PCI DSSが対象とする守るべきデータは，カード会員データとセンシティブ認証データである。その概要についてはPCI DSS「序文」に記述されている。要件3では，これらのデータについてシステム上保存する範囲を最小化し，データが盗まれた場合のリスクの軽減を図っている。守るべきデータの詳細及び保存範囲については要件3.2に記述されている。
|
3.2 オーソリゼーション後に（データが暗号化されていたとしても）センシティブ認証データを保管しない。センシティブ認証データとは、以下3.2.1 から3.2.3 に列挙されるデータを含む。 3.2.1 磁気ストライプの全ての情報（カードの裏面、チップ内、その他に存する）は保管しない。このデータはまた、全トラック、トラック、トラック1、トラック2、磁気ストライプデータ、とも呼ばれる。通常業務の範囲内として、磁気ストライプのデータ要素であるカード会員名、カード番号、有効期限、サービスコードは保管が必要である可能性がある。リスクを最小限にするためには、業務上必要なデータ要素のみを保管するようにする。カード・ベリフィケーション・コードもしくは値やPVVデータ要素を決して保管してはならない。 3.2.2 非対面取引の確認に使用されるカード・バリデーション・コード（カードの前面もしくは裏面に印刷された3桁または4桁の値）を保存しない。 3.2.3 PIN（暗証番号=personal identification number）もしくは暗号化されたPINブロックを保存しない。 |
ここでは実際のクレジットカード使用時に処理されるデータを基に，守るべきデータの詳細及び保存範囲について説明する。図3は，一般的なクレジットカードに記載されている情報である。一つずつ見ていこう。
 |
| 図3●一般的なクレジットカードに記載されている情報 |
(1)磁気ストライプ：システム的なチェック情報。ただしPIN（暗証番号）情報は含まない。
(2)カード会員名：敬称（Ms，Mr.，Mrs.，Drなど）と姓名のセパレータ2桁を含む，26桁で表されるカード保持者のアルファベット表記。
(3)カード番号：カードごとにユニークな番号で，一般的には16桁の数字。
(4)有効期限：西暦年と月をYYMM形式の4桁で表す。
(5)サービスコード：カード発行会社が該当カードに対して定義する，磁気ストライプ情報の読み出しの方法や制約。3桁または4桁の数値で表される。
(6)カード・ベリフィケーション・コード：カードの検証用コード。
(7)PVV（PIN Verification Value）：入力されたPINの検証用コード。
(8)カード・バリデーション・コード（Card Validation Code）：3桁あるいは4桁の数字で，カードの偽造や改ざんを検出するために使用。カード会社によっては別の名称を用いる。
【例】CVC（Card Validation Code）：Masterカード
【例】CVV（Card Verification Value）：VISAカード
入力データとして，下記の二つがある。
(9)PIN（Personal Identification Number）：暗証番号。
(10)PINブロック：PINを伝送用にまとめた単位。
センシティブ認証データという呼び方がある。これは「(1)磁気ストライプ」「(8)カード・バリデーション・コード」「(9)PIN（Personal Identification Number）」「(10)PINブロック」の総称である。
暗号化しても解読されるリスクはゼロではない
リスクを軽減するための最後の砦は，保存データの最小化である。センシティブ認証データは保存してはいけないのである。
強固な暗号でデータを判読不可能にしていたとしても，解読される可能性はゼロではない。しかし，システム上保存しているデータが必要最小限のものならば，解読されたとしても傷は浅くて済むからである（表2）。
| データ要素 | 保存可否 | |
|---|---|---|
| カード会員データ | カード番号(PAN) | 業務上必要なデータ要素のみ保存可 |
| カード会員名 | 業務上必要なデータ要素のみ保存可 | |
| サービスコード | 業務上必要なデータ要素のみ保存可 | |
| 有効期限 | 業務上必要なデータ要素のみ保存可 | |
| センシティブ認証データ | 全磁気ストライプ情報 | 保存不可 |
| カード・ベリフィケーション・コード | 保存不可 | |
| PVV | 保存不可 | |
| カード・バリデーション・コード | 保存不可 | |
| PIN | 保存不可 | |
| PINブロック | 保存不可 |
データを安全に廃棄する
システムの運用上軽視されやすいのがデータの安全な廃棄である。しかし，データの廃棄が十分でないと，廃棄データの中から重要な情報を取り出されてしまう恐れがある。要件3.1には，データの保存は最小限に抑えるデータ保管ポリシーを定義することが示されている。
| 3.1 保管するカード会員データを最小限に抑える。データの保管と廃棄に関するポリシーを作成する。データ保管ポリシーに従って，保存する情報量と保存期間を，業務上，法律上，規制上必要な範囲に限定する。 |
カード会員データの廃棄を確実にするためには，例えばデータ消去ツールのような専用の媒体処理装置の導入を検討すべきである。さらに，大量の媒体を処理する必要がある場合には，専門業者に委託することも考慮したい。
画面に表示するデータを最小化すべきことも定められている。
| 3.3 カード番号は全体を表示させない（最大でも，最初の6桁と最後の4桁のみを表示）。 |
要件3.3は，カード番号の一部のみを表示する，または保管する方法を指す。例えばオンラインショッピングで，利用者に対して登録された自分のカード番号を確認する画面を表示する場合，16桁のカード番号の一部のみを数字で表示し，残りはXや＊の文字に置き換えて表示するという方法がそれに当たる。
|
