ゴルフ場の
コース運営・決済データ
あとで読む保存した記事へ →
まず答え
加盟店側では、支払いの承認後にカードのセキュリティコードを保存してはいけません。PCI DSSでは暗号化して残すことも認めていません。
詳しい解説
カード裏面などの3〜4桁のセキュリティコードは、通常の顧客メモとして保存する情報ではありません。PCI Security Standards Councilは、オンラインなどカードを直接提示しない取引でコードを必要時に取得することは認める一方、支払いの承認後に保存することを禁止しています。暗号化して保管しても、この保存禁止の例外にはなりません。
ゴルフ場の予約受付へ当てはめると、「次回の入力を省くため」「会員だから」という理由で、コードを会員台帳や予約メモへ残す運用にはしません。承認に必要な入力と、その後の顧客記録を分けて考えます。
カード情報を登録して繰り返し支払う機能と、施設がセキュリティコードを保持することは別です。利用する決済サービスの正式な保存・継続課金機能を確認し、受付側の記録にコードが残らない仕組みにします。
ここで説明しているのは、加盟店等に対するPCI DSS上の扱いです。カード番号など別の情報にもそれぞれの保護要件があるため、コードを保存しなければ決済全体の安全確認が終わる、という意味ではありません。