2022年4月15日8:30

2022年3月現在、ルミーズはPCI P2PEソリューション認定を4サービス、PCI P2PEコンポーネント認定を2サービスで取得している。同社では、“Payment SIer”として、P2PE認定実績は国内№1となっており、認定支援のサービスも提供しているそうだ。同分野に詳しい、ルミーズ 開発部 部長 大池絢輔氏にPCI P2PEについて解説してもらった。(書籍「ペイメントビジネス・セキュリティ対策の仕組み」より)
※PCI P2PE はPCI Point-to-Point Encryptionの略

PCI DSSの監査項目はわずか33項目に

PCI P2PEは、決済端末で読み取ったカード情報を直ちに暗号化し、決済センターの復号化ポイントまで安全に保護するためのセキュリティ要件だ。拠点間として、暗号化ポイントと決済端末と復号化ポイントであるHSM(Hardware Security Module)の間でカード情報を安全にやり取りするための要件となる。暗号化として、DUKPTの技術が使われており、トランザクションごとに異なるワンタイムの暗号鍵を使って、暗号化、復号化を行う方式となる。一般的な暗号化はあらかじめ決済端末とHSMが共通の秘密鍵を持たせて、同じ鍵で暗号化と復号化を行う。そのため、鍵情報が漏洩すると、芋づる式にすべての情報が筒抜けになってしまうが、DUKPTでは鍵情報が仮に盗まれたとしても復号化できる情報は1トランザクションのみとなるセキュアな方式となる。

ルミーズ 開発部 部長 大池絢輔氏

カード情報の非保持化のための接続方式として、クレジット取引セキュリティ対策協議会の「クレジットカード・セキュリティガイドライン」では、「外回り方式」「内回り方式」の二方式が提示されている。外回り方式では、加盟店のシステムと連動しない独立した端末で決済をする方式となる。特徴として、カード情報が加盟店のサーバやネットワークなどのシステムを通過しない代わりに、既存業務フローやシステムフローに大きな変更が必要となる場合もあるという。対して、内回り方式は、暗号化したカード情報が加盟店のシステム内を通過する方式となる。特徴として、決済機能を独立させることが難しい場合でも既存業務フローをほぼそのまま維持でき、システムフローも小幅な変更で済む。ただし、加盟店のシステム内をカード情報が通過するため、11項目のセキュリティ要件を満たす必要がある。PCI P2PE認定ソリューションを導入すれば、11項目が不要となる。

加盟店がPCI DSSを取得する場合、通常の監査項目は400項目の要件を満たす必要があるが、PCI P2PEの「SAQ P2PE」適用で監査項目はわずか33項目に押さえることができるという。

PCI P2PE v3.1の要件に関しては、ドメイン1~5に加え、追加要件のANNEXがある。主に鍵管理や端末管理に焦点が当てられている。必ずしも全てのドメインを満たす必要はなく、ソリューションによって不要なものもある。ドメイン2では、端末内での暗号化をする前の、平文でのカード情報へのアクセスがあるドメインになるが、端末によってはファームウェアのみで動いたり、アプリを載せられない端末はPCI PTSの要件でカバーできるため、端末によっては対象外になる。ただ、暗号化、復号化環境、暗号鍵といったデータ保護に関連した要件は対応が不可欠になる。

全体の約7割が鍵管理関連の要件

このコンテンツは会員限定(有料)となっております。続きを読むには「Paymentnavi Pro 2022」のお申し込みが必要となります。
詳細はこちらのページからご覧下さい。

すでにユーザー登録をされている方はログインをしてください。

関連記事

ペイメントニュース最新情報

トッパンの決済ソリューションをご紹介(凸版印刷)
決済シーンにdelight(ワクワク感)を!PCI P2PE 認定国内実績 No.1の「確かな信頼」を提供します(ルミーズ)

国内最大級のクレジットカード情報データベース(アイティーナビ)

現金とキャッシュレスの売上をリアルタイムに確認可能なIoTプラットフォーム「IoT Cube」/Pay BOX(飛天ジャパン)

スマホ会員証でポイントサービス。今イチオシの「VALUE GATE」(トリニティ)

不正決済対策の本質と弊社のサービス提供スタンス(スクデット)

Spayd スマートフォン、タブレットがクレジット決済端末に!(ネットムーブ)

40ブランドに対応するキャッシュレス決済ゲートウェイ事業のほか、ハウスプリペイドやクラウドPOSなどのマーケティングソリューションを提供する情報プロセシングカンパニーです。(トランザクション・メディア・ネットワークス)

DNPキャッシュレス 決済プラットフォームをご紹介(大日本印刷)

決済業界において30年以上の歴史を誇るシステムベンダー。ブランドプリペイド/デビット、クレジットの基幹プラットフォームをはじめ、幅広いサービスラインナップを用意。(エクサ)
EMVCoや国際カードブランドから認定を受けた試験機関(テュフズードジャパン)

ネットビジネスを始めた方が選ぶ「おすすめしたい」決済代行サービス部門No.1。クレジットカード決済が初めての方も切り替えの方も、事業者様のニーズに合わせて最適な決済方法をご提案します。(ゼウス)

Global Payment Technology Solutions(インコム・ジャパン)

国内最大級の導入実績を誇る決済代行事業者(GMOペイメントゲートウェイ)

非対面業界唯一!!カード会社とダイレクト接続により、安心・安全・スピーディーで質の高い決済インフラサービスを提供。Eコマースの健全な発展に貢献する決済代行事業者(ソニーペイメントサービス)

QRコードを活用したパスワードレスの認証方式で不正アクセスを未然に防止 セキュリティ課題を解決する認証サービス「認証BANK QR Auth」(セイコーソリューションズ)
チャージバック保証、不正検知・認証システムなどクレジットカード不正対策ソリューションを提供(アクル)

カードシステムシェア70%の実績「NET+1」、不正検知システム国内導入実績NO,1「ACEPlus」(インテリジェントウェイブ)

PAGE TOP