サイトから、合計約40万件のクレジットカード情報が流出した。両サイトは、いずれも国内最大の決済代行事業者であるGMOペイメントゲートウェイ社(以下GMO-PG)が受託運営しているものだった。DSSに完全準拠をしていたということである。DSSの要件は大まかには以下の6つであるが、これらがさらに細かく分かれ、約400項目の技術的かつ具体的な要求事項により構成されている。・セキュリティポリシーの制定GMO-PGのようなPSP(ペイメントサービスプロバイダ)といわれている業態では、国際ブランドや行政の指針により外部の認定セキュリティ評価機関(QSA)の年次監査が義務付けられている。DSS準拠を推し進めている。DSSに準拠することを要請されている。DSS準拠をする場合は、ECサイトやPOS加盟店にとって簡単なことではない。手間も時間もお金もかかる。DSSに準拠する場合は、どんなに早くても半年、通常は約1年程度の期間を要します」(fjコンサルティング、瀬田陽介CEO)。DSSに準拠をすれば、もうカード情報保護は問題なし、と考えたとしても不思議ではない。ところが、今回、完全準拠のサイトから大規模なカード情報流出事件が起きてしまった。考えてしまう加盟店が出てきてもおかしくない。DSSが絶対に安全であるという考える方は、改めるべきです」(瀬田氏)。DSSが普及する米国では、完全準拠しながらカード情報が流出する事件が多数起きているという。DSS以上のセキュリティを講じなければならないという考え方が一般化しています」。DSS以上のセキュリティを実現するヒントが載っている。「データ隠蔽対策(重要情報のマスク化等による非保持化)」である。DSSでは、その要求事項を満たせば、16桁のカード番号(PAN)をデータベースに保存することが認められている。正規のPANが保存されているから大規模な流出事件を招くという側面がある。PANの一定桁数以上を判読不能措置とするトランケーションや、別の番号に置き換えるトークナイゼイションなどの処理により、事件発生の際もその規模を小さくすることができる。EC加盟店では、現在では大半がカード情報をデータベースに保存していない形態をとっている。大型の対面加盟店やPSP(決済代行事業者)/プロセッサなどのカード情報の処理事業者では大半が保存している。この期に正規のPANが本当にそこにないと業務が回らないかを見直すきっかけとなることを期待する。「データ持ち出し抑止(出口対策)の改善対策」という点も有効である。攻撃者は、まずはソフトウェア脆弱性をつき、外部に通信が可能なサーバにマルウェアを設置する。それらをコントロール配下に置き、機密性の高い情報を外部に送信するという手口が多い。その際の出口対策が有効であれば、外部へのデータ持ち出しが防げるかもしれない。Webサーバがインターネットに対して必要な宛先IPアドレスに、必要なポート番号だけファイアウォールで空けている状態にすれば、外部の知らないサーバに対して通信し、コントロール配下に置かれる可能性は低い。仮にそれらの通信が発生した場合にサンドボックス型のセキュリティ機器が設置されていれば、不正に外部に送信された段階で検知や遮断できる可能性がある。「とはいえ、このような追加のセキュリティ措置を施すことは、さらに費用や人手が必要になります。DSSでは要件になっていないため、かえって導入の決断がしづらいという側面があるかも知れません」(瀬田氏)。DSSという基準があるために、追加のセキュリティ措置に対する投資判断がかえって抑制されてしまっているという現実があるのではないかと瀬田氏は指摘する。足りないセキュリティエンジニアもうひとつは、現場の人材不足の問題も大きいという。どの企業でも、セキュリティ関連の要員が潤沢に配置されているとは言えない。昨今セキュリティ人材が極端に不足しているうえに、売上の向上に直接結びつかないセキュリティの体制強化にコストをかけるのをためらう経営者は多い。そのためセキュリティ要員は、日々のチェック作業などルーチン業務をこなすだけでいっぱいいっぱいになっている状況がある。セキュリティエンジニアとしては、インシデント発生は何としても回避したいという思いもあるが、セキュリティ投資について経営者に定量的に説明することは難しい。投資の判断がなされなければ、多くの場合、そこで顕在化した追加のリスクに対して人的な運用によってカバーするということになる。「エンジニアとしては、必要だと思ってセキュリティの追加措置を提案しても、結局限られた体制の中で自分たちの負荷が増えてしまいます。多くの企業で、人員不足の中で自らの超過労働とのトレードオフにより、顕在化したリスクに対して、提案すら躊躇する深刻な現実があります」(瀬田氏)。DSS準拠の義務化が州法で定められ始めたことがあります。その際は複数の州で次々と採用され始め、のちには連邦法になると思われていました。SSCはこの法制化による推進が必ずしも正しくないと考えました。その後追随する州はありませんでした」(瀬田氏)。法律により義務化をしたため、準拠さえすれば義務は果たせた、という考え方が広がってしまい、かえって追加のセキュリティ施策の判断が鈍ってしまった。「航空や医療など人の命に関わる安全に対しては、法定または業界が規制する最低基準をクリアした上で、各自がさらに安全度を高める工夫をしています。その新たな安全対策は、必ずしも顧客の増加や売上単価の向上は生みません。それらを投資対効果だけで判断し対策を見送れば、ひと度インシデントが発生した時、顧客からの信頼を大きく失います。それらの企業は批判と存続の危機に晒されます」(瀬田氏)。カード情報の保護も顧客との信頼関係という側面では同じである。DSS準拠を含むカード情報保護は、法律遵守の観点から最低限やるべきことである。その上で変化する情勢に対応する追加の施策を自ら考え講じていくという事を決して忘れてはいけない。ZERO/ONE(ザ・ゼロワン)』は、ハッカーとジャーナリストが創るサイバーセキュリティ情報に特化したオンライン・メディアです。よる0day情報をタイムリーにお届けします。