カード決済を受け付けるすべての事業者は、年に 1 回、PCI DSS の自己評価質問票を完了しなければならない。質問は PCI Security Standards Council によって定められており、記載どおりに回答する必要がある。Paytia によれば、これまで対応されていなかったのは、その質問にどこで回答するのかという点だった。つまり、質問の対象となるものが別の部屋にあるにもかかわらず、机の前で、ノートパソコン上で回答するという状況である。

「質問は質問です。言い換えれば、記入したことにはなりません。私たちは質問票をスマートフォンに載せ、カメラに整理を任せ、写真は本来あるべき端末内に残しました。」 — Curtis Nash, CEO, Paytia

Paytia Comply は、質問票をポケットの中のスマートフォンへ移します。9 種類すべての SAQ と 966 件の PCI DSS v4.0.1 要件に対応し、1 つずつ、実際に証拠がある場所で回答できるようにしています。

利用者は、支払い方法に合った質問票 — A、A-EP、B、B-IP、C、C-VT、Merchants 向けの D、Service Providers 向けの D、または P2PE — を選ぶか、「Help me choose」をタップして、自社の構成に関するいくつかの質問に答えます。各 SAQ には、対象範囲と含まれる要件数が示され、SAQ B の 28 件から A-EP の 145 件まであります。その後、各質問に Yes、No、または N/A を付けながら進め、進捗は随時追跡されます。

Read More on Fintech : Global Fintech Interview with Rob Young, Managing Director – UK at InDebted

質問は、あくまで質問のまま

任意の要件を開くと、公式の PCI SSC の文言が、率直に「The question」と書かれた見出しの下に表示される。言い換えも要約もされていない。Paytia は、書き換えられた SAQ はもはや SAQ ではないと述べている。

Comply が追加するのは、その周辺情報である。つまり、各要件が実際には何を意味するのか、そしてそれを満たすためにどのような証拠が必要になるのか、たとえば確認すべき文書、面談すべき担当者、チェックすべき設定などである。標準の文言はそのまま維持され、説明が隣に置かれる。

カメラが整理を担う

多くの要件では、単なるチェックではなく証拠が求められる。たとえば、サーバールームの施錠、端末の設定、来訪者ログなどである。Paytia によれば、こうした証拠の収集は、写真を撮り、自分宛にメールし、ノートパソコンに डाउनलोडし、ファイル名を変更し、それがどの要件に属するのかを突き止めるという、手間のかかる作業だった。

Comply はその余分な作業を取り除くよう設計されている。利用者は、確認対象の物の前に立った状態で「Take photo」をタップし、その画像を該当する要件に添付できる。写真は端末内に残る。これは、事業者がカードデータをどのように保護しているかを示す証拠であり、受信トレイに散在させるべき種類のものではない。完了すると、すべてが整った PDF にまとめられ、エクスポートするか、自分宛てにメール送信して、アクワイアラーまたは QSA に提出できる。

ブラウザー向けのポケットリファレンスも

すべての PCI の質問がサーバールームにいるときに出てくるわけではない。多くは机上で発生し、たいていは「どの SAQ が適用されるのか」あるいはアクワイアラーからのメールに出てくる略語として現れる。そうした場合に備え、Paytia は無料の Chrome 拡張機能 PCI SAQ Pocket Reference（chromewebstore.google.com/detail/pci-saq-pocket-reference/amkphflaeaegcigdnjdffclpmamjifcf）も提供している。

この拡張機能はブラウザのツールバーに常駐し、3 つの機能を提供する。正しい SAQ を特定するための 8 問の判断ガイド、PAN、CDE、AOC、P2PE など 15 の PCI 用語を平易な英語で説明する用語集、そして SAQ A、A-EP、B、D 向けの Paytia の無料チェックリストへのリンクである。オフラインで動作し、権限を要求せず、トラッキングもなく、ソースは MIT ライセンスの下で公開されている。

拡張機能は机上で生じる質問に答え、アプリは証拠の前に立って実際の質問票を完了するために使う。さらに、paytia.com/resources/tools/which-saq にある無料の即時チェッカーもあり、こちらはブラウザーで 8 問に答えるだけで、情報は収集しない。

Paytia がこれを作った理由

Paytia は 2016 年以来、PCI DSS Level 1 認定プロバイダーであり、コンタクトセンターや customer-not-present の加盟店のコンプライアンス維持を支援してきたという。同社は同じ流れが繰り返し起きているのを見てきた。つまり、事業者は年次 SAQ の期限を把握し、公式 PDF をダウンロードし、ノートパソコンで開いたところで止まってしまう。なぜなら、その文書は最終的にレビューする評価者向けに書かれており、必要な証拠の半分は建物の別の場所にあるからである。

Paytia によれば、問題は質問そのものではなく、どこで回答するかだった。この違いは重要で、PCI の自己評価は依然として正式なプロセスであり、実務上の負担は、レビューを始める前に証拠を整理し、適切な質問票を選ぶことから生じることが多い。

何をしないのか

Paytia は Comply を、チェックリストと証拠収集ツールだと説明している。法務またはコンプライアンスの助言ではなく、最終判断はアクワイアラーにある。PCI 準拠を証明するものでもなく、それには QSA の attestation、または SAQ 対象加盟店であれば事業者が署名する self-attestation が必要である。また、外部スキャンやペネトレーションテストも実行せず、標準が求める技術的管理策を実装するものでもない。

Paytia によれば、この製品が行うのは、質問票をノートパソコンから移し、証拠がある場所に置くことである。

「SAQ は簡略化してよいものではありません。質問は質問です。言い換えれば、記入したことにはなりません。誰も尋ねてこなかったのは、回答するときにどこに立っているべきかでした。机の前ではありません。カード端末、キャビネット、来訪者ログがある部屋です。だから私たちは質問票をスマートフォンに載せ、カメラに整理を任せ、写真は本来あるべき端末内に残しました。」 — Curtis Nash, CEO, Paytia

Paytia はまた、無料の Chrome 拡張機能と即時チェッカーも案内しており、同社の PCI 関連ツール群は、正しい SAQ の判定とレビュー用証拠の整理を支援することを目的としていると述べている。