今さら聞けない「カード情報の非保持化」とは

カード情報の非保持化とは

「カード情報の非保持化」とは、EC事業者様が保有する機器・ネットワークにおいて、「カード情報を保存・処理・通過しないこと」を言います。

カード情報を保持しているケースには、リピート購入のために会員情報とカード情報を紐付けて事業者様のサーバーに保存しているケースや、テレフォンオーダーでヒアリングしたカード情報や紙の申込書に記載されたカード情報を自社ネットワークに接続された機器へ入力するケース等がありますが、このようなケースにあてはまるEC事業者様は、至急対策が必要です。

然るべきセキュリティ対策を講じない場合、法令（※）に抵触することになります。最悪の場合、アクワイアラーであるカード会社から加盟店解除手続が行われる可能性があります。
※2018年6月1日に施行された改正割賦販売法

カード情報の非保持化が実現できる決済システム

カード情報の非保持化を実現する決済システムのひとつとして「非通過型決済」があります。非通過型決済とはEC事業者様が保有する機器・ネットワークをクレジットカード情報が「通過」しない方式の決済システムのことです。この非通過型決済には、さらに次のような種類があります。

カード情報の非保持化の注意点

自社のサイトの現状を把握するには、情報収集が欠かせません。決済代行会社によっては、セキュリティ対策をEC事業者の自主性に任せ、アドバイスをしない会社も存在します。信頼できる決済代行会社に相談したり、ペイメントナビ等の情報サイトで最新情報を収集し理解を深めることが重要です。カード情報の非保持化に関するセミナーに参加することも有益です。決済代行業者が提供する決済システムには、上記の｢非通過型｣と、｢通過型｣の2種類に大別できます。カード決済を導入しているネットショップは、現在どちらの仕組みを導入しているかは利用している決済代行業者に確認してみましょう。通過型の場合はカード情報を保持することとなり、カード情報を窃取されるリスクがあります。対応策として、非通過型への変更を実施する事が最良と言えますが、業務上カード情報を保持する必要がある場合は、PCI DSS準拠が必要となります。

PCI DSSとは、カード情報を安全に取り扱うことを目的として策定されたカード業界のセキュリティ基準です。12の要件に基づき、最大で約400の要求事項をクリアするという高いハードルが求められます。現実的な選択としてPCI DSS準拠よりも「カード情報の非保持化」を選択するEC事業者様が多いでしょう。

まとめ

決済代行会社では、ネットショップにおけるカード情報の非保持化サービスを提供しております。ソニーペイメントサービスでも、非通過型決済システムやカード情報お預かりサービス等、カード情報の非保持化が実現できるサービスをご用意しております。まず何を行うべきかお悩みの事業者様はぜひご相談ください。

人気記事

関連記事