PCI DSS対応案件｜12要件とエンジニアの実務・単価相場

PCI DSSとは｜カード情報を守る国際基準と執筆時点の最新版

PCI DSSは、カード会員データを保存・処理・伝送する組織に適用されるセキュリティ基準です。 策定しているのはPCI Security Standards Council（PCI SSC）で、国際カードブランド5社が共同で設立した団体にあたります。

基準そのものは法律ではありません。カードブランドや取得先のアクワイアラとの契約を通じて課されるもの、という位置づけです。ここを取り違えると、案件で「法令対応」と「契約上の要求」を混同した説明をしてしまいます。

12の要件と6つの目標

要件は6つの目標に束ねられています。全体像を先に押さえておくと、案件の募集要項に出てくる要件番号が読めるようになります。

最新版はv4.0.1｜バージョンの扱いに注意する

本記事執筆時点で、PCI SSCの文書ライブラリに掲載されている最新版はv4.0.1です。 v4.0.1は2024年6月に公表された限定的な改訂で、誤記の修正と意図の明確化が中心です。新しい要件は追加されていません。

移行の時系列は次のとおりです。v4.0.1が v4.0 を置き換えたのが2024年12月31日、そして v4.x で追加された64の新要件のうち51の「将来日付要件」が必須化されたのが2025年3月31日でした。PCI SSCの公式ブログにも「Of the 64 new requirements, 51 are future-dated and will be effective as of 31 March 2025」と記載されています。

つまり猶予期間は終わっています。現場では「まだベストプラクティス扱いだと思っていた要件が、審査で正面から問われる」という状況が起きます。

バージョン情報は改訂されるため、参画前には必ず公式の文書ライブラリで現行版を確認してください。本記事の記述も執筆時点で公式ページから確認できた内容にもとづきます。

マーチャントレベルとSAQ｜「どこまでやるか」を決める枠組み

対応範囲は一律ではありません。年間取引件数などに応じたマーチャントレベルと、自己問診票であるSAQ（Self-Assessment Questionnaire）の種別で、求められる証明方法が変わります。

ここで実務上重要な点をひとつ。マーチャントレベルの区分はPCI SSCではなく、各カードブランドが独自に定めています。 ブランドごとに基準が異なるため、「レベル1は何件から」という数字を一律の事実として説明するのは正確ではありません。案件では取引先ブランドの定義を確認する必要があります。

SAQは対象環境によってA、A-EP、B、B-IP、C、C-VT、D、P2PE-HWといった種別に分かれます。どのSAQが適用されるかで、エンジニアが埋めるべき実装の範囲が決まります。

ミニFAQ：要件の一部を満たせない場合はどうなりますか？

代替コントロール（Compensating Control）という仕組みがあります。要件本来の意図を別の手段で満たしていることを文書化し、審査で認められれば対応として成立します。ただし「実装が面倒だから代替で済ませる」という使い方は通りません。技術的・事業上の制約が正当に説明できる場合に限られます。

日本の案件では「準拠」と「非保持化」のどちらかになる

日本の決済案件を理解するうえで欠かせないのが、「PCI DSS準拠」と「カード情報の非保持化」が並列の選択肢として扱われている点です。 日本ではとくに、この二分で対応方針が語られることの多い実務事情があります。後述するセキュリティガイドラインが、両者を並列の選択肢として明記しているためです。

割賦販売法とセキュリティガイドライン

背景にあるのが割賦販売法です。カード番号等を取り扱う事業者には適切な管理と不正利用対策が義務づけられており、その実務上の指針として位置づけられているのが「クレジットカード・セキュリティガイドライン」になります。策定主体はクレジット取引セキュリティ対策協議会です。

執筆時点の最新版は【6.1版】で、2026年3月11日に公表されました。 原本は日本クレジット協会の関連資料ページから入手できます。6.1版は6.0版からの実質的な変更がなく、各事業者の理解促進の取組を追記したもの、という位置づけです。

ガイドラインがカード情報保護策として求めているのは「PCI DSS準拠またはカード情報の非保持化」、そして脆弱性対策の実施です。不正利用対策としてはEMV 3-Dセキュアの導入などが挙げられています。

ここで切り分けを明確にしておきます。ガイドラインは法令そのものではなく、割賦販売法上の義務に対する実務指針です。一方でPCI DSSはカードブランドとの契約にもとづく基準です。案件で要件の根拠を説明するときは、この3層を混ぜないほうが安全です。

分岐で仕事の中身が変わる

「またはカード情報の非保持化」という選択肢が示されているため、実務上は準拠ではなく非保持化を選ぶ事業者も多く見られます。 どちらの比率が高いかを示した公開統計は確認できていないため、ここでは傾向の記述にとどめます。いずれにせよ、方針によって案件の中身は二分されます。

自分がどちらの案件に向いているかは、経歴の軸で判断できます。アプリ側の改修経験が中心なら非保持化、基盤の設計運用が軸なら準拠側です。

決済領域そのものの全体像や、融資・保険・暗号資産まで含めた領域別の案件傾向はFinTechフリーランスエンジニア案件｜単価相場・主要職種・必要スキルで整理しています。本記事はPCI DSSという基準に絞って扱います。

ミニFAQ：非保持化すればPCI DSSは一切関係なくなりますか？

いいえ。カード情報を非保持にしても、決済ページに読み込むスクリプトの管理など、加盟店側に残る要件があります。SAQ Aのような軽い区分でも自己問診票の提出自体は残ります。「完全に無関係になる」という説明は正確ではありません。

12要件・実装作業・証跡の対応表

PCI DSS対応案件でエンジニアが評価されるのは、要件を暗記していることではなく、要件を実装と記録に翻訳できることです。 審査では「設定したか」だけでなく「設定されている状態を証明できるか」が問われます。

以下は要件番号ごとに、実装として手を動かす内容と、審査で提出する証跡を対応させた整理です。案件の募集要項を読むときの対訳表として使えます。

太字にした要件は、v4.xで追加され2025年3月31日に必須化された将来日付要件のうち、エンジニアの作業量に直結するものです。とくに6.4.3と11.6.1は、決済ページに読み込まれるスクリプトを棚卸しし、許可リストで管理し、改ざんを検知する仕組みを求めます。Webスキミング対策として追加された要件で、フロントエンド側の実装や運用にも影響が及びます。

要件の説明だけでなく、実装と証跡の対応まで並べたのがこの表の狙いです。案件で実際に時間を取られるのは、右列の証跡づくりのほうだからです。

ミニFAQ：証跡づくりは事務作業ですか？

半分は事務、半分は設計です。スクリーンショットを集めるだけの作業も確かにありますが、「この設定が常にこの状態であること」を継続的に示す仕組みを作れる人は評価が変わります。ログ収集やIaCで証跡を自動的に生成できる形にすると、技術単価として扱われやすくなります。

エンジニアが実際に担当する範囲

PCI DSS対応案件で募集されるのは、監査人ではなく実装者です。 QSA（審査員）は外部の認定機関から来ます。フリーランスが入るのは、審査に耐える環境を作り、運用し、記録を残す側です。

CDEのスコープ定義とネットワーク分離

最初の山場がスコープ定義です。CDE（Cardholder Data Environment）を広く取りすぎると対応範囲が膨張し、狭く切りすぎると審査で指摘されます。

実務では、カード情報の流れを追跡してデータフロー図に落とし、CDEに接続するシステムを洗い出し、セグメンテーションで境界を作ります。ここを設計できる人は案件の中でも上流に位置づけられます。

ログ・監視の基盤づくり

要件10は作業量が大きい領域です。対象システムのログを集約し、改ざんを防ぎ、必要期間保管し、レビューされたことを記録する。この一連を回す基盤が必要になります。

SIEMの導入や運用経験はそのまま接続します。ログ分析基盤の考え方はSplunkとは｜ログ分析とSIEMの基本・フリーランス案件単価を解説が参考になります。

認証・アクセス制御

CDEへのアクセスにMFAを必須化する8.4.2は、既存環境に後から入れると影響範囲が広くなりがちです。IdPの統合、権限の最小化、共有アカウントの廃止をセットで進めることになります。

この領域の経験は認証基盤・IDaaSエンジニアのフリーランス案件動向｜単価・必要スキル・主要製品で扱っている案件群と重なります。

脆弱性スキャンとペネトレーションテスト

要件11では、外部スキャンをASV（認定スキャンベンダー）に依頼する形が基本で、頻度は四半期ごとです。ペネトレーションテストは年次が基準になります。

フリーランスが担うのは、多くの場合スキャン自体ではなく検出された指摘の是正と再スキャンの調整です。診断する側の案件に関心がある場合はペネトレーションテスト案件の実情｜フリーランスで多い診断案件と単価・資格を参照してください。

QSA審査対応

審査期間中は、QSAからの質問に対して設定や記録を提示する役回りが発生します。技術的な内容を審査員に説明できるかどうかで、現場の負荷が変わります。英語対応が必要な案件もあります。

案件の探し方・単価相場と募集状況

PCI DSSを名指しした公開案件は、件数自体が多くありません。 相場を語る前に、この事実を押さえてください。

探し方の結論を先に書きます。公開案件検索では「PCI DSS」単独で絞るとヒット数が一桁に落ちるため、「決済」「カード」「セキュリティ」「インフラ」を併用し、募集要項の本文に要件への言及があるかを見るほうが実務的です。エージェント面談でPCI DSS対応の可否を伝えておくと、非公開で紹介される経路もあります。

以下の数字は、2026年9月20日時点に確認した公開情報の観測です。母集団は、フリーランスエージェント3社（レバテックフリーランス、フリーランスHub、フリーランスジョブ）の公開案件検索ページで、キーワード「PCI DSS」または関連職種区分に該当した掲載分に限られます。PCI DSS対応案件に限定して集計された統計は存在しません。 そのため、職種全体の集計値と個別の掲載例を分けて示します。

関連職種の公開集計値

これはPCI DSS対応に限定した数字ではなく、SOC運用や脆弱性診断も含む職種区分全体の集計です。最低・最高の幅は稼働率や案件条件の差を反映しているため、フルタイム前提で見るなら平均値と中位レンジを中心に読むのが安全です。

PCI DSSを名指しした個別の掲載例

以下の4件は「相場」ではありません。 観測できた掲載例をそのまま並べたもので、件数が少なくすべて募集終了済みです。単価の目安として読むなら、前掲の職種全体の平均（月77万円）を基準にし、この4件は担当範囲による幅の実例として参照してください。

観測時点で、レバテックフリーランスの「PCI DSS」検索でヒットしたのは3件のみで、いずれも募集終了済みでした。したがって上表は現在の募集状況ではなく、過去の掲載実績として読んでください。 4件の掲載例から相場を断定することはできません。

複数エージェントを横断するフリーランスHubでは同キーワードで100件超がヒットしますが、こちらは「PCI DSS準拠環境での運用」のように要件の一部として言及されているだけの案件を多く含みます。PCI DSS対応そのものが主業務の案件数ではない点に注意してください。

非公開案件は別の話として切り分けてください。エージェント面談で提示される案件には個別条件で上振れするものもありますが、公開案件のように再現性を確認できる情報ではありません。

単価が上がる条件・下がる条件

上振れしやすいのは、スコープ設計から基盤実装まで一人で引ける場合です。CDEの境界を設計し、ログ基盤とIAMを自分で構築でき、審査員への説明もできる。この三つが揃うと、コンサルと実装者を兼ねられるため募集レンジの上側で扱われます。人物像としては、クラウド基盤の実務5年程度に加え、認証統合とログ設計の経験がある層が該当します。上表のPMO案件のように、英語での監査対応が加わるとさらに条件が変わります。

下振れしやすいのは、証跡のスクリーンショット収集と文書更新が中心の稼働です。事務局支援に近い構成で、技術単価としては評価されにくくなります。

セキュリティ領域全体の単価感はセキュリティエンジニアのフリーランス単価相場｜案件動向とスキル別レンジ、金融・カード会社系の現場事情は金融業界のフリーランスエンジニア案件｜職種・単価相場・求められるスキルを解説で扱っています。

自分がどのくらいの単価を狙えるか気になる方は、無料のフリーランスエンジニア単価診断で現在の市場単価の目安を確認できます。単価を体系的に上げる考え方は『フリーランスエンジニアの単価相場と単価の上げ方』で整理しています。

参画要件とケース別の入り方

PCI DSSの実務経験そのものを必須にしている案件は、そう多くありません。 求められるのは、セキュリティ要件のある環境を設計・運用した経験を、要件の言葉で説明できることです。

インフラ・SRE出身の場合

最短ルートです。ネットワーク分離、IAM設計、ログ集約はそのまま要件1・7・8・10に対応します。スキルシートでは、やってきた作業を要件番号に紐づけて書き直すと通りやすくなります。「CloudTrailを専用アカウントに集約し保管期間を設定した」は、要件10の実装経験としてそのまま読めます。書き方はインフラエンジニアのスキルシートの書き方｜構築・運用実績の数値化と職種別テンプレを参照してください。

決済・バックエンド出身の場合

決済代行APIの連携、トークン化の実装、与信フローの開発経験があれば、非保持化側の案件と相性がよくなります。要件3と4、それに6.4.3のスクリプト管理あたりが接続点です。

セキュリティ診断出身の場合

要件11の是正対応から入るパターンです。スキャン結果を読み、開発チームと是正を進める動きは、そのまま案件の中核業務になります。

資格はどう効くか

資格が単価を直接押し上げるという公開データは、今回の観測では確認できませんでした。ただし要件欄への記載は実在します。前掲のPMO案件では歓迎スキルとして「PCI DSS QSA（Qualified Security Assessor）またはISA（Internal Security Assessor）の資格」が明記されていました。必須条件のほうは「PCI DSSに関する深い知識と実務経験」で、資格ではなく経験です。

情報処理安全確保支援士やCISSPについては、今回確認した公開案件の要件欄に明記されたものは見つかりませんでした。資格の位置づけ全般はセキュリティ資格おすすめ｜支援士・CISSP・CEHの難易度と案件影響で整理しています。

ISMS・SOC2との違い

認証取得支援という点では似ていますが、案件の中身は違います。混同したまま面談に行くと話が噛み合いません。

PCI DSSは技術要件が具体的に書かれている分、実装者の裁量が小さく、逆に言えば何をすればよいかが明確です。ISMS・SOC2側の案件構造はISMS・SOC2取得支援案件｜フリーランスの実装・証跡業務と単価で詳しく扱っています。客先の持ち込みPCやセキュリティルールへの対応は客先セキュリティ要件対応｜ISMS・Pマーク・持ち込みPCの実務が参考になります。

よくある失敗と対策

スコープを確認せずに参画する

一番多い失敗です。「PCI DSS対応」とだけ書かれた案件に入ったら、実態はスクリーンショット収集だった、という話は珍しくありません。面談で「CDEのスコープは定義済みか」「自分が触るのは設計か運用か証跡か」を聞いてください。

準拠と非保持化を取り違える

前述の分岐です。非保持化の案件だと思って入ったらCDEの構築だった、あるいはその逆。作業内容も期間も違うため、最初に確認すべき項目になります。

審査スケジュールを把握しないまま入る

審査は年次サイクルで回ります。審査の2か月前に参画すると、初日から証跡の追い込みに投入されます。稼働の見通しが立たないため、契約前に審査時期を聞いておくと安全です。稼働時間の上下は精算幅の設定にも関わるので、準委任契約と請負契約の違い｜フリーランスエンジニアが知るべきリスクと注意点もあわせて確認してください。

商流が深く、意思決定に届かない

カード会社案件は多重下請けになりやすい領域です。スコープの判断に関与できない位置だと、指示待ちの証跡作業になりがちです。事前調査の観点は商流別の選考フローの違い｜エージェント経由・元請直・二次請けの通り方で整理しています。

参画前チェックリスト

面談で確認しておくと後悔しにくい項目です。

• 対応方針は「PCI DSS準拠」か「カード情報の非保持化」か

• CDEのスコープは定義済みか、それとも定義から着手するのか

• 対象となるSAQ種別、またはQSA審査の有無

• 直近の審査時期と、今回が初回取得か更新か

• 自分の担当は設計・実装・運用・証跡のどれが中心か

• v4.xの将来日付要件（6.4.3、11.6.1、8.4.2など）の対応状況

• ASVスキャンとペネトレーションテストの実施体制

• 商流の深さと、スコープ判断への関与可否

• 英語での審査対応が発生するか

まとめ

PCI DSS対応案件は、要件を知っている人ではなく、要件を実装と証跡に翻訳できる人を求めています。 参画前に「準拠か非保持化か」「自分の担当は設計か証跡か」を確認できれば、案件選びの精度は大きく上がります。

要点を整理します。

• 執筆時点で公式サイトから確認できる最新版はv4.0.1。v4.xの将来日付要件51項目は2025年3月31日に必須化済み

• 日本の案件は割賦販売法とセキュリティガイドライン【6.1版】を背景に、「PCI DSS準拠」と「カード情報の非保持化」に分岐する

• エンジニアの中心業務は、CDEのスコープ定義、ログ基盤、MFA、脆弱性対応、そして審査用の証跡づくり

• PCI DSSを名指しした公開案件は少ない。セキュリティ・インフラ職種の募集を「決済」「カード」と併用して探すのが実務的

• 資格は必須ではなく、QSA・ISAが歓迎要件に挙がる例がある程度。必須は実務経験

• 上振れの条件はスコープ設計から実装まで引けること。証跡収集のみの稼働は技術単価になりにくい

なお、実際の適用範囲や必要な証明方法は、カードブランド、取得先のアクワイアラ、QSAの判断、契約条件によって変わります。本記事は案件理解のための一般的な整理であり、個別案件では必ず発注元と確認してください。

次のステップとしては、自分の経歴を要件番号に紐づけて棚卸しするところから始めてください。ログ集約なら要件10、IAM設計なら要件7と8、TLS設定なら要件4というように対応づけておくと、面談で担当範囲の話がそのまま噛み合います。

参照した一次情報は次のとおりです。

• PCI Security Standards Council 文書ライブラリ（現行版の確認）

• PCI SSC公式ブログ：将来日付要件について

• 日本クレジット協会：安全・安心なクレジットカード取引への取組 関連資料（クレジットカード・セキュリティガイドライン【6.1版】）