クレジットカード関連法対策セミナー開催！【2月～3月】

本年6月1日施行のクレジットカード関連法への対策セミナーを開催。カード番号を取り扱う加盟店等は厳密な管理体制が必要に。

サイバーセキュリティの診断とコンサルティングを行なう三和コムテック株式会社と、IT機器の輸入販売を行なう株式会社アンペールは、1月24日より5回にわたり、改正割賦販売法(かいせいかっぷはんばいほう)の施行にともないクレジットカード加盟店に義務付けられた対応についての対策セミナーを開催します。

図1: 改正割賦販売法の影響範囲
 

■ 改正割賦販売法の概要

割賦販売法は代金の分割払いに関して定める法律で、その中でクレジットカード番号等の適切な管理を求めています。2016年12月9日に公布された改正割賦販売法では、カードのイシュアーやアクワイアラー、決済代行業者に登録制度を創設し、加盟店等に対してもクレジットカード番号等の適切な管理や不正使用対策を義務付けました。

この改正割賦販売法は、2018年6月1日から施行されますが、法律に準拠するために、イシュアー、アクワイアラー、決済代行業者は、PCI DSSというセキュリティの国際標準への準拠が必須となり、加盟店は、クレジットカード番号等の非保持化、あるいはPCI DSSへの準拠が必要となります。

加盟店のクレジットカード情報の非保持化に向けた具体的な指針である「クレジット取引セキュリティ対策協議会 実行計画(通称: 実行計画)」では、対面加盟店での非保持化の対応期限は202O年3月までとしていますが、実態としては、改訂割賦販売法の施行後は、対面か非対面かを問わず、「法律違反」となります。

そのため、加盟店では、対面か非対面かにかかわらず、非保持化、あるいはPCI DSS対応が急務ですが、三和コムテックでの調査では、対応が遅れている加盟店も多く、特に加盟店から外部委託を受けているBPO事業者などは、法律の施行自体を知らないケースも数多く見られます。

 

■ PCI DSS準拠のための方法

PCI DSS準拠のためには、その準拠証明のためにQSA(認定審査機関)の監査を受けるという方法と、SAQ(自己問診表)を自社で記載し署名し提出するという方法があります。

QSAの監査を受ける準拠方法は、PCI DSSの各要件に確実に準拠しているかを第三者の認定監査人(QSA)によって確認できますが、QSAによる監査費用が必須となるため、小規模～中規模のネット通販等の加盟店には過大なコスト負担になります。

このため多くのネット通販等の加盟店はSAQの提出による準拠方法を目指すことになりますが、このSAQ作成にも、ファイアーウォール装置の設定から、事務室の施錠の状況まで、最大で300項目以上の質問に答える必要があり簡単ではありません。

現時点で、関係諸団体より統一的な指導は行なわれておらず、このままですと、法律の施行となる2018年6月1日時点で、法律への準拠ができない加盟店が多数取り残される可能性があります。



図2: PCI DSS準拠のための方法
 

■ 三和コムテックとアンペールによるセミナーの開催

三和コムテックは、クレジットカードのセキュリティに関する団体「日本カードセキュリティ協議会」(2018年1月10日現在会員企業215社)の運営に設立当時から関わっているため本件状況を熟知しており、2018年6月1日の改定割賦販売法施行までの準拠に必要な、特に非対面の加盟店 (ネット通販等)対象に、セミナーを開催することとしました。

このセミナーでは法律で望まれている内容の解説、準拠のために必要なアクションプラン、希望者への有償支援サービスの紹介などを紹介します。アンペールは、クレジットカード番号を含むファイルがパソコンに存在するかの検査装置(DFAS、ディファス)を提供するベンダーとして、このセミナーに協賛します。



■ 開催概要

日程:  2018年2月7日、2月20日、3月7日、3月20日
場所： 三和コムテック株式会社セミナールーム　東京都港区六本木3-4-3 三和ビル
タイトル: PCI DSS実行計画 準拠対策セミナー
内容:  改正割賦販売法への準拠について
主催:  三和コムテック株式会社
問合せ: 03-3583-2386
申込み: https://www.sct.co.jp/sctevent/index180110.html



■ 用語

経済産業省による改正割賦販売法の解説
https://www.j-credit.or.jp/download/170126_news_a1.pdf
日本カード情報セキュリティ協議会
http://www.jcdsc.org/
日本クレジットカード協会
http://www.jcca-office.gr.jp/

「イシュアー」
クレジットカードを発行する者であり、例えば、銀行系クレジットカード会社、百貨店系クレジットカード会社などを指します。利用者からの代金の徴収を行います。

「アクワイアラー」
クレジットカードの加盟店の開拓と管理をする者であり、管理する加盟店からの売上データを収集し、また、イシュアーからの徴収した代金を加盟店に支払います。イシュアーとアクワイアラーは同じ企業である場合が多くあります。

「決済代行業者」
クレジットカード決済のITインフラを提供するなどにより、加盟店が容易にクレジットカードの決済をできるようにする事業者です。

「加盟店」
ネット通販、飲食店、衣料店など、クレジットカードを利用できる店舗・販売業者です。

「対面加盟店」
飲食店、衣料店のように、利用者と店員が、対面でクレジットカードの決済を行なう加盟店です。

「非対面加盟店」
ネット通販のように、利用者と店員が直接にクレジットカードを手渡すことなく、パソコンやスマホ経由の番号の入力等でクレジットカードの決済を行なう加盟店です。

「非保持化」
クレジットカードの番号の保存、処理、通過をしないことを指します。決済代行業者を利用したネット通販等においては、クレジットカード番号の入力画面のときだけ、決済代行業者のウェブサイトを表示する仕組みが提供されるケースが多く、これにより、ネット通販事業者は、クレジットカード番号の保存、処理、通過をせずに、決済を行なわせることができます。

「PCI DSS(ピーシーアイディーエスエス)」
Payment Card Industry Data Security Standardの略であり、クレジットカード情報および取引情報を保護するために2004年12月、VISA、マスターカードなどの国際ブランドが共同で策定した、クレジット業界における世界的なセキュリティ基準です。

「QSA(認定審査機関)」
訪問審査を行い、PCI DSSの順守状況を審査します。

「SAQ(自己問診表)」
QSAの審査を行なうことなく、この書類の作成によりPCI DSSに準拠するものです。
一定の条件を満たした加盟店に認められます。



「クレカ関連法への対策セミナー」の問合せ窓口
三和コムテック株式会社　SCT SECURE事業部営業グループ　岡山(おかやま)
TEL: [phone]
Mail: [e-mail]

「非保持の検査装置DFAS(ディファス)」の問合せ窓口
株式会社アンペール　情報機器部　新井(あらい)、吉澤(よしざわ)
TEL: [phone]
Mail: [e-mail]