商取引におけるデジタル・トランスフォーメーション ~事例から学ぶセキュリティとタレスのソリューション~(下)

2019年5月17日8:00

タレスジャパン株式会社

「payShield」は業界をリードする決済HSM

こういう環境の中でThalesがお手伝いできることがあります。モバイルPOS(mPOS)とP2PEでは、従来は端末がシリアルで管理されていましたが、現在はモバイルデバイスを活用すると事前に信頼されていないデバイス、アプリケーション、ネットワークから支払いを受け付けなければいけません。ここでキーになるのがP2PE(Point-to-Point Encryption)です。カードを受け付けた環境からすべてを暗号化することで、mPOSでも安全に取引を管理できます。この中でのタレスの役割は、アクワイアラ側のDUKPT(Delivered Unique Key Per Transaction)のプロトコルでやり取りするときの暗号化、復号のやり取りをHSM(ハードウェア・セキュリティ・モジュール)で実行しています。HSMはPINを保護するときに使うとともに、P2PEにおいての決済データの暗号化、復号で用いられます。また、カード番号を保護するときにトークナイゼーションを提供しています。

カードの決済環境として、HSMをどこに導入しているかというと、販売店、アクワイアラ、プロセッサー、カードブランドのすべてで、PINのデータ、モバイルのプロビジョニング、カードデータの暗号化、復号を安全に行うためにお使いいただいています。特にmPOSでは、決済代行会社とカードリーダとの間で、暗号化をDUKPTで行う際、弊社のHSMである payShield(ペイシールド)で実行いただいています。

すでに国内では、以前からP2PEの仕組みを実装するため、モバイル決済サービスを提供するロイヤルゲート様にご利用いただいています。ロイヤルーゲート様では、読み取りの端末からセンターまでDUKPTで暗号化されています。

タレスがHSMを最初に提供したのは、1985年となりますが、当時はビザ(Visa)からの要請で流れてくるPINを保護する後ろ盾としてHSMを作り、決済関係の保護を実現しました。トランザクションの処理、カード発行、モバイルのカード決済、モバイルのプロビジョニングなどでセキュリティ確保の課題が起きた時はpayShieldを思い出していただければ幸いです。

VormetricでP2PEとトークナイゼーションを実現

トークナイゼーションはPCI DSSの準拠、決済代行会社などで使われている技術であり、複数の種類があります。単純にトークン化する、オリジナルのデータをトークンに置き換える、トークンからオリジナルのデータに戻すといったことが可能です。トークンデータベースに元データを暗号化して保存する場合、環境を分離することで、マッピングシステムだけ保護が必要となります。また、システムはトークンだけを取り扱うためPCI DSSのスコープ外となります。

トークナイゼーションには、ペイメントトークナイゼーションとセキュリティトークナイゼーションに分けられます。ペイメントトークナイゼーションは、カード会員番号(PAN)と同じフォーマットで、決済処理に利用することができます。EMVCoに登録されたトークン・サービス・プロバイダー(TSP)が認定されたトークンを発行し、販売店またはアクワイアラが決済処理の中で受け取ることができ、販売店/アクワイアラが決済処理でPANの代わりに直接利用できます。Apple Payでは登録したカード番号とは違う番号のトークンがあり、そのトークンを使って支払処理が行われています。

一方、セキュリティトークナイゼーションは、販売店やアクワイアラの内部だけで保護や決済処理に利用できる、PANに置き換わるトークンを発行します。PANの代わりに顧客の特定やサービスの提供のために使用できます。どこにでもPANを保存していると、セキュリティ的に問題がありますので、内部システムにはトークンとして保存しておき、アプリケーションからはトークンを利用するようにすれば、安全性を確保できます。タレスでは、セキュリティトークナイゼーションの製品として、Vormetric(ヴォーメトリック)を提供しています。トークナイゼーションは、P2PEと相性が良く、POSにカードのデータが残りませんので、誰がどういった決済を行ったのかがわかりません。決済手続きには暗号化されたデータで処理し、後の集計処理はPANではなくトークンを用いることで、決済データがいくらあり、どういうポイント情報を持っているかといった処理も問題なく行うことができます。これまでカード番号で行っていたことがトークンに置き換えることで、PCI DSSのスコープから外れます。タレスでは、P2PEとトークナイゼーションを一緒に提供できます。

 

このように、弊社ではHSMのpayShield、 トークナイゼーションのVormetricを中心に決済やカード情報の保護はもちろん、個人情報や機密情報を保護するサービスを提供しています。すでに決済関係の皆様にはタレスを知っていただいていますが、グローバルでは、航空宇宙、宇宙、交通システム、防衛、セキュリティなど、さまざまな事業を展開しています。

▶▶前編へ戻る

※本記事は2019年3月13日に開催された「ペイメントカード・セキュリティフォーラム2019」のタレスジャパン株式会社 eセキュリティ事業部 シニア テクニカル スペシャリスト 畑瀬宏一氏の講演をベースに加筆を加え、紹介しています。

お問い合わせ先
タレスジャパン株式会社
eセキュリティ事業部
〒107-0052・東京都港区赤坂2-17-7thales
赤坂溜池タワー8F
TEL03-6234-8180
URL:www.thalesesecurity.co.jp
Email:jpnsales@thalesesecurity.com

関連記事

ペイメントニュース最新情報

指紋認証付クレジットカードやログイン時の本人確認など生体認証技術を使用するコンポーネントの機能、パフォーマンス、セキュリティー試験をお引き受けします。(FIME JAPAN)
モバイル決済端末(mPOS/SmartPOS)やQRコードリーダーをOEM/ODMでご提供します。お客様に代わってセキュリティ認定も取得可能です。(飛天ジャパン)

国内最大級のクレジットカード情報データベース(アイティーナビ)

PCI P2PE 認定国内実績 No.1!多様なチャネルに対応し決済の新たな未来を創 造します(ルミーズ)
QRコードを活用したパスワードレスの認証方式で不正アクセスを未然に防止 セキュリティ課題を解決する認証サービス「認証BANK QR Auth」(セイコーソリューションズ)
「法人カード調査部」法人カードのおすすめはこれだ!年会費無料・ポイント還元率・マイルなどタイプ別で厳選紹介(LITE)

ブランドプリペイド/デビット、クレジットの基幹プラットフォームを中心にご紹介、決済事業者様のデジタルトランスフォーメーションやFintechへの取り組みを強力にご支援します。(エクサ)

「ハウス電子マネー/ギフトカードサービス」のニュース、導入事例のご紹介(富士通Japan)

Spayd スマートフォン、タブレットがクレジット決済端末に!(ネットムーブ)

設立25年以上の実績を誇る決済サービスプロバイダ。クレジットカード決済をはじめ、対面・非対面問わず豊富な決済手段を取り揃え、ニーズに合わせて最適な決済方法をご提案します。(ゼウス)

オリジナルデザインで作れる、Amazonギフト券(トリニティ)

国内最大級の導入実績を誇る決済代行事業者(GMOペイメントゲートウェイ)

チャージバック保証、不正検知・認証システムなどクレジットカード不正対策ソリューションを提供(アクル)

国内ICカードシェアNo.1(大日本印刷)

シンクライアント型電子決済サービス(トランザクション・メディア・ネットワークス)

非対面業界唯一!!カード会社とダイレクト接続により、安心・安全・スピーディーで質の高い決済インフラサービスを提供。Eコマースの健全な発展に貢献する決済代行事業者(ソニーペイメントサービス)

不正決済対策の本質と弊社のサービス提供スタンス(スクデット)

世界最大のギフト・プリペイドサービス事業者(インコム・ジャパン)

カードシステムシェア70%の実績「NET+1」、不正検知システム国内導入実績NO,1「ACEPlus」(インテリジェントウェイブ)

PAGE TOP