カードセキュリティ最新情報, カードセキュリティPCI DSS, トップページ用注目ニュース, ペイメントニュース, ペイメント新着情報

トークナイゼーション技術をSaaS形式で提供（リンク）

2014年11月19日8:00トークナイゼーション技術をSaaS形式で提供PCI DSSの対象範囲を狭め、準拠コストを削減可能

リンクは、日本セーフネットのトークナイゼーション技術をSaaS（Software as a Service）形式で提供するサービス「Cloud Token for Payment Card（クラウドトークンフォーペイメントカード）」として年内（予定）にサービス提供を開始する。導入企業は、クレジットカード番号をトークンに置き換えることで、システム投資を抑えて、PCI DSSへの準拠が可能になるそうだ。

カード番号の安全な管理に有効なトークナイゼーション
SaaS形式の提供で導入コストを削減可能

リンクでは、PCI DSSに対応したクラウドサービス「PCI DSS Ready Cloud」を2013年5月から展開している。PCI DSSへの準拠を容易にするPaaS（Platform as a Service）形式のサービスであることが特徴だ。

「PCI DSS Ready Cloud」は、PCI DSSの準拠を目指す数十社から引き合いがあったが、「会社の規模が大きければ大きいほど、クラウド上に自社のサービスを置くのが難しい状況でした。また、クレジットカード番号などのカード会員情報をランダムに置き換える技術としてトークナイゼーションが有効であることに着目し、今回日本セーフネット様と協力してサービスを開発しました」と、リンクセキュリティプラットフォーム事業部事業部長滝村享嗣氏は説明する。

例えば、カード会社では、さまざまな部署でカード番号をキーとした管理を行っている。大手カード会社がカード情報を取り扱うすべてのシステムでPCI DSSに準拠するのは膨大なコストとシステム開発が伴うが、その課題の解決に向け、クラウド上でサービスを展開できる仕組みとして「Cloud Token for Payment Card」を提供することになったそうだ。

「Cloud Token for Payment Card」は、PCI DSSに準拠している「PCI DSS Ready Cloud」内のシステムに、日本セーフネットのトークナイゼーション技術である「SafeNet Tokenization Manager（トークナイゼーションマネージャー）」を組み込み、SaaS形式のサービスとして提供する国内初のサービスとなる。日本セーフネットサービスプロバイダ営業部部長　亀田治伸氏は、「トークナイゼーションをサービス型にして、決済の互換サービスまで合わせてご提供することで、決済を提供する企業はPCI DSSの対象範囲を狭め、準拠コストを抑えることが可能です」とサービスの特長を述べる。

カード番号はトークン化により別の文字列で管理
Visaサイバーソース等で採用が進むセーフネットのクレジットカードセキュリティアプライアンス

ユーザー企業は、トークン化されたデータをクラウド上で受け取り、カード番号は別の文字列で管理するため、自社サーバ内にカード情報を「保管」する必要がなくなるそうだ。具体的には、前6桁、後ろ4桁の数字を残して、カード番号はトークン化される。

左からリンクセキュリティプラットフォーム事業部事業部長滝村享嗣氏、日本セーフネットサービスプロバイダ営業部部長　亀田治伸氏

導入企業はモジュールを自社のアプリケーションに組み込み、保有しているクレジットカード番号をリンクのクラウドサービスに送ることで、トークン化された数値を受け取るという。これにより、データベースを暗号化したり、暗号キーを分解する必要がなくなるなど、「既存システムの改修がなくなることで、システム投資コストを抑えることが可能です」と滝村氏は自信を見せる。

「PCI DSS Ready Cloud」以外にもクラウド上でPCI DSSの準拠が可能なサービスを展開する企業もあるが、「コスト面の優位性に加え、リンクのセンターはPCI DSSの全項目でAOCを出していることも差別化のポイントです」と滝村氏。

ただし、クレジットカード番号の「保管」はなくなるが、同サービスと実際のカード会員データをやりとりする「伝送」や「処理」は必要となるため、導入企業のPCI DSS準拠は必要となるそうだ。

なお、すでにセーフネットのトークナイゼーション技術は日本の大手ポイント事業者やEC事業者などで採用されている。また、Visaの傘下となるサイバーソースでも採用されており、今後もイシュア（カード発行会社）を中心にトークナイゼーションの導入は進むと見ている。さらに、2015年の個人情報保護法の改定、マイナンバー制度（社会保障・税番号制度）など、決済以外の業界でもトークナイゼーションの活用は広がると期待する。