次に、2019年から年末にかけての取り組みについて紹介します。P2PEですが、現在バージョン3.0が準備されています。RFCは行われていまして、皆様からご提示いただいたご意見に基づき修正作業をしています。早ければ年内に3.0が出る予定です。Standard)があり、毎年各ブランドが独自にレビューし評価をしています。SSCが評価者を認定し、その人が1回レビューをすれば、その結果を5ブランドで共有することで、事業者の負担を大幅に軽減できます。(COTS)」ですが、例えばスマートフォンやタブレットなどで行われる非接触決済はこれからさらに進展していく事業分野ですが、この決済スキームのセキュリティ基準としてまとめ上げたものです。これも年内にリリースすることを目標としています。DSS4.0で、今年の後半にRFCが、POに向けて行われる予定です。ドラフトをご覧いただき、皆様から意見をいただいて、必要な修正を施して、早ければ来年中のリリースを目指していきたいです。SSCがどんな取り組みをしていくかを紹介させていただきます。SSCは2019年から2020年にかけて、日本のカード会社、加盟店、サービスプロバイダが改正割販法あるいは実行計画の要件の達成をしていくための支援をしてまいります。DSSに準拠されようとしている事業者を支援するために、それに必要なトレーニング、審査員などリソースを増強してまいります。一方で、P2PE、PA-DSSというソリューションもできるだけ増やし、選択肢を多くして、皆様に使いやすいものを選べる柔軟性を持たせていきたいと考えております。加盟店やサービスプロバイダから伺う声の中には、PCIをやりたいと思っているのだけどリソースが不足している、特に、「QSAに連絡をしてもスケジュールがいっぱいです」という声を聞くことがあります。このような課題に取り組んでまいります。併せて、いろいろなチャネルを使ってPCI関連のセキュリティ基準に対する理解を向上、改善していただくための活動もしてまいります。SSCが提供する人材育成プログラムについて紹介します。最初に、インターナル・セキュリティ・アセッサー(ISA:企業内部セキュリティ評価者)で、これは加盟店、サービスプロバイダ、カード会社など、企業の内部のセキュリティ評価者となります。SSCは、PCIDSSの準拠状況を自社で自ら評価できる人材を育成し、その方々を認定しています。SSCのサイトに登録されます。DSSの要件を理解し、一方で自社の状況、システム運用の状況を理解していらっしゃる中で、必要な対応をとるための指揮をとっていただくことになります。同時に、QSAのオンサイトレビューが入ったときに、いろいろな調整役を果たしていただくわけですが、もう1つ、ISAはQSAの代わりにオンサイトレビューをすることが認められています。現在、QSAのレビューを受けていらっしゃる方々も、できるだけISAを活用していただくことによって、結果的にコスト削減につなげることもできると思います。DSSの準拠を目指していらっしゃる企業には、やはりこういうスキルを持たれた方を最低1名は育成されるべきと考えております。Professional)という資格がございます。これは組織内の人材育成という意味では、ISAのような内部監査を前提としているわけではなく、PCIの基準に精通した人材をより広く育成するための制度であり、海外などを見るとこのPCIPという資格は、むしろSAQ、自己診断をご自身でやるときに、PCIPの方がリーダーシップを発揮して取り組んでいるケースもあります。PCIPは、オンサイトによる1日のトレーニング、あるいはオンライントレーニングとテストを受けて資格を取得することも可能です。SSCのサイトにお名前が登録されます。2019年4月8日と9日に東京で、ISAとQSAのオンサイトのトレーニングを開催します。受講料は一般の企業は3,100ドルですが、POの方々は1,800ドルとなっております。ISA、QSAともに事前にオンライントレーニングがございまして、それを受けていただいた上で、2日間のオンサイトによるトレーニングを受けていただくことになります。その上でテストを受けていただき、合格すると、ISAの個人のお名前と会社名の2つが登録されます。資格の有効期限は1年ですが、更新はオンラインのトレーニングで可能となっております。日本の企業がISAやQSA、あるいはPCIPといった資格を取得するときにネックになるのが、言語の問題ですが、日本で行うトレーニングはすべて日本語のサポートが付きます。講師の説明は同時通訳が付きますし、テキストは日本語のものが提供されます。テストも日本語で受けていただくことが可能です。ISAは昨年東京でトレーニングを行った結果、40名強ぐらいの方々が新規にISAになっていただき、その方々が今年更新するわけなのですが、その更新のトレーニングもオンラインで日本語でできるようになります。SSCには日本語サイトがあります。URLの頭にJa.を付けていただくといきなり日本語のサイトにアクセスできます。このサイトをご覧いただくと、日本語のいろいろな教材ツールがアップされています。加盟店、中小の加盟店も含めて、今どんな事故が起きているのか、どんな事案があるのか、それに対してどんな対応が好ましいのかを、日本語で解説している資料、あるいはカード決済や情報セキュリティでよく使われる用語解説集など、すべて日本語で用意されておりますので、ぜひ一度お時間のあるときにご覧いただき、ダウンロードしてお役立ていただければと思います。SSCが主催するイベントをご紹介します。2019年はインドに加え、ラテンアメリカ、北米、ヨーロッパ、アジア太平洋の各リージョン単位でイベントが予定されております。アジア太平洋では昨年5月に、東京(恵比寿)で開催しましたが、300名強の方にご参加いただきました。今年はオーストラリアのメルボルンで11月20日・21日の2日間をかけて開催いたします。POに参加されますと、2名まで無料で参加いただけますし、併せてISA、PCIPのいろいろなトレーニングもセットで行っておりますので、もし興味があればぜひ参加をご検討いただければと思います。SSCとして考える今後の課題について、説明させていただきます。DSSは、今年で丸15年になりますが、日本においては、ようやくカード情報を取り扱う事業者の皆様の認知を得られるようになってきたと実感しております。これまで大変多くの方々にご協力やご支援をいただいてきました。業界団体の日本クレジット協会(JCA)、日本カード情報セキュリティ協議会(JCDSC)、あるいは国際ブランド、メディア関連の方々、もちろん加盟店、サービスプロバイダ、アクワイアラ、ベンダ、いろいろな方々のお取り組みを経てなんとかここまでこれたということで、この場をお借りして深く御礼を申し上げたいと思います。ありがとうございます。DSSは、私の感覚で申し上げますと、登山に例えるとまだ5合目ぐらいではないかなと思っています。DSSよりも、非保持化を目指しているケースが圧倒的に多いと聞いています。DSSは要件が多くてハードルが高いと、マイナスの印象を持っていらっしゃるからなのだろうと思います。DSSというのは、あくまでペイメントセキュリティのベースラインだと言われています。DSSをやれば絶対に安全だということではなくて、常に新しいリスクに備えるべきだということになっています。DSSの要件の中には、3カ月に1回、脆弱性テストを受けると規定されています。カード情報にアクセスするパスワードは少なくとも90日に1回は変更すると規定いています。これらを行えば、絶対に安全であると誰にも断言できないわけです。DSSに対する考え方として、対応を求められる加盟店と、実際これを推進している側には、まだまだ大きなギャップがあると考えています。このギャップを埋めていく努力が必要です。DSSが、きちんと選択肢として位置付けられるようになっていくまで、理解を進めていく必要があるのだろうと考えています。DSSの要件に行き当たるものだと思います。DSS準拠を目的化してしまうよりも、本質的に、自社にどんなリスクがあって、何をすべきなのかという観点から入っていくと、PCIに対する理解が深まっていきます。ある意味、発想の転換のようなことが必要になってくるのではないかと思うのですが、そのときにやはりカギになるのが、人材だと思っています。SSCとしては次の5年、これを課題の1つとして、ぜひ取り組んでまいりたいと思っております。亮二氏の講演に加筆を加え、紹介しております。システムなどクレジットカード不正対策ソリューションを提供(アクル)設立25年以上の実績を誇る決済サービスプロバイダ。クレジットカード決済をはじめ、対面・非対面問わず豊富な決済手段を取り揃え、ニーズに合わせて最適な決済方法をご提案します。QRコードリーダーをOEM/ODMでご提供します。お客様に代わってセキュリティ認定も取得可能です。デジタルトランスフォーメーションやFintechへの取り組みを強力にご支援します。(エクサ)国内ICカードシェアNo.1(大日本印刷)シンクライアント型電子決済サービス(トランザクション・メディア・ネットワークス)「ハウス電子マネー/ギフトカードサービス」のニュース、導入事例のご紹介(富士通FIP)決済情報コラムを好評連載中!「コンビニ収納ペーパーレス決済(番号方式)のわずかな、でも大事な違い」(NTTインターネット)非対面業界唯一!!カード会社とダイレクト接続により、安心・安全・スピーディーで質の高い決済インフラサービスを提供。無断転載・複製を固く禁じます。記載されているロゴや製品・システム名は各社および商標権者の登録商標・商標です。