クレジットカード情報漏洩、EC制作会社は「非保持だから安心」と言えない──ガイドライン6.1版の脆弱性対策5項目と、制作・保守の役割分担表

この記事は、クレジットカード情報の漏洩を防ぐためにEC加盟店へ求められている対策と、ECサイトの制作・保守を受ける会社が担う範囲を扱います。

「決済は代行会社だから、うちは関係ない」は通らなくなった

「カード情報はサイトに残らない方式です。だから、セキュリティは決済代行会社の仕事です」

ECサイトの提案で、こう説明してきた制作会社は多いはずです。
けれど、ガイドラインはその前提を一段進めています。

カード情報を保持しない方式でも、サイトやシステムの脆弱性を突かれれば、漏えいは起こり得る。
この認識が、いまのEC加盟店の対策の出発点です。

クレジットカード・セキュリティガイドラインとは、カード取引に関わる事業者が講じるべき対策を、割賦販売法の「実務上の指針」としてまとめた文書である

黒字化の外科医です。EC制作会社が押さえるべきガイドラインの要点と、役割分担を解剖します。

このガイドラインは、クレジット取引セキュリティ対策協議会（事務局：日本クレジット協会）が取りまとめています。2025年3月の6.0版でEC加盟店向けの対策が追加され、2026年3月に6.1版が公表されました。協議会の資料によれば、6.1版は6.0版からの指針対策の追加・変更はなく、各事業者の理解を深めるための改訂とされています。

なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

制作会社が無関係でいられない理由は、三つあります。

第一に、割賦販売法の義務の「物差し」になっているから。
協議会の資料では、ガイドラインの措置またはそれと同等以上の措置を講じていれば、割賦販売法の「必要かつ適切な措置」を講じているとみなされる、と整理されています。

第二に、6.0版でEC加盟店に「脆弱性対策」が加わったから。
協議会の改訂ポイントでは、非保持化に一定の効果はあったものの、ウイルス対策、管理者の権限管理、デバイス管理などの不備から、カード情報等が窃取される事案が起きていると説明されています。

第三に、委託先への要求が明記されたから。
同じ資料には、ECシステムやWebサイトの構築・運用を外部に委託する場合、委託先に対して、EC加盟店が行うべき脆弱性対策を理解した上で構築・運用することを求める、とあります。制作会社は、まさにこの「委託先」です。

今すぐ試せる：EC案件の「対策の現状」を整理するプロンプト

私はWeb制作会社の経営者です。保守しているECサイトについて、
クレジットカード・セキュリティガイドラインの観点で現状を整理してください。

【前提】
・ECシステムの種類とバージョン：〔　　〕
・カード決済の方式（代行会社の画面に移る／埋め込み 等）：〔　　〕
・管理画面に接続できる人と場所：〔　　〕
・脆弱性診断を最後に行った時期：〔　　〕
・会員登録・ログイン機能の有無：〔　　〕
・EMV 3-Dセキュアの導入状況（決済代行会社の確認結果）：〔　　〕

1. 脆弱性対策の5項目ごとに「実施済み／未実施／不明」を表にする。
2. 不明の項目について、誰に確認すべきか（顧客／決済代行会社／サーバー会社／自社）を書く。
3. 制作会社の保守範囲で対応できるもの、顧客の判断が必要なものを分ける。

断定できない項目は「確認が必要」と書くこと。

EC制作の役割分担工場：ガイドラインを案件に落とす

1. 脆弱性対策の5項目（6.0版で追加、6.1版も同じ）

① システム管理画面のアクセス制限と、管理者のID・パスワード管理
② データディレクトリの露見に伴う設定不備への対策
③ Webアプリケーションの脆弱性対策
④ マルウェア対策としてのウイルス対策ソフトの導入・運用
⑤ 悪質な有効性確認（クレジットマスター）への対策

詳細は、協議会の附属文書「EC加盟店におけるセキュリティ対策 導入ガイド」と、その別紙「セキュリティ対策一覧」で示されています。

2. 不正利用対策（6.0版で追加）

・EMV 3-Dセキュアの導入
・適切な不正ログイン対策の実施
　（会員登録・会員ログイン・属性情報変更の場面を考慮し、1つ以上導入）

協議会の改訂ポイントは、優先的に導入を推奨する例として、不審なIPアドレスからのアクセス制限、2段階認証または多要素認証、ログイン試行回数の制限、ログインや属性変更時の通知などを挙げています。

3. 役割分担表（例）

項目                      | 顧客（EC加盟店） | 制作会社       | 決済代行会社
--------------------------|------------------|----------------|-------------
対策の実施責任            | ◎               | ―             | ―
管理画面のアクセス制限    | 承認             | 設定・維持     | ―
管理者IDの棚卸し          | 承認             | 実施・報告     | ―
ECシステムの更新          | 費用負担の判断   | 実施           | ―
脆弱性診断                | 発注の判断       | 手配・是正     | ―
ウイルス対策（管理端末）  | 実施             | 助言           | ―
EMV 3-Dセキュア           | 申込             | 画面の組込み   | 提供・助言
不正ログイン対策          | 方式の判断       | 実装           | 助言

表の◎は「責任の主体」です。対策を講じる責任は、あくまで加盟店である顧客にあります。
制作会社は、その実施を技術で支える立場です。この線を、提案書と契約で言葉にしておきます。

4. 顧客への説明文（例）

カード情報をサイトに保存しない方式でも、管理画面やシステムの弱点を突かれると、
入力された情報が盗まれるおそれがあります。
業界のガイドラインでは、ECサイトの運営者に脆弱性対策が求められており、
構築・運用を委託する場合は、委託先にもその理解が求められています。
当社では、〔管理画面の制限・更新・診断の手配〕を保守の範囲としてご提案します。

ECの見積もりの分け方は、こちらで扱っています。

▶ Shopify制作の料金、中小企業のECサイト構築は「一式」で出すと赤字になる──商品登録・決済・配送設定・運用を分ける見積もりの型と計算例

構造的なリスク

逆説を指摘しておきます。

ガイドラインに詳しくなるほど、「全部やってくれる会社」と見られやすくなります。
けれど、決済代行会社のシステムや、顧客の社内端末までは、制作会社の手が届きません。

役割分担表を作らずに対策を引き受けると、事故の責任だけが集まります。

よくあるQ&A

Q. ガイドラインは、制作会社に直接の義務を課しているのか？

ガイドラインは、加盟店やカード会社などに加えて、ECシステム提供会社などの関係事業者にも、対策を理解した上での構築・提供や助言を求めています。個別の義務の範囲は、契約と専門家の確認で判断してください。

Q. 脆弱性診断の費用は、誰が払うべきか？

実施の責任が加盟店にある以上、費用の判断も顧客にあります。制作会社は、診断の必要性と見積もりを示す役割です。

Q. 改ざんされたら、どう動けばいいか？

まず顧客への第一報です。手口と予防はこちらにまとめています。

▶ ウェブスキミングとは、顧客サイトの入力画面が気づかないまま盗み見られること──制作会社が保守で止める改ざん検知・外部スクリプト・管理画面の守り

最後に

カード情報を保持しないことは、出発点であって、ゴールではありません。

ガイドラインの5項目を案件ごとに表にし、顧客と役割を分けて合意した制作会社だけが、EC案件を「安心して任せられる仕事」に変えられるのです。

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #ECサイト #クレジットカード #情報漏洩 #セキュリティ #割賦販売法 #制作会社経営 #中小企業 #保守契約 #役割分担