カード決済を導入すると「カード情報を自社で持つのか、持たないのか」という論点が出てきます。この記事では、加盟店に求められるカード情報の非保持化とPCI DSS準拠の関係、対面店舗とECで違う指針対策、決済代行を使う場合に何が自社の責任として残るのかを、クレジットカード・セキュリティガイドラインの記載にそって整理します。
PCI DSSとは｜カード情報を扱う事業者向けの国際基準
PCI DSS（Payment Card Industry Data Security Standard）は、カード情報を取り扱う事業者が守るべきセキュリティ基準です。国際カードブランドが共同で設立した機関が策定し、ネットワークの保護、カード会員データの暗号化、アクセス制御、ログの監視などの項目で構成されています。
日本では、割賦販売法にもとづいてカード情報の適切な管理と不正利用防止措置が加盟店にも求められており、その具体的な実務指針として「クレジットカード・セキュリティガイドライン」が整備されています。同ガイドラインはクレジット取引セキュリティ対策協議会（事務局：一般社団法人日本クレジット協会）が策定しており、2026年3月に6.1版が公表されています。
ここで押さえておきたいのは、PCI DSS準拠が求められるのは「カード情報を保持する場合」だという点です。ガイドラインでは、加盟店の対応は「非保持化（非保持と同等/相当を含む）、またはカード情報を保持する場合はPCI DSS準拠」という整理になっています。つまり多くの中小の加盟店にとって現実的な出発点は、PCI DSS準拠そのものではなく自社でカード情報を持たない構成にすることです。
非保持化とは｜決済代行を使う意味はここにある
非保持化とは、自社のネットワークや端末、帳票にカード番号等を「保存・処理・通過」させない状態にすることです。対面店舗なら、カード情報が加盟店のネットワークを通らない仕組みの決済端末を使う。ECなら、入力画面を決済代行会社側に預けるリダイレクト型やトークン型を使う。いずれも、カード情報の管理責任の大部分を決済代行会社側に寄せる設計です。
決済代行を使う実務的なメリットのひとつがここにあります。カード情報を自社で持たない構成にできれば、PCI DSS準拠のための監査・対策コストを自社で抱えずに済みます。逆に、申込書に番号を書かせて紙で保管する、基幹システムに番号を保存するといった運用が残れば、自社がPCI DSS準拠を求められる側に回ります。
注意したいのは、決済代行の導入だけでは非保持化が完成しないことです。電話で聞き取った番号をメモに残していないか、FAX注文書に番号欄がないか、過去の顧客データに番号が残っていないか。こうした「紙と運用」の抜け穴は、システムを入れ替えても自動的には消えません。
対面店舗に求められる対策｜端末のIC対応
ガイドライン6.1版では、対面取引を行う加盟店の指針対策として、カード情報保護は「非保持化またはPCI DSS準拠」、不正利用対策は「決済端末のIC対応」と「IC取引時のオペレーションルールの遵守」が示されています。
IC対応は端末の入れ替えで終わりではなく、運用も含まれます。磁気ストライプでの読み取りに戻す、暗証番号の入力を省略してサインで済ませる、といった運用が残ると、IC対応端末を入れた意味が薄れます。スタッフの入れ替わりが多い業態では、運用ルールの共有が実質的な対策になります。
端末の入れ替え時に、カード情報が自社ネットワークを通らない構成か、対応ブランドと手数料の条件はどうかもあわせて確認しておくと手戻りが少なくなります。
PayCAS Mobile（PayPay公式）の公式サイトを見る →
※上記は広告リンクです。掲載の手数料・条件は2026年10月5日時点で各公式サイトに掲載されていた内容にもとづきます。プランや契約条件によって異なり、変更される場合があるため、最新の内容は各公式サイトでご確認ください。
EC加盟店に求められる対策｜脆弱性対策が指針に
EC加盟店については、6.1版で整理が変わった部分があります。従来はカード情報の非保持化が中心でしたが、6.1版ではカード情報の保持・非保持にかかわらず「脆弱性対策」が指針対策とされました。具体的には、自社システムおよびWebサイトを定期的に点検し、適切な対策を導入することが求められます。
入力フォームを決済代行会社に預けていても、ECサイト自体が改ざんされて入力画面をすり替えられれば、カード情報は抜かれうる。これが指針に脆弱性対策が加わった背景です。
不正利用対策としては、EC加盟店に次の4項目が指針対策として示されています。
- オーソリゼーション処理の体制整備
- 加盟店契約上の善良なる管理者の注意義務の履行
- 適切な不正ログイン対策
- EMV 3-Dセキュアの導入
このうちEMV 3-Dセキュアは、決済代行会社が対応していなければ導入できません。ECで決済代行を選ぶ際は、手数料や入金サイクルだけでなく、EMV 3-Dセキュアへの対応状況を確認項目に入れておくのが実務的です。
数字で見る｜なぜ対策が求められているのか
一般社団法人日本クレジット協会の集計では、クレジットカードの不正利用被害額は2024年（1月〜12月）が555.0億円、2025年（1月〜12月）が510.5億円でした。2025年の内訳は、番号盗用による被害が475.4億円で全体の93.1%、偽造カード被害は1.4%です。被害の大半がカード番号そのものの流出・悪用で起きている構図が続いています。
一方で、キャッシュレス決済比率は2024年に42.8%となり、「2025年6月までに40%」という目標を1年前倒しで達成しました。このうちクレジットカード決済が82.9%を占めています。カード決済の比重が上がるほど、1店舗の情報管理の緩さが及ぶ範囲も広がる、という関係になります。
※上記の数値は一般社団法人日本クレジット協会「クレジットカード不正利用被害の発生状況」（集計期間：各年1月〜12月）および「クレジットカード・セキュリティガイドライン【6.1版】」に掲載されていた内容で、2026年10月5日に確認したものです。最新の内容は各公表資料でご確認ください。
決済代行を選ぶ・見直すときの確認項目
セキュリティ面から決済代行を見るときは、次の点を各社で並べて比べると判断しやすくなります。
- カード情報の非保持化に対応した接続方式があるか（対面なら端末の仕様、ECならリダイレクト型・トークン型の提供）
- EMV 3-Dセキュアに対応しているか（EC加盟店の指針対策のひとつ）
- 決済代行会社自身のPCI DSS準拠状況を公表しているか
- 不正検知の仕組みやチャージバック発生時のサポート体制
- 売上金の分別管理の有無（セキュリティとは別の論点ですが、入金リスクに直結します）
条件は各社で異なり、同じ会社でもプランや契約時期によって変わります。1社の説明だけで決めず、複数社の条件を同じ項目で並べてから判断してください。
※上記は広告リンクです。掲載の手数料・条件は2026年10月5日時点で各公式サイトに掲載されていた内容にもとづきます。プランや契約条件によって異なり、変更される場合があるため、最新の内容は各公式サイトでご確認ください。
よくある質問
Q. 決済代行を使っていれば、加盟店はPCI DSS準拠しなくてよいのですか。
A. ガイドラインでは、加盟店の対応は「非保持化、またはカード情報を保持する場合はPCI DSS準拠」と整理されています。決済代行を使い、自社でカード情報を保持しない構成であれば、自社がPCI DSS準拠を求められる場面は限定されます。ただし紙やメール、基幹システムにカード番号が残っている場合は非保持化が成立しないため、自社の運用全体をご確認ください。
Q. ECサイトでカード情報を預けていれば、サイト側の対策は不要ですか。
A. 6.1版では、EC加盟店はカード情報の保持・非保持にかかわらず脆弱性対策が指針対策とされています。自社システムとWebサイトの定期的な点検と対策の導入が求められるため、入力画面を外部に預けていても対策の対象から外れるわけではありません。
Q. EMV 3-Dセキュアを入れると、かご落ちが増えませんか。
A. 認証画面が増える分だけ離脱が起きうる一方、リスクベース認証によって多くの取引は追加認証なしで通る設計になっています。具体的な挙動と設定可能な範囲は決済代行会社や導入ガイドの内容によって異なるため、導入前に各社の仕様をご確認ください。
Q. 対面店舗の端末は、いつ入れ替えるべきですか。
A. 一律の期限が示されているわけではありませんが、ガイドラインでは対面加盟店の不正利用対策として決済端末のIC対応が指針対策とされています。契約更新や保守期限のタイミングで、IC対応と非保持化の構成をあわせて見直すのが現実的です。
まとめ
出発点はPCI DSS準拠そのものではなく「自社でカード情報を持たない構成にする」ことです。そのうえで、対面なら端末のIC対応とオペレーションルールの遵守、ECなら脆弱性対策とEMV 3-Dセキュアの導入が指針対策として示されています。決済代行はこの負担を外に寄せる手段ですが、紙や社内システムに番号が残れば非保持化は成立しません。システムと運用の両方を点検したうえで、対応方式とサポート体制を複数社で比べて選んでください。
※本記事は一般的な情報提供を目的としたもので、個別のセキュリティ対策の十分性や法令適合を保証するものではありません。記載の内容・数値は2026年10月5日時点で各公表資料に掲載されていたものです。参考：クレジット取引セキュリティ対策協議会（事務局：一般社団法人日本クレジット協会）「クレジットカード・セキュリティガイドライン【6.1版】」（2026年10月5日確認）、一般社団法人日本クレジット協会「クレジットカード不正利用被害の発生状況」（2026年10月5日確認）。各サービスの条件は変更される場合があるため、最新の内容は各公式サイトでご確認ください。運営方針は運営者情報、免責事項は免責事項をご覧ください。
