PCI DSS用語集-PCI DSSに関連して、よく使用される用語・略語・団体名など

AES (Advanced Encryption Standard)

「次世代標準暗号化方式」の略語です。NIST（アメリカ国立標準技術研究所）が 2001 年 11 月に FIPS PUB 197（または FIPS 197）として採用した共通鍵暗号方式で使用されているブロック暗号です。

AOC (Attestation of Compliance)  

「準拠証明書」の略語です。AOCは、コンプライアンスに関する自己問診または報告書に記録されている通り、加盟店およびサービスプロバイダがPCI DSS評価結果を証明するための文書です。 

AOV (Attestation of Validation)  

「検証証明書」の略語です。AOV は PA-QSA のフォームで、PA-DSS 検証レポートに文書化される通りに PA-DSS 評価の結果を証明するものです。 

ASV (Approved Scanning Vendor)  

「認定スキャニングベンダー」の略語です。PCI SSC によって承認された、外部の脆弱性スキャンサービスを実施する会社です。 

ページトップに戻る

CAT (Credit Authorization Terminal)

クレジットカードの加盟店に設置されている信用照会端末です。国内独自の規格で、NTTデータが運営するネットワーク（CAFIS）を経由して信用照会を行うものです。

CCT (Credit Center Terminal)

「共同利用端末」の略語です。信用照会端末の一種で、CAFIS以外のカード情報処理センターが認定した端末のことを指します。

CDE (Cardholder Data Environment)  

「カード会員データ環境」の略語です。カード会員データまたは機密認証データを保存、処理、または送信する人、処理、およびテクノロジで構成されます。 

CIS (Center for Internet Security)  

不適切な技術セキュリティ制御による、企業の事業および電子商取引の中断によるリスクを削減することを目的とした、非営利団体です。 （https://www.cisecurity.org/を参照してください） 

ページトップに戻る

IC Card (Integrated Circuit Card) 

ICチップを組み込んだカードです。構造上ICカードの複製は極めて困難であると共に、演算機能を利用してオフラインで、偽造カードの検知やカード使用者の本人確認が可能であり、セキュリティ面で磁気カードより格段に優れています。

ISA (Internal Security Assessor)

「内部セキュリティ評価人」の略語です。PCI SSCが、自社のみを監査できる資格として認定しており、加盟店など自己問診が認められている業態に対しては、ISAにより内部監査で外部監査を代替できるとしています。

ページトップに戻る

MO/TO (Mail-Order/Telephone-Order)

郵便や電話で注文を受け付ける販売形態のことで、いわゆる「通信販売」を意味します。

ページトップに戻る

NIST　(National Institute of Standards and Technology) 

「米国国立標準技術研究所」の略語です。米国商務省の技術局内にある、規制管理を行わない連邦政府機関です。 （https://www.nist.gov/を参照してください） 

ページトップに戻る

OWASP (Open Web Application Security Project)

アプリケーションソフトウェアのセキュリティを向上させるために、2004 年に設立された非営利団体です。OWASP は、Web アプリケーションの重要な脆弱性の一覧を管理しています。（http://www.owasp.org を参照してください）

ページトップに戻る

PA-DSS (Payment Application Data Security Standard) 

「ペイメントアプリケーションデータセキュリティ基準」の略語です。PCI SSCが発行する、POSなどの決済アプリケーションが守るべきセキュリティ基準です。 

PAN (Primary Account Number)

「プライマリアカウント番号」の略語で、「アカウント番号」とも呼ばれます。イシュアおよび特定のカード会員アカウントを識別する、一意なカード番号（一般に、クレジットカードまたはデビットカード）です。

PA-QSA (Payment Application Qualified Security Assessor)

「ペイメントアプリケーション認定セキュリティ評価機関」の略語です。PA-QSA は PCI SSC によって PA-DSS に対して支払アプリケーションを評価する基準とされます。 

PCI DSS (Payment Card Industry Data Security Standard)

クレジットカードを含むペイメントカードを扱う加盟店・決済代行事業者等に準拠が推奨される、カード情報セキュリティの国際統一基準です。セキュリティマネジメントとの方針、手順、手法、ネットワーク構造、ソフトウェアデザイン及びその他クレジットカードをはじめとする、カード情報を保護するために必要な要求事項について規定しています。クレジットカード加盟店や決済サービスプロバイダーなど、カード情報を保管、処理、伝送するすべての組織が対象となります。

PCI SSC (Payment Card Industry Security Standards Council)

国際ペイメントブランド5社が共同で運営するPCI DSSの推進協議団体です。

PCI P2PE (PCI Point-to-Point Encryption)

最初にカードを読み取る決済端末のカードリーダーから決済処理ポイントまで、エンド・ツー・エンドでカード情報を暗号化するP2PEソリューションの運用に対するセキュリティ基準です。

PFI (PCI Forensic Investigators)

PCI SSCからの認定を受けて、カード情報漏えい事故を取り扱う調査機関（フォレンジック機関）です。

PIN (Personal Identification Number)

「個人識別番号」の略語です。ユーザおよびユーザ認証を行うシステムのみが知っている、秘密の数値パスワードです。入力した PIN とシステムの PIN が一致する場合のみ、ユーザはアクセスを許可されます。一般に、PIN は ATM でのキャッシング取引に使用されます。また、カード会員による署名の代わりに PIN が使用される場合、EMV チップカードで PIN が使用されます。 

POS (Point of Sale)

販売時点情報管理システの略語です。物品販売の売上実績を単品単位で集計するシステムです。近年では顧客情報の管理とクレジットカード決済機能が一体となった各社独自のシステムも多く存在します。

PSP (Payment Service Provider)

「決済代行事業者」の略語です。インターネット上の取引においてEC 加盟店にクレジットカード決済スキームを自ら提供し、カード情報を処理する事業者です。

ページトップに戻る

QIR (Qualified Integrator or Reseller)

「認定インテグレータまたはリセラ」の略語です。`PCI SSCが認定するシステムインテグレータです。

QSA (Qualified Security Assessor)

「認定セキュリティ評価者」の略語です。QSA は PCI SSC により PCI DSS 現場評価することを認定されています。 

ページトップに戻る

ROC (Report on Compliance)

「準拠レポート」の略語です。事業体のPCI DSS 評価からの詳細結果を文書化したレポートです。

ページトップに戻る

SANS (SysAdmin, Audit, Networking and Security)

コンピュータセキュリティのトレーニングの提供および専門家を認定する機関です。（www.sans.orgを参照してください）

SAQ (Self-Assessment Questionnaire)

「自己問診」の略語です。事業体の PCI DSS 評価からの自己問診結果を文書化するために使用するレポートツールです。PCI DSSは、加盟店の業態（対面/非対面）およびシステム・ネットワーク構成に応じて、SAQのタイプを定めています。

ページトップに戻る

アクワイアラー

「マーチャントバンク」、「加盟店銀行」または「加盟店金融機関」とも呼ばれます。加盟店に代わってペイメントカードトランザクションを処理し、ペイメントブランドによってアクワイアラーとして定義された事業体、通常は金融機関のことです。 

暗号化

情報を、特定の暗号化キーの所有者以外は理解できない形式に変換するプロセスです。暗号化を使用すると、暗号化プロセスと復号化プロセス（暗号化の逆）の間で情報を不正な開示から保護できます。

イシュア

発行銀行や発行プロセサーなど、ペイメントカードを発行し、発行サービスを実施、促進、または支援する事業体です。「発行銀行」または「発行金融機関」とも呼ばれます。

ページトップに戻る

改正割賦販売法

割賦販売法は、クレジット取引等を対象に、事業者が守るべきルールを定める法律ですが、改正された割賦販売法（2018年6月施行）では、クレジットカードを取り扱う加盟店において、カード番号等の適切な管理や不正使用対策を講じることが義務づけられることになりました。

カード会員

ペイメントカードが発行される対象となる消費者または消費者以外の顧客、またはペイメントカードの使用を承認された個人を指します。 

カード会員データ

カード会員データの最小限のデータ要素は、プライマリアカウント番号（以降、PAN）の全桁数です。カード会員データは、PAN の全桁数に次のいずれかのデータ要素を加えた形式で構成することもできます: カード会員名、有効期限、サービスコード。

ページトップに戻る

サイトスキャン

WEBサイトから侵入されて、情報を盗み取られることがないか、PCI SSCによって認定されたベンダー(ASV) のスキャンツールによって、四半期に1回以上の点検を受けて、サイトに脆弱性のないことの認証を得る必要があります。カード情報の取扱いが中規模、およびインターネットに接続している事業者には必須の方法です。

サービスプロバイダー

他の事業体の委託でカード会員データの処理、保管、伝送に直接関わる、ペイメントブランドでない事業体です。これには、カード会員データのセキュリティを制御する、またはカード会員データのセキュリティに影響を与えうるサービスを提供する会社も含まれます。 

実行計画

2015年に設置された「クレジット取引セキュリティ対策協議会」が、「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画2016」（「実行計画2016」）を発表しました。実行計画は毎年、改訂され、「実行計画2018」が発行されています。

侵害

「データ侵害」または「データ違反」とも呼ばれます。コンピュータシステムへの侵入があり、カード会員データの不正な開示/盗難、変更、または破壊が疑われることです。 

情報セキュリティ

情報を保護し、情報の機密性、整合性、可用性を保証します。

ページトップに戻る

データフロー図

データがアプリケーション、システム、またはネットワークを通して流れる様子を示す図です。 

トークナイゼーション（トークン化）

カード番号などの機密データを乱数により生成する別の文字列に置き換え、保存・利用する技術です。 トークン化されたデータは、元データと1対1で結びつき、元データの再取得が可能です。

ページトップに戻る

日本カード情報セキュリティ協議会 (JCDSC: Japan Card Data Security Consortium)

セキュリティに関係する日本の企業により、クレジットカード情報の保護に向けた情報を交換、連携することを目的として、2009年に設立された団体です。主にPCI DSSの普及・啓蒙活動に取り組みながら、より安全なカード社会の実現をめざして活動しています。 （http://www.jcdsc.org/を参照してください）

日本クレジット協会　(JCA: Japan Consumer Credit Association)

クレジット業界の業界団体であり、割賦販売法に基づく認定割賦販売協会の機能を持つ団体です。 「クレジット取引セキュリティ対策協議会」の事務局を務めています。（https://www.j-credit.or.jp/を参照してください）

ネットワーク図

ネットワーク環境内のシステムコンポーネントと接続を示す図です。 

ネットワークセキュリティスキャン

事業体のシステムの脆弱性を、手動/自動ツールを使用してリモートでチェックするプロセスです。内部および外部システムの調査や、ネットワークに公開されているサービスのレポートなどを行うセキュリティスキャンです。

ページトップに戻る

非保持

自社で保有する機器・ネットワークにおいて「カード情報」を保存、処理、通過しないこと」をいいます。

フォレンジック

「コンピュータフォレンジック」とも呼ばれます。情報セキュリティに関連しており、調査ツールや分析技術を応用して、コンピュータリソースから証拠を収集し、データ侵害の原因を特定します。 

ペネトレーションテスト

システムコンポーネントのセキュリティ機能を回避または打破するために脆弱性を悪用することを試みるテストです。ペネトレーションテストでは、ネットワークとアプリケーションに関連する管理と処理の他に、ネットワークとアプリケーションのテストが行われます。また、ネットワーク外部からの侵入とネットワーク内部からの漏えいの両方に対して実施します。 

訪問審査

PCI SSCによって認定された審査機関(QSA)による現場の審査です。カード発行会社をはじめ、情報の取扱い規模の大きな事業者は、QSAによる訪問審査を受けて、認証を得ることが要請されています。

ページトップに戻る

3Dセキュア

クレジットカードの決済時に利用される本人認証サービスの総称です。クレジットカード番号・有効期限のほかにID・パスワードを本人が入力しクレジットカード決済を行う仕組みです。

ページトップに戻る