セキュリティ統制・法務・基準重要度:★★出題: AM2・PM1

PCI DSS (クレジットカード情報セキュリティ基準) とトークナイゼーション

ぴーしーあいでぃーえすえす / とーくないぜーしょん / Payment Card Industry Data Security Standard / Tokenization

国際カードブランド5社が共同策定したクレジットカード会員データ保護基準（PCI DSS）と、ECサイトがカード番号を一切保持・通過させずに決済を行う非保持化・トークナイゼーション技術。

3行速習ポイント

割賦販売法の実行計画により、EC加盟店には原則としてカード情報の「非保持化（自社サーバを保存・処理・通過させない）」または「PCI DSS準拠」が求められる
JavaScript型トークナイゼーション：購入者のブラウザから決済代行会社（PSP）のサーバへ直接カード番号を送信して無価値なトークンに変換し、加盟店サーバにはトークンのみを渡すことで非保持化を達成
ただし加盟店の決済ページ自体が改ざん（Webスキミング / Magecart攻撃）されると、ブラウザ上でカード番号を盗まれるため、CSP導入やスクリプト完全性検証（SRI）が不可欠

図解

図トークナイゼーションによるカード情報「非保持化」と Webスキミング対策

11. 決済画面の完全性検証 (SRI / CSP)

ブラウザ画面保護

Webスキミング（決済JavaScript改ざん）の事前防止

ブラウザ上でカード番号を盗むMagecart等の攻撃を防ぐため、scriptタグのサブリソース完全性（SRI：integrity属性）とCSPで不正スクリプト読込を阻止

22. 決済代行会社 (PSP) へカード番号を直接送信

トークナイゼーション

購入者ブラウザからPSPサーバへ直接通信しトークンを取得

カード番号（PAN）やセキュリティコード（CVV）を加盟店サーバへ一切送らず、PSPのJavaScriptが直接PSPへ送信して無価値な乱数文字列（トークン）に変換

33. 加盟店サーバでのトークン決済要求（非保持化達成）

カード情報非保持化

加盟店はトークンのみを扱ってオーソリ（承認）を実行

加盟店サーバはカード情報を「保存・処理・通過」させない非保持化を達成し、万一加盟店DBが漏洩してもカード情報の流出被害をゼロにする

💡 加盟店サーバをカード番号が「通過」するだけでも保持と同等のリスクになるため、ブラウザから決済代行会社（PSP）へ直接送信する方式が標準

概要と本質

ECサイトが自社のWeb/APサーバでクレジットカード番号（PAN）を受け取って決済代行会社へ中継（通過）させるだけでも、メモリダンプやログからカード情報が漏洩するリスクがあり「保持」と同等のPCI DSS準拠義務が生じます。そのため現代のECサイトではブラウザ直接送信型のトークナイゼーションが標準です。

重要ポイント・コア概念

センシティブ認証データの保存絶対禁止：カード裏面のセキュリティコード（CVV/CVC）や磁気ストライプデータ、PINは、たとえ暗号化していてもオーソリ（承認）完了後の保存がPCI DSSで一切禁止されている
SRI（Subresource Integrity：サブリソース完全性）：scriptタグに integrity="sha384-..." 属性を記述し、外部CDN等から読み込むJavaScriptが改ざんされていないかをブラウザにハッシュ検証させる仕組み
PCI DSS v4.0の強化点：決済ページ上のすべてのスクリプトのインベントリ管理・正当性確認・改ざん検知（Webスキミング対策）や多要素認証要件の厳格化