カードNavi, カードセキュリティ最新情報, カードセキュリティPCI DSS, カード新着情報, トップページ用注目ニュース, ペイメントニュース, ペイメント新着情報

EMV、HCE等のモバイルペイメント、mPOSを保護するタレスのHSM（上）

2015年3月3日5:00タレスジャパン株式会社EMV、HCE等のモバイルペイメント、mPOSを保護するタレスのHSM最新の決済トレンドにも対応できる強固なセキュリティを実装

タレスは、決済に関わるセキュリティについて40年以上の歴史があり、世界の80％の決済トランザクション処理に絡んでいる。EMV、HCE等のモバイル決済、mPOSといった最新のテクノロジにおいてもデータ保護を進めており、決済用HSM（ハードウェア・セキュリティ・モジュール：Hardware Security Module）「payShield 9000」の役割は年々高まっているという。

決済用HSMとして、「payShield 9000」を提供
「FIPS140-2」、「Common Criteria」、「PCI HSM」に準拠

タレスは、決済用HSMとして、「payShield 9000」という決済に特化した製品を提供している。同社では、90年代からクレジットカードのIC化に向けたテクノロジを提供しており、国内でも2000年初頭にVisaやMasterCardと協力し、発行の支援を最初に行った。通常の決済トランザクションやカード発行に加え、モバイル決済の環境など、新たなテクノロジにも追従して機能を追加している。また、暗号モジュールのセキュリティ要件を定義する米国連邦情報規格「FIPS140-2」、情報システムのセキュリティ評価基準を定めた国際標準「Common Criteria」、ペイメントカードの国際セキュリティ基準「PCI DSS」を運営するPCI SSCが定義したHSMのセキュリティ基準「PCI HSM」に準拠している。

グローバルな決済のスキームはすでに確立されていて、従来のカードからモバイルにシフトしても基本的に同じ形態が用いられている。日本はユニークな決済環境が立ち上がっており、現状は海外で発行されたカードが利用できない場合もあるが、2020年の東京五輪に向け改善される可能性が高く、よりタレスの役割が高まると予想される。

カード情報を如何に守るのかというのは、「PCI DSS」の中で特に優先順位が高い項目となっているのは、最新のVersion 3.0では、会員情報を保護する要件3.6で、HSMが初めて文言として登場した。タレスジャパン e-セキュリティ事業部シニア・プロダクトマネージャーシンドウジロウ氏は、「これまで、暗号鍵の管理でHSMが利用され、有効であるという事例が認められた結果でもあると思います」と口にする。

一気通貫で暗号化するP2PEの実装にHSMは有効
トークナイゼーションを提供するBell IDが採用

2013年の暮れ、米国の流通大手のターゲットがPOSにマルウェアを仕込まれてカード会員情報が漏えいする大規模な事件が発生した。米国において、ターゲットなどの大手流通加盟店が犯罪者のターゲットとなっているのは、センター側の環境はプロテクトされているが、加盟店の環境としてPOSのシステムは守られていないからだという。その対策としてPCI SSCでは、POSやECサイトのシステム全体にクレジットカード番号が入ってきた瞬間にデータベースに保存するまで、一気通貫で暗号化する技術「PCI Point-to-Point Encryption（P2PE）」を推奨している。

タレスジャパン e-セキュリティ事業部シニア・プロダクトマネージャーシンドウジロウ氏

「PCI DSSにおいて、暗号化されているデータはスコープ外だが条件があり、暗号化された会員情報が複合化されない、すなわち暗号を複合するためのマスターキーを保有していないことが求められます。加盟店にとってP2PEは実装が難しいですが、PCI DSSでスコープ外にするのは、会員データが暗号化されており、それを解かれることがないということをQSAに証明することが重要ですが、その対策にHSMは有効です」（シンドウ氏）

また、Apple Payで採用されているトークナイゼーション技術にも注目が集まっている。カード番号がトークンという形で別のデータ置き換わっていれば、PCI DSSのスコープから外すことが可能だ。トークナイゼーションは、モバイルを活用した決済には特に有効であり、EMVチップをサポートするプロセスとして活用できる。すでにトークンマネージャーを提供するオランダのBell IDでは、カードやモバイルのEMVチップの発行プロセスにおいて、タレスのHSMが利用されている。

「決済環境の中でトークナイゼーションの意味合いが2つあり、EMVチップに対するトークン化した情報をEMVに入れ込むことと、PCI DSSのスコープの範囲を軽減するメリットがあります」（シンドウ氏）

タレスでは将来的にトークナイゼーションもPCI DSSのように標準化されると予想しており、「スタンダード化されるトークンの機能をタレスのHSMに盛り込んでいきたい」としている。

⇒⇒後編へ続く

お問い合わせ先