2022年3月30日9:00
スマートフォンを決済端末に使用するサービスをAppleがリリースするなど、決済端末も新たな動きを見せている。そこで決済セキュリティに詳しいネットムーブ ペイメント事業部長 高田理己氏に、COTS（Commercial Off-The-Shelf）をはじめとしたセキュリティ動向の注目点について紹介してもらった。（書籍「ペイメントビジネス・セキュリティ対策の仕組み」より）
国内でAndroid端末のパイロットが進行
現状は早急な必要性は求められない？
最近の決済端末の動きでは、コロナ禍にあってタッチ決済のニーズが高まる中で国際ペイメントブランドがUX向上を意識して決済音を推奨する動きが出ているという。高田氏は「電子マネーの決済音はおなじみの状況ですが、クレカ決済においてもこうした動きが出てきています。元々、タッチ決済ではEMV規定のカード読み取り音を再生しますが、オーソリが成功したタイミングでブランド固有の音源を再生する要求が出てきています。これはタッチ決済だけではなく接触IC、磁気取引にも適用されます。弊社プロダクト『Spayd （スペイド）』もこれらの要求は取り入れていきたいと思います」と説明してくれた。
（リテールテックJAPAN2022のPAX Japanブースにて）
また、同社が提供するサービスでは「復号化APIサービス」および「キーローディングサービス」が、SB C&Sが提供する決済サービス「PayCAS（ペイキャス）」の新しいモバイル型オールインワン決済端末「PayCAS Mobile」で採用された。復号化APIサービスは、PCI DSS認定を受けたハードウェアセキュリティモジュール（HSM）を利用することで、決済鍵の配布から復号までを一貫して提供でき、決済事業者はセキュアにサービスを運営することが可能だ。また、キーローディングサービスは、決済端末を加盟店に配布するにあたって必要な決済鍵を、端末ごとにインジェクションするためのASPサービスだ。決済鍵はネットムーブから提供するHSMサーバよりリモート配布が可能なため、決済事業者は新たにHSMサーバの立ち上げ等の工数やコストをかけずに運用が開始できるサービスとなるそうだ。ネットムーブでもSB C&S同様に、PAX Computer Technology （ShenZhen） Co.,Ltd製決済端末「A920」（モバイル型）を「Spayd Terminal」として採用しているが、セキュアな鍵の暗号・復号化に加え、「アプリは自ら提供するなど、セキュアな運用を行います」（高田氏）という。
決済デバイス活用のCOTSには、SPoC（Software-Based PIN Entry on COTS）とCPoC（Contactless Payments on COTS）の2種類がある（参考記事）。SPoCは、SCRP（Secure Card Reader for PIN）でカード番号を読み取ってから、AndroidやiOSといったCOTSデバイス上でPIN入力させる仕組みだ。また、SCRP が不要なCPoCは、汎用機にアプリケーションをダウンロードすれば、専用デバイス不要で非接触決済を行うことができる。また、PCI SSCでは、SPoCとCPoCにも対応可能なMPoC（Mobile Payments on COTS）も新たに発表している。
国内でも複数の企業がCPoCの実証実験や開発をリリースするなど動きが加速している。それらの企業はAndroidで実験や開発を進めているが、「民生品は機種が多く、NFCのアンテナの位置がデバイスによってばらばらであるなど課題があります。また、PCIのレギュレーションでは、セキュリティの検査をしたうえでトランザクションを評価する設備が必要で、コストがかかります。今のところ、各ブランドはアクセプタンスをフルに出さずに、パイロットにとどまっています」と高田氏は話す。ネットムーブでは、「Spayd Lite」としてMiura Systemsの決済端末を利用したスマートフォン決済サービスを提供しているが、「現状はmPOSのコストが下がる中で、早急な必要性が求められていません」と高田氏は説明する。
