クレカ取引セキュリティ対策協議会／ガイドラインを改訂／ワンタイムパスなど導入求める（2023年3月23日号）

　経産省は３月１４日に開催した「クレジット取引セキュリティ対策協議会第１０回本会議」において、クレジットカード取引に関わる事業者による対策を定めた「クレジットカード・セキュリティガイドライン」を改訂した。
　クレカ情報保護対策として、ＥＣ加盟店による非保持またはＰＣＳＤＳＳ（データセキュリティの国際基準）の準拠、新規加盟店の契約申し込み前に、自らでＥＣサイトの対策を実施することとした。
　契約申し込みの際に、アクワイアラー（クレカ加盟店の開拓や加盟店契約を締結する事業者）、ＰＳＰ（ネット取引においてＥＣ加盟店にクレカ決済のスキームを提供し、カード情報を処理する事業者）に、脆弱性対策などの対策の実施状況を記載した申告書を提出する。
　アクワイアラーやＰＳＰは、ＥＣ加盟店に対して、新規の加盟店契約の申し込みの際に、ＥＣ加盟店自らのセキュリティ対策の実施と申告を求め、セキュリティ対策の実施状況を確認することとした。
　不正利用対策では原則、全てのＥＣ加盟店に２５年３月末までに、ＥＭＶ３―Ｄセキュア（リスクベース認証やワンタイムパスワードの機能を搭載した世界基準の本人認証の仕組み）の導入を求める。
　クレカを発行する事業者は、ＥＭＶ３―Ｄセキュアの本人認証方法として「静的（固定）パスワード」から「動的（ワンタイム）パスワード」などへの移行環境を整え、２５年３月末までに自社のカード会員が「動的（ワンタイム）パスワード」などに登録・移行するように取り組む。
　また、アクワイアラーやＰＳＰは２５年３月末までに、全てのＥＣ加盟店がＥＭＶ３―Ｄセキュアの導入を計画的に進められるように支援する。不正顕在化加盟店（アクワイアラー各社が把握する不正利用金額が３カ月連続で５０万円を超えているＥＣ加盟店）に対して、早期にＥＭＶ３―Ｄセキュアを導入するように働きかけていくこととした。