2016年7月1日8:00
■日本ヒューレット・パッカード株式会社
トークンデータベースを持たずに管理することでコストや運用の課題を解決
Webブラウザ上でのPAN変換によるPCI DSSの監査コストの削減が可能
HPEでは、2015年にVoltageを買収し、「HPE SecureData – Secure Stateless Tokenization（SST）」という名称で展開してます。クレジットカード番号を「トークン情報」に変換し、そのトークン情報をお使いいただく機能自体は他のサービスと変わりません。
特徴として、「Stateless Token Vault技術」という、トークンデータベースを持たないで管理できる特殊な仕組みがあります。これまで運用も同期も大変だった「Token Vault」を持たないで対応できますので、導入費用や運用の課題を解決できます。また、拡張性や処理能力についてもすぐれた性能を発揮します。
さらに、HPの無停止サーバ「NonStop」やIBMの「Mainframe」といった、多様なプラットフォームに対応。そのほか、各種言語や、さまざまなクレジットカードリーダなどに対応でき、コストの削減効果が高いです。
SecureDataの端から端まで保護ができる例として、「Page-Integrated Encryption (PIE)機能」では、Webブラウザ上でのPANの変換が可能です。従来、受け手のサーバで何らかの処理を発生させなければいけませんが、ブラウザ側で全部処理をしてから送信することにより、サーバにPANの状態で受け取ることが可能です。これにより、ECサイトなどでは、受け口からコストを削減でき、監査コストを削減できます。
また、カードリーダーやモバイルなどのデバイスにも変換機能を組み込むことが可能です。SecureDataのSDKを活用してカードリーダーレベルでPAN変換を行うことで、末端ぎりぎりまでデータを保護することができます。
PCI DSSのスコープリダクションの効果として、米国のQSA（認定審査機関）であるCoalfire社で検査をしてもらった結果、十分な効果があるという証明を得ています。また、Secure Stateless TokenizationでのToken Vaultを持たないでやり取りする技術に関しては、ANSI（米国国家規格協会）のスタンダードを取得しています。
ほかには、SSTというトークナイゼーションの機能と、Format-Preserving Encryptionという、全く同じフォーマットを保ったまま、別の文字列に置き換えて暗号化をする技術が1つの製品に入っています。これを組み合わせて使っていただくことにより、単純にPANだけをトークン化するだけではなく、各種個人情報など重要なデータを、フォーマットを保ったまま変換をかけて保存してもらい、必要なシーンで使うことができるようになります。ここが非常に重要なポイントで、すべてフォーマットを保っていますので、従来の情報漏えい対策製品でも見つけられる状態ですべて保存できるのが新しい部分です。
最近では、クラウドと連携してトークン化、暗号化を行うケースが増えてきています。例えばAmazonのAWS（Amazon web services）を使っている場合、何か書き込むときには、構成上は各企業によっては変わってきますが、いちばん安全な方法として、クラウドで扱うデータをオンプレミスのSecureDataサーバで変換しリスクを最小化していただきます。クレジットカード情報に関してはトークナイゼーションで変換し、それ以外の情報として、例えば個人情報にあたるものや売上情報は変換をかけて保存します。分析については、必要に応じて複合しながら行っていただくことが可能です。
さらに、HadoopやTeraData、HPのVerticaなどの「DWH（データ・ウェア・ハウス）プラットフォーム」では、情報を収集する段階で個人情報に関するデータを暗号化により匿名化することで、自社・社外のDHWで「データを分析前に加工する」ことなく安全に分析ができます。従来は、重要な情報が入っていると、それを分析に使うのはハードルが高かったですが、初めから暗号化していただければ、パフォーマンスも落とさず、かつ安全性を保ったままご利用いただけます。
PCI DSS準拠への貢献とスコープの縮小で多くの実績を有する
日本では2015年12月から正式販売を開始
導入企業の例として、アメリカの決済業者の場合、もともとPCI DSSに準拠されていましたが、準拠後に情報漏えいを起こしてしまいました。その理由として、POS端末やネットワーク、データベース、各種OSなど、いろいろなところにPANが点在して残っていたため、どこかに穴があると攻撃されてしまいます。その対応として、入り口から全部変換をかけて、PANであればトークン化、他の情報であれば「Format-Preserving Encryption」で暗号化して保存する。端から端まで暗号化することで無害化し、安全な運用が可能になりました。
また、欧州の国際クレジットカードブランドのサービスでは、トークン化の技術自体は採用されていたのですが、システムの規模が大きいため、拡張性の部分で高コストになってしまう課題がありました。ヨーロッパにおいて、20億、30億ものカード処理に耐えられる仕組みを作るためにSecureDataを採用され、低コストでトークン化が行えるようになりました。
クレジットカード発行会社では、膨大なデータを多数のアプリで使っていましたが、3億件もの情報が点在していますので、管理が煩雑になっていました。また、各種分析も行われていますが、そのデータも把握できていませんでした。さらに、PCI DSSに完全準拠できておらず、監査コストも高額になっていましたが、SecureDataを採用され、トークン化技術により大半のシステムをPCI DSSの監査対象から外すことができました。
大手ECサイトでは、約100万件のカード決済情報を保持しており、各種Microsoft製品やデータベースが点在しているなかで、他社製品を検討されましたが、スコープリダクションは限定的で導入費用も高額のため、効果検証が表せなかったそうです。SecureDataでは、低コストで監査スコープを大幅削減でき、かつ導入も容易だったため、採用に至りました。
大手航空会社には、監査に失敗していたPCI DSSへの準拠、PCI/PII（Personal Identifiable Information）の情報漏えいリスクの低減を図る目的で採用されました。単一プラットフォームでPCIとPIIを保護し、導入も容易で監査スコープも大幅に削減できました。
決済処理業者には、クラウドの規模で対応できる、各データセンターをまたいでトークン化できる技術は他にないため採用され、簡単にソフトウェアベースで導入できる競合優位性のあるサービスの提供により、 売上と顧客満足度が向上しました。
このように2015年は、多くの企業で採用されました。また、トークン化はアメリカでも非常に広がっています。日本では2015年12月からSecureDataの正式販売を開始しましたが、多くの引き合いをいただいており、トークナイゼーションが普及する時代が来ると考えています。
SecureDataのアプライアンスは環境に合わせた柔軟な構成が可能
大規模環境は変換サーバの複数台構成で性能拡張が容易
SecureDataは、アプライアンス、ソフトウェアアプライアンスの製品となります。いわゆるCD/DVDのような形で提供しますので、VMwareのような仮想化もしくはハードウェアにインストールしていただいて、OS込みでお使いいただけます。アプリケーションライセンスは、SecureDataの機能によりデータが保護されるアプリケーションごとに必要となります。API/SDKライセンスは、x86系プラットフォームの場合、使用するAPIのライセンスが必要です。また、NonStop、IBM Mainframeなどの場合、各環境でSecureData機能を使うためのSDKを提供します。
例えば、顧客用のWeb申込みシステム、Web照会システムがあって、顧客管理システムの裏にあるようなシステムの場合、利用者が入力した情報はすぐに変換して、トークン化して保存します。また、利用者から照会があった場合には、データベースからトークンを取り出し、それを元に戻してトークン化して閲覧していただくような流れになっています。この場合、ソフトウェアアプリケーションを2台購入していただき、Web申込みシステム用のアプリケーション、照会システム用アプリケーション、顧客管理システム用のアプリケーションの3つをご購入いただければ対応できます。
大規模な企業の場合、変換サーバの複数台構成で容易に性能拡張が可能です。変換サーバの必要スペックは、8Core、8GB、100GBほどのサーバがあれば十分な処理が発揮できます。例えば、米国の大手通信事業者にはPCI DSS案件で導入されましたが、フロントは3台くらいで賄えているそうです。Stateless Key Management 技術により、巨大なデータベースを必要としないため、変換サーバは一般的なスペックのサーバを追加するだけで済みます。さらに、管理サーバのバックアップから容易にリストアでき、横展開も簡単に行えるシステムとなっています。
性能として、サーバのシステムに対して、クレジットカード番号の真ん中6桁だけ変換した場合、WebのAPIを使用すると、1秒間におおよそ8万から9万トランザクション、コマンドラインで実行しても3万程の性能が出ます。暗号化の場合は、何十万単位で処理が可能です。また、横展開の際も、大きな投資なくお使いいただけます。
HPEはセキュリティに非常に力を入れており、トークナイゼーションや暗号化に関しては、人員も増強して対応しています。また、国内では一部のパートナーと協力して展開していますが、ご協力いただける会社をさらに増やしていきたいと考えています。
※本記事は2016年3月12日に開催された「ペイメントカード・セキュリティフォーラム2016」の日本ヒューレット・パッカード エンタープライズ・セキュリティ・プロダクツ事業部 セキュリティ ソリューション コンサルタント 水野 令一氏の講演をベースに加筆を加え、紹介しています。
■お問い合わせ先
日本ヒューレット・パッカード株式会社
エンタープライズ・セキュリティ・プロダクツ統括本部
問い合わせ：0120-961-673
Email: HPEnterpriseSecurity-jpinfo@hp.com
