2015年8月7日8:00
■ロイヤルゲート
ハイセキュリティのスマホ決済サービスを目指す「PAYGATE」の取り組み
PCI DSS準拠DUKPT完全対応のスマホ決済プラットフォームの強みとは？
端末は一台一台IPEKをインジェクションして加盟店に送付
アプリケーションや端末までスコープの対象範囲を広げてPCI DSS準拠
PAYGATEは、弊社が独自開発しましたが、アセンブルは中国で行っており、生産された際、中国ではIPEK（初期キー）はインジェクションしていません。輸入して札幌のマルチメディアセンターですべてのデバイスを管理しております。加盟店から申し込みがあり、加盟店番号がカード会社から送られて、その後に一台一台インジェクションして加盟店に端末が届けられます。そもそもIPEKの生成作業を弊社がゼロから作るのは大変手間とコストがかかるため、ThalesのHSMを使用してBDK（Base Derivation key）が設定されればIPEKが自動生成されます。それをすべてセキュリティルーム内で管理して、端末にインジェクションすれば、ANSI 9.24のロジック通りに100万回スワイプしても100万回毎回違う鍵が生成されます。また、HSM側では毎回きちんと鍵を生成して複合するため、安心な決済が実現します。Thalesは全世界の8割の決済を保護していますが、弊社は2年前に世界で初めてモバイル決済分野でDUKPTの完全実装をさせていただいた企業となりました。
ThalesのHSMは、ハードウェア自体を変更しなくてもライセンスを変更するだけでスケーラビリティがあるため、非常にいいパフォーマンスを感じています。
具体的なサービスの仕組みとして、デバイスと決済センターがあり、その間にミドルウェア的なアプリケーションがあります。アプリ間連携方式では、加盟店やPOSベンダーが使っているアプリ内をカード番号が通りませんので、加盟店はPCI DSSのスコープを考えずに連携することができ、PCI DSS準拠や維持コストを軽減できます。また、SDKを公開してアプリの中に組み込んでもらうことも可能です。
加盟店にとっては、社内のセキュリティ体制やドキュメントの整備などから排除されるため、保険会社の契約のシミュレーションに加え、運送会社、タクシー、デリバリーといった業種などで採用が決定したり、検討されています。
HSM以外はパブリッククラウド上で運用
2016年度にはグローバルでサービス展開へ
また、サーバ側のハイブリッドエコシステムとして、HSM以外はパブリッククラウド上で運用しています。PCI DSS Version4.0の準拠の際は、Azure側では対応しなくて済むような内容まで意識して、過剰な投資を行っていましたが、パブリッククラウドでも十分に対応できること分かりました。日本では、東西のデータセンターを使って冗長化を図り、都内にあるデータセンターにHSMをオンプレミス環境で運営しています。たとえば、アジアで展開する際は、シンガポールや香港のデータセンターを冗長化して、データセンター内にHSMを設置すれば運営が可能です。2016年度にはグローバルに向けてサービスが展開できるようにシステムを拡張しています。
今後は、ウェアラブルデバイスとそれを活用したモバイル決済も数多く登場すると考えられますが、決済を行う加盟店側の環境に依存すると思われます。もちろんアプリケーションレベルで作るのは簡単ですが、GPSの位置情報に加え、NFCやiBeaconは可能性があると考えています。弊社の仕組みはアプリケーション間で連携することもできますし、SDKを使って独自のアプリケーションを作りこんでいただくことも可能です。
また、クレジットカード決済のセンターとしては、GMOフィナンシャルゲート（旧シー・オー・シー）と接続しており、電子マネーはトランザクションメディアネットワークスのシンクライアント型決済サービスと連携する予定です。さらに、アクワイアラはトヨタファイナンスやクレディセゾン、三井住友カードといった会社と連携しています。今後もハードウェアとプラットフォームとしてご活用いただけるケースがあれば、ぜひ新しい取り組みとしてお声掛けいただければと考えています。
※本記事は2015年3月12日に開催された「ペイメントカード・セキュリティフォーラム2015」のロイヤルゲート 代表取締役CEO 梅村圭司氏の講演をベースに加筆を加え、紹介しています。
