PCI Compliance SAQ: 10 Types and Which One Is Right for You

PCI自己評価質問票（SAQ）とは何ですか？

PCI Self-Assessment Questionnaire（SAQ）は、クレジットカードデータを取り扱う加盟店およびサービスプロバイダが、Payment Card Industry Data Security Standard（PCI DSS）への準拠を評価および宣言するために使用するフォームです。SAQ は、組織がセキュリティのギャップを特定し、カード会員データを保護するための業界基準を満たしていることを確認するのに役立ちます。

カード処理方法および取引量に応じて、組織は異なるバージョンの SAQ を完了する必要がある場合があります。SAQ を正常に完了すると、安全な支払環境の維持に対する企業の取り組みが証明されます。
SAQ を完了するには、カード会員データのセキュリティに関する一連の質問に回答する必要があります。質問は、安全なシステムの維持、カード会員データの保護から、脆弱性の管理、強力なアクセス制御手段の実装に至るまで、PCI DSS 要件に対する組織の遵守状況を評価するように設計されています。

推奨図書：SIEMとは何か、なぜ重要なのか、そして13の主要機能。

PCI DSS 自己評価アンケートに回答する必要があるのはどのような人ですか?

SAQ は、PCI レベル 3 および 4 で年間 100 万トランザクション未満の小規模な加盟店、場合によっては PCI レベル 2 で年間 100 万～600 万トランザクションの加盟店にのみ適用されます。これらの加盟店の場合、PCI コンプライアンスを達成するには SAQ で十分です。大規模な加盟店は、代わりに認定セキュリティ評価者（QSA）による外部監査を実施し、完全な準拠報告書（RoC）を提出する必要があります。

しかし、PCI DSS 基準に準拠する必要があるすべての事業体は、SAQ を自主的に記入することで、外部監査や RoC の準備として、準拠のギャップを特定し、準備態勢を向上させることができるため、メリットがあります。

エキスパートからのアドバイス

スティーブ・ムーアは、Exabeamのバイスプレジデント兼チーフ・セキュリティ・ストラテジストで、脅威検知のためのソリューションの推進を支援し、セキュリティ・プログラムの推進や侵害対応について顧客にアドバイスを行っています。The New CISO Podcast」のホストであり、Forbes Tech Councilのメンバー、ExabeamのTEN18の共同創設者でもあります。

私の経験から、PCI 自己問診（SAQ）プロセスをより効果的に活用し、PCI DSS コンプライアンスの取り組み全体を最適化するためのヒントを紹介します：

自動コンプライアンス・ツールの活用
Exabeam Fusion SIEMのようなソリューションは、可視性を高め、コンプライアンスを合理化します。ログの収集、監視、報告を自動化し、継続的なコンプライアンスと迅速なインシデント対応を実現します。

カード会員データフローのマッピング
SAQ を選択する前に、詳細なデータフローマッピングを実施して、カード会員データがどのようにシステ ムに入り、システム内を移動し、システムから出るかを特定します。これにより、適切な SAQ タイプを選択し、保護すべき領域を明確にすることができます。

トークン化と暗号化の活用
PCI スコープを最小化するために、トークン化とエンドツーエンドの暗号化の実装を検討してください。これらのテクノロジにより、エクスポージャが削減され、コンプライアンスが簡素化されるため、多くの SAQ を簡単に完了できます。

サードパーティプロバイダとの早期連携
サードパーティのペイメントプロセッサーまたはサービスプロバイダに依存している場合は、PCI DSS 準拠の証明（準拠証明など）を提供するようにしてください。この文書は、SAQ A、A-EP、および関連するタイプにとって非常に重要です。

スコープクリープを継続的に監視する
時間の経過とともに、新しいアプリケーション、システム、またはビジネスプロセスが、以前は適用範囲外であった領域にカード会員データを不注意に導入する可能性があります。PCI 環境の境界を定期的に見直してください。

The 10 Types of PCI SAQs and Applicability 

ここでは、PCI DSS 準拠を証明するために使用されるさまざまなタイプの SAQ の概要を説明します。

SAQ A

SAQ A は、すべてのカード会員データ機能を PCI DSS 準拠の第三者サービスプロバイダに委託し、カード会員データを自社のシステムまたは施設内で電子的に保存、処理、または送信しない加盟店に適用されます。一般的には、顧客をサードパーティの支払処理業者にリダイレクトする e コマース事業者がこれに該当します。

SAQ A の対象となる加盟店は、サードパーティプロバイダが PCI DSS コンプライアンスを維持していることを確認する必要があります。SAQ A を完了するには、カードデータを直接取り扱わず、支払処理を準拠プロバイダに依存することを証明する必要があります。

SAQ A-EP

SAQ A-EP は、すべての決済処理を PCI DSS 準拠のサードパーティに委託しているが、決済ページなど、決済取引のセキュリ ティに影響を与える可能性のある Web サイトを使用している e コマース加盟店向けに設計されています。このような加盟店はクレジットカードデータを直接扱いませんが、デジタル環境がトランザクションのセキュリティを損なわないようにする必要があります。

SAQ A-EP の資格には、顧客を安全に決済処理業者にリダイレクトまたは iframe するウェブテクノロジを使用することが必要です。SAQ A-EP を完了する加盟店は、自社のウェブページが安全であり、支払いプロセスに脆弱性がないことを確認する必要があります。

SAQ B

SAQ B は、カード処理にスタンドアロン型ダイヤル発信端末を使用している加盟店向けで、電子カード会員 データは保存されません。この SAQ は、トランザクション処理にインターネット接続を使用しない、シンプルなカード処理設定を行う事業者に適しています。

SAQ B の対象となる加盟店は、端末周辺の物理的環境のセキュリティ確保と、端末自体が PCI 基準に準拠していることを確認することに重点を置いています。SAQ B の回答は、物理的なセキュリティ対策と隔離された決済端末を中心に展開されます。

SAQ B-IP

SAQ B-IP は、カード会員データを電子的に保存しないスタンドアロン IP 接続端末を使用する加盟店を対象としています。SAQ B とは異なり、これらの端末はインターネット経由でペイメントプロセッサーに接続するため、トランザクションデータを保護するための追加のセキュリティ管理が必要となります。

SAQ B-IP を完了するには、加盟店は IP 接続端末周辺のネットワーク環境を保護し、ファイアウォー ルを実装し、脆弱性から保護するためにソフトウェアを定期的に更新する必要がある。インターネット対応の決済処理において、端末とネットワークのセキュリティを維持することに重点を置いています。

SAQ C

SAQ C は、カード会員データを保存せずに、インターネットに接続されたペイメントアプリケーションシス テムを持つ加盟店を対象としています。これは、スタンドアロン端末を使用する事業者よりも複雑なペイメントシステムを持つが、データを電子的に保存しない事業者に適用される。

SAQ C の資格には、決済ソフトウェアの使用と、トランザクション処理用のインターネット接続が含まれる。セキュリティ対策は、オンライン上の脅威からシステムを保護すること、ペイメントソフトウェアを保護すること、安全なインターネット接続を確保することに重点を置いている。

SAQ C-VT

SAQ C-VTは、クレジットカードデータを保存せずに、サードパーティが提供するインターネットベースの仮想端末ソリューションにカード会員データを手動で入力する加盟店向けです。このシナリオには、カード決済を手作業で処理するコールセンターや通信販売事業者が含まれることがよくあります。

SAQ C-VT を完了した加盟店は、仮想端末環境が安全であることを確認し、データを保護するためのアクセス制御を実装し、ウイルス対策ソフトウェアを定期的に更新する必要があります。SAQ C-VT は、データが手動で入力されるが保存されない環境に対するサイバーセキュリティ対策を強調している。

SAQ P2PE-HW

SAQ P2PE-HW は、有効性が確認され、PCI SSC にリストアップされた P2PE（Point-to-Point Encryption）ソリューション内のハードウェア決済端末を使用する加盟店に適用されます。これは、決済端末内でデータを直接暗号化することにより、PCI DSS 要件の範囲を大幅に縮小します。

SAQ P2PE-HW の資格には、承認された P2PE ハードウェアデバイスの使用が必要です。この SAQ を完了するには、これらのデバイスの使用を証明し、トランザクションの安全な取り扱いと処理に重点を置いた P2PE 指示への準拠を実証する必要があります。

マーチャント向けSAQ D

加盟店向けの SAQ D は、カード会員データを保存、処理、または送信する加盟店を対象としており、他の SAQ タイプのカテゴリには当てはまりません。これは最も包括的な SAQ であり、カード会員データを直接取り扱うことに関連するリスクが増加するため、PCI DSS 要件をすべて網羅しています。

加盟店向けの SAQ D を完了するには、ネットワークセキュリティ、データ保護対策、およびアクセス制御を含む、組織の支払処理環境の徹底的な評価が必要です。そのため、細部への厳密な注意と包括的なセキュリティ対策が求められます。

サービス・プロバイダー向けSAQ D

加盟店向けの SAQ D と似ていますが、サービスプロバイダを対象とするこの SAQ は、加盟店に代わってカード会員データを管理する事業体を対象としています。この SAQ は、ホスティングおよび支払処理からデータ保管までのサービスを対象としています。

SAQ D を完了したサービスプロバイダは、保存データの保護、ネットワークの保護、およびアクセス制御の管理に重点を置いて、該当するすべての PCI DSS 要件を満たしていることを証明する必要があります。この SAQ は、サービスプロバイダが顧客のカード会員データの安全な環境を維持することを保証します。

SAQ SPoC

SAQ SPoC (Software-based PIN entry on Commercial Off-The-Shelf devices) is designed for merchants that process card-present transactions using mobile or tablet devices combined with a secure card reader as part of a validated SPoC solution.

This SAQ applies to environments where cardholder data is captured through approved SPoC solutions and not otherwise stored, processed, or transmitted by the merchant’s systems outside of that solution. Typically, this includes businesses using smartphones or tablets with certified payment applications and secure card readers.

Merchants eligible for SAQ SPoC must ensure they use only PCI SSC-listed SPoC solutions, follow the provider’s implementation guidelines, and maintain strict isolation of the payment environment from other systems. Completing SAQ SPoC involves validating that all payment interactions occur within the secure solution and that no electronic cardholder data is retained outside of it, significantly reducing compliance scope while maintaining strong security controls.

What Is New in Version 4 of PCI SAQs?

Version 4 of PCI DSS introduced several updates to the Self-Assessment Questionnaires (SAQs), aimed at aligning them more closely with modern security requirements and improving usability for organizations. The changes are evolutionary rather than disruptive; there are no major changes to the types of SAQs or their eligibility criteria, but the content and structure have been refined.

The most significant updates include:

• Structure: SAQs now more closely mirror the wording and structure of the PCI DSS v4 standard itself. This alignment makes it easier for organizations to understand requirements and ensures consistency between self-assessments and formal audits.
• Additions: New security requirements have been introduced across the SAQs to address evolving threats. Some of these requirements were initially designated as “best practices” during the transition period but became mandatory by March 2025. These updates place greater emphasis on areas such as stronger authentication, improved encryption, and more rigorous security testing.
• Improved guidance: The updated SAQs also include enhanced guidance and instructions to help organizations complete assessments more accurately. This includes clearer eligibility criteria for certain SAQ types and improved completion guidance, reducing confusion and helping businesses choose the correct questionnaire.

PCI DSS v4 introduced refinements and minor structural changes, such as reorganized requirements and updated response options, while maintaining the SAQ framework. The goal is to provide more flexibility, improve clarity, and support a more consistent and effective compliance process without fundamentally changing how SAQs are used.

PCI DSS SAQの提出方法

適切な SAQ が完成したら、必要な検証書類とともに、指示に従って加盟店のアクワイアリングバンクまたはペイメントブランドに提出する必要があります。このプロセスには通常、回答の正確性とコンプライアンス状況を確認する自己評価証明書への署名が含まれます。

具体的な提出方法については、プロセスが異なる可能性があるため、各組織はアクワイアリングバンクまたはペイメントブランドに問い合わせること。

正しいSAQの選び方

適切な PCI 自己問診（SAQ）を選択するために、SAQ の種類、該当する加盟店のタイプ、アカウントデータの範囲、および電子的なアカウントデータの保存が許可されているかどうかをまとめた表を以下に示します。

PCI DSS準拠Exabeam Fusion SIEM

結局のところ、PCI DSS コンプライアンスは、監査人に何を行っているかを証明することがすべてです。DLP、エンドポイント、脆弱性スキャン、ネットワーク、アイデンティティの各ベンダーがパズルのピースを提供する一方で、Exabeam Fusion SIEMは、イベントとアラートにコンテキストとリスクスコアリングを追加してエンドツーエンドの PCI DSS コンプライアンスの全体像を示すことで、すべてをまとめて攻撃の全体像を把握するのに役立ちます。

Exabeam Fusion SIEMは、PCI 資産で発見された脆弱性に関するレポートをセキュリティ・チームに提供します。このレポートでは、ファイアウォール、ルータ、スイッチ、および脆弱性データを生成するその他のデバイスが生成する脆弱性スキャンの詳細データを調べます。カード会員データ環境の脆弱性スキャンは、悪意のある個人によって発見され悪用される可能性のあるネットワーク内の潜在的な脆弱性を明らかにします。組織は、このレポートを使用して、修正が必要なカード会員システ ムの特定の高度な脆弱性または重要な脆弱性を特定します。

Fusion SIEMはまた、IDS、IPS、DLPシステムから動中または静止中に発見されたクレジットカード・データを調査し、ネットワーク経由または許可されていないリムーバブル・ストレージ・デバイスへのクレジットカード・データの不正送信の可能性を可視化します。顧客はこのレポートを使用して送信元を特定し、さらに調査して修正することができます。カード会員データ環境は、IDS、IPS、および DLP ベースのテクノロジを使用して、クレジットカードデータの不正な送信を監視する必要があります。

クレデンシャルの異常や異常なアクティビティや動きから、クレジットカード・データへのアクセスや送信に至るまで、Exabeamはあらゆるクレデンシャル、データの動き、アクティビティに対して「正常」という明確なビューを提供し、SOCのワークフローを合理化し、侵害された内部者や悪意のある内部者が発生した場合の対応を支援するだけでなく、エコシステム内でのマルウェアやランサムウェアの横方向の動きを検出します。