SECURITY
基盤と運用の、両輪で守る
技術的な防御に加え、開発工程・稼働環境・運用保守・監査まで対策を続けています。
メルカートは、クレジットカード業界の国際基準 PCI DSS v4.0.1 に準拠しています（2026年3月に対応完了）。サービスを提供する株式会社メルカートは、情報セキュリティの国際規格 ISMS の認証（IS97670）を取得しています。アプリケーションは外部のセキュリティ専門会社が定期的に診断しています。
セキュリティのアップデートは、事業者ではなくプラットフォームが行います。更新は自動バージョンアップで全利用企業に適用され、追加費用はかかりません。決済画面への外部スクリプトの読み込みを制限する改ざん対策、WAF、24時間365日の監視も共通で適用され、事業者が自社で手配する必要はありません。
対策は、ネットワーク・フレームワーク・機能・データベースの4層の「セキュリティ基盤」と、機能開発工程・稼働環境・運用保守・監査の4つの観点の「運用におけるセキュリティ」で構成しています。
不正注文への対策など一部の機能は、個別の設定・導入が必要です。
第三者の基準と認証
メルカートのセキュリティは、自社の説明だけでなく、外部の基準と審査で確かめられます。社内のセキュリティチェックシートや稟議の資料にそのまま書き写せるよう、名称と番号を載せています。
PCI DSS v4.0.1 準拠
クレジットカード業界の国際セキュリティ基準。2026年3月に対応を完了しました。カード情報は非保持化しています。
ISMS 認証（IS97670）
情報セキュリティマネジメントの国際規格。サービスを提供する株式会社メルカートという組織に対する認証です。
外部の専門会社による定期診断
アプリケーションレイヤを、外部のセキュリティ専門会社が定期的に診断しています。
Microsoft Azure
クラウド基盤。ISO 27001・SOC 1／SOC 2 などの国際的な基準に適合するよう設計・管理されています。
自社で保守するECと、守る範囲がどう変わるか
自社のサーバーでECシステムを動かしている場合（オープンソースのECやパッケージを自社で保守している場合など）、サーバーやECシステムのセキュリティ更新、監視は自社か保守会社の仕事です。メルカートではこれらをメルカートが担い、事業者に残るのは管理画面のアカウントと権限の管理、社内の教育です。
| 守るもの | 自社サーバーで保守するEC | メルカート |
|---|---|---|
| サーバー・OS・ミドルウェアの更新 | 自社（または保守会社） | メルカート |
| ECシステムのセキュリティ更新 | 自社がバージョンアップを適用 | メルカートが自動で適用（追加費用なし） |
| WAF・DDoS対策 | 自社で導入・設定 | 標準で適用 |
| 稼働の監視・改ざんの検知 | 自社で手配 | 24時間365日の監視、不正ファイルを日々検知 |
| 第三者による診断 | 自社で発注 | 外部の専門会社が定期的に診断 |
| カード情報 | 構成しだい | 非保持化・PCI DSS v4.0.1 準拠 |
| 管理画面のアカウントと権限 | 自社 | 自社（2要素認証・IP制限・権限設定の機能はメルカートが用意） |
| 社内の教育・パスワードの運用 | 自社 | 自社 |
セキュリティ基盤（4層）
ネットワークセキュリティ
- 経済産業省の指針に沿った多層防御
- 地理的に多様なネットワークと高帯域幅の回路により、DDoS対策を強化
- WAFを標準適用し、SQLインジェクションやOSコマンドインジェクションの脅威を緩和
- クラウド基盤に Microsoft Azure を採用
フレームワークセキュリティ
- 外部からのリクエスト値を常に検査
- 決済画面の改ざん対策：CSP（コンテンツセキュリティポリシー）により、注文確認・カード情報変更の画面で読み込む外部スクリプトを制限しています。不正なスクリプトでカード情報を抜き取る手口（Webスキミング）への対策です
- ブルートフォース攻撃／パスワードリスト攻撃への対策
- クロスサイトスクリプティング（XSS）対策
- クロスサイトリクエストフォージェリ（CSRF）対策
機能的セキュリティ
- バッファオーバーフロー対策／コマンドインジェクション対策
- Google reCAPTCHAによるロボット対策
- パスワード複雑化の強制
- 管理画面のIP制限・URL秘匿化
- 管理画面の2要素認証（Authenticator）
- 管理ユーザーの機能単位の権限設定
- 個人情報の表示制御
- アカウント単位のIP制限
- パスワード有効期限・アカウント有効期限
データベース・決済セキュリティ
- データベースのネットワークセグメントを分離し、アクセスを必要最低限に限定
- 透過的暗号化（TDE）により世界標準の暗号化方式で保護
- バックアップデータは暗号化した状態でレプリケートし、DR対策を強化
- PCI DSS v4.0.1 に準拠（2026年3月に対応完了）
- クレジットカード情報の非保持化
- 3Dセキュア2.0対応
- クレジットカード不正検知・認証システム
クレジットカード・セキュリティガイドラインとの対応
EC加盟店には、クレジット取引セキュリティ対策協議会の「クレジットカード・セキュリティガイドライン」（6.0版・2025年3月）で、カード情報の保護、EMV 3-Dセキュアの導入、ECサイトのセキュリティ対策、不正ログイン対策が求められています。メルカートの対応は次のとおりです。
| カード情報の保護 | 非保持化。PCI DSS v4.0.1 に準拠（2026年3月に対応完了） |
|---|---|
| EMV 3-Dセキュア | 3Dセキュア2.0に対応 |
| 管理画面のアクセス制限 | IP制限・URL秘匿化・2要素認証・機能単位の権限設定。管理者のパスワードは複雑化と有効期限を設定できます |
| Webアプリの脆弱性対策 | 独自のチェックツールと診断ツールで検査、外部の専門会社が定期的に診断、WAFを標準適用、セキュリティの更新を自動バージョンアップで適用 |
| マルウェア対策 | 改ざんなどの不正ファイルを日々検知 |
| 不正ログイン対策 | 普段と違う端末からのログインに認証キー、reCAPTCHA、ブルートフォース・パスワードリスト攻撃への対策 |
※ ガイドラインの項目は要約です。原文はクレジット取引セキュリティ対策協議会の公表資料をご確認ください（2026年11月4日参照）。
運用におけるセキュリティ
技術的な防御に加えて、運用のプロセス側でもリスクを下げています。
機能開発工程
ソースコードは独自のチェックツールでSQLインジェクションやクロスサイトスクリプティングなどの脆弱性を検査します。Webアプリケーション脆弱性診断ツールによる検査も実施します。
稼働環境
24時間365日の監視に加えて、改ざんなどの不正ファイルを日々検知します。重要なアラートはセキュリティ管理部門に速やかにエスカレーションします。
運用保守
保守作業は専用のセキュリティルームで行い、環境接続資格を取得した担当者に限定しています。接続記録と操作記録は自動で取得します。
監査・コンプライアンス
運営会社である株式会社メルカートがISMS認証（IS97670）を取得しています。アプリケーションレイヤは、外部のセキュリティ専門会社が定期的に診断します。クラウド基盤のAzureは、ISO 27001・SOC 1／SOC 2 など国際的な基準に適合するよう設計・管理されています。
不正な注文と操作への対策
基盤の防御とは別に、注文と操作の中身を見て弾く仕組みを用意しています。
なりすまし対策
普段使っていない端末やブラウザからログインされたとき、登録メールアドレス宛の認証キーの入力を求めます。
いたずら判定・メールアドレス存在確認
不正・いたずら注文の混入を抑えます。
守る体制
仕組みだけでなく、誰がどこで運用し、何かあったときに誰が動くかまで決めています。
隔離された環境でのみ運用
物理的に隔離された空間でのみオペレーションを行います。リモートワークは導入していません。
CSIRTとセキュリティ推進室
事故対応の専門チーム（CSIRT）を置き、グループ共通のセキュリティ推進室が基盤を支えています。
よくある質問
ECカートを選ぶとき、セキュリティで何を確かめればよいですか？
カード情報を持たない構成か（非保持化・PCI DSS準拠）、EMV 3-Dセキュアに対応しているか、セキュリティの更新を誰がいつ行うか、稼働環境を監視しているか、第三者による診断を受けているか、提供会社が認証（ISMSなど）を取得しているか、の6点です。メルカートは6点すべてに対応しています。
自社サーバーで運用しているECから移ると、セキュリティの何が変わりますか？
サーバーとECシステムのセキュリティ更新、WAF、監視、第三者による診断をメルカートが担うようになります。事業者側に残るのは、管理画面のアカウントと権限の管理、社内の教育、パスワードの運用です。
クレジットカード情報はどこに保存されますか？
自社サーバーにカード情報を保持しない非保持化構成です。PCI DSSに準拠した決済代行サービスと連携して処理します。
セキュリティのアップデートはどう行われますか？
内部セキュリティ診断を定期的に実施し、セキュリティに関する更新は自動バージョンアップで全利用企業に適用します。事業者側での作業や追加費用は発生しません。
管理画面へのアクセスを制限できますか？
IPアドレスによる制限と、2要素認証の両方に対応しています。
PCI DSS にはどのバージョンで準拠していますか？
v4.0.1 に準拠しています。2026年3月に対応を完了しました。クレジットカード情報は非保持化しており、メルカートの基盤に保存されることはありません。
セキュリティ診断は誰が行っていますか？
認証としては、サービスを提供する株式会社メルカートが情報セキュリティマネジメントシステム（ISMS）の認証登録（IS97670）を取得しています。これは組織に対する認証です。アプリケーションレイヤについては、外部のセキュリティ専門会社による診断と、運用面のアセスメントを定期的に実施しています。
これまでに不正アクセスの被害はありましたか？
自社起因のセキュリティ事故は0件です。不正アクセスによる被害についても、2026年4月公開の取材記事の時点で発生していません（ECのミカタ「メルカートが提唱するAI時代に求められる“気付かない”ECセキュリティ」2026年4月2日公開）。今後も第三者による評価を継続し、国際的な基準への対応を含めて水準を上げていきます。
サービスの稼働はどのように監視していますか？
稼働環境を24時間365日体制で監視し、稼働状況と不審な挙動を常時把握しています。事故対応の専門チーム（CSIRT）を社内に置き、グループ共通のセキュリティ推進室が基盤を支えています。
運用は誰が、どこで行っていますか？
物理的に隔離された環境でのみオペレーションを行っており、リモートワークは導入していません。基盤の維持と監視は、グループ共通のセキュリティ推進室と連携して行っています。
ECサイトとして自社で取り組むべきセキュリティ対策は何ですか？
基盤の防御はメルカートが担いますが、社内のセキュリティ教育、管理画面のアカウントと権限の管理、パスワードの運用など、事業者側で取り組む対策もあります。ECサイトに求められる7つの対策は「ECサイトのセキュリティ対策」で解説しています。
NEXT STEP
セキュリティ要件のご確認にも対応します
社内のセキュリティチェックシートへの回答など、導入前の確認事項にもお応えします。