PCI DSS 4.0 Self-Assessment Questionnaire (SAQ) B

PCI DSS 4.0 Self‑Assessment Questionnaire (SAQ) Bとは、クレジットカード決済における支払カード業界データセキュリティ基準（Payment Card Industry Data Security Standard）の自己評価調査票の一種である。

概要

PCI DSS 4.0 はカード情報を保護するための国際的規格であり、SAQ 系列は事業者が自らの環境に合わせて実施すべきセキュリティ対策を整理したものだ。B 版は「カード・プレゼンテーション（POS）端末のみを使用し、カード情報を電子的に保存せず、インターネット接続も行わない」環境を対象とする。従来の SAQ B は 3.2 バージョンで採用されていたが、4.0 のリリースに伴い更新された。

役割と機能

SAQ B は事業者がカード情報処理プロセスを自己評価し、PCI DSS 要件への適合度を証明するための手段である。主な使用場面は、小規模店舗やレストランなどで、専用 POS 端末だけで決済を行い、オンライン決済やクラウドサービスに接続しないケースだ。自己評価結果は監査人への提出資料としても利用され、外部監査の負担軽減に寄与する。

特徴

• 限定的な環境適用：カード情報を電子的に保存せず、インターネット接続がない点で他の SAQ から区別される。
• セキュリティ要件の簡素化：ネットワーク分離・暗号化、アクセス制御、脆弱性管理といった基礎的対策に焦点を当てる。
• 実務適合性：POS 端末のみで運用する小規模事業者にとっては、過度なコストや手間をかけずに PCI DSS の遵守が可能となる。

現在の位置づけ

近年の API 銀行・オープンバンキング環境では、カード情報のトークナイゼーションやクラウド決済サービスへの移行が進む中、SAQ B は依然として「オンプレミス POS」利用者にとって重要なコンプライアンス手段である。PCI DSS 4.0 のリスクベース型アプローチは、B 版の要件をさらに明確化しつつも、小規模事業者が実務負担を抑えてセキュリティを維持できるよう設計されている。したがって、従来から POS 専用でカード情報を保持しない環境の企業は、SAQ B の適用を継続することが推奨される。