猶予期間は終了しました。すべての PCI DSS .0の 要件はすべて必須となりました。2026年にコンプライアンス、AIを活用した不正対策、そしてグローバルなデータ主権への対応に取り組むフィンテック企業にとって、これがどのような意味を持つのかをご紹介します。
PCI DSS .0.1 は、もはや将来的なコンプライアンス上の問題ではありません。すべての要件が必須となり、世界的にその遵守を求める圧力が強まっている中、依然として従来の適用範囲の想定に依存しているフィンテック企業は、危険な状況に陥りつつあります。
「ペイメント・カード・インダストリー・データ・セキュリティ・スタンダード（PCI DSS）」は、その適用範囲内で事業を行う組織に対し、かつてないほど高い要求を課しています。移行期間は2025年3月31日に正式に終了しましたが、この基準が対処することを目的としていた脅威の状況は、多くのコンプライアンス・プログラムが対応できる速度を上回る速さで変化しています。
決済処理、組み込み型金融、デジタルウォレット、銀行インフラ、国境を越えた取引といった分野で事業を展開するフィンテック・プラットフォームにとって、運用面での影響は甚大です。 PCI DSS 、もはや単に監査に合格することだけにとどまりません。 現在では、アーキテクチャ戦略、不正防止、AIガバナンス、オペレーショナル・レジリエンス、そして地域ごとのデータ主権に関する義務と直接的に関連しています。
もし自社のコンプライアンス体制が、基準がすでに到達している水準にまだ追いついていないのであれば、そのギャップを目立たずに埋めるための機会はすでに失われてしまった。
フィンテック企業がPCIPCI DSS .0.1について知っておくべきこと
- PCI DSS .0のすべての要件は、2025年3月31日より義務化されました。
- 支払いページの継続的な監視と、多要素認証（MFA）の拡充が必須となりました
- フィンテック・エコシステム全体で、AIを活用した不正攻撃が急速に増加している
- 地域のデータ主権に関する法律は、現在、PCIの義務と直接重複している
- PCI監査の範囲を縮小することが、業務上の最優先課題となっている
- 現在、アーキテクチャ上の決定は、コンプライアンスコストと規制リスクの両方に実質的な影響を及ぼしている
PCI DSS .0.1での変更点
2024年6月にPCI DSS .0.1では、新たな要件は導入されませんでした。その代わりに、文言の明確化、誤植の修正、およびPCI SSCの刊行物全体における用語の統一が行われました。
コンプライアンスに関する実質的な変更は、PCI DSS .0そのものに端を発するものであり、同規格PCI DSS .2.1と比較して、64件の新規または更新された要件が導入された。
2025年3月31日をもって、これまで将来の日付を条件としていたすべての要件について、猶予期間は終了し、完全に適用されることとなりました。
その違いは重要です。
多くの組織が、 PCI DSS .0 への準拠を検証しましたが、その際、移行措置を事実上任意のものとして扱っていました。それらの組織は現在、監査における期待値が以前とは大きく異なる状況に直面しています。
PCIセキュリティ基準評議会は、次のように明確に述べています：
「旧規格に準拠していたとしても、現在の基準に準拠していることとは同じではありません。」
PCI DSS .0 のどの要件が現在必須となっているのか？
運用上最も重要な要件のいくつかは、対象となるすべての環境において必須となりました。
決済ページスクリプトの継続的な監視
要件 6.4.3 および 11.6.1 では、組織に対し、支払いページのスクリプトについて、不正な変更や悪意のある活動がないか継続的に監視することが求められています。
これは、eコマースの決済フローを標的とした、Magecart型攻撃やクライアントサイドの侵害がますます増加している実態を反映している。
拡張された多要素認証
カード会員データ環境へのすべてのアクセス（従業員、管理者、契約社員、および外部ベンダーを含む）において、多要素認証が必須となりました。
管理目的のみの限定的なMFA導入に依存している組織は、もはやこの標準に準拠していない。
四半期ごとの脆弱性スキャンおよび侵入テスト
また、PCI DSS .0.1 では、CDE の境界全体を対象とした四半期ごとの内部脆弱性スキャンや年次ペネトレーションテストなど、継続的なテストの義務がさらに強化されています。
継続的なセキュリティ検証を運用している組織は、一般的に、年1回のコンプライアンス重視の抜き打ち検査に依存している組織に比べ、セキュリティ侵害によるコストが大幅に低くなっています。
2025年3月31日の期限がなぜ重要なのか
移行期間の終了により、認定セキュリティ評価者によるコンプライアンス準備状況の評価方法が根本的に変わります。
これまで先送りされていた統制事項は、現在、監査要件となっています。
こうした管理措置が実施され、実証され、文書化され、運用化されなければ、評価は失敗に終わります。
これは、次のような特徴を持つフィンテック企業にとって特に重要です：
- 従来の決済アーキテクチャ
- マルチベンダー決済エコシステム
- 国際的な処理環境
- 組み込み型金融プラットフォーム
- クラウドネイティブのトランザクションインフラストラクチャ
PCIの複雑さを軽減する最も手っ取り早い方法は、システムが扱う機密データの量を減らすことです。
こうした現実が、フィンテック業界全体に大きな構造的変化をもたらしている。
データ主権をめぐる複雑な問題
PCI DSS 、国際的に事業を展開する組織にとって、以前から常に困難な課題でした。そして現在では、その複雑さがさらに増しています。
地域ごとのプライバシーおよび主権に関する規制の急速な拡大――これには GDPR 、インドのDPDP 、ブラジルの LGPD、サウジアラビアのPDPL、そして進化を続ける米国の各州のプライバシー法など——の急速な拡大により、重複する規制上の義務が生じ、これらが従来の決済システムのアーキテクチャと頻繁に衝突する事態を招いている。
PCI DSS を満たす導入パターンであっても、地域ごとのデータ居住要件やデータ最小化の義務に違反してしまう可能性があります。
これにより、国境を越えた決済フロー、顧客のオンボーディング、取引分析、不正防止、分散型クラウドインフラストラクチャを扱うフィンテック企業にとって、業務上の摩擦が生じることになります。
2025年、欧州全域GDPR 12億ユーロを超えました。さらに、PCI DSS 、コンプライアンスが回復されるまで、月額5,000ドルから10万ドルの罰金が科される可能性があります。
その実務上の影響は明らかです：
フィンテック企業は、もはやPCIコンプライアンスとデータ主権を別個の取り組みとして扱うことはできなくなりました。
これらは一体となって設計されなければならない。
Vaultless tokenization 、規制対象データの恒常的な露出を低減しつつ、PCI DSS 要件を簡素化できるため、採用が拡大しています。
従来のvaultのアプローチでは、依然として組織が機密データのリポジトリを管理することになり、その結果、監査範囲の拡大、インフラの複雑化、および地域ごとのコンプライアンス上のリスクの増大を招く可能性があります。
PCI DSS 各地域の主権枠組みの両方を満たすシステムを構築するには、現在、以下のことが求められます：
- 意図的なデータフローのマッピング
- アーキテクチャレベルの最適化戦略
- ベンダーガバナンスの統制措置
- 地域ごとの処理に関する認識
- 監査の追跡可能性の確保
規制当局が相互に執行のスケジュールを調整することはめったにない。フィンテック企業は、こうした重複に対処するためのコストをすべて負担することになる。
AIがPCIコンプライアンスをどのように変革しているか
ここ数年の決済分野における脅威の状況において、最も顕著な動向は、組織的な詐欺グループによる生成AIの悪用である。
FTCの報告によると、2024年の消費者詐欺による被害額は125億ドルに達し、前年比で25％増加した。
ディープフェイク、合成IDの生成、AIを活用したフィッシング攻撃、および自動化された不正登録ワークフローは、現在では非常に高度化しており、従来の多くの手動による審査プロセスをすり抜けることができるようになっている。
不正な販売業者が、AIによって生成された事業者情報、偽造された書類、および基本的なコンプライアンス審査を通過するよう専門的に構築されたデジタル上の存在感を利用して、ますます多く登録されるようになっている。
2025年、フィンテックおよび金融プラットフォームを標的としたアカウント乗っ取り攻撃は、前年比で122％急増した。
一方で、正当なアカウント所有者が不正行為に加担したり、それを助長したりする「ファーストパーティ・フラウド」は、世界的に増加の一途をたどっている。
これにより、大きなアーキテクチャ上の課題が生じます：
従来のコンプライアンスの境界線は、現代の脅威環境にはもはや明確に当てはまらなくなっています。
AIシステムがなぜPCI関連インフラとなりつつあるのか
AIシステムが活用されている分野：
- 不正検知
- トランザクション監視
- カスタマーサポート
- リスクスコアリング
- 支払いの調整
- オペレーショナル・アナリティクス
カード会員データの処理、転送、評価、保護の方法に、ますます大きな影響を及ぼしている。
そのため、これらはPCIガバナンスに関する議論において実質的に重要な意味を持つことになる。
支払いのセキュリティ管理措置を処理、転送、影響を与える、または実質的に関与するあらゆるシステムは、今後、PCIの観点から評価されなければなりません。
こうしたシステムに対するガバナンス上の期待は急速に拡大しており、その中には以下が含まれます：
- アクセス制御
- 監査ログ
- モデルガバナンス
- データ取り扱い方針
- 保持管理
- 可視性の監視
- ベンダーの監督
PCI SSCは、規格の将来的な改訂を検討するにあたり、AI、ポスト量子暗号、およびエージェント型コマースの動向を積極的に注視しています。
今日、AIシステムに関するガバナンスを積極的に運用に移している組織は、将来、PCIのガイダンスによってこうした期待が正式に定められた際、構造的な優位性を得ることになるだろう。
『The Paypers』が2025年の不正事件振り返り記事で指摘したように：
「欧州の事業者にとって、コンプライアンスを遵守することと、保護されていることとは、もはや同義ではない。」
PCI DSS .0.1 準拠の真のコスト
PCI DSS .0 に関する最大の誤解の一つは、コスト予測でした。
業界の初期の予測では、移行期間中のコンプライアンス関連支出は小幅な増加にとどまると見込まれていた。しかし、実際の導入データからは、異なる実態が浮かび上がっている。
スコープの拡大だけでも、フィンテック業界全体で大幅なコスト上昇を引き起こしている。
組織では、日常的に次のようなことが判明しています：
- 管理対象外のシステム
- 本番データを含む開発環境
- アーカイブされたカード会員情報
- 従来の連携機能
- 未記載のベンダー依存関係
- 規制対象データを含む記録システム
正式な評価の際。
こうした発見により、監査の範囲が大幅に拡大し、是正措置にかかるコストも増加することになります。
多くの場合、コンプライアンス関連の総費用は当初の見積もりを50％から100％上回っている。
ある実例によると、ある決済処理業PCI DSS .0の導入に際し、当初予算を10％増額して計上していたが、最終的には予想を38％上回る支出となった。
当初の予算は5万ドルでした。
最終的な費用は15万6,000ドルを超えました。
現在、PCI DSS 完全なPCI DSS 準備が整っていると報告している組織はわずか32％にとどまっている。
さらに懸念されるのは、
によると、72％が、コンプライアンスの完全な成熟度を達成・維持するための真のコストについて、把握が不十分であると報告している点だ。
これは単なる準備態勢の不足という問題ではありません。
これは作戦上の可視性の問題なのです。
PCIのスコープ・クリープがなぜこれほどコストがかかるのか
PCIの範囲は、以下の点を直接決定します：
- 監査の複雑さ
- QSAの契約規模
- 侵入テストの要件
- 脆弱性スキャンに関する義務
- 監視インフラ
- エンジニアリングのオーバーヘッド
- 証拠収集業務の負担
- 修復のスケジュール
カードホルダーデータ環境が拡大すればするほど、コンプライアンス対応にかかる運用コストは高くなります。
レベル1の事業者およびサービス提供者は、以下の点に留意する必要があります：
- 4万ドルから20万ドル以上までのQSA評価
- 定期的なペネトレーションテスト費用
- SIEMおよび監視プラットフォームのコスト
- エンジニアリングリソースの配分
- ベンダーコンプライアンス管理にかかる負担
- 継続的なガバナンスの運用コスト
一方、2024年の金融セクターにおけるデータ漏洩による平均被害額は、世界全体で590万ドルに達した。
米国では、平均額が1,022万ドルを超えた。
コンプライアンス違反は多大なコストを伴います。
セキュリティ上の問題による損失は、それよりもはるかに大きなコストを伴います。
フィンテック企業が今すべきこと
自分の環境を率直に見極める
多くの組織は、自社のカード会員データ環境の実際の規模を過小評価しています。
よくある盲点としては、次のようなものがあります：
- アプリケーションログ
- アーカイブされたメール
- テスト環境
- 開発者向けサンドボックス
- 分析パイプライン
- ベンダー連携
- クラウドストレージのリポジトリ
QSA監査の過程でこれらを発見する場合、社内のギャップ分析の過程で特定する場合に比べて、そのコストは桁違いに高くなります。
将来導入予定だった統制措置を運用段階に移行する
継続的な決済ページの監視、多要素認証（MFA）の拡充、四半期ごとの脆弱性スキャン、およびより徹底した証拠収集が、必須の統制措置となりました。
これらはもはや、目指すべきベストプラクティスという段階を超えています。
これらは評価の要件です。
管理措置が実施され、文書化された証拠に基づいて運用されていない場合、組織はコンプライアンス審査に合格できないことになる。
次回のアーキテクチャ決定に先立ち、地図データの主権に関する要件を検討する
PCI DSS 、GDPR、DPDP、LGPD、APPI、あるいは地域ごとの個人情報保護義務を自動的に満たすものではありません。
この重複には、意図的な建築計画が必要となります。
Vaultless、keyless tokenization — 機密データが一時的に処理され、永続的に保存されることがない — この手法は、以下のことを同時に実現するための最も効果的なアプローチの一つとして注目を集めています：
- PCI DSS 縮小
- 規制対象データの露出を最小限に抑える
- データ最小化戦略の支援
- 地域間の主権調整の簡素化
関連リソース：
- Vaultless Keyless Tokenization
- Vaultless Tokenizationの実装に関する実践ガイド
- PCI DSS 縮小とコンプライアンス
- Vaultless Vault Tokenization
AIシステムをPCI関連インフラとして扱う
支払いのセキュリティに関する意思決定に影響を与えるあらゆるシステムは、それに応じて適切な管理が行われるべきである。
これには以下が含まれます：
- AI不正検知エンジン
- 取引リスク管理システム
- カスタマーサポート向けAIツール
- 加盟店登録の自動化
- 行動分析システム
ガバナンスに対する期待は、今や従来のインフラの枠を超えて広がっています。
規格の今後の方向性を見据えた計画を立てる
PCI DSS 、定期的なコンプライアンス認証よりも、継続的なセキュリティ成熟度への移行をますますPCI DSS 。
今後の改訂では、以下の点にさらに重点が置かれる見込みです：
- AIガバナンス
- 自動化に伴うリスク
- 暗号的耐性
- 継続的な検証
- リアルタイム監視
- 本人確認
今日、適応性の高いセキュリティアーキテクチャを構築している組織は、将来の改訂に際して、はるかに有利な立場に立つことになるでしょう。
まとめ
PCI DSS 、もともと単なる「チェックリストを埋めるだけの作業」PCI DSS 、バージョン4.0.1では、その現実を無視できなくなった。
コンプライアンスを、単なる年次監査の義務ではなく、セキュリティアーキテクチャへの投資と捉えている企業は、次のような成果を得ることができます：
- 業務の複雑さを軽減する
- 長期的なコンプライアンスコストの削減
- レジリエンスを高める
- 世界的な規制の整合化を簡素化する
- セキュリティ侵害のリスクを低減する
2026年には、PCIコンプライアンスはもはや単なるセキュリティ上の話題にとどまらない。
これはインフラ戦略に関する議論です。
よくある質問
PCI DSS .0.1は、2024年6月にリリースされたマイナーリビジョンです。このリビジョンでは、文言の明確化、誤植の修正、および他のPCI SSC刊行物との用語の統一が行われました。新たな要件は追加されておらず、削除された要件もありません。実質的なコンプライアンス義務はすべて、PCI DSS .0で導入されたものがそのまま適用されます。
はい。2025年3月31日をもって、以前は将来的な要件として分類されていた51のコントロールも含め、PCI DSS .0のすべての要件が必須となりました。猶予期間はもうありません。
これらの統制措置を導入する前にコンプライアンスの適合性を確認した組織は、それ以降に是正措置が完了していない限り、今後の評価で不合格となる可能性が高い。
PCI DSS 決済カードデータのセキュリティをPCI DSS 、地域ごとのデータ主権やプライバシーに関する規制に取って代わるものではありません。
組織は、技術的にはPCI DSS を満たしていても、GDPR 最小化義務、インドのDPDP 、あるいはブラジルのLGPD 基準に違反している可能性がある。
国際的に事業を展開する組織は、PCI DSS 各地域のプライバシーに関する義務の両方を同時に満たすシステムを構築しなければならない。
Tokenization 、PCI DSS 縮小するための最も効果的な手法の一つTokenization 。
機密性の高い決済データを、内部システムtokens 置き換えることで、組織PCI DSS 対象となる資産、アプリケーション、および環境の数を削減することができます。
Vaultless keyless tokenization 、GDPR、DPDP、LGPD、およびAPPIに基づくデータ最小化の義務を遵守しつつ、規制対象データの恒久的な露出をさらに低減することができます。
カード会員データを処理、操作、転送、分析、または保護するAIシステムは、PCI関連インフラとして扱われるケースが増えています。
これには以下が含まれます：
- 不正検知システム
- トランザクション監視エンジン
- AIを活用したカスタマーサポートツール
- 加盟店登録の自動化
- 行動分析プラットフォーム
こうしたシステムに対するガバナンス上の要件には、現在、他の重要な決済インフラと同様に、監査ログ、アクセス制御、監視の可視性、ベンダーガバナンス、およびデータ取り扱い方針などが含まれています。