解説

PCI DSS（クレジットカード業界のセキュリティ基準）では，カードセキュリティコード（カード裏面などに印字された3〜4桁の値，CVV2/CVC2等）について，取引の承認（オーソリ）を受けた後は，加盟店・サービスプロバイダのいずれも保存してはならないと定めています。暗号化していても保存は禁止です。したがって正解はd『保管しない／保管しない』です。カードセキュリティコードは，カード番号や有効期限と異なり，取引後に保持する正当な理由がなく，漏えいすると不正利用に直結するため，承認後は確実に削除する必要があります。選択肢a・b・cは，加盟店またはサービスプロバイダのいずれかでコードを保管する内容を含むため，暗号化の有無にかかわらずPCI DSSに違反します。

なぜ他の選択肢は違うのか

選択肢 ア

暗号化していても，承認後のカードセキュリティコードの保管はPCI DSSで禁止されています。加盟店・サービスプロバイダのどちらも保管してはならないため誤りです。

選択肢 イ

加盟店内に平文で保管する時点でPCI DSS違反です。カードセキュリティコードは取引承認後の保管自体が禁止されており，暗号化せず平文であればなおさら不適切です。

選択肢 ウ

サービスプロバイダのシステム内に平文で保管する内容であり，PCI DSSに違反します。取引承認後はいずれの事業体もカードセキュリティコードを保管できないと定められています。

解くときのポイント

カードセキュリティコードは『承認後は誰も保管しない』がPCI DSSの鉄則。暗号化していても保管不可。カード番号・有効期限とは扱いが異なる。