カウンシル(PCISSC)はペイメントセキュリティの国際的な基準とプログラムの開発・管理に加え、加盟店・サービスプロバイダー・カード会社などがペイメントセキュリティを向上させるための取組みを支援しております。SSCの概要とPCI基準の最新動向、2020年に向けた日本での取組みについて紹介します。来年の東京オリンピックまであと500日を切りましたが、2020年3月12日に東京オリンピックのための聖火ランナーのリレーが始まります。3月26日には福島に上陸して47都道府県を回り、7月24日に新国立競技場に来るということで、オリンピックの準備もいよいよ大詰めですが、一方で、東京オリンピックを標的としたサイバー攻撃も実はすでに報告されています。チケット販売のフェイクサイト、フィッシングメールなど、すでにいろいろ起きています。翻って、3年前に、ブラジルのリオデジャネイロ・オリンピックがございましたが、当時の現地のお話を聞いてみると、やはり開催の2年程前からいろいろな攻撃があったそうです。その意味で日本では、2015年からクレジット取引セキュリティ対策協議会が立ち上げられて、実行計画が作られましたが、このような問題を見越していち早く取り組まれた素晴らしい活動だったと考えています。SSCと呼んでいます。DSSのDSSは、データ・セキュリティ・スタンダードです。このスタンダード、基準を管理・運営している組織がPCISSCです。SSCの一員としてアジアで初めて採用されまして、この日本の官民を挙げた取り組みを支援していく役割を担っているわけですが、これは今回の取り組みがある意味、アジアのモデルとなって、手本となれるような、国際的な期待の表れでもあると考えています。SSCについてご紹介します。DSSができたのは、2004年12月です。国際5ブランド(アメックス、ディスカバー、JCB、Mastercard、Visa)が共同でこの基準を作り発表しました。SSCという組織を立ち上げました。SSCのガバナンスを管理しており、大きな意思決定はすべて、この5ブランドで構成されるエグゼクティブ・コミッティーで承認を得て、活動しています。セキュリティは、ブランドの競合関係を乗り越えて、協力・連携をしていくべき課題であるとの考え方に基づいています。SSCのミッションは、非常にシンプルです。関連事業者のペイメントデータの安全な管理を支援していきます。この目的を達成するための柱となる考え方、方針を3つ掲げています。脆弱な地域や業界、企業が残ると、そこに犯罪が集中しますので、関係者全員が同じ立場で取り組むことが大事です。2つ目に、業界主導による柔軟で効果的な基準と制度です。実際に作られた基準も、取り組む事業者側の理解と協力がないと普及しないため、さまざまな要望を積極的に取り込んでいます。3つ目は、犯罪者の攻撃や情報流出の予防、検知、影響の緩和です。予防だけではなく、実際に攻撃があったときに、それをいち早く検知して被害を最小限に抑える考え方も、基準の中に織り込んでいくべきです。いう意味では、多面的、重層的な基準にしていく必要があります。SSCが提供できるリソースとして、基準、認定プログラム、トレーニング、教育用ツールがあります。DSSを筆頭に、現在14の基準がございますが、大きく3つに分類をしています。1つは、決済用装置、ハードウェアです。PINを入力するデバイス、HSMなど、ハードウェアに関する基準があります。それに対してソフトウェアでは、P2PE、PA-DSSなどがこのカテゴリーに入ってきます。DSSでいろいろな要件を規定しています。これらの基準について準拠していることを、テストを通じて確認し、合格したソリューションを認定しています。SSCのサイトで広くご紹介ししています。DSSの準拠状況を評価する評価者、評価する機関がトレーニングを受けていただき、最終的に認定しています。カード情報を取り扱う事業者から見たときに、セキュリティ対策の基本は「人材」「プロセス」、「テクノロジー」の3つになります。「人材」は、組織の中にペイメントセキュリティに関する経験者、あるいはリーダーを育成していくことが非常に重要なポイントです。「プロセス」は、カード情報を扱うための方針、業務処理、あるいは運用手順をきちんと確立していくことで、担当者が変わっても、そういう考え方が引き継がれていくことが、大事なポイントです。3つ目の「テクノロジー」は、新しい犯罪の手口、脅威、リスクに対抗できる適切な技術を積極的に採用していくことが、大変重要なポイントだと考えています。SSCのサイト上で公開して案内しております。devices」はいわゆるPIN入力用デバイスです。これはIC化対応をしていくと、どうしてもPINを入力するオペレーションが付いてきます。そのときに、入力したPINを安全に処理・管理していくためのデバイスになります。Solutions」は、ポイントtoポイントということで、カード情報を扱う端末と、最終的にそれを処理・保管するセンター側に至るまで、カード情報を適切に暗号化し処理・伝送していくソフトウェアがあります。これに認定されているソリューションが公開されております。Standard)に準拠していることが確認されたソフトウェアプロダクツです。DSSに準拠していくためにも大変有効に機能すると考えております。専門家、実務の方々が広く参画し、いろいろな意見を反映することが重要だと考えております。SSCの中にあり、略して、「PO」と呼んでいます。SSCに参加してくださったPOの方々との協業によってかたち作られていきます。POは現在、全世界に800社強あり、多くの関連事業者が参加してくださっています。新しい基準の策定や、改定、制度を考案、決定するに当たり、いろいろなフィードバックをPOからいただいています。SSCは、グローバルなオープンフォーラムです。法人であれば、原則どなたでもPOに参加していただくことが可能です。現在、アジア・太平洋地域では67団体あり、この内、日本は残念ながら10社と少ない状況です。日本の市場規模、PCIに対する取り組みを勘案すると、もっとPOが増えて、日本の声を反映させていく努力が必要なのではないかと思います。DSSの準拠は、日本では事実上法律要件の一部になっています。DSSの中に反映させていくことが必要と考えています。POに参加するには年間3,750ドルの費用が必要になりますが、いろいろなメリットがあります。簡単にご紹介しますと、一番重要なのは、PCIの基準やプログラムをドラフトの段階でレビューすることができ、そのうえでいろいろなご意見やコメントを提示していただくことが可能です。SSCから定期的にニュースレターとして送られます。Group)と呼ばれています)があります。POの方からPCI基準やペイメントセキュリティに関する共通課題をご提示いただいたときに、それを議論するためのタスクフォースを立ち上げます。それにはQSA、アクワイアラ、国際ブランド、ベンダーなど、いろいろな方々を招集して、課題に取り組んでいきます。1つの解答、結論を出していくという枠組みがあり、これにも参加していただくことができます。SSCが主催する、ISA,PCIPなど人材育成トレーニングおよび資格認定のプログラムがありますが、これらのご参加料の割引が受けられます。そのほかいろいろ細かいこともあるのですが、ぜひこのようなメリットをご理解いただき、ご検討いただければと思います。続きまして、PCI基準とプログラムの最新動向についてお話しします。DSSをはじめとしまして、PO、あるいはQSAのような方々からいろいろなご意見をいただき、それに応じて基準やプログラムの更新、策定などを行っていきます。このような動きは、いずれ国際ブランドがルールに落とし込んでいきます。なると、アクワイアラを通じて、サービスプロバイダあるいは加盟店にいろいろな影響を及ぼします。できるだけ早い段階でこういう情報を収集・把握していただき、ご理解していただくことをお勧めします。最初に本年1月に「ソフトウェア・セキュリティ・フレームワーク」が発表されました。これは企業から情報流出が起きているケースでその原因を調査していく中で、使われているアプリケーションプログラムに脆弱性があり、導入している加盟店も知らないところで平文のカード情報のファイルがPOSの中に残っていたケースなどがありました。実際、POS端末やモバイル、スマホ、サーバなどではいろいろなプログラム、アプリケーションが使われカード情報が処理されています。したがって安全なソフトウエアおよびそのライフサイクルに関する基準を策定することはとても重要な課題です。いう議論を経て、ソフトウェア・セキュリティ・フレームワークがつくられています。Compliance」です。DSSに準拠した企業が、いかに持続するか、維持するのかは共通の課題になっております。SSCがSIGを立ち上げて、議論を行い、ドキュメントにまとめられています。DSSは原則年1回のレビューで準拠状況を確認しますが、このレビューは、その時点がどうかというのはわかりますが、普段の状況は把握できません。大切なことは、自社のリスクをしっかり理解して、どういうリスクがあるのか、どういう頻度で何をどれだけ見たらいいのかを企業のカルチャーとして、作り上げていくということが非常に重要だと思います。このガイドブックには、テクニカルな観点だけではなくて、会社の体制、管理方法などがベストプラクティスにまとめ上げられています。亮二氏の講演に加筆を加え、紹介しております。システムなどクレジットカード不正対策ソリューションを提供(アクル)設立25年以上の実績を誇る決済サービスプロバイダ。クレジットカード決済をはじめ、対面・非対面問わず豊富な決済手段を取り揃え、ニーズに合わせて最適な決済方法をご提案します。QRコードリーダーをOEM/ODMでご提供します。お客様に代わってセキュリティ認定も取得可能です。デジタルトランスフォーメーションやFintechへの取り組みを強力にご支援します。(エクサ)国内ICカードシェアNo.1(大日本印刷)シンクライアント型電子決済サービス(トランザクション・メディア・ネットワークス)「ハウス電子マネー/ギフトカードサービス」のニュース、導入事例のご紹介(富士通FIP)決済情報コラムを好評連載中!「コンビニ収納ペーパーレス決済(番号方式)のわずかな、でも大事な違い」(NTTインターネット)非対面業界唯一!!カード会社とダイレクト接続により、安心・安全・スピーディーで質の高い決済インフラサービスを提供。無断転載・複製を固く禁じます。記載されているロゴや製品・システム名は各社および商標権者の登録商標・商標です。