ALPHASEC / KNOWLEDGE
PCI DSS に関するよくある質問
決済セキュリティの範囲、検証、証跡を理解します。
PCI DSSの対象は？
カード情報を保存・処理・伝送する環境と、その安全性に影響するシステム・サービスを考慮します。範囲は実際の接続と責任に基づきます。
CDE範囲設定の検討事項は？
カードデータフロー、対象システム、接続、第三者、セグメンテーションの有効性が評価範囲を決めます。
SAQとは？
自己評価質問票は、適格な組織向けの検証手段です。すべての適格性条件を満たし、評価を受け付ける機関と方法を確認する必要があります。
サービスプロバイダーは加盟店向けSAQを使えますか？
いいえ。PCI SSCは、適格なサービスプロバイダーが利用できるSAQをSAQ D for Service Providersのみとしています。他のSAQは加盟店向けです。
ROCとAOCとは？
ROCは要件に対する評価結果を記録し、AOCは評価と範囲を証明します。文書は事業者区分と提出先要件に適合させます。
どのような証跡を準備しますか？
範囲・データフロー、資産台帳・責任者、方針・手順、設定・運用記録、試験結果、提供者情報を要件に対応させて準備します。
重要な要件の適用日は？
PCI DSS v4.xの一部要件は2025年3月31日に適用状況が変わりました。評価計画では現行規格、報告様式、評議会のガイダンスをご確認ください。
ALPHASECへの相談はどう始めますか？
PCI DSS質問票で、事業モデル、決済フロー、システム、提供者、過去の評価、時期をお知らせください。
関連ガイダンス： PCI SSC SAQ FAQ · サービスプロバイダーの適格性 · 要件の適用日