2017年6月1日8:34
■日本ヒューレット・パッカード株式会社
世界をリードする組織は、物理的な店舗、モバイルアプリケーションやオンライン決済に対して、HPE（Hewlett Packard Enterprise）DataSecurityの先進的なステートレス・トークナイゼーションや高い拡張性を持つポイントツーポイントの暗号化といった技術革新の導入を示し、これによって業務提供中において攻撃者からの攻撃を阻止し、かつPCIDSSのコンプライアンスへ準拠する費用についても70％を超えて費用を削減することができることを証明しています。今回は、その事例を紹介します。
データ保護の確実性を向上する “データ中心型”セキュリティ
エコシステムは必ず攻撃にさらされているという仮説に基づく
HPEからは、PCI DSSに準拠し、サイバー攻撃への対策を提供しながらPCI審査範囲の大幅な削減に成功した、世界的な成功事例の話を紹介します。
Hewlett Packard Enterpriseの中にあるデータセキュリティ部門は世界中の機密性のある情報を守るためのソリューション技術を有しています。小売業の最大手をはじめ、カード加盟店開拓を行うアクワイアラ上位10社中9社、米国の大手銀行、そして、機密情報を扱う多くの組織など、決済業界で数多く採用されています。
サイバー攻撃のリスクとして、情報公開されている大規模なデータ漏えいを分析しているVerizon Enterpriseの分析では、ハッキングやマルウェアが主な懸念となっています。PCI DSSなどのコンプライアンスで求められる規則や法律への遵守だけではセキュリティは不十分であり、いまだ多くの情報漏えいはハッキングやマルウェアによってもたらされています。
高度なマルウェアでは、特定ビジネスにターゲットを絞ったかたちでデータを盗み出す手法があります。また、マルウェアをシステムの中に埋め込んでしまい、そのシステムを操作して、そこから情報を盗む「コマンド＆コントロール」、さらには、RAM内からデータを収集して窃盗する「RAMスクレーパー」という手法もあります。2017年3月の結果として、組織内では保守システムに対する侵入、WEB環境に対する攻撃が多く、また、どのような環境でも決済データを扱うものが漏えいの主なポイントになっています。
米国のように、多くの企業がPCI DSSに準拠している国であっても、データ漏えいが起こっているように、たとえコンプライアンスが徹底されていても、高度な脅威に対して対抗できるだけのセキュリティにはなっていないケースがあるのです。したがって、私どもはPCI DSSを考える場合でも、盗まれる可能性のあるデータを減らしていく、マルウェアに狙われるデータをどう保護し、削減していくのかも考えていかなければなりません。
特に決済業に関しては、ソリューションでセキュリティを確保する必要があります。非常に多様な決済環境、ある意味では複雑化している環境の中で、典型的なクレジットカード決済情報を得る環境としてPOS端末があります。決済エコシステムの中には、POS環境のほか、モバイル環境、ECサイト上のショッピングカートなどもあります。このような環境でお客様から決済情報が提供されると、エコシステム上の加盟店あるいは決済事業者によって、バックエンドシステムで処理が行われ、それぞれがデータのライフサイクルでデータ漏えいの可能性を持つことになります。
そこで、そういったセンシティブなデータに対してのリスクを減らし、無害化するソリューションは必須です。HPEのデータセキュリティに関するソリューションは、これらのエコシステムは必ず攻撃に晒されているという事実に基づいています。データを無害化することにより、万が一攻撃があった場合でも、攻撃者にとって意味がないもの、価値の無いものにするのです。HPEがほぼ10年前に作ったテクノロジは、現在標準化したものとして認識されています。これが、NIST SP800-38Gで標準化され、単体でFIPS140-2 レベル1の認証済みの実装であるHPE FPE（フォーマット・プリザービング・エンクリプション） 、AES FF1です。
フォーマット・データベースの構造を壊さずにデータ保護を実現するFPE
「SecureData 製品群」、「SecureData Payments」でカード情報を暗号化・トークン化
銀行口座の番号あるいはデータのレコードを従来の暗号化アルゴリズム、例えば強力なAES-CBCなどで暗号化すると、データは強く保護されますが、アプリケーションで扱うデータのフォーマットあるいはデータベースのスキーマ構造を変更する必要が生じます。さらにそのデータ全体を復号化しなければ部分的なフィールドデータを使うことはできません。これにより、データ利用において複雑さが生じてしまいます。フィールドあるいは各レコードのデータレベル暗号化における従来のアプローチは複雑化する傾向にありますが、FPEの場合は、フィールドレベルのデータを保護した上で元のフォーマットを維持しながら入力データと同じサイズの擬似データを生成するため、フォーマットあるいは構造を変える必要が削減されます。これが決済のエコシステムの中でどういう意味を持つかというと、既存のテクノロジでは暗号化のアルゴリズムを改造して、既存の決済のフローに入れなければならず、それは困難と言えます。何千という加盟店には、それぞれ異なるデータフローがあるからです。たとえば磁気ストライプやICチップデータであれ、EMVのトランザクションデータにしても、クレジットカードから出てくるのはセンシティブな個人情報です。例えば、サービスコード（CBP）、これは磁気ストラップからくるエンボスストライプなどです。従来の暗号化では、これらの攻撃者が盗みたいと考えている価値のある情報について、偽装コードなどを作ります。
これら従来の暗号化では、暗号化の際にトラック構造を壊し、大きな問題を引き起こします。しかし、HPE のFPE（AES FF1）を適用すると全く違うものとなります。ここではデータを暗号化し、全てのトラックを暗号化し、かつ細かい構造を持つEMVデータのトラックなどを維持することができるのです。もし、これが盗まれたとしても、攻撃者はそこに価値を見いだすことはできません。ただし、キャッシュレジスターから決済スイッチのITシステム、決済ゲートウェイ、そしてアクワイアラのシステムまで端から端までを保護する形態で変更を加えることなく、決済アプリケーションや加盟店に対しての影響を最小化することができればリスクは少なくなります。これを実現するシステムとして「SecureData 製品群」および「SecureData Payments」 という製品があります。この製品を使うと、店舗でPOS端末を使用し、決済情報を取得した際に暗号化を行います。この取得した暗号化データをバックエンドプロセシングのシステムに至るまで復号化をせずに情報を保護します。データはバックエンドで復号化した後にトークン化することで中間システム上において一切の決済情報を保持しないP2PEを実現します。
PCI DSS準拠の審査範囲を大幅に削減
審査範囲に含まれるトークンボルトやデータベースを一切使わずにトークン化を実現
加盟店の視点からは、このテクノロジを「Point to Point」の暗号化で使う場合、お客様のPCI DSSの審査範囲を大幅に減らすことができます。全ての状況でデータを暗号化しなければいけない場合、従来型のテクノロジDUKPTではあらかじめ鍵をPOS端末のデバイスに対して挿入し、その鍵を使って暗号化したり鍵をロールオーバーさせたり、他のシステムと同期させたうえで復号化する工程を取らなければならず、それは非常に複雑で、導入して維持するためには高い費用がかかりました。HPEでは先駆者として、それらをなくすために「ステートレスな鍵管理」を開発しました。鍵をPOS端末へ挿入して、どこかに保管するのではなく、鍵を必要な時に随時生成するものです。これによって暗号化を劇的に単純化し、店舗からバックエンドまでの間で利用できるようになりました。
また、決済情報を復号化したあとはセキュア・ステートレス・トークナイゼーションという仕組みを使うことができます。PCI DSSの世界ではよく知られているものですが、審査範囲を大幅に削減することが可能です。従来の方法としては、「データベースルックアップ」あるいは「トークンボルト」と呼ばれるデータベースを必要とするトークンボルト方式がありました。しかしトークンボルトの問題は、処理する上で、性能的な拡張性あるいはパフォーマンスの問題が発生し、衝突や加盟店毎のトークン生成の難しさ、障害時のメンテナンス性や復旧の難しさ、データベースの導入や維持費用がありました。特に多くの加盟店がビックデータを活用するようなプロジェクトを検討しているような場合、より大規模なシステムを使いたい要求が高まる中でトークンボルトのパフォーマンスが大変低く、あるいは拡張が難しいという問題はより大きくなっていきます。トークンボルトを操作しようとし、そしてまたこれを各インスタンス間で同期させる場合には、複数のデータセンターがあると難易度がさらにあがります。
このために第一世代のソリューション、米国で使われていたトークンボルトのソリューションは現実的に維持が不可能になっています。そこでHPEでは、クレジットカード、また、それ以外のデータを、トークンボルトやデータベースを使わずにトークン化するものを開発しました。FPEを利用した場合においても、PCI DSSでは暗号化の制約があるため、FPEの暗号化より更にすすんだ乱数生成とマッピングのテクノロジを使います。擬似データを生成し、乱数トークンを使い、データベースを一切排除したため、パフォーマンスは非常に高くなります。分散化されたIBMのメインフレームや、HPのNonStopでオープンなシステムが使われている分散化された環境の中でも利用されています。また、審査範囲はバックエンドのプロセッサーでも実現できます。さらに加盟店がトークンを発行する負担を減らすこともできます。データベースやトークンボルトを使わなくて済むためです。クレジットカード会社、リテール、そしてプロセッサーなどでは、世界中でこのテクノロジを使うことによってPCI DSSの審査範囲削減が実現可能です。
※本記事は2017年3月22日に開催された「ペイメントカード・セキュリティフォーラム2017」のHewlett Packard Enterprise – DataSecurity部門 グローバルディレクター兼プロダクトマネジメント マーク・バウアー氏の講演をベースに加筆を加え、紹介しています。
■お問い合わせ先
日本ヒューレット・パッカード株式会社
エンタープライズ・セキュリティ・プロダクツ統括本部
問い合わせ：0120-961-673
https://saas.hpe.com/ja-jp/software/enterprise-security
https://saas.hpe.com/en-us/software/data-security-encryption
Email: HPEnterpriseSecurity-jpinfo@hp.com
