ECサイト・ネットショップのセキュリティ対策は何が義務？EC加盟店の脆弱性対策5項目と、対策しないとカード決済が止まる理由【中小企業向け】

結論から申し上げます。
自社のホームページやネットショップでクレジットカード決済を受け付けている会社は、2025年4月から、法律にもとづいてセキュリティ対策を実施する義務を負っています。「やったほうがいい」ではなく「やらなければならない」の側に入りました。

しかも、この義務には罰金がありません。
その代わりに、対策が不十分だと判断された場合にはカード会社や決済代行（PSP）から加盟店契約を解除されるという、罰金よりはるかに重い結果が用意されています。決済が止まれば、ネットショップはその日から売上がゼロになります。

この記事では、クレジット取引セキュリティ対策協議会の「クレジットカード・セキュリティガイドライン【6.1版】」（2026年3月公表）と、その附属文書、そして割賦販売法の条文を一次資料で確認したうえで、「結局うちは何をすればいいのか」「費用ゼロでできるのはどこまでか」「有料の対策はいくらかかるのか」を中小企業の実務に落として整理します。
ネットショップの担当者だけでなく、社長・情シス兼務の方にも読んでいただきたい内容です。

何が根拠になっている？──割賦販売法という法律です

ネットショップのセキュリティ対策が義務になっている根拠は、割賦販売法という法律です。
クレジットカード決済を受け付ける販売業者（＝EC加盟店）には、この法律で2つの義務が課されています。

条文	義務の内容	対象
第35条の16 第1項	クレジットカード番号等の漏えい・滅失・毀損の防止その他の適切な管理のために必要な措置を講じる	カード決済を受け付ける すべての販売業者・役務提供事業者
第35条の17の15	利用者によるクレジットカード番号等の不正な利用の防止のために必要な措置を講じる	同上

「クレジットカード番号等取扱業者（中略）は、経済産業省令で定める基準に従い、その取り扱うクレジットカード番号等（中略）の漏えい、滅失又は毀損の防止その他のクレジットカード番号等の適切な管理のために必要な措置を講じなければならない。」
（割賦販売法 第35条の16 第1項より）

ここで問題になるのが「必要な措置とは具体的に何か」です。
法律の条文には書かれていません。その中身を実務レベルで示しているのが、次に説明するクレジットカード・セキュリティガイドラインです。

「本ガイドラインに掲げる措置又はそれと同等以上の措置を適切に講じている場合には、クレジットカード番号等の漏えい等の事故及び不正利用を防止する措置として、割賦販売法に規定する『必要かつ適切な措置』が講じられているとみなされており、本ガイドラインにおいては、【指針対策】としてこれらの措置を記載している。」
（クレジットカード・セキュリティガイドライン【6.1版】より）

つまり、ガイドラインに書かれた【指針対策】をやっていれば法律を守っていることになり、やっていなければ法律違反を問われうるという関係です。
ガイドラインは民間団体が作った文書ですが、実質的には法令の中身そのものとして機能しています。

▶ 関連記事：電子帳簿保存法の電子取引データはどう守る？バックアップが法令要件でない理由と、ランサムウェアで7年分が消えたときに起きること【中小企業向け】

いま見るべきガイドラインはどれ？──最新は2026年3月の6.1版

クレジットカード・セキュリティガイドラインは、クレジット取引セキュリティ対策協議会（事務局＝一般社団法人日本クレジット協会）が策定しています。
直近2年の動きを整理すると、次のようになります。

版	公表時期	EC加盟店にとっての意味
【6.0版】	2025年3月	脆弱性対策・EMV 3-Dセキュア・不正ログイン対策の3つが新たに【指針対策】に追加された（2025年4月より適用）
【6.1版】	2026年3月	指針対策の追加・変更はなし。各事業者が「着実に実施」できるよう理解を促す内容に絞った改訂

ここは誤解しやすいところなので、はっきり書きます。
6.1版で新しい義務が増えたわけではありません。むしろ協議会は「6.0版から指針対策の追加・変更等が無いことから【6.1版】とした」と明記しています。
言い換えれば、2025年4月に決まったことが、まだ現場で実施されていないので、もう一度きちんと説明しますという改訂です。

「EC加盟店においては、2025年4月より、指針対策として『脆弱性対策』を求めており、『セキュリティ対策導入ガイド【附属文書20】』の第2部『1.脆弱性対策』に記載の対策を実施する必要性がある」
（クレジットカード・セキュリティガイドライン【6.1版】より）

背景には不正利用被害の大きさがあります。
日本クレジット協会の集計では、2025年のクレジットカード不正利用被害額は510.5億円。過去最高だった2024年の555.0億円からは44.5億円（約8％）減りましたが、依然として高い水準です。
そのうち475.4億円（93.1％）が「番号盗用」によるもので、被害の約9割はEC加盟店で発生した「なりすまし」利用です。

「不正利用が減ったのだから、もう対策は不要では」とは考えないでください。2025年に被害が減ったのは、まさに2025年4月からの指針対策が動き始めたからです。ここで手を止めれば、被害額は再び増加に転じます。

うちは対象になる？──「カード情報を持っていない」は理由になりません

もっとも多い誤解が、これです。
「うちは決済代行（PSP）を使っていて、カード番号は自社のサーバーに一切残していない。だから関係ない」というものです。

残念ながら、これは通用しません。
協議会が公表している申告書のFAQには、次のようにはっきり書かれています。

「カード情報の非保持化を実現しているEC加盟店についても、各対策が必要になります。」
（ECサイトのセキュリティ対策実施状況申告書（例）に関するFAQ 2026年3月版より）

理由は単純で、最近の情報漏えいはカード情報を保管しているサーバーからではなく、ECサイトそのものが改ざんされて起きているからです。
攻撃者はサイトに不正なスクリプトを仕込み、お客様が入力欄に打ち込んだカード番号を、送信される前に横取りします。この方法なら、加盟店側にカード情報が保存されているかどうかは関係ありません。

「非保持化を実現した加盟店においても、EC加盟店のシステムやWebサイトの『脆弱性対策』が継続的に実施されていないことにより、外部からの不正アクセスやウイルス感染、システムの改ざんを許し、クレジットカード情報を不正に窃取される情報漏えいが主流となりつつあり、非保持化を実現していても、情報漏えいに繋がり得ることを十分認識した上で、セキュリティ対策の一層の強化が求められる。」
（EC加盟店におけるセキュリティ対策 導入ガイド【附属文書20】2.1版より）

▶ 関連記事：Webサイト改ざんとは？報告が2倍に増えた2026年の手口と「自分では気づけない」理由・検知と復旧の実務【中小企業向け】

また、不正利用の被害が出ていない会社も対象です。

「不正利用被害の有無に関わらず、指針対策の導入状況調査として、各対策の実施および申告書の提出が必要となります。」
（同FAQより）

結局、何をすればいい？──EC加盟店に求められる6つの対策

ガイドラインがEC加盟店に求めている【指針対策】は、カード情報保護と不正利用防止の2分野に分かれ、全部で6つです。
このうち◎を付けた4つが、2025年4月に新しく追加・変更されたものです。

分野	指針対策	2025年4月の変更
カード情報保護	EC加盟店のシステム及びWebサイトの「脆弱性対策」	◎ 新規追加
カード情報保護	カード情報を保持しない非保持化、または保持する場合はPCI DSSに準拠	従来どおり
不正利用対策	EMV 3-Dセキュアの導入	◎ 新規追加
不正利用対策	適切な不正ログイン対策の実施	◎ 新規追加
不正利用対策	不正顕在化加盟店は、類似の不正利用を防ぐ対策を追加導入	◎ 新規追加
不正利用対策	オーソリゼーション処理の体制整備／加盟店契約上の善管注意義務の履行	従来どおり

ガイドラインはこの流れを「線の考え方」と呼んでいます。
お客様がサイトを開いてから商品を受け取るまでを1本の線としてとらえ、「カード決済前（不正ログイン対策）」「カード決済時（EMV 3-Dセキュア）」「カード決済後（配送の停止・保留）」のそれぞれのタイミングで手を打つ、という考え方です。

点で守るのではなく線で守る、という発想です。
どこか1つだけ強くしても、攻撃者は手薄なタイミングに回り込むだけだからです。

「脆弱性対策」とは具体的に何をすること？──5つの項目

もっとも実務負荷が大きく、かつ内容が分かりにくいのが脆弱性対策です。
ガイドラインは「下記のすべての対策を講じる」として、次の5項目を挙げています。1つでも欠けていると「実施済み」とは言えません。

№	対策項目	具体的にやること
①	システム管理画面のアクセス制限と 管理者のID/パスワード管理	アクセスできるIPアドレスを制限する（できない場合はベーシック認証）／2段階認証または多要素認証を採用する／アカウントロックを有効にし、10回以下のログイン失敗でロックする（PCI DSS ver4.0.1基準）
②	データディレクトリの露見に伴う 設定不備への対策	公開ディレクトリに重要なファイルを置かない／アップロードできる拡張子・ファイルを制限する
③	Webアプリケーションの脆弱性対策	脆弱性診断またはペネトレーションテストを定期的に実施し修正する／SQLインジェクション・クロスサイトスクリプティング対策として最新のプラグイン・バージョンにする／独自開発・カスタマイズ部分はソースコードレビューで確認する
④	マルウェア対策としての ウイルス対策ソフトの導入・運用	サーバーと業務端末にウイルス対策ソフトを導入し、シグネチャー更新と定期的なフルスキャンを行う
⑤	悪質な有効性確認・ クレジットマスターへの対策	海外など不審なIPアドレスからのアクセス制限／同一アカウントの入力回数制限／オーソリ拒否時にエラー内容を表示しない／有効性確認の回数制限 などから1つ以上を実施

①の「管理画面」は、ネットショップの商品登録や受注確認をする裏側の画面のことです。
導入ガイドはさらに踏み込んで、管理画面のURLが「admin」のような推測しやすいものになっていないか、管理者のIDとパスワードが初期設定のままになっていないかまで確認するよう求めています。

①のうち「IPアドレス制限」「管理画面のURL変更」「初期パスワードの変更」「アカウントロックの有効化」は、いずれも追加費用ゼロで、設定を変えるだけでできます。まずここから着手してください。

⑤の「クレジットマスター」とは、カード番号の採番規則を悪用して機械的に番号を大量生成する手口です。
攻撃者は生成した番号が実際に使えるかどうかを、どこかのネットショップの決済画面で試します。これが「悪質な有効性確認」で、試し打ちの舞台にされた側は、被害者ではなく加害の場を提供した側として扱われます。

「攻撃者は、日本国内のIPアドレスよりも、海外のIPアドレスから悪質な有効性確認を実施することが多い。」
「海外の消費者を対象としていないEC加盟店は、海外IPアドレスを遮断することが望ましい。」
（EC加盟店におけるセキュリティ対策 導入ガイド【附属文書20】より）

国内のお客様しか相手にしていないネットショップであれば、海外からのアクセスを遮断するだけで⑤の相当部分に対応できます。これも設定変更で済むことが多い対策です。

▶ 関連記事：脆弱性診断・脆弱性管理サービスの費用相場と選び方｜脆弱性診断（Webアプリ・ペネトレ）とマネージド脆弱性管理の違いを中小企業向けに解説

オープンソースでサイトを作っている会社は、とくに注意してください

EC-CUBEやWordPressなど、無償で公開されているソフトウェアでネットショップを作っている会社は少なくありません。
導入ガイドは、この形態の会社に対して名指しに近い注意をしています。

「オープンソースソフトウェアを利用しているEC加盟店での情報漏えい事案が増加傾向にあり、オープンソースソフトウェアを利用している場合は、導入後はEC加盟店の責任でセキュリティパッチ更新等の対応をする必要がある。」
（同導入ガイドより）

作ってもらった制作会社との契約が「構築まで」で終わっている場合、その後のパッチ適用は誰の仕事にもなっていないことが多いのが実情です。
ここは契約書を一度確認する価値があります。保守契約に「セキュリティパッチの適用」が入っているかどうかで、リスクの所在が変わります。

▶ 関連記事：Windows Updateを放置していませんか？パッチ管理の重要性

不正ログイン対策は何を入れればいい？──場面ごとに1つ以上

不正ログイン対策は、脆弱性対策と違って「全部やれ」ではありません。
「会員登録時」「会員ログイン時」「属性情報変更時」という3つの場面それぞれについて、有効な対策を1つ以上入れることが求められています。

攻撃者の手口は大きく2つです。

• 不正アカウント作成……盗んだ個人情報とカード情報で、新しく会員登録をして買い物をする
• アカウント乗っ取り……流出したIDとパスワードで正規の会員としてログインし、登録済みのカードを使う（あわせて配送先住所を書き換えることもある）

この2つに対して、どの場面でどの対策が有効かを整理したのが次の表です。ガイドラインは①〜⑦を優先的に導入することが望ましいとしています。

対策	会員登録時	会員ログイン時	属性情報変更時
① 不審なIPアドレスからのアクセス制限	〇	〇	〇
② 2段階認証または多要素認証による本人確認	―	〇	〇
③ 会員登録時の個人情報確認 （氏名・住所・電話番号・メールアドレス等）	〇	―	―
④ ログイン試行回数の制限強化・スロットリング	―	〇	―
⑤ 会員ログイン時／属性情報変更時のメールやSMS通知	―	〇	〇
⑥ 属性・行動分析	〇	〇	〇
⑦ デバイスフィンガープリント	〇	〇	〇
⑧ その他（導入ガイド別紙aに記載の対策）	〇	〇	〇

表を見て気づかれたと思いますが、①の「不審なIPアドレスからのアクセス制限」だけが3つの場面すべてに〇が付いています。
費用対効果でいえば、まずここです。

次に効くのが⑤の「通知」です。
ログインされたことや住所が変更されたことを本人にメール・SMSで知らせるだけで、乗っ取りに本人が気づけるようになります。多くのECパッケージに標準機能として入っており、有効にするだけで済むことが少なくありません。

IDとパスワードだけのログインは、他社から流出した認証情報の使い回しによって突破されます。攻撃者は自分でパスワードを推測しているのではなく、どこか別のサービスから漏れた「正解」を持ってきて試しているだけです。

▶ 関連記事：パスワードの使い回しがなぜ危険か？リスクをわかりやすく解説

▶ 関連記事：インフォスティーラー（情報窃取型マルウェア）とは？ブラウザ保存のパスワードとCookieが盗まれる手口・多要素認証が突破される理由と対策【中小企業向け】

EMV 3-Dセキュアは必ず入れないといけない？

EMV 3-Dセキュア（3Dセキュア2.0）は、決済のときにカード会社側が「本当に本人か」を判定する仕組みです。
カードの利用者が使っている端末の情報などからリスクを判定し、怪しいときだけワンタイムパスワードの入力などを求めます。

原則としてEC加盟店には導入義務があります。ただし、導入が不要と整理される取引もあります。

対象外になりうるケース	内容
技術的に導入できない	メールオーダー／テレフォンオーダー、ゲーム機など、そもそもEMV 3-Dセキュアが動作しないサイト・アプリ
特定の相手としか取引しない	システムにより特定の者とのみ取引可能な措置が講じられており、なりすましによる不正が発生する蓋然性が極めて低い
本人が特定されている	公共料金など、取引対象となる本人があらかじめ特定されている

運用面では、「毎回の決済で認証する」以外のやり方も認められています。
ガイドラインは「加盟店が講じる他の不正利用対策の内容や抑止効果に応じて、カード番号の登録時に認証する運用や、加盟店のリスク判断により認証する運用も認められる」としています。

「毎回パスワード入力を求めるとお客様が離脱するのでは」という不安はよく聞きます。
実際にはEMV 3-Dセキュアはリスクベース認証が基本で、問題のない取引では追加入力を求めずにそのまま通過します。一律に手間が増えるわけではありません。

▶ 関連記事：多要素認証（MFA）ツール比較｜法人向けおすすめ製品と料金・認証方式の選び方【中小企業向け】

決済が終わったら、もう何もしなくていい？

いいえ。ガイドラインは「決済後」も対策の対象にしています。
不正に購入された商品は、攻撃者が受け取れる場所（空き家、置き配、配送事業所、転送業者など）に届けられ、転売されて現金化されるからです。

求められているのは、難しいことではありません。

• 配送前に「氏名」「姓名カナ」「住所」「電話番号」の規則性や組み合わせを担当者が目視で確認し、不自然なら配送を止める・保留する
• カード会社から配送停止・配送保留の要請があった場合に協力する
• デジタルコンテンツなど配送を伴わない商品は、決済前・決済時の対策を強化し、必要に応じてアカウント停止や権利の無効化で対応する

導入ガイドは、攻撃者が海外にいる場合「漢字やカナなどの入力されている個人情報が間違っている場合が多い」と指摘しています。
目視でも十分に見分けがつく、という現場の知見です。担当者1名が受注一覧を見るだけで、費用はかかりません。

お客様に伝えることも対策のうち？──3つ目の柱「周知・啓発」

ガイドラインがEC加盟店に求めているのは、カード情報保護と不正利用対策だけではありません。
3つ目の柱として「周知・啓発」が置かれています。ここは競合の解説記事でもほとんど触れられていない部分ですが、費用がかからないわりに効く対策です。

「消費者がフィッシング詐欺に遭わないように、フィッシングの手口や自社の名を騙る詐欺サイト等に対する注意喚起を行う。
また、自社のWebサイトを模したフィッシングサイトを確認したときは、当該フィッシングサイトの無効化等の手続をすることとする。」
（クレジットカード・セキュリティガイドライン【6.1版】5-2-2-3より）

つまり、自社のショップそっくりの偽サイトを見つけたら、放置せずに閉鎖の手続きを取ってくださいということです。
偽サイトはドメインの登録事業者・ホスティング事業者への通報や、フィッシング対策協議会・JPCERT/CCへの届出で閉鎖を依頼できます。自社の名前でお客様がカード情報を盗まれ続ける状態を止めるのは、加盟店の役割とされています。

もう1つ、お客様に伝えるべきこととして次が挙げられています。

「EC取引においては、カード利用時に求められる場合のあるセキュリティコードや動的（ワンタイム）パスワードの利用、ECサイト利用者のログインID・パスワードの使い回しの危険性等について、注意喚起を行う。」
（同ガイドラインより）

会員向けのメールマガジンや、ログイン画面の注記に1行入れるだけでできることです。
「他のサイトと同じパスワードを使わないでください」と書いておくのは、お客様のためであると同時に、自社が乗っ取り被害の舞台にならないための対策でもあります。

▶ 関連記事：巧妙すぎる偽メールの見分け方｜総務担当が知るべきフィッシング対策

うちの商品は狙われやすい？──とくに注意が必要な5つの商材

日本クレジット協会の調査にもとづき、ガイドラインは「相対的にリスクが高い商材」を挙げています。これらを扱っている場合は、対策の追加導入や設定の見直しが推奨されます。

商材	なぜ狙われるか
① デジタルコンテンツ（オンラインゲームを含む）	決済後すぐにダウンロード・利用でき、配送を止める余地がない
② 家電	換金性が高く、フリマサイト等で転売しやすい
③ 電子マネー	すぐに現金同等物に変わる
④ チケット	決済後すぐ発券され、転売市場がある
⑤ 宿泊予約サービス	本人確認が現地まで行われず、キャンセル・転売の余地がある

総合通販のように幅広い商品を扱っている場合でも、この5つに当てはまる商材を1つでも売っているなら、その商材のリスクに応じた対策の追加が推奨されています。

「不正顕在化加盟店」になると、対応が一段厳しくなります

ガイドラインには、はっきりした数値基準があります。

「カード会社（アクワイアラー）各社が把握する不正利用金額が、『3ヵ月連続50万円超』に該当する加盟店を『不正顕在化加盟店』とする。」
（クレジットカード・セキュリティガイドライン【6.1版】より）

不正顕在化加盟店に指定されると、通常の指針対策に加えて、属性・行動分析や配送先情報のチェックなどの追加導入、あるいは既存対策の判定レベルのチューニングによる強化が求められます。
月17万円弱の不正利用が3か月続けば該当する計算です。決して大企業だけの話ではありません。

守らなかった場合、どうなる？──罰金より重い結果があります

ここが、この記事でもっともお伝えしたい部分です。
協議会の公式FAQは、罰則について次のように答えています。

「罰金等の罰則規定はありませんが、行政の措置として加盟店に対し、報告徴収、立入検査を行うことができる規定があります。
また、加盟店のセキュリティ対策措置（クレジットカード番号等の適切な管理、不正利用の防止）が不十分な加盟店については、契約先のカード会社等による加盟店調査を通じて、必要なセキュリティ対策措置を早急に講じるよう指導等が行われることになります。なお、このような指導にもかかわらず、必要なセキュリティ対策が講じられない場合には、加盟店契約が解除される場合がございますのでご注意ください。」
（クレジットカード・セキュリティガイドライン FAQ 項番5より）

「罰金がない」と聞いて安心してしまう方がいますが、逆です。
実際に起きるのは、次の4つです。

起きること	内容
① 加盟店契約の解除	カード決済が使えなくなる。ネットショップは事実上、営業できなくなる
② カード会社・PSPからの指導	契約先から改善を求められ、期限内の対応を迫られる
③ 報告徴収・立入検査	経済産業大臣は、カード番号等の適切な管理の状況について立入検査ができる（割賦販売法 第41条第3項）。検査を拒み、妨げ、忌避した場合は50万円以下の罰金（同法 第53条第10号）
④ 漏えい時の費用負担	フォレンジック調査費用、不正利用被害の補償額、被害カードの差替え費用などが加盟店に請求される

①がなぜ起きるのかは、法律の作りを見ると分かります。
割賦販売法は、加盟店に義務を課すだけでなく、カード会社・決済代行の側に「加盟店を調べる義務」を課しているのです。

「クレジットカード番号等取扱契約締結事業者は、（中略）販売業者又は役務提供事業者が講じようとする（中略）措置が（中略）基準に適合せず、又は適合しないおそれがあると認めるときは、クレジットカード番号等取扱契約を締結してはならない。」（第2項）
「（中略）措置が（中略）基準に適合せず、又は適合しないおそれがあると認めるときは、クレジットカード番号等取扱契約の解除その他の（中略）必要な措置を講じなければならない。」（第4項）
（割賦販売法 第35条の17の8より）

つまりカード会社や決済代行は、対策が不十分な加盟店と契約してはいけないし、契約後に不十分と分かれば解除しなければならないのです。
解除は「厳しい会社に当たった」という話ではなく、相手方の法律上の義務として行われます。だからこそ、次に説明する「申告書」の提出を求められることになります。

▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告（速報3〜5日・確報30日／60日）と2026年10月施行のサイバー対処能力強化法【中小企業向け】

決済代行（PSP）に任せていれば大丈夫？

これも非常に多い誤解です。答えははっきりしています。

「本申告書（例）にて申告いただく対策は、自社ECサイトの脆弱性対策、ならびにログイン機能や会員管理機能、商品表示ページ、申込画面等を含むECサイト全体を対象としたセキュリティ対策であり、対策状況については加盟店が自ら状況を把握し、申告する必要があります。
PSPが実施・把握しているセキュリティ対策の範囲は、ご契約内容等によって異なりますが、主に決済処理や決済システム部分のセキュリティ対策であると考えられます。」
（ECサイトのセキュリティ対策実施状況申告書（例）に関するFAQ 2026年3月版より）

決済代行が守っているのは決済の部分だけです。
商品ページ、会員登録画面、ログイン画面、管理画面──攻撃者が実際に狙うのはこれらの部分であり、そこは加盟店の責任範囲として残ります。

制作会社や保守業者に運用を委託している場合も、法律上の義務を負うのは加盟店（あなたの会社）です。委託先に対しては、加盟店が行うべき脆弱性対策・不正利用対策を理解したうえで構築・運用するよう求める必要があります。

▶ 関連記事：委託先・外注先のセキュリティ管理はどこまで必要？個人情報保護法25条の監督義務と2026年改正・中小企業がやる7つのこと

レンタルサーバーでウイルス対策ソフトが入れられない場合は？

共用レンタルサーバーでは、仕様上ウイルス対策ソフトを自分で入れられないことがあります。
この場合の答えもFAQにあります。

「レンタルサーバーを利用している場合にも各対策は必要です。レンタルサーバー事業者との契約内容や仕様を確認し、ウイルス対策の有無やセキュリティ機能の詳細を確認の上、申告下さい。」
（同FAQより）

つまり「できないので未実施」ではなく、事業者が代わりに何をやっているかを確認して書くのが正しい対応です。
多くのレンタルサーバーはサーバー側でウイルススキャンやWAFを提供しており、契約プランの説明ページに記載があります。

何を提出することになる？──セキュリティ対策実施状況申告書

実務上、多くの中小企業が最初にこの制度を意識するのは、カード会社や決済代行から「申告書を出してください」と言われたときです。

協議会は「ECサイトのセキュリティ対策実施状況申告書（例）」というExcelの様式を一般公開しています。
新規にカード決済を申し込む加盟店の契約時調査と、既存加盟店への定期調査の両方で使われるものです。構成は次のとおりです。

パート	内容	書くこと
基本情報	加盟店名称／サイト名称／URL／加盟店番号／委託先情報	委託先が対応している対策がある場合は、委託先の情報も記載する
【1】導入が必要な対策の確認	販売方法の確認（4項目）とEMV 3-Dセキュア導入要件の確認（3項目）	取引の実態を選ぶと、【2】で「導入必要」か「対象外」かが自動判定される
【2】各対策の導入要否と実施状況報告	(1)脆弱性対策①〜⑤／(2)不正ログイン対策①〜⑧／(3)EMV 3-Dセキュア	脆弱性対策は①〜⑤すべて、不正ログイン対策は実施している対策すべてにチェック

提出のタイミングは、新規申込の加盟店は加盟申込書類と一緒に、既存加盟店は対策が完了していることを確認したうえで、となっています。

なお、代替策を書くことも認められています。ただし条件があります。

「代替策が認められるケースもあると想定しますが、代替策の妥当性の判断は原則、提出先のカード会社、PSPが行います。
また、記載いただいている代替策が、各対策と同等程度であることの根拠の説明を求められる可能性がある点にご留意ください。」
（同FAQより）

WAF（Webアプリケーションファイアウォール）についても、同じFAQに答えがあります。

「WAFの導入により脆弱性対策・不正ログイン対策の一部の代替策となることは考えられますが、代替策として有効と判断できるかは、各加盟店のシステムやリスクによって異なります。ご契約先のカード会社またはPSPにご確認下さい。」
（同FAQより）

WAFは「入れれば全部クリア」ではありませんが、一部の代替策として認められうる、というのが公式の見解です。とくに①のIPアドレス制限、③のSQLインジェクション・クロスサイトスクリプティング対策、⑤の不審なIPからのアクセス制限は、WAFでまとめて手当てできる領域です。導入する場合は、事前にカード会社・PSPに「この対策の代替として扱えるか」を確認してください。

▶ 関連記事：WAF（Web Application Firewall）とは？費用相場と法人向けクラウド型WAFの選び方・製品比較【中小企業向け】

IPAのガイドラインとは何が違う？──両方が必要です

ネットショップのセキュリティには、もう1つ公的なガイドラインがあります。
IPA（情報処理推進機構）が2023年3月に公開した「ECサイト構築・運用セキュリティガイドライン」です。

こちらは「経営者編」と「実践編」に分かれ、付録として構築時・運用時のチェックリスト（Excel）が無償で公開されています。中身を数えると、次のようになります。

チェックリスト	項目数	内訳
構築時	14項目	必須9／必要3／推奨2
運用時	7項目	必須3／必要2／推奨2

注目すべきは、構築時チェックリストの必須項目No.6が「クレジット取引セキュリティ対策協議会が作成する『クレジットカード・セキュリティガイドライン』を遵守する」になっていることです。
2つのガイドラインは競合するものではなく、IPA側がカード業界側を「必須」として取り込む形でつながっています。

運用時チェックリストの推奨2項目は「WAFを導入する」と「サイバー保険に加入する」です。
費用がかかる対策はこの2つに絞られており、それ以外の必須・必要項目は運用でカバーできる内容になっています。

▶ 関連記事：サイバー保険は本当に必要？補償範囲・保険料相場・選び方を徹底解説

運用でとくに抜けやすいのは？──改ざん検知とログの確認

カード業界のガイドラインは「攻撃を防ぐ」ことに重心があり、「攻撃されたことに気づく」対策はIPA側のチェックリストのほうが具体的です。
運用時チェックリストの中身は次のとおりで、必須3・必要2・推奨2に分かれています。

区分	項目	中身
必須	ソフトウェアの最新化	サーバー・管理端末で使っているソフトをセキュリティパッチで最新の状態にする
必須	定期的な脆弱性診断	定期的に、およびカスタマイズを行った際に診断し、見つかった脆弱性を対策する
必須	改ざんの検知	アプリケーション・コンテンツ・設定など重要なファイルの定期的な差分チェック、または改ざん検知ツールによる監視
必要	バックアップとログの確認	システムの定期的なバックアップ取得と、アクセスログの定期的な確認。不正アクセスがあればアクセス制限等を実施
必要	重要情報のバックアップ	重要な情報はバックアップを取得する
推奨	WAFの導入	―
推奨	サイバー保険の加入	―

注目していただきたいのは「改ざんの検知」が推奨ではなく必須になっている点です。
ECサイトの改ざんは、見た目が何も変わらないまま入力内容だけが横取りされる形で行われるため、自分でサイトを見ても気づけません。だからこそ、差分チェックか検知ツールによる監視が必要とされています。

▶ 関連記事：Webサイト改ざんとは？報告が2倍に増えた2026年の手口と「自分では気づけない」理由・検知と復旧の実務【中小企業向け】

「アクセスログの定期的な確認」も忘れられがちです。
ログが残っていなければ、漏えいが起きたときに「いつから、何件、どこから漏れたのか」が分からず、調査そのものが成立しません。フォレンジック調査で「特定できませんでした」という結論しか出ない、という事態を避けるために、保存期間を先に決めておいてください。

▶ 関連記事：セキュリティログの保持期間は6か月で十分？主要製品のデフォルト保持期間と延長オプションを徹底比較

▶ 関連記事：バックアップの基本「3-2-1ルール」とは

情報が漏れたら、いくらかかる？

対策の費用を考える前に、対策しなかった場合の費用を見ておいてください。
導入ガイドは、加盟店が負担することになるものを具体的に列挙しています。

「EC加盟店で情報漏えいが発生した場合には、カード取引の停止に加えて、フォレンジック調査から決済再開審査などにかなりの時間を要し、またフォレンジック調査費用、不正利用被害補償額、被害カードに関わる差替え費用等がEC加盟店に請求され、多大な費用負担が発生する点に留意する必要がある。」
（EC加盟店におけるセキュリティ対策 導入ガイド【附属文書20】より）

漏えいが起きた場合、加盟店が実際に負うことになるのは次のとおりです。

項目	内容
カード決済の停止	原因究明と再発防止が確認されるまで、カード決済を再開できない。その間の売上は止まる
フォレンジック調査費用	何が、いつ、どこから漏れたかを専門会社に調べてもらう費用。当社の調査サービスでも300台まで298,000円（税別）から
不正利用被害の補償額	漏れたカードが不正利用された分の補償を求められる
被害カードの差替え費用	対象となったカードを再発行する費用。枚数に比例して増える
決済再開の審査対応	PCI DSS準拠状況の確認、SAQ等の提出、再発防止措置の協議。再開の可否はカード会社の判断

気をつけていただきたいのは、これらの費用を払っても、止まっていた期間の売上は戻ってこないという点です。
調査費用は「何が起きたかを知るための費用」であって、失った受注や離れたお客様を取り戻す費用ではありません。

さらに、漏えいの内容によっては個人情報保護法上の報告義務も同時に発生します。カード番号が含まれる漏えいは「財産的被害が生じるおそれ」に当たり、1人分でも個人情報保護委員会への報告対象です。

▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告（速報3〜5日・確報30日／60日）と2026年10月施行のサイバー対処能力強化法【中小企業向け】

▶ 関連記事：マルウェア感染調査（フォレンジック調査）とは？費用相場と調査会社の選び方【中小企業向け】

費用ゼロでできることはどこまで？

指針対策のうち、お金をかけずに設定変更と運用だけで対応できるものを洗い出すと、次のようになります。

対策	対応する指針対策	費用
管理画面のURLを推測しにくいものに変える （adminフォルダの削除）	脆弱性対策 ①	0円
管理者のID・パスワードを初期設定から変更する	脆弱性対策 ①	0円
アカウントロックを有効にする（10回以下で施錠）	脆弱性対策 ①	0円
公開ディレクトリから重要ファイルを移す／ アップロードできる拡張子を制限する	脆弱性対策 ②	0円
ECパッケージ・プラグインを最新版に更新する	脆弱性対策 ③	0円 （保守契約に含まれる場合が多い）
海外からのアクセスを遮断する （国内向けのみの場合）	脆弱性対策 ⑤／ 不正ログイン対策 ①	0円〜 （サーバー・PSPの機能で可能な場合）
ログイン時・住所変更時のメール通知を有効にする	不正ログイン対策 ⑤	0円 （多くのECパッケージに標準機能）
配送前に氏名・住所・電話番号の不自然さを目視確認する	決済後の対策	0円

この8つを実施するだけで、脆弱性対策5項目のうち①②③⑤に手が届き、不正ログイン対策も「会員登録時」「会員ログイン時」「属性情報変更時」の3場面に最低1つずつ入る形になります。
まずここを埋めてから、残りをお金で解決するのが、費用対効果のよい順序です。

ただし③の「脆弱性診断またはペネトレーションテストを定期的に実施し、必要な修正対応を行う」と、④の「サーバー・業務端末へのウイルス対策ソフト導入」は、設定変更だけでは満たせません。ここは費用が発生する部分です。

何を入れればいい？──残りを埋める製品

費用ゼロの対策で埋まらない部分を、当社が取り扱っている製品で整理します。
「どの指針対策のどこを埋めるためのものか」を明記していますので、自社に足りない部分だけを選んでください。

項目	攻撃遮断くん （クラウド型WAF）	Sophos Cyber Risk Management	GMOトラスト・ ログイン	SentinelOne データお守り隊	マルウェア 感染調査
何をするもの	Webサイトへの攻撃を 自動で検知・遮断	脆弱性を継続的に発見し 優先順位を付ける	管理画面や業務システムの ログインを多要素認証に	サーバー・業務端末の ウイルス対策とEDR	漏えい・感染が疑われる ときの調査
埋まる指針対策	脆弱性対策 ③⑤ 不正ログイン対策 ①	脆弱性対策 ③	脆弱性対策 ① 不正ログイン対策 ②	脆弱性対策 ④	（漏えい時の対応）
提供形態	クラウド（DNS切替）	クラウド＋ マネージドサービス	クラウド（IDaaS）	クラウド＋SOC	スポット
初期費用（税別）	200,000円／サイト	要見積り	0円	0円	―
月額・年額（税別）	月10,000円〜 （ピーク時トラフィック別）	要見積り	無料プランあり／ プロプラン月300円／ID	月1,000円／台〜	300台まで298,000円 500台まで498,000円
特徴	クラウド型WAF国内シェア トップクラス・24時間365日 日本語サポート・月次レポート	Tenable技術・公開資産を 自動発見・実際に悪用されて いるかで優先順位付け	約8,800アプリ連携・ FIDOパスキー／OTP／ IPアドレス制限	AIが24時間365日監視・ ワンクリック復旧・ サイバー保険最大50万円	17時までの注文で翌日対応・ 監視5営業日・ 終了後3営業日でレポート
注意点	初期費用が高め	料金は構成により変動	プロプランは 30ID・12か月契約から	海外製で 英語表記が中心	長期間の監視は行わない
詳細	詳細を見る	詳細を見る	詳細を見る	詳細を見る	詳細を見る

選び方の目安をひとことで書きます。

• 自社でサイトを作り込んでいる／カスタマイズしている……脆弱性診断（Sophos Cyber Risk Management）を優先。攻撃の入口そのものを塞ぎます
• ECパッケージをそのまま使っている／技術者がいない……WAF（攻撃遮断くん）を優先。個別の修正なしで広く守れます
• 管理画面を複数人で使っている……IDaaS（GMOトラスト・ログイン）で多要素認証とIPアドレス制限をまとめて実現
• 自社サーバーで運用している……サーバー用のウイルス対策（データお守り隊）は指針対策④として必須

▶ 関連記事：IDaaS（アイダース）とは？SSO・ID管理ツールの比較と費用相場・選び方【中小企業向け】

▶ 関連記事：ネットワークセキュリティ徹底比較｜UTM・SASE・ZTNA・SWG・FWaaSの違いとおすすめ製品

従業員30名・ECサイト1つならいくら？

従業員30名、ECサイト1つ、業務端末とサーバー合わせて15台という会社を想定して、年間費用の目安を出します（いずれも税別）。

項目	費用の目安
攻撃遮断くん（WEBセキュリティタイプ・1サイトプラン・〜500kbps）	初期200,000円＋月10,000円＝年120,000円
GMOトラスト・ログイン プロプラン（30ID）	月9,000円＝年108,000円
SentinelOne データお守り隊（15台）	月15,000円＝年180,000円
費用ゼロでできる8つの対策	0円
初年度合計	約608,000円（月あたり約50,700円）
2年目以降	年408,000円（月あたり34,000円）
（参考）漏えい時のフォレンジック調査	300台まで298,000円＋詳細レポート500,000円＝798,000円

初年度の費用が約60万円に対し、調査だけで約80万円です。
しかも調査費用を払っても、決済が止まっていた期間の売上と、離れていったお客様は戻りません。

なお、脆弱性診断（Sophos Cyber Risk Management）は構成により料金が変わるため上表には含めていません。
自社でサイトを作り込んでいる会社は、こちらを優先して見積もりを取ることをおすすめします。

補助金は使える？

セキュリティ対策の費用は、デジタル化・AI導入補助金の対象になる可能性があります。
アーデントはIT導入支援事業者として、申請から導入までを一貫してご支援しています。

枠	補助額	補助率
通常枠	5万円〜450万円	原則1/2（小規模事業者は最大4/5）
セキュリティ対策推進枠	5万円〜150万円	小規模2/3・中小1/2（サービス利用料は最大2年分）

補助金には注意点が3つあります。①申請にはSECURITY ACTIONの自己宣言IDとGビズIDが必要です。②交付決定前に発注したものは対象外になります。③要件と補助率は年度・公募回ごとに変わります。着手前に必ず最新の公募要領をご確認いただくか、当社までご相談ください。

▶ 関連記事：SECURITY ACTION（セキュリティ対策自己宣言）とは？一つ星・二つ星の違いと宣言のやり方・デジタル化・AI導入補助金の申請要件【2026年版】

▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ【中小企業向け】

何から手をつければいい？──7つの手順

順番に迷ったら、この順で進めてください。1〜4は費用がかかりません。

順番	やること	所要	費用
1	自社のECサイトが「EC加盟店」に当たるか、契約先のカード会社・PSPに確認する	1日	0円
2	管理画面のURL・初期パスワード・アカウントロック・IPアドレス制限を点検し、直す	半日	0円
3	公開ディレクトリの中身とアップロード可能な拡張子を点検する	半日	0円
4	ログイン時・住所変更時のメール通知を有効にし、海外IPの遮断を検討する	半日	0円
5	ECパッケージ・プラグイン・サーバーOSを最新版に更新し、以後の更新担当を決める	1週間	0円〜 （保守契約による）
6	脆弱性診断またはWAFのどちらで③を埋めるかを決めて導入する	1か月	有料
7	サーバー・業務端末のウイルス対策を確認し、申告書を作成して提出する	2週間	有料

1〜4だけなら、担当者1名が丸2日かければ終わります。
そのうえで5で「誰が更新するのか」を決めておくことが、いちばん効きます。対策が破られる典型は、高価な製品を入れていなかったからではなく、入れたあと誰も更新していなかったからです。

▶ 関連記事：IT資産管理ツールの比較｜法人向けおすすめ製品と費用相場・クラウド型の選び方【中小企業向け】

▶ 関連記事：情報セキュリティ規程とは？就業規則との違い・無料ひな形（IPA付録5）の使い方と「規程だけでは懲戒できない」理由【中小企業向け】

よくある質問

Q. 決済代行（PSP）を使っているので、うちは対象外ではありませんか？

A. 対象です。
協議会のFAQは「対策状況については加盟店が自ら状況を把握し、申告する必要があります」と明記しています。
PSPが守っているのは主に決済処理の部分で、商品ページ・会員登録画面・ログイン画面・管理画面は加盟店の責任範囲として残ります。

Q. カード情報を自社で一切保存していないのに、なぜ対策が必要なのですか？

A. 最近の情報漏えいは、保存されたデータが盗まれるのではなく、ECサイトが改ざんされてお客様の入力を横取りされる形で起きているためです。
FAQも「カード情報の非保持化を実現しているEC加盟店についても、各対策が必要になります」としています。

Q. 対策しないと罰金を取られますか？

A. 割賦販売法に罰金の規定はありません。
ただし報告徴収・立入検査の規定があり、検査を拒んだ場合は50万円以下の罰金です。
そして現実に重いのは罰金ではなく、加盟店契約が解除されてカード決済が使えなくなることです。
カード会社側には、対策が不十分な加盟店との契約を解除する法律上の義務があります。

Q. 従業員10名の小さなネットショップでも申告書を出す必要がありますか？

A. 規模による除外はありません。
不正利用の被害が出ていない会社も対象です。
ただし販売方法によっては一部の対策が「対象外」と判定されることがあるので、まず契約先のカード会社・PSPに確認してください。

Q. BASEやShopify、楽天市場などのモールを使っている場合はどうなりますか？

A. 契約形態によって扱いが変わります。
モール側の加盟店契約に含まれるのか、自社が独立した加盟店なのかで、申告書の提出要否も対策の範囲も違ってきます。
ここは推測で判断せず、契約先のカード会社またはPSPに直接確認してください。
なお、自社ドメインでECサイトを構築している場合（EC-CUBE、WordPress＋ショッピング機能など）は、ほぼ確実に自社が加盟店として対象になります。

Q. WAFを入れれば脆弱性対策は済みますか？

A. 一部の代替策になり得ますが、それだけで5項目すべてが埋まるわけではありません。
FAQも「代替策として有効と判断できるかは、各加盟店のシステムやリスクによって異なります。
ご契約先のカード会社またはPSPにご確認下さい」としています。
導入前に「どの対策の代替として扱えるか」を確認するのが確実です。

Q. レンタルサーバーの仕様でウイルス対策ソフトが入れられません。

A. 「できないので未実施」ではなく、レンタルサーバー事業者が代わりに何をしているかを確認して申告するのが正しい対応です。
多くの事業者はサーバー側でウイルススキャンやWAFを提供しており、契約プランの説明ページに記載があります。

Q. EMV 3-Dセキュアを入れると、かご落ちが増えませんか？

A. EMV 3-Dセキュアはリスクベース認証が基本で、問題のない取引では追加入力を求めずにそのまま通過します。
全件でパスワード入力を求める仕組みではありません。
また、カード番号の登録時だけ認証する運用や、加盟店のリスク判断で認証する運用も認められています。

Q. 情シスがいなくても対応できますか？

A. 1〜4の費用ゼロの対策は、担当者1名で対応できます。
5以降は、サイトを作った制作会社・保守業者と分担するのが現実的です。
「誰がパッチを当てるのか」を契約書で確認したうえで、決まっていなければ決めてください。
当社でも点検から製品選定、補助金申請まで一貫してご支援できます。

まとめ

ネットショップのセキュリティ対策は、2025年4月から法律にもとづく義務になりました。
根拠は割賦販売法（第35条の16第1項・第35条の17の15）で、具体的な中身はクレジットカード・セキュリティガイドライン【6.1版】が定めています。

求められているのは、脆弱性対策5項目（すべて実施）、不正ログイン対策（3つの場面それぞれに1つ以上）、EMV 3-Dセキュアの導入の3つです。
カード情報を自社で保存していなくても、決済代行に任せていても、対象から外れることはありません。

守らなかった場合、罰金はありません。
その代わり、カード会社や決済代行には対策が不十分な加盟店との契約を解除する法律上の義務があります。決済が止まれば、ネットショップの売上はその日からゼロになります。

一方で、対策の入口は費用ゼロです。
管理画面のURLと初期パスワードを変え、アカウントロックとIPアドレス制限を入れ、ログイン通知を有効にし、海外IPを遮断する──ここまでは設定を変えるだけで、担当者1名が丸2日あれば終わります。
お金が必要なのは、脆弱性診断またはWAFと、サーバーのウイルス対策の部分だけです。

その部分も、デジタル化・AI導入補助金の対象になる可能性があります。
「うちは対象なのか」「申告書に何を書けばいいのか」「どこまでが費用ゼロで済むのか」でお悩みでしたら、お気軽にご相談ください。現状の点検から製品の選定、補助金の申請まで一貫してご支援いたします。

▶ 関連記事：サプライチェーン攻撃とは？中小企業が「踏み台」にされる手口と国内の被害事例・取引停止や損害賠償のリスクと対策【中小企業向け】

▶ 関連記事：ノーウェアランサム（暗号化しないランサムウェア）とは？バックアップだけでは守れない理由と「盗ませない・気づく」対策【中小企業向け】

▶ 関連記事：サイバーBCPはどう作る？事業継続力強化計画（ジギョケイ）にサイバー攻撃を書く手順と、認定10万件・補助金の加点・税制の落とし穴【中小企業向け】