PCI DSS 4.0 ルール 25.2

PCI DSS 4.0 ルール 25.2とは、カード会員データが外部ネットワーク上で送信される際に強固な暗号化と安全プロトコルを適用することを義務付ける規則である。

概要

PCI DSS（Payment Card Industry Data Security Standard）は、クレジットカード情報の漏えい防止を目的として設計された国際的セキュリティ基準であり、4.0版では「技術的保護」の観点から通信時の暗号化要件が明確化されている。ルール 25.2は、外部ネットワーク（インターネット・パートナー接続等）を介したカード会員データの転送に対し、適切な暗号化手段とプロトコルの使用を求めることで、情報漏えいリスクを低減することを目的としている。
この規則は、API銀行・オープンバンキング環境で頻繁に発生する外部通信（例：REST API 呼び出し、OAuth トークン交換）に対しても適用されるため、フィンテック企業がPCI DSS 遵守を実現する際の重要なポイントとなっている。

役割と機能

ルール 25.2は、カード会員データが外部ネットワーク上で送受信される際に「暗号化」を確保し、第三者による傍受や改ざんを防止する。具体的には次のような場面で機能する。
- API エンドポイントへの通信：モバイル決済アプリから銀行 API へ送信されるカード情報は HTTPS/TLS を介して暗号化される必要がある。
- ペイメントゲートウェイ連携：eウォレットやQRコード決済サービスが外部の決済処理サーバーにデータを転送する際、TLS 1.2以上を使用し、AES‑256 等の強固な暗号化アルゴリズムで保護される。
- パートナー間データ交換：BaaS プラットフォームが第三者金融機関とカード情報を共有する場合も、暗号化されたチャネル（例：IPsec VPN）を通じて行うことが求められる。

特徴

現在の位置づけ

近年のフィンテック市場では API 銀行やオープンバンキング、PSD2 の導入拡大に伴い、外部ネットワークを介したデータ転送は日常的な業務プロセスとなっている。PCI DSS 4.0 ルール 25.2 は、そのような環境でのカード会員データ保護を担保するために不可欠な要件と位置づけられている。
- 規制強化：多くの国や地域で金融サービスプロバイダーへの PCI DSS 遵守義務が拡大しており、ルール 25.2 の実装は監査上の必須項目となっている。
- 技術トレンド：TLS 1.3 の普及やハイブリッド暗号化（例：TLS + VPN）により、通信チャネル全体のセキュリティが向上している。
- 業務効率化：自動鍵管理システム（KMS）と統合した環境では、ルール 25.2 の実装コストを低減しつつコンプライアンスを維持できるケースが増えている。

PCI DSS 4.0 ルール 25.2 は、フィンテック企業が外部ネットワーク上でカード会員データを安全に取り扱うための基盤規則として、今後も重要性を増すことが予想される。