PCI Security Standards Council は、さまざまな環境におけるクレジット カード情報の取り扱いを規制する一連のガイドラインを策定しています。同委員会が発行するガイドラインには、加盟店（支払いを回収する会社）の要件を定義しているものがあります。この基準の主な焦点は、複数のシステム間で共有されるカード所有者データ（CHD）を保護することです。加盟店はさまざまなベンダーやソリューション プロバイダーを活用して、売り上げを処理します。
これらのコンポーネントはすべて、サポートする準拠証明書（AOC）につながります。この AOC により、加盟店はさまざまなベンダーのアサーションを活用して独自の AOC を形成できます。ソリューションの設計とトランザクションの量によっては、カード所有者環境（CHE）の修復と維持のために膨大な作業が発生する可能性があります。
図 1: ベンダーの AOC を組み合わせてお客様の AOC と PCI 準拠の設計をサポート
実装と組織へのメリットについて議論する際には、カード所有者データの全体的なフローに注意することが重要です。カード所有者データが存在する場合は、コンプライアンス監査が必要になる場合があります。以下で取り上げる Zoom ソリューションを使用すると、加盟店はこの環境と関連コストを最小限に抑えることができます。
Zoom と PCI Pal が内部で連携し、お客様による Zoom Contact Center での PCI コンプライアンスを支援している仕組みをご紹介します。
このソリューションは、Zoom App Marketplace と Zoom パートナー ソリューションを利用して、環境内で PCI 準拠の通話を可能にします。コンプライアンスへのアプローチ方法は数多くありますが、以下に詳述するソリューションを使用すると、環境の範囲を最小限に抑えられる可能性があります。
このセクションでは、エージェントと消費者という2つの主なエンティティに焦点を当てます。エージェントは、Zoom Contact Centerを利用する個人で、音声、ビデオ、またはメッセージングチャネルを通じてエンゲージメントを受け、安全な方法で消費者から支払いを受ける必要があります。消費者は、決済カードの所有者であるエンゲージメントの開始者です。テキストベースの支払いチャネルも利用できますが、この例では音声チャネルでのエンゲージメントに焦点を当てます。
Zoom Contact Center に電話をかけると、消費者は指定されたエージェントにルーティングされる前に、管理キュー設計に基づいたメニューとインタラクションを通じて誘導されます。(1)メディアは消費者からPSTNとZCCインフラストラクチャに送信され、(2)メディアはZCCインフラストラクチャとエージェントのクライアント間で送信されます。これは、Zoom Contact Centerへの従来の通話の例でもあります。
図 2: 初回通話のセットアップ
最初の通話が確立されると、エージェントは支払いを回収するまで消費者と通信することができます。その時点で、エージェントは PCI Pal Zoom App 内で (3) 支払いの回収を開始するためのセッションを開始します。Zoom の API と PCI Pal の API を組み合わせて、SIP を使用して PSTN プロバイダ、PCI Pal、および Zoom 間で追加のコールレッグを編成します。これらのコールレグは、Zoom とエージェントがカード保有者データの処理、送信、および保存から解放される方法でメディアネゴシエーションを促進します。最初のコールレグ（4）は、PSTN プロバイダと Zoom の間で接続されたままです。追加のコールレグ（5）がZoomからPCI Palに確立されます。コールレグ（4）および（5）が正常に接続されると、メディア（6）が PSTN プロバイダと PCI Pal の間で直接ネゴシエートされます。メディアが PCI Pal 内にある間に、カードホルダデータは削除されます。PCI Pal は関連するメディアストリームを含むシグナリングを Zoom に送り返します（7）。受信すると、Zoom はフローをエージェントに再接続します（8）。
PSTN から PCI Pal (6) へのこのメディアフローにはカード会員データが含まれており、PCI Pal 環境に入るときにフィルタリングされます。メディアは Zoom（7）に戻され、最終的にエージェント（8）に渡されます。このメディアパスは、通常数分しかかからない支払処理の間だけアクティブになります。この間、エージェントは消費者との通信を維持することができます。Zoom に到着する前にカード会員データが削除されたメディアを使用することで、コンプライアンス範囲を拡大することなく、記録などのサービスを体験中ずっと維持することができます。
図 3: 処理中の支払い
支払いが完了すると、追加の接続は自動的に削除され、メディアは元のセットアップ（PSTN から Zoom（1）および Zoom から元のエージェント（2））で確立されます。エージェントは、必要に応じて追加の支払いフローを確立できます。
図 4: 元のフローの再確立
