【PR】PCI DSS準拠に向けたデータベースの保護にはトークナイゼーションが有効(キヤノンITS/ICMSソリューションズ)

2024年10月2日8:00

提供:キヤノンITソリューションズ株式会社
協力:ICMSソリューションズ株式会社

前回は、対応期限が2025年3月に迫っているPCIDSSv4.0.1について、特に暗号化要件である要件3.5.1.2に触れ、注意点や準拠のポイントを紹介した。

今回はより具体的に、データベースの暗号化における準拠方法について、キヤノンITSの吉川氏とICMSの荒井氏の対談から、具体的な準拠方法のヒントを探っていく。

キヤノンITS ITサービス事業企画部 吉川大亮氏

要件3.5.1.2の注意点や準拠のポイント
データベースのテーブル設計変更はハードル高い

吉川氏:現在、データベースのテーブル丸ごと暗号化でPCIDSSに準拠している企業は、どのようにして準拠しようとしているのでしょうか?

荒井氏:列レベル暗号を実装するか、または代替コントロールを検討しています。

ただ列レベル暗号をすればいいというわけではなく、ここでもユーザー単位のデータ参照権限制御がポイントです。たとえ、列レベル暗号を使用していても、データベースにアクセスできるすべてのユーザーがデータを参照できてしまうようでは準拠NGです。

列レベルの暗号化であれば新たなPCI DSS要件に準拠できるが、単純に列レベルの暗号化に変更すればいいとうわけではなさそうだ。データベースのアクセス権限設定などを見直す必要がありそうだ。

さらに、列レベルの暗号化で対応する際は既存システムへの影響が大きい場合が多いと吉川氏は話す。

吉川氏:これまでテーブルレベルで暗号化していたものを列レベルの暗号化に変更するには、まずはテーブル設計を見直す必要があります。これまでクレジットカード番号を登録していた列は、14〜16桁の数字が入るように設定されていることが多いです。使用する暗号化製品や暗号アルゴリズムにもよりますが、列レベルの暗号化に変更する場合、暗号化後のデータが登録できるように列の形式の変更が必要となることがあります。

また、パフォーマンスも考慮する必要があります。通常、列レベルの暗号化は、データベースレベルの暗号化よりもパフォーマンスが低下します。高速な暗号化変換が求められるシステムの場合、列レベルの暗号化では、パフォーマンス要件を満たせない可能性もあります。

データベースのテーブル設計を変更するのはハードルが高そうだ。

トークナイゼーションで監査スコープ縮小
CipherTrustは高速なトークン変換が可能に

それでは、他にどのような対応方法が考えられるか、吉川氏に聞いた。

吉川氏:当社では「トークナイゼーション」の活用を提案しています。トークナイゼーションはデータの桁数や形式を変更せずにデータを変換する機能です。変換後のデータはトークンと呼ばれます。これまで、トークナイゼーションはクレジットカード情報を非保持化する目的で広く利用されていました。経済産業省の発行する「クレジットカード・セキュリティガイドライン」には、トークンはクレジットカード情報とはみなさないという記載があります。そのため、PCI DSSの監査スコープを縮小化し、監査コストを抑えるというのが主な利用目的です。

荒井氏:当社のお客さまでも、トークナイゼーションにより監査スコープを縮小化している企業は多くいらっしゃいます。

トークナイゼーションによるPCI DSS監査スコープの縮小化については日本カード情報セキュリティ協議会のホームページでも紹介されているので、詳しくはそちらを参照してほしい。
<https://www.jcdsc.org/topics/vol02.php>

吉川氏:トークナイゼーションはクレジットカード情報の非保持化だけではなく、保持しているクレジットカード情報の保護にも利用してほしいと思います。というか、そちらが本来の利用方法なので。

今回のPCI DSS要件の改訂ではデータベースの暗号化方式に条件が付いた形ですが、トークナイゼーションならデータベースを暗号化しなくても要件に準拠できるようになります。データベースに登録するデータは、事前にトークンに変換しトークンをデータベースに登録すればいいのです。トークンはデータ形式や桁数は維持されるので、データベースのテーブル設計を見直す必要もありません。

荒井氏:なるほど。たしかにその方法であれば、データベースを暗号化していなくても準拠可能ですね。

監査では、すべてのクレジットカード情報がデータベースに登録される前に確実にトークンに変換されているかを確認することになると思います。

吉川氏:当社では取り扱っているCipherTrustはトークナイゼーションの機能もあります。PCI DSS準拠のためにデータベースの暗号化を検討されている方は、ぜひCipherTrustのトークナイゼーションも検討してほしいです。

吉川氏は、列レベルの暗号化の懸念点であったパフォーマンスについても触れた。

吉川氏:CipherTrustのトークナイゼーションは非常に高速なトークン変換が可能です。メーカーの公称値では1秒で30万件の変換が可能です。高速変換を実現する要因の一つが「ボルトレス」です。従来のトークナイゼーション製品は、変換前データとトークンを紐づけるトークンボルトと呼ばれるデータベースを用意し、トークンボルトを参照することでトークン変換する仕組みでした。ですが、この方式ではデータ量が増えるにつれ、データ検索のレスポンスが低下し、トークン変換に時間を要することになります。また、そもそもトークンボルトに変換前データ、つまり生のクレジットカード番号が残っていることになるので、トークンボルトデータベースの保護方法を考える必要が出てきます。ボルトレスのトークナイゼーションは従来のトークンボルトデータベースを必要としません。特殊な変換技術で変換しているので、データ量が増えても高速変換を維持することができます。

とはいえ、トークン変換のパフォーマンスは動作環境も大きく影響します。トークナイゼーションの導入を検討いただく際はPoCにて、トークナイゼーションの挙動やパフォーマンスを検証いただくことをおすすめします。

CipherTrustは3か月の無償トライアルを実施することも可能です。

CipherTrustについて興味のある方はまずは弊社サイトから資料ダウンロードください。

トークンはクレジットカード情報とみなさないと言われている通り、その安全性は折り紙付き。セキュリティ要件の改訂のたびに、暗号化方式やアクセス制御で右往左往するよりは、はじめから確実に堅牢な方式でクレジットカード情報を保護するという考え方も重要だろう。

次回は、ストレージの暗号化についても触れる。

■資料ダウンロード

■問い合わせ先
ciphersec@canon-its.co.jp

 

 

 

 

 

関連記事

ペイメントニュース最新情報

ポータブル決済端末、オールインワン決済端末、スマート決済端末、新しい決済端末3製品をリリースしました(飛天ジャパン)
「お金の流れを、もっと円(まる)く」決済ゲートウェイ事業のパイオニアとして、強固なシステムでキャッシュレス決済を次のステップへと推進します。(ネットスターズ)

国内最大級のクレジットカード情報データベース(アイティーナビ)

国内最大級の導入実績を誇る決済代行事業者(GMOペイメントゲートウェイ)

決済シーンにdelight(ワクワク感)を!PCI P2PE 認定国内実績 No.1の「確かな信頼」を提供します(ルミーズ)
電子マネー、クレジット、QR・バーコード、共通ポイントなど、多数のキャッシュレス決済サービスをワンストップで提供(トランザクション・メディア・ネットワークス)
決済領域を起点に多様なビジネスニーズに応える各種ソリューションを提供(インフキュリオン)
ReD ShieldやSift等の不正検知サービスを提供し、お客様の不正対策を支援(スクデット)
BtoCもBtoBも。クレジットカード決済を導入するならSBIグループのゼウスへ。豊富な実績と高セキュリティなシステムで貴社をサポートいたします。(ゼウス)
TOPPANの決済ソリューションをご紹介(TOPPANデジタル)
多様な業界のニーズに対応した、さまざまなキャッシュレス・決済関連サービスを提供する総合決済プロバイダー(DGフィナンシャルテクノロジー)
決済業務の完全自動化を実現する「Appian」とクレジット基幹プラットフォームを合わせてご紹介!(エクサ)
チャージバック保証、不正検知・認証システムなどクレジットカード不正対策ソリューションを提供(アクル)

非対面業界唯一!!カード会社とダイレクト接続により、安心・安全・スピーディーで質の高い決済インフラサービスを提供。Eコマースの健全な発展に貢献する決済代行事業者(ソニーペイメントサービス)

stera terminalでお店のポイントがつけられる「VALUE GATE」(トリニティ)

Spayd スマートフォン、タブレットがクレジット決済端末に!(ネットムーブ)

DNPキャッシュレス 決済プラットフォームをご紹介(大日本印刷)

PAGE TOP