技術情報／コラム TECHNICAL INFORMATION/COLUMN

PCI DSS / KEY MANAGEMENT2026.10.05

PCI KMO v1.0とは何か

PCI PIN/P2PEの鍵管理を共通化する新たな評価・Listingプログラム

2026年9月公開文書に基づく解説

1. PCI KMOは「HSM製品の認定規格」ではない

PCI KMOが評価するのは、HSMそのものではありません。対象となるのは、暗号鍵のライフサイクル全体と、その鍵を管理・運用する仕組みです。

具体的には、鍵の生成、保管、伝送・搬送、ロード、利用、アーカイブ、廃止・破棄といったプロセスだけでなく、そこで利用されるシステム、運用手順、人員、物理環境なども評価範囲に含まれます。

またKMOは、従来型のローカルHSMだけを対象としているわけではありません。Remote HSMやHSM-as-a-Service（HaaS）を明示的に対象としており、クラウド型の鍵管理サービスを前提とした要求事項も設けられています。

2. 現時点でListing対象となるKMO Serviceは6種類

PCI KMO v1.0では、独立して評価・ListingできるKMO Serviceとして、次の6種類が定義されています。

KMO Service	概要
Decryption Management（DM）	Componentized P2PE Solutionの復号環境を管理するサービス
PIN Processing Service（PPS）	Issuer以外が提供するPIN検証・PIN変換等のサービス
Key-Injection Facility（KIF）	鍵生成、搬送、ローカル／リモート鍵ロード等を提供する施設・サービス
Signing Service Provider（SSP）	ソフトウェア、ファームウェア、設定ファイル等への署名サービス
Certification / Registration Authority（CA/RA）	リモート鍵配布等で使用する証明書の発行・登録サービス
HSM-as-a-Service（HaaS）	複数の利用者にHSMクラスタをサービスとして提供する事業者

現時点では、これらのService TypeはPIN処理またはP2PE実装で使用される鍵を対象としています。一方、Standardは将来的に他のKey TypeやPCI Programへ拡張できる構造となっています。

3. PCI DSSとは独立した関係

PCI KMOとPCI DSSの関係について、Standardは明確に整理しています。PCI KMOとPCI DSSは独立した関係にあり、鍵管理環境がCardholder Data Environment（CDE）内に存在する場合もあれば、CDEとは別の環境に存在する場合もあります。

したがって、PCI DSSの鍵管理要求について「KMOのListingを取得すればPCI DSS側の要求を満たさなくてよい」という関係にはなりません。

4. PCI PINとPCI P2PEでは「評価の置換」を意図

一方で、PCI PINとPCI P2PEについては位置づけが異なります。

PCI PINについて、KMO Standardは、PCI PIN要求事項の意図をKMO側で再現し、PCI PIN要求事項に対する評価の代わりにPCI KMO Assessmentを実施できるようにすることを意図しているとしています。

PCI P2PEについても同様に、KMOはPCI P2PE Domain 5の要求事項の代わりに使用できることを意図していると明記されています。

またPCI MPoCについても、PIN対応製品で適用されるPCI PIN要求事項をKMOに置き換えることが意図されています。

5. KMO Standardは4つのDomainで構成

Domain	主な内容
Domain 1： Core Requirements	スコープ、鍵管理設計、手順、監査証跡、Secure Channel、 Key Custodian、認証、鍵生成、搬送・ロード、鍵利用、 Compromise対応、Archive/Removal
Domain 2： Remote HSM / HSM-as-a-Service	Remote HSMアクセス、HaaS鍵管理、HaaS運用、ログ
Domain 3： Data / Operation-Specific Requirements	PIN、P2PE、SCD、Signing、CA/RA、FIPS HSM、SCD外での暗号処理等
Domain 4： Environmental Security Requirements	物理環境、Secure Storage、ネットワーク、認証等

Domain 1はKMOの中核となるCore Requirementsであり、その多くはすべてのKMO Service Typeに適用されます。ただし、Domain 1内でも、鍵の所有、Key Custodianの利用、鍵生成の有無など、実装内容に応じて適用される要求事項があります。
Applicability Matrixでも、Scope、Documented Process and Audit Trails、Secure Channels、System Authentication、Cryptographic-key Administration、Potential Key Compromise、Key Archival and Removalなどは共通的に適用される一方、Key-Management Design、Key-Custodian Management、Secure Key Generationなどは実装条件に応じて適用されることが示されています。

6.「リスクが低いから適用しない」は基本的に不可

KMO StandardはSecurity Objectiveをベースに構成されており、その目的を実現する具体的方法については一定の柔軟性があります。

つまり、「当社ではリスクが低いと判断したため、この要求事項は実施しない」といったリスクベースでの除外は原則として認められません。要求事項そのものは記載どおり評価する必要があります。

なお、PCI DSSのCustomized Approachも、リスクが低いことを理由に要求事項を除外する仕組みではありません。Customized Approachは、規定された方法とは異なるコントロールによって要求事項のセキュリティ目的を達成するための仕組みです。KMOでは、このようなPCI DSSのCustomized Approachに相当する評価方法は設けられていません。

7. Dual ControlとSplit Knowledgeは手作業だけの考え方ではない

KMOでは、従来のPCI PINでも重視されてきたDual ControlやSplit Knowledgeの考え方が引き続き重要です。

例えばManual Key Loadingでは、2名以上のKey CustodianがFull-length Key ShareまたはKey Componentを入力し、Dual ControlおよびSplit Knowledgeを確保する方式が定義されています。

ただし、KMOが認める鍵生成・ロード方式は手作業に限定されません。Key Establishment、Symmetric／Asymmetric Remote Key Loading、Key Generation、Key Derivation、Key Calculationなども規格上の方式として整理されています。

8. 評価制度は「3年サイクル+毎年のAttestation」

KMO Program Guideで特に重要なのが、Validated KMO Serviceのライフサイクルです。Full Assessmentを受け、PCI SSCによるAcceptanceを経てListingされたKMO Serviceは、最新のAcceptance日から3年間Validatedとして扱われます。

時点	手続き
初回	Full Assessment → Acceptance → Listing
1年後	Annual Vendor Attestation
2年後	Annual Vendor Attestation
3年後	Reassessment（Full Assessment）

Program GuideのFigure 3でも、この3年サイクルが明示されています。またStandardのAppendix Bにも、PCI PIN／P2PEについて「Assessor validation every 3 years」「Annual checkpoint in years when assessor validation is not performed」と規定されており、StandardとProgram Guideで整合しています。

PCI DSSでは、Compliance Programに応じて通常年次で準拠状況のValidationが行われるのに対し、KMOではFull Assessmentを3年サイクルとし、その間の年はAnnual Vendor Attestationを行う制度となっています。

1年目・2年目はVendor自身が継続適合を表明

Annual Vendor Attestationでは、毎年KMO AssessorがFull Assessmentを実施するわけではありません。VendorがAOV（Attestation of Validation）をPCI SSCへ提出し、Listed KMO Serviceについて、変更がKMO Standard／Program Requirementsに沿って実施されていること、引き続き要求事項を満たしていることなどを表明します。

また、External Threatの変化を考慮し、サービス側の更新が必要かどうかについても検討することが求められています。

3年目のReassessmentはFull Assessment

3年目のReassessmentは簡易的な更新手続きではありません。Program Guide上、ReassessmentはFull Assessmentとして定義されています。

Annual Attestationを実施しない場合は段階的にExpiredへ

Annual Vendor Attestationには期限管理も設けられています。期限までに必要なAOVがAcceptedされない場合、Listingは最初の90日間がOrange、その後の90日間がRedとなります。Redステータスに移行すると、単にAOVを提出するだけではなく、Listingを維持するためにFull Assessmentが必要になります。

さらに合計180日を超えるとExpired KMO Serviceとなり、Validated KMO Serviceとして扱われなくなります。3年目のReassessmentについても同様に、期限後90日Orange＋90日Redの後、180日以内に新たなAcceptanceを得られなければExpiredとなります。

9. 評価を行うのはPCI SSCではなくKMO Assessor Company

KMOの制度を理解する上でもう一つ重要なのが、PCI SSCとKMO Assessor Companyの役割分担です。

「KMO ServiceがKMO Standard／Program Requirementsに適合している」と判断するのは、PCI SSCからQualifiedされたKMO Assessor Companyです。

KMO Assessor CompanyはAssessment Scopeと適用要求を決定し、KMO Serviceを評価し、ROVを作成した上で、Vendorと共同署名したAOVとともにPCI SSCへ提出します。

一方、PCI SSCはKMO Serviceそのものを技術的に評価・Validationする立場ではありません。Program Guideには「PCI SSC does not assess or validate KMO Services」と明記されており、PCI SSCの役割は提出内容の形式、Eligibility、評価結果の記載品質などをQAの観点から確認し、AcceptanceとListingを管理することです。

主体	主な役割
KMO Assessor Company	Assessment／Validation、Scope・適用要求の判断、ROV作成
PCI SSC	QA、Acceptance、Listing管理

したがって、「PCI SSC認証」という表現よりも、KMO AssessorによるValidationとPCI SSCによるAcceptance／Listingと表現した方が制度上は正確です。

10. 正式な評価成果物はROVとAOV

KMOで使用する正式な評価文書も、PCI DSSとは異なります。PCI DSSで使用するROC／AOCではなく、KMOでは次の2文書を使用します。

• ROV：Report on Validation — KMO Assessor Companyが評価結果を記録するMandatory Template
• AOV：Attestation of Validation — KMO ServiceのValidation Status等をAttestする書式

11. KMOの特徴は「評価結果を再利用できる」こと

KMOの制度設計で特に特徴的なのが、独立してListingされたKMO Serviceを、他のKMO ServiceやPCI Programから参照できる点です。

別のPCI ProgramのAssessmentの一部としてKMO Standardを適用する場合、必ずしも独立したKMO Listingを取得する必要はありません。その場合は、他のPCI Programと一体となったAssessmentとして扱われます。

一方、独立したValidated KMO ServiceとしてListingされていれば、別のKMO Serviceや他のPCI Programがそのサービスを利用する際、既に評価済みの部分を原則として再評価する必要がありません。Listingを参照することで、評価結果を再利用できます。

Outsourcing時もListingの有無が評価範囲に影響

例えばPIN Processing Service（PPS）がKIF機能を外部事業者へ委託する場合、委託先には大きく二つの選択肢があります。

そのため、KIFやHaaSなど共通的に利用されるサービスにとっては、独立Listingを取得することで、利用企業側のAssessment Scopeを縮小できる可能性があります。

12. Listing後の変更管理も制度化

KMOでは、一度Listingを取得すれば3年間変更自由というわけではありません。

区分	概要
Administrative Change	KMO Vendorの会社名、KMO Service名など、主としてListing上の管理情報に関する変更
Delta Change	セキュリティへの影響があり、Listing内容にも影響する変更

Delta Changeには、利用するListed KMO Serviceの追加・削除、提供機能の変更、対応するKey Data Typeの変更などが含まれます。例えば、Listed KMO Serviceが対応するKey Data Typeを変更・追加する場合など、Listing内容に影響するセキュリティ関連の変更はDelta Changeとして扱われる場合があります。

Delta ChangeではChange Impact Templateを使用し、必要な再テスト・再Validation、ROVの変更、AOV提出などが行われます。

13. PCI SSCがKMO適用を直接義務付けるわけではない

最後に、KMOの「義務化」については誤解しないよう注意が必要です。

PCI SSCはStandardやProgramを策定し、KMO AssessorのQualificationやList of Validated KMO Servicesを管理しますが、PCI SSC自身が各事業者に対してKMOへの準拠を義務付けるわけではありません。

Program Guideでは、PCI Standardへの準拠・Validationを求めるかどうかは、Payment Brand、Acquirer、その他のCompliance Program管理者が決定すると明記されています。

したがって、実際にどの事業者がいつからKMO Assessmentを要求されるのかについては、今後各Payment Brand等から示されるCompliance Program上の要件や期限を確認する必要があります。

＜参考文書＞
PCI Key Management and Operations (KMO) Requirements and Test Procedures, Version 1.0
https://docs-prv.pcisecuritystandards.org/KMO/Standard/PCI-KMO-Standard-v1_0.pdf

PCI Key Management and Operations (KMO) Program Guide, Version 1.0.1
https://docs-prv.pcisecuritystandards.org/KMO/Supporting%20Document/PCI-KMO-Program-Guide-v1_0_1.pdf

※本稿は2026年9月時点の上記公開文書を基にした解説です。KMO Program GuideはVersion 1.0.1を参照しています。Version 1.0.1の変更履歴は「Resolved document links」であり、制度・要求事項に関する本稿の解説内容に影響する変更は確認されていません。実際の適用要否、移行期限、Compliance Program上の要求については、Payment Brand、Acquirerその他の関係主体が示す最新情報をご確認ください。

この記事をシェアする