ほぼすべての企業が顧客のクレジットカード情報を保管する必要があるものの、その最適な保管方法を見つけるのは必ずしも簡単ではありません。カードの保管に関しては固有の要件や規制がありますが、どの企業も顧客体験や業務効率を損なうことなく、それらの遵守を確保しなければなりません。アメリカではクレジットカードの不正利用が深刻な問題となっており、広く蔓延しています。実際に、クレジットカード保有者の 65% が不正利用の被害に遭っているという例もあります。企業にとって、顧客のカードデータを安全に保管することは重要な不正利用対策となります。
この記事では、顧客のカードの保管を規制する主なセキュリティ基準である PCI データセキュリティ基準 (PCI DSS) について取り上げるほか、企業が顧客のクレジットカード情報を安全かつ効率的に保管するためのベストプラクティスについてご説明します。
この記事の内容
- カード保管の役割
- PCI DSS とは
- カード保管に関する PCI の要件
- カード保管に関するベストプラクティス
- カード保管に伴う課題と解決策
- Stripe の活用方法
カード保管の仕組み
カード保管とは、クレジットカードやデビットカードの番号やそれらに関連する識別情報など、顧客の支払いカードに関する情報を企業が保管することを指します。通常、企業が保管するデータは、カード保有者の氏名、代表口座番号 (PAN)、有効期限日、サービスコードの 4 種類です。
企業が利用できるカード保管用システムはいくつもあります。カード保管用システムには通常、専用のデータ保管システム、暗号化技術、トークン化技術、データ漏洩防止 (DLP) ツールといったコンポーネントが備わっています。
PCI DSS とは
PCI DSS とは、企業によるクレジットカード情報の受け付け、処理、保管、送信について規制する一連のセキュリティ基準です。PCI DSS はカード保有者のデータを不正利用や窃取から保護することを目的としており、クレジットカード取引を取り扱う企業はこの基準に準拠しなければなりません。PCI DSS はペイメントカード業界セキュリティ基準協議会によって管理されています。同協議会は、Visa、Mastercard、アメリカン・エキスプレス、Discover、JCB という主要クレジットカード会社によって設立された組織です。PCI DSS に準拠することで、企業はデータ侵害のリスクを減らしつつ、カード取引の安全を確保できます。
カード保管に関する PCI の要件
PCI DSS は企業に適用されるカード保管に関する要件を定めています。PCI DSS の要件の例を以下にご紹介します。
データ保管の制限: 業務上の目的のために必要なカード保有者データのみを保管します。認証後に、たとえ暗号化しても、機密性の高い認証データを保管することはできません。これには、フル磁気ストライプ、カード認証コード、個人識別番号 (PIN)/PIN ブロックなどが含まれます。
保管中のデータの保護: PAN など、保管中のカード保有者データをすべて暗号化しなければなりません。暗号化技術などの手段を用いて、保管場所での読み取りができないようにする必要があります。
データアクセスの制限: カード保有者データにアクセスできる人物を、アクセスが必要な職務に就いている者に制限する必要があります。アクセスを制限する必要最小限の原則を導入してください。
個別 ID の作成: カード保有者データにアクセスするコンピューター利用者ごとに個別の ID を割り当てます。データ侵害が発生した場合に、データにアクセスした人物を特定するのに役立ちます。
物理的な場所の保護: カード保有者データを保管している物理的な場所を保護しなければなりません。たとえば、監視、データ保管区画への立ち入り制限、安全な保管システムの使用などの措置を講じます。
保持と廃棄に関するポリシーの策定: データ保持に関するポリシーを策定し、不要になったカード保有者データを速やかに削除する規定を設けます。不要になったカード保有者データを削除し、復元できないようにします。
暗号鍵の使用: Secure Sockets Layer (SSL)、Transport Layer Security (TLS)、Internet Protocol Security (IPSEC) などの強力な暗号化技術とセキュリティプロトコルの使用を運用管理し、オープンなパブリックネットワークを介して送信される機密性の高いカード保有者データを保護します。
カード保管に関するベストプラクティス
企業が PCI 準拠を確保するための方法は数多くあります。企業が顧客のカード情報を保護し、ユーザー体験を守りながら PCI 準拠を維持するためのベストプラクティスを以下にご紹介します。
保管するカード保有者データの最小化: 必要なカード保有者情報のみを保管し、絶対に必要な場合を除き、機密性の高いデータを保持しないようにします。保管するデータの量を減らすことで、リスクを最小化し、規制準拠の手間を抑えることができます。
高度暗号化基準 (AES) の適用: 256bit キーを使った AES によって保管中のカード保有者データを暗号化します。この方式は現在のベストプラクティスに沿っており、最低限の規制要件を上回っています。
エンドツーエンド暗号化 (E2EE) の導入: 基本的な暗号化の取り組みに加えて E2EE を導入します。これにより、取得時点から安全な処理環境に到達するまで、カード保有者データを保護できます。
アクセス制御メカニズムの改善: 多要素認証と詳細な役割ベースのアクセス制御を使用して、承認を受けた担当者だけが機密性の高いカード保有者データにアクセスできるようにし、すべてのアクセスやアクションの明確な監査証跡を残します。
DLP ツールの導入: DLP 戦略を導入してデータ移転を監視・制御することで、不正なデータの流出を防ぎ、カード保有者データが不当に保管・流通されないようにします。
定期的なセキュリティテストの実施: 潜在的なセキュリティ上の脆弱性を事前に発見して修正するため、PCI DSS の標準要件を上回る高度な侵入テストと脆弱性評価を実施します。
高度なトークン化技術の検討: 取引ごとにトークンを変更する動的なトークン化の使用を検討します。これにより、セキュリティレイヤーを追加し、データが傍受されたとしても悪用が難しくなります。
規制準拠の自動監視体制の導入: 自動ツールの活用により、PCI DSS の準拠状況を常時監視し、逸脱を速やかに検知して是正します。
ゼロトラストアーキテクチャの使用: ゼロトラストセキュリティフレームワークを適用します。組織内のユーザーを含むすべてのユーザーがカード保有者データを侵害する恐れがあると想定し、厳格な検証と最小権限の原則を強制します。
耐量子暗号ツールの検討: 量子コンピューターがもたらす新たな脅威から保護するため、耐量子暗号アルゴリズムの導入を検討します。
対応計画の策定: セキュリティインシデントへの対応計画を策定します。データ侵害の発生時には、問題を速やかに特定し、侵害を封じ込め、損害の発生を抑制できる必要があります。
カード保管に伴う課題と解決策
カード保管は、顧客体験、商品やサービスへのアクセス方法、社内チームによる顧客データの管理方法など、多くの事柄と密接に関わっています。システム設計が極めて優れていたとしても、カード保管システムにはかなりの複雑さを伴います。一般的な課題とその解決策を以下にご紹介します。
拡張性
- 課題: 取引量の増加に伴って、高いパフォーマンスと PCI の準拠を保つことが困難になる可能性があります。拡張性の問題は、顧客体験や業務効率に影響を与える可能性があります。
- 解決策: 分散データベースアーキテクチャを導入することで、データの一貫性と規制準拠を維持しながら、高い読み取り / 書き込みスループットを処理できます。柔軟性のあるクラウドベースのソリューションを活用することで、需要の変化に応じて動的に拡張・縮小することが可能になり、セキュリティを損なうことなくパフォーマンスを維持できます。
レガシーシステムとの連携
- 課題: 多くの組織が PCI DSS への準拠を考慮していないレガシーシステムを使用しています。そのため、規制準拠やセキュリティが十分でない可能性があります。
- 解決策: データ抽象化レイヤーやサービス指向アーキテクチャを用いてレガシーシステムをカプセル化し、カード保有者データへの直接的なアクセスを最小化します。俊敏性と規制準拠を強化するため、マイクロサービスやコンテナ化を用いて徐々にレガシーシステムを入れ替えるか、最新化することを検討します。
国・地域をまたがるデータのプライバシー
- 課題: 地域によってデータ保護規制は異なり、国・地域をまたがってカード保有者データを保管する企業の場合、適用される規制要件が多くなります。
- 解決策: 現地の規制に準拠してデータの処理と保管を行うデータレジリエンス・ソリューションを導入します。地理位置情報に基づくデータ保管と処理を用いることで、カード保有者の居住地に応じ、地域の規制要件に準拠してデータを自動的に振り分け、保管します。
高度なセキュリティ上の脅威
- 課題: 攻撃者の手口は絶えず進化しているため、巧妙化するサイバー攻撃への対策や、従来のセキュリティ対策を迂回する持続的標的型攻撃 (APT 攻撃) への対策が求められます。
- 解決策: AI による行動分析など、高度な脅威検知や対応メカニズムを含む多層セキュリティのアプローチを採用して、脅威をリアルタイムに特定して軽減します。新種のサイバー攻撃に対応できるよう、インシデント対応と障害復旧計画を定期的に見直します。
規制基準の進化
- 課題: PCI DSS や関連する規制要件は常に進化を続けており、それらの準拠を維持することが継続的な課題となる可能性があります。
- 解決策: 規制準拠のモニタリングプログラムを設け、規制準拠の自動追跡・報告ツールを使用します。業界の会合や連携に積極的に参加して、新しい標準に後れを取らないようにするとともに、自社の規制準拠戦略にベストプラクティスを取り入れます。
データの品質と一貫性
Stripe の活用方法
Stripe の活用により、企業は PCI DSS 準拠の負担を軽減できます。Stripe を通じて決済を処理することで、企業は機密性の高いカードデータを直接取り扱う必要がなくなり、規制準拠の責任範囲を縮小できます。Stripe は PCI 準拠の最高レベルである PCI サービスプロバイダーレベル 1 に認定されており、カードデータに関するセキュリティ業務のほぼすべてに対応します。Stripe の機能を以下にご紹介します。企業がこれらの機能を利用することで、PCI 準拠を維持しながら、カード保有者データのセキュリティを確保できます。
トークン化: Stripe のトークン化サービスは、機密性の高いカード詳細を一意の識別子 (トークン) に置き換えるものです。この機能により、カード詳細を安全に保管し、非公開のまま取引に使用できます。
E2EE: Stripe は、取得時点からセキュリティ保護された環境で処理されるまで、機密性の高いデータをすべて暗号化します。このようなエンドツーエンドの暗号化により、データが送信中に傍受されるリスクを最小化できます。
拡張性: Stripe のインフラが構築されているクラウドプラットフォームは、パフォーマンスを損なうことなく大量の取引を処理できるように設計されています。企業は規制準拠やセキュリティ基準の維持に関して不安を抱くことなく、事業を拡大できます。
最新のシステムやレガシーシステムとの連携: Stripe は広範なアプリケーションプログラミングインターフェイス (API) サポートを提供しており、最新のシステムやレガシーシステムと簡単に連携できます。この柔軟性により、企業は既存システムを大幅に見直す必要なく、自社の決済処理を最新化できます。
継続的なモニタリングと更新: Stripe はシステムの脅威を継続的にモニタリングし、セキュリティ対策を定期的に更新して新たな脆弱性に対処しています。たとえば、不正取引を検知・防止する機械学習アルゴリズムなどのセキュリティ機能を備えています。
世界規模の規制準拠: Stripe は世界規模で事業を展開しており、国・地域をまたがるデータレジリエンスや地域の規制準拠の複雑さへの対処をサポートします。
データガバナンス: Stripe のインフラはデータの完全性と一貫性をサポートします。
安全なカード保管、データ暗号化、規制準拠、拡張性に関する責任のほとんどを Stripe に任せることができるため、企業は中核業務に多くの時間を費やすことができます。Stripe のセキュリティ基準について、詳細をご覧ください。