クレジットカードを取り扱う加盟店の皆様へクレジットカードを取り扱う加盟店の皆様へ割賦販売法改正に伴うセキュリティ対策の取組みについてのお知らせ日頃は、クレジットカードによる取引に関してご理解とご協力を賜り、厚くお礼申し上げます。)が公布され、クレジットカードを取り扱う加盟店において、カード番号等の適切な管理や不正使用対策を講じることが義務づけられることになりました。改正割賦販売法の施行は、平成30年5月〜6月の予定とされております。これに関連して、同法を所管する経済産業省より、カード会社との間で契約を締結している加盟店に対して、別紙の内容を周知するよう要請がありました。つきましては、別紙の内容についてご理解を賜り、改正割賦販売法の施行までに必要な対応を行っていただきますようお願い申し上げます。改正割賦販売法により加盟店に義務付けられる具体的なセキュリティ対策の内容については、今後改正される予定の省令、監督の基本方針等において示されることになりますが、この加盟店の義務の実務上の指針となりうる「クレジット取引セキュリティ協議会」の「実行計画2017」においては、以下の対応が求められておりますのでご参照ください。○カード情報保護※について適切な保護措置をとること(非保持化又はPCIDSS準拠)。○不正使用対策として、対面加盟店ではICカード決済が可能な端末を設置し、EC(ネット取引)加盟店では、なりすましによる不正使用防止対策をとること。しないこと」をいいます。決済専用端末から直接、外部の情報処理センター等にカード情報を伝送している場合は、非保持とします。Standard)とは、クレジットカード会員データを安全に取り扱う事を目的として策定された国際ブランドが策定した基準です(下記の日本カード情報セキュリティ協議会のホームページ参照)。http://www.jcdsc.org/pci_dss.php○カード番号を保持する場合には、原則PCIDSS準拠が必要ですが、対面加盟店において、暗号化等の処理によりカード番号を特定できない状態とし、自社内で復号できない仕組みであれば、非保持化と同等/相当のセキュリティ措置として扱うことができる場合があります。○カード会社より貸与されているICカードに対応した決済専用端末(カードをスワイプするのではなく差し込んでデータを読み取り、暗証番号を入力する方式)を設置し、外部の情報処理センター等に直接伝送している場合には、カード情報保護対策も不正使用対策(偽造防止対策)もすでに対応が済んでいますので、新たな対応は必要ありません。ご不明な点があれば、契約先のカード会社にご確認ください。○一方、ICカードが読み取れない端末であれば、ICカードが読み取れる端末への置換えが必要です。○カード情報保護については、非保持化(上記の非保持化と同等/相当のセキュリティ措置を含む。)又はPCIDSS準拠が必要です(上述の「※カード情報保護について」参照)。○ICカードに対応した決済端末(暗証番号の入力方式)が設置されていれば、不正使用対策(偽造防止対策)はすでに対応が済んでいますので、新たな対応は必要ありません。○一方、ICカードに対応していない端末であれば、ICカードに対応した端末への置換えが必要です。○ご不明な点があれば、POS機器メーカーにご照会ください。○カード情報保護については、非保持化又はPCIDSS準拠が必要です(上述の「※カード情報保護について」参照)。○ICカードに対応したPOS(暗証番号を入力する方式)が設置されていれば、不正使用対策(偽造防止対策)はすでに対応が済んでいますので、新たな不正使用対策(偽造防止対策)は必要ありません。○一方、ICカードに対応していないPOS(スワイプして磁気で読み取る方式)であれば、ICカードに対応したPOSに置換えを行うか、ICカードに対応した決済端末を導入しPOSに接続する必要があります。○ご不明な点があれば、POS機器メーカーにご照会ください。○カード情報保護については、非保持化又はPCIDSS準拠が必要です(上述の「※カード情報保護について」参照)。○EC加盟店において、決済代行業者(PSP)が提供するシステムを利用する場合があります。この場合、加盟店の機器・ネットワークを通過する「通過型」と、通過しない「非通過型」に大別されますが、通過型の場合には、カード情報を窃取されるリスクがあるので、「非通過型」を推奨しております。どちらの仕組みを導入しているかについては、契約先の決済代行業者にご確認ください。「通過型」の場合には、カード情報を保持することになりますので、EC加盟店においてPCIDSS準拠が必要です。○なりすましによる不正使用防止のため、パスワードの入力等により本人が利用していることを確認できる仕組みや申込者の過去の取引情報などから不正な取引かどうかを判定する手法の導入等、各加盟店の業種・取扱商材、リスクの状況に応じて、多面的・重層的な不正使用対策をする必要があります。改正割賦販売法に伴うセキュリティ対策の取組みついて1.改正割賦販売法(趣旨・概要)近年、クレジットカードを取り扱う加盟店におけるクレジットカード番号等の漏えい事件や不正使用被害が増加(不正使用被害額はネット取引の増加にも伴い、平成24年の68.1億円から近年は右肩上がりで上昇し、平成28年には推計で約142.45億円に達すると見込まれている)しています。クレジットカード発行を行う会社と加盟店と契約を締結する会社が別会社となる形態(いわゆる「オフアス取引」)が増加し、これに伴ってクレジットカードを取り扱う加盟店の管理が行き届かないケースも出てきています。)が、昨年(2016年)12月2日に国会において可決・成立し、同月9日に公布されました。(施行期日)同法の施行期日は、公布日(昨年12月9日)から1年6ヶ月以内の政令で定める日とされており、2018年6月8日までに施行される予定です。クレジット協会のホームページをご参照ください(下記のURL参照)。ご不明な点等については、当社(契約するアクワイアラー(加盟店契約会社))よりご説明をさせていただきます。ついてのお問い合わせについては、下記の経済産業省のお問い合わせ先にご連絡をお願いいたします。2.加盟店におけるセキュリティ対策の取組みクレジットカード取引に関連する事業者等で構成される「クレジット取引セキュリティ対策協議会」(事務局:(一社)日本クレジット協会)において、本年3月8日に、「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画−2017−」(昨年2月に公表した「実行計画−2016−」の改訂版)を策定しました。この実行計画は、加盟店が改正割賦販売法上のセキュリティ対策義務を満たすための具体的な措置内容についての指針になり得るものであり、ご要望に応じ、(一社)日本クレジット協会又は経済産業省よりご説明いたします。03-3501-2302。