正解：イ
各選択肢の解説
アクレジットカード番号の適切な管理を加盟店などに義務づけた、日本の法律。
誤り。これは割賦販売法の説明です。カード番号の保護を求める点は重なりますが、 国が定めた法律であり、業界団体が定めた国際的な基準であるPCI DSSとは 成り立ちが違います。法律が求める措置を満たす手段の一つがPCI DSS準拠です。
イ国際的なカードブランドが共同で設立した団体が定めた、会員データを扱う事業者向けの基準。
正解。加盟店や決済代行事業者など、カード会員データを保存・処理・伝送する 事業者が対象です。国ごとの法律ではなく、業界が世界共通で定めた基準なので、 日本の企業にも同じ要求事項が適用されます。
ウ偽造を防ぐためにカードへ搭載されたICチップの、国際的な仕様。
誤り。これはEMVと呼ばれるICカードの仕様です。カードそのものの作りを定める ものであり、事業者が会員データをどう扱うかを定めるPCI DSSとは対象が違います。 どちらも「国際的な取決め」なので混同されがちです。
エオンライン決済で、カードの正当な利用者かどうかを追加で確認する仕組み。
誤り。これは3Dセキュアなどの本人認証の仕組みです。決済のその場でなりすましを 防ぐための手段で、事業者が日頃守るべき管理上の要求事項をまとめた基準では ありません。防ぐ相手が不正利用か、情報漏えいかの違いです。
理解を深めるために
預かる側が守る、業界共通のルール
カード情報は、一度漏れると世界中で不正利用されます。そのため、American Express、 Discover、JCB、Mastercard、Visaという国際的なカードブランドが共同で団体を設立し、 共通の基準を定めました。それがPCI DSS（Payment Card Industry Data Security Standard）です。法律ではなく、業界が自ら定めた基準である点が特徴です。
誰が対象になるのか
対象は「カード会社」だけではありません。カード会員データを保存・処理・伝送する 事業者はすべて対象で、次のような立場が含まれます。
- 自社サイトでカード決済を受け付ける加盟店
- 決済処理を請け負う決済代行事業者やサービスプロバイダ
逆にいえば、カード情報を自社で持たず、決済画面を外部のサービスに任せる （非保持化）という選択をすれば、自社で守る範囲を小さくできます。
混同しやすいものとの違い
| 名称 | 何を定めているか |
|---|---|
| PCI DSS | カード会員データを扱う事業者の、セキュリティ要求事項 |
| 割賦販売法 | 加盟店などにカード番号の適切な管理を義務づける国内法 |
| EMV | 偽造対策としてカードに搭載するICチップの仕様 |
| 3Dセキュア | オンライン決済時に本人かどうかを確認する仕組み |
試験では「クレジットカード」と「国際的な基準」が並んだらPCI DSSです。 法律なのか、業界の基準なのか、決済時の技術なのかで見分けます。