2019年5月17日8:00
タレスジャパン株式会社
「payShield」は業界をリードする決済HSM
こういう環境の中でThalesがお手伝いできることがあります。モバイルPOS（mPOS）とP2PEでは、従来は端末がシリアルで管理されていましたが、現在はモバイルデバイスを活用すると事前に信頼されていないデバイス、アプリケーション、ネットワークから支払いを受け付けなければいけません。ここでキーになるのがP2PE（Point-to-Point Encryption）です。カードを受け付けた環境からすべてを暗号化することで、ｍPOSでも安全に取引を管理できます。この中でのタレスの役割は、アクワイアラ側のDUKPT（Delivered Unique Key Per Transaction）のプロトコルでやり取りするときの暗号化、復号のやり取りをHSM（ハードウェア・セキュリティ・モジュール）で実行しています。HSMはPINを保護するときに使うとともに、P2PEにおいての決済データの暗号化、復号で用いられます。また、カード番号を保護するときにトークナイゼーションを提供しています。
カードの決済環境として、HSMをどこに導入しているかというと、販売店、アクワイアラ、プロセッサー、カードブランドのすべてで、PINのデータ、モバイルのプロビジョニング、カードデータの暗号化、復号を安全に行うためにお使いいただいています。特にmPOSでは、決済代行会社とカードリーダとの間で、暗号化をDUKPTで行う際、弊社のHSMである payShield（ペイシールド）で実行いただいています。
すでに国内では、以前からP2PEの仕組みを実装するため、モバイル決済サービスを提供するロイヤルゲート様にご利用いただいています。ロイヤルーゲート様では、読み取りの端末からセンターまでDUKPTで暗号化されています。
タレスがHSMを最初に提供したのは、1985年となりますが、当時はビザ（Visa）からの要請で流れてくるPINを保護する後ろ盾としてHSMを作り、決済関係の保護を実現しました。トランザクションの処理、カード発行、モバイルのカード決済、モバイルのプロビジョニングなどでセキュリティ確保の課題が起きた時はpayShieldを思い出していただければ幸いです。
VormetricでP2PEとトークナイゼーションを実現
トークナイゼーションはPCI DSSの準拠、決済代行会社などで使われている技術であり、複数の種類があります。単純にトークン化する、オリジナルのデータをトークンに置き換える、トークンからオリジナルのデータに戻すといったことが可能です。トークンデータベースに元データを暗号化して保存する場合、環境を分離することで、マッピングシステムだけ保護が必要となります。また、システムはトークンだけを取り扱うためPCI DSSのスコープ外となります。
トークナイゼーションには、ペイメントトークナイゼーションとセキュリティトークナイゼーションに分けられます。ペイメントトークナイゼーションは、カード会員番号（PAN）と同じフォーマットで、決済処理に利用することができます。EMVCoに登録されたトークン・サービス・プロバイダー（TSP）が認定されたトークンを発行し、販売店またはアクワイアラが決済処理の中で受け取ることができ、販売店/アクワイアラが決済処理でPANの代わりに直接利用できます。Apple Payでは登録したカード番号とは違う番号のトークンがあり、そのトークンを使って支払処理が行われています。
一方、セキュリティトークナイゼーションは、販売店やアクワイアラの内部だけで保護や決済処理に利用できる、PANに置き換わるトークンを発行します。PANの代わりに顧客の特定やサービスの提供のために使用できます。どこにでもPANを保存していると、セキュリティ的に問題がありますので、内部システムにはトークンとして保存しておき、アプリケーションからはトークンを利用するようにすれば、安全性を確保できます。タレスでは、セキュリティトークナイゼーションの製品として、Vormetric（ヴォーメトリック）を提供しています。トークナイゼーションは、P2PEと相性が良く、POSにカードのデータが残りませんので、誰がどういった決済を行ったのかがわかりません。決済手続きには暗号化されたデータで処理し、後の集計処理はPANではなくトークンを用いることで、決済データがいくらあり、どういうポイント情報を持っているかといった処理も問題なく行うことができます。これまでカード番号で行っていたことがトークンに置き換えることで、PCI DSSのスコープから外れます。タレスでは、P2PEとトークナイゼーションを一緒に提供できます。
このように、弊社ではHSMのpayShield、 トークナイゼーションのVormetricを中心に決済やカード情報の保護はもちろん、個人情報や機密情報を保護するサービスを提供しています。すでに決済関係の皆様にはタレスを知っていただいていますが、グローバルでは、航空宇宙、宇宙、交通システム、防衛、セキュリティなど、さまざまな事業を展開しています。
※本記事は2019年3月13日に開催された「ペイメントカード・セキュリティフォーラム2019」のタレスジャパン株式会社 eセキュリティ事業部 シニア テクニカル スペシャリスト 畑瀬宏一氏の講演をベースに加筆を加え、紹介しています。
お問い合わせ先
タレスジャパン株式会社
eセキュリティ事業部
〒107-0052・東京都港区赤坂2-17-7
赤坂溜池タワー8F
TEL03-6234-8180
URL：www.thalesesecurity.co.jp
Email：jpnsales@thalesesecurity.com
