済を受け付ける場合、PCIコンプライアンスはオプションではありません。それは責任ある安全な運営の一部です。
PCI DSSは、主に年間処理されるカード取引の数に基づいて、加盟店を4つのコンプライアンスレベルに分類します。取引量が主な要因ですが、最終的な公式分類はアクワイアリング銀行と決済処理業者によって決定されます。これらのレベルは、リスクエクスポージャーに応じて検証要件をスケーリングするために存在します。取引量が多いほど、侵害のリスクが広がるため、検証要件もそれに応じてスケーリングされます。
重要なのは、最も低いレベルであってもPCI DSSの要件から免除されるわけではないということです。検証が単純に複雑でなくなるだけです。不正利用が発生した場合や、プロセッサがリスクが高いと判断した場合、マーチャントはより高いレベルに引き上げられることもあります。
ほとんどの中小規模のWooCommerceストアでは、レベル4が適用されます。これは、コンプライアンスが主に文書化と定期的なスキャンによって検証されることを意味し、完全なオンサイト監査ではありません。具体的な義務は、チェックアウトの設定方法や、カード所有者データがサーバー環境に触れるかどうかによって、依然として大きく異なります。
PCIレベル2から4のほとんどの中小規模eコマースビジネスにとって、自己評価質問票（SAQ）はコンプライアンスを検証する主要な方法です。SAQは、単純なフォームというよりは、構造化されたチェックリストと考えてください。データ保護、アクセス制御、システム構成、脆弱性管理にわたるセキュリティ管理を網羅しており、回答によって環境が必要な基準を満たしているか、またはコンプライアンスを証明する前に是正が必要かが決まります。
SAQには複数のバージョンがあり、正しいバージョンの選択は、チェックアウトプロセスが支払いデータをどのように処理するかによって完全に異なります。最終的に、どのバージョンが各セットアップに適用されるかを取得銀行または決済処理業者が確認します。
小規模なeコマースストアに最も関連性の高いSAQタイプは次の2つです：
よくある混乱点：Stripe ElementsやBraintreeのホストフィールドのような埋め込み支払いフィールドを使用する加盟店は、SAQ Aの対象になると想定することがありますが、実装によってはSAQ A-EPが適用される場合があります。SAQを完了する前にプロセッサにこれを確認することで、完全に間違ったフォームに記入することを防ぐことができます。
ホスティング環境は、PCIコンプライアンスの範囲を決定する上で重要な役割を果たします。多くのストアオーナーは支払いゲートウェイのみに焦点を当てていますが、PCI DSSの要件はウェブサイトをサポートするサーバーやインフラストラクチャにも及びます。カード会員データがサーバー環境を通過したり、リダイレクトされたり、影響を受けたりする場合、ホスティング設定がコンプライアンスの計算に含まれます。
各ホスティングモデルには、独自のコンプライアンス上の意味合いがあります。
適切なホスティングティアを選択することは、PCI義務の複雑さに直接影響します。
多くのストアオーナーは、ホスティングプロバイダーがPCI準拠であれば、ストアも自動的にカバーされると想定しています。PCI DSSはそうではありません。コンプライアンスは共有責任モデルに従います。つまり、ホスト、決済ゲートウェイ、およびマーチャントはそれぞれ定義された義務を負います。
ホスティングプロバイダーは、インフラストラクチャセキュリティ（データセンター保護、ネットワーク制御、サーバー強化、システムレベルのパッチ適用）を処理します。マーチャントはアプリケーションレイヤーに責任を負います。これには、WooCommerceの設定方法、インストールされているプラグイン、ユーザーアクセスの管理方法、脆弱性が迅速に対処されているかどうかなどが含まれます。準拠したホストは技術的な範囲を縮小しますが、カード決済を受け付けるマーチャントからの説明責任をなくすわけではありません。
実践的な例：ホストはスケジュールに従ってOSレベルのパッチ適用を行うかもしれませんが、ストアが古いバージョンのWooCommerceや脆弱なプラグインを実行している場合、そのギャップはホストではなくマーチャントの責任となります。
PCIコンプライアいアントなホストを選択することは、価格ページ上のマーケティング上の主張をチェックする以上のことです。それは、プロバイダーが店舗のコンプライアンス範囲内の特定の技術的およびセキュリティ要件をサポートしているかどうかを理解することです。サインアップする前に尋ねる価値のある質問をいくつか紹介します。
ホストがこれらの質問に答えられない場合、それはさらに探す十分な理由となります。
年間20,000件未満のeコマース取引を処理するほとんどの中小規模のWooCommerceストアにとって、PCIコンプライアンスは過度に複雑である必要はありません。鍵は、カード所有者データをサーバーから遠ざけ、技術的な露出を制限し、マーチャントレベルで適用される要件を明確に理解することにより、最初からコンプライアンススコープを最小限に抑えることです。
ほとんどの小規模ストア向けの実際的なアプローチには以下が含まれます：
支払いフローをシンプルにし、インフラストラクチャを合理的に安全に保つことで、セットアップの過剰設計なしにリスクと管理負担の両方を軽減できます。
PCIコンプライアンスはプラグインだけで達成されるものではありません。適切なツールは、アプリケーションレイヤーセキュリティを強化し、監視をサポートし、コンプライアンスリスクを軽減するのに役立ちます。
この公式Stripeインテグレーションにより、カード処理をStripeのPCI認定インフラストラクチャに完全にアウトソースできます。ホスト型フィールドまたはリダイレクトチェックアウトを使用して設定すると、ほとんどの中小規模ストアがカードデータをサーバーに置かないようにすることで、SAQ Aの対象となるのに役立ちます。
PayPalの公式WooCommerceプラグインは、サーバーから生のカード保有者データを除外することで、PCIコンプライアンスの負担を軽減するホスト型チェックアウトエクスペリエンスを可能にします。
共有責任モデルにおいて、マーチャントのPCI責任範囲に含まれるアプリケーションレイヤーセキュリティに対応します。
ファイル整合性監視、マルウェアスキャン、セキュリティ強化を追加し、PCI DSSのシステム整合性と侵入検知の要件を満たします。
WordPressおよびWooCommerce内の管理アクションとユーザーアクティビティを文書化し、ネットワークリソースおよびカードホルダーデータ環境へのアクセスを追跡するPCI DSS要件をサポートします。
PCIコンプライアンスは、小規模なeコマースビジネスにとって圧倒される必要はありません。最もよくある間違いは、決済ゲートウェイまたはホスティングプロバイダーのどちらかがすべてをカバーしていると仮定することです。どちらもそうではありません。コンプライアンスは、ゲートウェイ、ホスティング環境、およびマーチャントのアプリケーションの選択全体で共有されます。
実践的な出発点：
何が必要かを理解し、それに対して一貫して行動することが、実際のコンプライアンスの姿です。
