【専門家が解説！クレジットカードセキュリティガイドライン６.０】新規のカード決済は全件３ＤＳ通す／条件満たせば本人認証の出し分けも可能（2025年3月20日号）

　（一社）日本クレジット協会（ＪＣＡ、事務局東京都）は３月５日、既存のガイドラインを改定し、「クレジットカード・セキュリティガイドライン６.０（以下新ガイドライン）」を公表した。新ガイドラインでは、２５年３月末までに全てのＥＣサイトが導入を求められている「ＥＭＶ３―ＤＳ（３Ｄセキュア２・０）」について、具体的な運用方法を示している。要件を満たせば、「ＥＭＶ３―ＤＳ」の本人認証の出し分けも可能になる。「ＥＭＶ３―ＤＳ」の運用に詳しい、スクデットの関隆進取締役は、「基本的には新規のクレジットカード決済は、全件を『ＥＭＶ３―ＤＳ』に通す必要がある」と話す。

■認証を掛けるのは初回のみ

　─新ガイドラインのポイントを聞きたい。
　「ＥＣ加盟店のシステム及びＷｅｂサイトの『脆弱（ぜいじゃく）性対策』」が盛り込まれた点と、「ＥＭＶ３―Ｄセキュアの導入」について具体的な内容が盛り込まれた点がポイントだ。不正利用対策の指針として、「不正ログイン対策」が盛り込まれたことも大きい。
　中でも注目すべきポイントは、「ＥＭＶ３―ＤＳ」の運用方法が示されたことだ。「原則として決済の都度、ＥＭＶ３―Ｄセキュアによる認証の実施」と書かれている。これは、基本的にすべての新規のクレジットカード決済の注文について、「ＥＭＶ３―ＤＳ」を通すということだ。
　一方で、一部の注文については、「ＥＭＶ３―ＤＳ」を通さなくて済む旨と、その運用方法が示されている。
　新ガイドラインには「加盟店がＥＭＶ３―Ｄセキュア以外に講じる不正利用対策の内容や抑止効果に応じて、カード番号の登録時にＥＭＶ３―Ｄセキュアによる認証を行う運用や加盟店のリスク判断によりＥＭＶ３―Ｄセキュアによる認証を行う運用も認められる」とも記載している。
　これは、昨年ＪＣＡの会員社向けに示された「ＥＭＶ３―ＤＳ」の運用ガイダンスに示されたのと同じ内容だ。この前段では、ユーザーがＥＣサイトの初回利用時にクレジットカード番号を登録して、２回目以降も同じカードを使う場合、「ＥＭＶ３―ＤＳ」を通すのは初回だけでよいということが示されている。


■中小企業には高いハードル

　後段は、不正利用対策の条件を満たしていれば、加盟店がリスクを判断して、どの注文を「ＥＭＶ３―ＤＳ」に通すか判断できるということを意味している。

（続きは、「日本ネット経済新聞」３月２０日号で）