PCI DSS 4.0 ルール 14.1

PCI DSS 4.0 ルール 14.1とは、カード会員データを保護する際に使用できる暗号アルゴリズムを限定し、業界で承認された強力な暗号技術のみを利用することを求める要件である。

概要

PCI DSS（Payment Card Industry Data Security Standard）は、カード決済データの漏えいや不正アクセスから保護するために策定された国際的なセキュリティ基準である。ルール 14.1は、暗号化技術が脆弱性を抱えるアルゴリズムに依存しないように設計されており、古いアルゴリズム（DES、3DES、MD5 等）がもたらすリスクを除去することを目的としている。暗号化はカード会員データの機密性と完全性を確保する核心技術であるため、業界標準に基づくアルゴリズムのみを許容することで、統一的なセキュリティレベルを維持できる。

役割と機能

ルール 14.1は、API 銀行・オープンバンキング環境でのデータ転送やトークナイゼーションプロセスに直接適用される。開発者は暗号化ライブラリを選定する際、この要件を満たすアルゴリズム（AES‑128/256、SHA‑2 系列など）を採用し、コードベースや設定ファイルで明示的に指定する必要がある。また、監査時には使用したアルゴリズムとそのバージョンの証跡を提出できるようにしておくことが求められる。これにより、カードデータを扱うシステム全体に一貫した暗号化ポリシーが適用される。

特徴

• 業界承認済みアルゴリズム限定：DES、3DES、MD5 等の弱いアルゴリズムは除外。
• AES‑128/256 が推奨：対称鍵暗号で高い安全性と実装効率を兼ね備える。
• SHA‑2 系列が標準化：ハッシュ関数としてデータ整合性検証に使用される。
• 監査証跡の保持義務：アルゴリズム選定理由・バージョン情報を文書化し、外部監査に対応できるようにする。

これらは他の暗号関連ルール（例：キー管理要件）と相互補完的であり、単独ではなく全体として統合されたセキュリティフレームワークを形成する。

現在の位置づけ

近年のフィンテック拡張に伴い、API 銀行や BaaS プラットフォームはカードデータをクラウド上で処理・保管するケースが増加している。PCI DSS 4.0 はそのような分散型環境でも適用可能であり、ルール 14.1 は特にモバイル決済や QR コード決済といったエンドポイント間の通信セキュリティを担保する鍵となる。また、PSD2 の強化された認証要件と組み合わせて、トークナイゼーション・3D セキュア等の新規技術に対しても暗号アルゴリズムの選定基準として機能する。結果として、多くの決済ゲートウェイやカード発行銀行がこのルールを遵守し、監査証跡を整備している。
PCI DSS 4.0 の実装は、金融サービスプロバイダーにとって法的・商業的リスク回避の必須要件となっており、特にAPI 銀行やオープンバンキングでのデータ交換を安全に保つための基盤技術として位置づけられている。

bot-trap