PCI DSSとは？

対象となる範囲

PCI DSSは、決済アカウントのデータを保護するための技術的・運用上の要件の基礎を示します。PCI Security Standards Councilによると、カード会員データまたは機密認証データを保管、処理、送信する事業者、またはそれを保持する環境のセキュリティに影響し得る事業者を対象としています。これには、加盟店、プロセッサー、アクワイアラー、イシュアー、サービスプロバイダーが含まれます。評議会が基準を定め、アクワイアラーと決済ブランドが契約を通じて適用するため、法律ではありません。このページは基準のバージョン4.0.1に基づいています。

ここでは2つの用語が重要です。カード会員データには、主アカウント番号（PAN）が含まれます。機密認証データ（SAD）には、CVV2、CVC2、CIDなど、カードに印字された確認コードが含まれ、これは支払者がカードを手にしていることを証明するために存在します。

何が求められるか

要件3.2.1は、データの保持と廃棄に関する方針、手順、プロセスによって、アカウントデータの保管を最小限にすることを求めています。要件3.3.1は、SADは暗号化されていても、承認後に保管してはならないと定めています。PANなどのカード会員データは、業務上の必要がある場合に限り、またPANについては読み取れない状態にした場合に限り、承認後も保持できます。SADは保持できません。

評議会はこれを通話に直接適用しています。FAQ 1210では、承認後にカード認証コードを.wavや.mp3などのデジタル音声録音に保存することは、要件3.3.1への違反であると述べています。通話中にそうしたデータが収集される場合は、録音されないよう最大限の努力を払う必要があり、データ入力中に音声を抑制またはマスクする技術があるなら有効にすべきです。録音を防げない場合は、承認の直後にデータを安全に削除します。削除が不可能な場合の最後の手段が、代替統制です。FAQはまた、PCI DSSが音声の保管に関する各国・各地域の法律に優先しないと述べています。

音声エージェントにとっての意味

音声エージェントは、カードデータが広がり得る新しい場所です。発信者が読み上げた、またはキー入力した数字は、通話音声、文字起こし、LLMに送られるプロンプト、ツール呼び出し、Webhookのペイロード、分析ストア、ベンダーのログに現れる可能性があります。それぞれのコピーについて、PCIの対象範囲に入るかが問題になります。

よくある方法は、エージェントの外にある決済フローに発信者を引き渡すか、音声からマスクされるキーパッドの音(DTMF)で数字を収集し、エージェントが数字を聞くことも保存することもないようにすることです。どの設計でも、決済の手順の間に通話録音が何を捉えるか、またそれらのコピーがどう保管され削除されるか(データ保持)を確認してください。ベンダーのSOC 2レポートは、PCIの状況を示しません。ベンダーがカードデータの経路にあるなら、PCIの準拠証明書を求めてください。銀行業務の例は、銀行業界の会話型AIのガイドを参照してください。

法務担当に確認する質問

1. このフローで、自社はカードデータを保管、処理、送信するか。それともエージェントを対象範囲外にできるか。
2. 自社にはどの評価または準拠証明書が適用され、アクワイアラーとカードブランドは何を求めているか。
3. カード番号が録音、文字起こし、プロンプト、ログに入らないようにするには、どうするか。
4. 録音にすでに確認コードが含まれている場合は、どうするか。
5. 通話経路のどのベンダーが、自社のPCIの状況を示す証拠を提出する必要があるか。

関連用語

• データ保持
• 通話録音
• DTMF
• ゼロデータ保持
• SOC 2

ガイド

• 銀行の会話型AI：顧客からの電話対応

ユースケース

• 電話での支払い
• 金融サービス

出典

• PCI Security Standards Council, PCI Data Security Standard (PCI DSS)
• PCI SSC FAQ 1210, Are audio/voice recordings permitted to contain sensitive authentication data?