SECURITY
基盤と運用の、両輪で守る
技術的な防御だけでなく、開発工程・稼働環境・運用保守・監査までを含めた対策を継続的に実施しています。
メルカートのセキュリティ対策は、「セキュリティ基盤」と「運用におけるセキュリティ」の2つで構成されています。
セキュリティ基盤は、ネットワーク・フレームワーク・機能・データベースの4層で防御し、決済は PCI DSS v4.0.1 に準拠しています（2026年3月に対応完了）。
運用面では、機能開発工程・稼働環境・運用保守・監査の4つの観点で対策しています。運営会社である株式会社メルカートは、情報セキュリティの国際規格ISMSの認証登録（IS97670）を取得しています。
セキュリティ基盤の対策はSaaSとして全利用企業に共通で適用され、追加費用なく最新の状態に保たれます。不正注文への対策など一部の機能は、個別の設定・導入が必要です。
セキュリティ基盤（4層）
ネットワークセキュリティ
- 経済産業省の指針に沿った多層防御
- 地理的に多様なネットワークと高帯域幅の回路により、DDoS対策を強化
- WAFを標準適用し、SQLインジェクションやOSコマンドインジェクションの脅威を緩和
- クラウド基盤に Microsoft Azure を採用
フレームワークセキュリティ
- 外部からのリクエスト値を常に検査
- CSP（コンテンツセキュリティポリシー）により、注文確認・カード情報変更の画面で読み込む外部スクリプトを制限
- ブルートフォース攻撃／パスワードリスト攻撃への対策
- クロスサイトスクリプティング（XSS）対策
- クロスサイトリクエストフォージェリ（CSRF）対策
機能的セキュリティ
- バッファオーバーフロー対策／コマンドインジェクション対策
- Google reCAPTCHAによるロボット対策
- パスワード複雑化の強制
- 管理画面のIP制限・URL秘匿化
- 管理画面の2要素認証（Authenticator）
- 管理ユーザーの機能単位の権限設定
- 個人情報の表示制御
- アカウント単位のIP制限
- パスワード有効期限・アカウント有効期限
データベース・決済セキュリティ
- データベースのネットワークセグメントを分離し、アクセスを必要最低限に限定
- 透過的暗号化（TDE）により世界標準の暗号化方式で保護
- バックアップデータは暗号化した状態でレプリケートし、DR対策を強化
- PCI DSS v4.0.1 に準拠（2026年3月に対応完了）
- クレジットカード情報の非保持化
- 3Dセキュア2.0対応
- クレジットカード不正検知・認証システム
運用におけるセキュリティ
技術的な防御に加えて、運用のプロセス側でもリスクを下げています。
機能開発工程
ソースコードは独自のチェックツールでSQLインジェクションやクロスサイトスクリプティングなどの脆弱性を検査します。Webアプリケーション脆弱性診断ツールによる検査も実施します。
稼働環境
24時間365日の監視に加えて、改ざんなどの不正ファイルを日々検知します。重要なアラートはセキュリティ管理部門に速やかにエスカレーションします。
運用保守
保守作業は専用のセキュリティルームで行い、環境接続資格を取得した担当者に限定しています。接続記録と操作記録は自動で取得します。
監査・コンプライアンス
運営会社である株式会社メルカートがISMS認証（IS97670）を取得しています。アプリケーションレイヤは、外部のセキュリティ専門会社が定期的に診断します。クラウド基盤のAzureは、ISO 27001・SOC 1／SOC 2 など国際的な基準に適合するよう設計・管理されています。
不正な注文と操作への対策
基盤の防御とは別に、注文と操作の中身を見て弾く仕組みを用意しています。
なりすまし対策
普段使っていない端末やブラウザからログインされたとき、登録メールアドレス宛の認証キーの入力を求めます。
いたずら判定・メールアドレス存在確認
不正・いたずら注文の混入を抑えます。
守る体制
仕組みだけでなく、誰がどこで運用し、何かあったときに誰が動くかまで決めています。
隔離された環境でのみ運用
物理的に隔離された空間でのみオペレーションを行います。リモートワークは導入していません。
CSIRTとセキュリティ推進室
事故対応の専門チーム（CSIRT）を置き、グループ共通のセキュリティ推進室が基盤を支えています。
ISMS認証を取得
情報セキュリティの国際規格ISMSの認証登録（IS97670）を、サービスを提供する株式会社メルカートという組織に対して取得しています。
よくある質問
クレジットカード情報はどこに保存されますか？
自社サーバーにカード情報を保持しない非保持化構成です。PCI DSSに準拠した決済代行サービスと連携して処理します。
脆弱性が見つかった場合はどう対応しますか？
内部セキュリティ診断を定期的に実施し、検出された脆弱性には自動バージョンアップで対応します。対応にあたって追加費用は発生しません。
管理画面へのアクセスを制限できますか？
IPアドレスによる制限と、2要素認証の両方に対応しています。
PCI DSS にはどのバージョンで準拠していますか？
v4.0.1 に準拠しています。2026年3月に対応を完了しました。クレジットカード情報は非保持化しており、メルカートの基盤に保存されることはありません。
セキュリティ診断は誰が行っていますか？
認証としては、サービスを提供する株式会社メルカートが情報セキュリティマネジメントシステム（ISMS）の認証登録（IS97670）を取得しています。これは組織に対する認証です。アプリケーションレイヤについては、外部のセキュリティ専門会社による診断と、運用面のアセスメントを定期的に実施しています。
これまでに不正アクセスの被害はありましたか？
自社起因のセキュリティ事故は0件です。不正アクセスによる被害についても、2026年4月公開の取材記事の時点で発生していません（ECのミカタ「メルカートが提唱するAI時代に求められる“気付かない”ECセキュリティ」2026年4月2日公開）。今後も第三者による評価を継続し、国際的な基準への対応を含めて水準を上げていきます。
サービスの稼働はどのように監視していますか？
稼働環境を24時間365日体制で監視し、稼働状況と不審な挙動を常時把握しています。事故対応の専門チーム（CSIRT）を社内に置き、グループ共通のセキュリティ推進室が基盤を支えています。
運用は誰が、どこで行っていますか？
物理的に隔離された環境でのみオペレーションを行っており、リモートワークは導入していません。基盤の維持と監視は、グループ共通のセキュリティ推進室と連携して行っています。
NEXT STEP
セキュリティ要件のご確認にも対応します
社内のセキュリティチェックシートへの回答など、導入前の確認事項にもお応えします。