カードセキュリティ最新情報, カードセキュリティPCI DSS, トップページ用注目ニュース, ペイメントニュース, ペイメント新着情報

リンク、PCI DSS準拠におけるクラウド移行の最適解とは? ～「PCI DSS Ready Cloud」の実践事例をもとに～（後編）

2025年11月11日9:30

SIerとの連携によりクラウドへの移行をスムーズに進行

銀行などの金融事業者と商談を進めた場合、アプリケーション開発を担当するグループ企業と円滑に連携できるのかという懸念が発生しやすい。これに対しては「もちろん可能である」と回答しており、その点を詳しく説明したい。

顧客がグループ企業のSIer、すなわちIT専門企業と長年にわたって信頼関係を構築しており、そのSIerがオンプレミスの仕組みを全て構築しているというケースは非常に多い。そこで我々が、クラウド活用のメリットを丁寧に説明する。顧客、SIer、弊社の三者が協力して構築を進めるという方針を、初期段階でかなりの時間をかけて、そのメリットと各社の具体的な役割分担を提案する。オンプレミスからクラウドへ移行するプロジェクトについては2年ほど前から相談を受けることもあり、場合によっては半年程度かけて協力関係を構築していく。

最終的には、多くの場合SIerにはアプリケーション開発を委託し、クラウドサービスについては弊社がAWSなどのクラウドベンダーと連携して関係構築を進めていく形となる。初期段階で適切な役割分担を整理しているため、大きな問題は発生せずスムーズにプロジェクトは進行。スコープの定義も明確化され、顧客の満足度は高い。結果として、クラウドへの移行という顧客の課題を、事業投資額を最小限に抑えながら実現している。

多様な業種における多くの導入実績—わずか9カ月で目標を達成した事例も

いくつかの事例を紹介したい。

第一に銀行の事例である。琉球銀行ではコロナ禍以前から、銀聯のアクワイアリングシステムをAWS上で展開したいと考えていた。SIerとの関係を維持しつつクラウドに移行したい、スコープを小さくしてコストを最小限に抑え、長期間使用できるシステムを構築したいという要望があった。導入は成功し、その経験をセミナーで紹介するなど、このシステムの普及にも尽力いただいている。当初はクラウドへの慎重論もあったが、クラウドでシステムを実装するという頭取の強い信念もあり、良い結果に結び付いた事例である。

第二に大阪の流通系カード会社、JFRカード社の事例である。この案件で取り扱ったのはメインシステムではなく、マーケティング系のサブシステムである。メインシステムはオンプレミスをそのまま活用しながら、サブシステムはクラウドで運用したいという要望であった。インフラはAWSを使用したいとのことだったため、関連するノウハウを提供。クラウドサービスを活用して低コストで機能を実装する提案を行い、採用された事例となった。

もう一つ、ECサイトの承認率向上のためのサービスを提供するYTGATE社の事例がある。最近ECサイトで、今まで使用できたクレジットカードが突然決済できなくなったという経験をされた方もいるのではないだろうか。こうしたケースを極力減らすためのサービスを提供している。PCI DSS取得を目指し始めてから9カ月後に、AWS上でのサービス構築を完了し、PCI DSS準拠を実現した。

以前は8カ月でPCI DSS準拠を実現するケースもあった。しかし最近はPCI DSS要件が高度化しているため、9カ月間というのは我々のプロジェクトとしても相当早いペースである。また、スタートしたばかりの企業であるため、迅速かつ低コストで進めたいという要望があり、他社と比較した結果、弊社のサービスはコストを3分の1から4分の1に抑制できたという評価を得た。

マルチクラウドやオンプレとの組み合わせも可—フレキシブルにシステム構築をサポート

AWSと「PCI DSS Ready Cloud」を活用したネットワーク構成の例を紹介したい。

【図解説】一つ目の図は、AWSのEC2とRDSを使用してシステムを構築した場合である。黄色い部分が顧客のAWS環境を示している。AWSがPCI DSSに準拠しているため、顧客がデータベースに追加のパーツを導入する必要はない。ただしEC2についてはサーバも稼働しており、アンチウイルス、変更監視などの対応が必要となる。またインターネットからの脅威から保護するためにスキミング対策も必要であるため、我々からWAFのサービスを提供し、同時にスキミング対策のパッケージを搭載している。

AWSで不足する機能を補完する。加えて、我々のサービスを活用した方がコストを抑えつつ運用効率が向上する項目については、サービスを提供している。

【図解説】二つ目の図は、サーバレスの仕組みを使用した場合である。この場合、AWSのPCI DSS準拠の範囲がさらに拡大する。それに伴い、「PCI DSS Ready Cloud」が提供するサービスの範囲は縮小している。最近増加しているが、サーバレスで構築すると、データベース本体のサービスはPCI DSS準拠であり、さらにOSも存在しない環境であるため、セキュアである。我々はそれ以外で必要なパーツを提供している。

現時点では、この構成が最も低コストを実現できると考えている。相当規模の大きいシステムもこの構成で構築可能と考えている。ぜひ検討いただきたい。

我々は2013年から開始したクレジットカード・セキュリティに関するクラウドサービスを、現在約450社に提供している。この事業を通じて顧客から様々な情報を入手しており、また顧客に対して多様な情報を発信している。PCI DSS準拠に関する豊富な経験を有しているため、何か課題があれば気軽に問い合わせいただきたい。

ご清聴ありがとうございました。