決済システム開発に影響する法律・規制・セキュリティ基準

法規制とコンプライアンス

決済システムの開発は、多数の法規制に影響を受けます。「なぜこの要件があるのか」を理解するために、主要な法規制を押さえましょう。

1. 主要な法律

クレジットカード取引を規制する法律です。

銀行以外の事業者による決済サービスを規制する法律です。

カード情報を扱うすべての事業者に適用されるセキュリティ基準です。

PCI DSS v4.0 の12要件:

#	要件	開発への影響
1	ネットワークセキュリティ管理の導入と維持	ファイアウォール設定、ネットワーク分離
2	すべてのシステムコンポーネントにセキュアな設定を適用	デフォルト設定の変更、ハードニング
3	保存されたアカウントデータの保護	カード番号の暗号化、保存制限
4	オープンな公共ネットワークでの送信時のカード会員データの暗号化	TLS 1.2以上の強制
5	悪意のあるソフトウェアからの保護	マルウェア対策、脆弱性管理
6	セキュアなシステムとソフトウェアの開発と維持	セキュアコーディング、脆弱性パッチ
7	アクセス制御（業務上の必要性による制限）	最小権限の原則、RBAC
8	ユーザーの識別とアクセスの認証	多要素認証、パスワードポリシー
9	カード会員データへの物理アクセスの制限	サーバールーム管理
10	ネットワークリソースとカード会員データへのアクセスの追跡と監視	ログ管理、SIEM
11	セキュリティシステムとプロセスの定期的なテスト	ペネトレーションテスト、脆弱性スキャン
12	情報セキュリティポリシーの維持	ポリシー文書化、教育

開発者が特に意識すべき要件: 要件3（カード番号の暗号化・マスキング・トークナイゼーション）、要件6（セキュアコーディング）、要件10（監査ログ）

割販法改正により、加盟店はカード番号を「保持しない」ことが原則です。

金融情報システムセンター（FISC）が策定する、金融機関のシステムに適用される安全対策基準です。

主な要件:

法規制を踏まえ、決済システム開発で確認すべき項目です。