割賦販売法の改正に関するお知らせ

2016年12月9日にクレジットカードに関する法律（割賦販売法）が改正され、クレジットカード（以下「カード」といいます）を取り扱う加盟店に、会員番号などの情報漏えい対策やカードの不正使用対策を講じることが求められることになりました。これに関連して、同法律を所管する経済産業省から、各カード会社に対し契約する加盟店に、法律の改正内容を周知するよう要請がありました。
つきましては、以下の内容へご理解を賜りますようお願いいたします。
なお、加盟店様に義務づけられる具体的な対策につきましては、今後改正される省令が発令されるまでに、現時点で考えうる対策の概要を記載しておりますので、ご参照ください。

加盟店様にご対応いただくこと

カード情報の漏えい対策のため、原則として「カード情報の非保持化」（※1）をすること。カード番号等を保持するのであればカード情報セキュリティの国際基準である「PCIDSS」（※2）に準拠すること。
不正使用対策として、店頭販売の加盟店様は偽造防止対策としてICカードによる決済ができる端末を設置すること。オンライン販売の加盟店様は、なりすましによる不正利用を防止するための対策をとること。

「カード情報の非保持化」とは、「カード情報」を電磁的に送受信しないこと、すなわち加盟店様で保有する機器・ネットワークにおいて「カード情報」を電磁的情報として「保存」、「処理」、「通過」しないことをいいます。なお、紙やスキャンデータ、音声データ等でカード情報を保持していても、それをもって「保持」とはみなされません。
「PCIDSS」とは、クレジットカード会員データを安全に取り扱うことを目的として策定された国際基準です。詳しくは、日本カード情報セキュリティ協議会のホームページをご参照ください。

日本カード情報セキュリティ協議会のご案内を見る

店頭販売の加盟店の皆様へ

決済専用端末機（CCT）を設置している加盟店様の場合

ICカードに対応した決済専用端末機（暗証番号を入力する方式）が設置されている場合は、情報漏えい対策、不正使用対策（偽造防止対策）ともに対応済みとなりますため、新たな対応は必要ありません。ただし、自社のシステムに会員番号などを保持している場合は、保持しないようにするか、国際基準のPCIDSSに準拠する必要があります。
ICカードに対応していない決済端末機を使用している場合、ICカードに対応した決済端末機への置換えが必要です。

POSシステムと決済端末間で取引金額や決済結果などを連動させている加盟店様の場合

POSシステム等にカード情報を連携せずに、端末から直接外部の情報処理センター等に伝送している場合は、非保持化（上の非保持化の定義と同等、および相当のセキュリティ措置を含む。以下同じ。）の扱いとなります。
カード情報をPOSシステム等に連携している場合は、PCIDSSに準拠する必要があります。
ICカードに対応した決済端末（暗証番号を入力する方式）が設置されている場合は、不正使用対策（偽造防止対策）は対応済みとなりますため、新たな対応は必要ありません。
ICカードに対応していない端末の場合は、ICカードに対応した端末への置換えが必要です。
ご不明な点がある場合は、POS機器メーカーにお問い合わせください。

カード処理機能を持ったPOSシステムを設置している加盟店様の場合

磁気カードだけでなくICカードにも対応したPOSシステム（暗証番号を入力する方式）が設置されている場合は、不正使用対策（偽造防止対策）は対応済みとなりますため、新たな対応は必要ありません。ICカードに対応していないPOSシステムであれば、ICカードに対応したPOSに置換えが必要です。ただし、自社POSシステム内に会員番号などを保持している場合は、保持しないようにPOSの改修・置換えなどをするか、国際基準のPCIDSSに準拠する必要があります。

オンライン販売の加盟店の皆様へ

カード情報の漏えい対策については、非保持化またはPCIDSS準拠が必要です。
オンライン販売加盟店様において、決済代行業者（PSP）が提供するシステムを利用している場合、加盟店の機器・ネットワークを通過する「通過型」と、通過しない「非通過型」に大別されますが、通過型の場合には、カード情報を窃取されるリスクがあるため、「非通過型」を推奨しています。どちらの仕組みを導入しているかは、契約先の決済代行業者にご確認ください。なお、「通過型」の場合は、カード情報を保持することになりますので、オンライン販売加盟店様においてPCIDSSに準拠する必要があります。
各加盟店の業種・取扱商材、リスクの状況に応じて、なりすましによる不正使用への対策をする必要があります。パスワードの入力等により本人が利用していることを確認できる仕組みや、申込者の過去の取引情報などから不正な取引かどうかを判定する手法の導入等、ご対応をお願いいたします。

その他、具体的な対策や改正法の概要などは、以下の日本クレジット協会のホームページをご参照ください。

日本クレジット協会／セキュリティ対策を見る

日本クレジット協会／「クレジットカード取引におけるセキュリティの強化に向けた実行計画」資料を見る