正解：イ
各選択肢の解説
ア暗号化の鍵をデータと別に管理すれば、セキュリティコードも保存してよい。
誤り。鍵の管理はカード番号を保存するときに求められる対策の一つです。 カード番号は読み取れない形にすれば保存できるので、同じ扱いができると考えがちですが、 セキュリティコードは暗号化や鍵の管理をしても承認後の保存が認められません。
イセキュリティコードは、暗号化しても決済の承認後に保存してはならない。
正解。PCI DSS は、セキュリティコードを含む機密認証データを、暗号化していても 承認後に保存することを禁じています。カード番号とは扱いが違い、 守り方を工夫すれば保存できるものではありません。
ウ会員本人の同意を得ていれば、セキュリティコードも保存してよい。
誤り。本人の同意は、個人情報の利用目的などを考えるときの論点です。PCI DSS の 保存の禁止は、カード会員の同意の有無で変わりません。漏れれば不正利用に 直結するデータなので、承認後は持たないことが求められます。
エカード番号も含め、カードの情報は一切保存してはならない。
誤り。PCI DSS はカード番号の保存そのものを禁じてはいません。業務上の必要がある場合に、 暗号化やトークン化などで読み取れない形にして保存することを求めています。 禁じられているのは、セキュリティコードなどの承認後の保存です。
理解を深めるために
カード番号は守れば持てる、セキュリティコードは持たない
PCI DSS（Payment Card Industry Data Security Standard）は、国際カードブランドが設立した PCI Security Standards Council が定める、カード会員データを扱う事業者向けのセキュリティ基準です。 家の合鍵にたとえると、住所（カード番号）は金庫にしまえば手元に置いてよいものの、 暗証番号のメモ（セキュリティコード）は、金庫に入れても家に残してはいけない、という扱いです。
なぜセキュリティコードは保存できないのか
PCI DSS は、扱うデータを大きく2つに分けています。
- カード会員データ: カード番号（PAN）、会員名、有効期限など。業務上の必要があれば、暗号化・トークン化・切り詰めなどで読み取れない形にして保存できる
- 機密認証データ: セキュリティコード、磁気ストライプやICチップの全データ、PINなど。決済の承認後は、暗号化していても保存してはならない
セキュリティコードは、カードが手元にあることを確かめるための値です。 店側に残っていれば、漏えいしたときにカード番号と組み合わせてそのまま不正利用されてしまいます。 次回の購入を楽にしたいなら、セキュリティコードを持たずにカード番号をトークン化して扱う、 決済代行事業者の仕組みを使うといった方法を検討します。
混同しやすいものとの違い
| 考え方 | PCI DSS での扱い |
|---|---|
| セキュリティコードを承認後も保存する | 暗号化しても不可 |
| カード番号を読み取れない形で保存する | 業務上の必要があれば可 |
| 本人の同意を得て保存する | 同意があっても禁止は変わらない |
| カード情報は一切保存しない | カード番号まで禁じてはいない |
「暗号化すれば保存してよい」は、カード番号には当てはまってもセキュリティコードには当てはまりません。 どのデータかで扱いが分かれる点を押さえてください。