例えば、米国ではほとんどの州がプライバシーデータの漏えいに対する法律を施行している。2003年7月にカリフォルニア州がプライバシーデータの漏えいに関する法律（data breach notification laws）を施行して以来、その他45州が次々と同様の法律を施行している。この法律は、事業者が個人情報（PII : Personally Identifiable Information クレジットカード情報もこれに含まれる）を漏えいした場合、その被害者全員に漏えいした事実とともに、想定される被害やその被害から身を守る方法などの通知を、その事業者に対して義務化するものである。

　通知に要する費用が1件につき数ドルとしても、漏えいしたデータ件数が数百万件、数千万件という事件も既に発生している。これは、通知費用だけでも大きな損失になる。通知義務以外にも漏えいした情報がクレジットカード情報の場合には、クレジットカードが不正使用される可能性があり、最低でも1年間そのカードの利用状況を監視することを義務化する州法などもある。

　クレジット加盟店では、全ての購買動向などのモニタリングは不可能なことから、モニタリングは、カード会社に委託せざるを得ない。結局のところモニタリングの義務化もカード会社へのモニタリング委託料という金銭的損失につながるのである。

クレジットカード悪用に対する意識の差が見える米国以外の諸国

　さて米国以外での普及状況はというと、まだまだ緒に就いたばかりというのが実態である。米国と異なり、欧州の場合は1980年代からクレジットカードのICカード化が進んでいる。その効果でクレジットカードの不正使用に伴う被害金額が劇的に減少していることから、国民のクレジットカード不正使用に対する危機感は高くない。さらに、現在でもクレジットカードよりも現金決済の比率が相対的に高く、PCI DSSへの準拠の必要性がまだまだ認識されていないようである。

　一方、中国やインドでは、そのいずれもが国内最大手である中国銀行やインド銀行がPCI DSSへの準拠を終えたことで、下位の銀行が競うようにしてPCI DSSへの準拠に取り組んでいるのが現状である。日本を除くアジア諸国に共通しているのは、犯罪リスクに対する意識が高い点が挙げられる。従って、クレジットカード犯罪に対する意識も非常に高いことからPCI DSSへの準拠は当然のように受け入れられているようである。

カード会社から一般企業へとシフトが始まる日本

　日本国内では、2010年まではペイメントゲートウェイや決済代行会社が、顧客である加盟店を獲得するため、セキュリティの高さを売り物に率先してPCI DSSに準拠する傾向が顕著だった。そして三井住友カードが2010年、PCI DSSに2012年3月末までに完全準拠することを表明して以来、国内カード会社のPCI DSS準拠への取り組みが一斉にスタートした感がある。

　カード会社のシステムはいずれも大規模なものが多く、PCI DSS完全準拠には2～3年の準備期間が必要となる。だがカード会社がPCI DSS準拠を終えた際には、カード会社が加盟店に対してPCI DSS準拠を強く求めることが予想されることから、日本国内でもPCI DSSが幅広く普及するものと考えられる。

一般企業への応用

　情報漏えいに伴うコストが高騰している事情は、国内でも同様である。クレジットカード情報に限らず個人情報の類いを漏えいした場合の事態収拾に多額の費用を要した例も少なくない。従って、重要情報の漏えいを防止するという観点から一般企業でもPCI DSSを1つのベースラインセキュリティとして参考にすることは、非常に有意義である。ただし、その応用には注意すべき点がある。それは、PCI DSSが多層防御という考え方で構成されていることを理解して、応用を検討するということである。

多層防御の概念

　多層防御とは、ポリシーと発見的コントロール、防護コントロールという3つのレイヤー（層）で重要情報を守るという考え方である。ポリシーレイヤーは、「脆弱性検査を定期的に実施する」「OSのパッチ（修正プログラム）を90日以内に適用する」という決められたプロセスや手続きを確実に実施することでセキュリティを確保しようとする対策である。

　ファイアウォールを決められたルールに従って設定することなどが要求されるネットワークセキュリティも、このレイヤーに分類される。発見的コントロールレイヤーは、文字通り不正行為の発見機能を備えることでセキュリティを確保しようとする対策である。代表的な要求事項としては、ファイルの改ざん検知機能を実装することやアクセスログの保存がある。ログは、記録しているだけでは不正行為を発見することはできない。従ってPCI DSSでは、日次のログ分析を行って不正行為を検出することを求めている。

　防護コントロールレイヤーは、不正行為からデータを保護する対策である。アクセスコントロールなどがこのレイヤーに含まれる。従来の情報セキュリティ対策は、「情報漏えいを起こさないこと」が主流であった。しかし今後の主流は、データの暗号化など、データが漏えいしても「データ漏えいそのものを無害化する」データセキュリティ対策であり、PCI DSSでもデータベースの暗号化が要求されている。

　多層防御という考え方は、セキュリティを堅牢なものとすることは間違いない。一方で、それら全ての対策を実施しようとするとそれなりのコストを伴うことが難点であり、それが「PCI DSSは高くつく」と批判されるゆえんとなっている。

　QSA（Qualified Security Assessor：セキュリティ評価業者）としてPCI DSSのアセスメントやPCI DSSの準拠支援を行っているビジネスアシュアランスでは、今日までに10社以上の準拠事例を経験している。経験から得られた最大の教訓は、「あるがままで対応しようとしないこと」である。現状のあるがままのシステムをPCI DSSと照らして準拠のために必要な要件を書き出していくと、恐らくどのシステムも新たにセキュリティ対策のための多大な投資が必要となるはずだ。

　PCI DSSへの準拠を確実に低コストで実現する最大のポイントは、PCI DSSが対象としている「守るべき情報」、すなわちカード情報を扱うアプリケーションシステム（スコープ）をいかに減らせるかある。言い換えれば多層防御を必要とするカード情報が記録・処理される箇所をいかに局所化することができるかが、準拠コストを大きく左右するのである。

　従って、あるがままのシステムに多層防御を適用するのではなく、工夫することが重要である。最近手掛けた事例では、顧客が入力したクレジットカード情報をアプリケーションシステムで受け取った後、バックヤードのアプリケーションシステムに受け渡すトランザクションを新たに「カード情報を含むトランザクション」と「カード情報を含まない」トランザクションに振り分け、大半のアプリケーションシステムをPCI DSSのスコープから外すことに成功した。

　こうした工夫は、クレジット業界に限らず一般企業でも参考にできるはずである。なぜならば、ほとんどのアプリケーションシステムは、その設計段階において、セキュリティという観点からシステム設計が行われてこなかったために、重要情報も一般情報も同列に扱われていることがほとんどだからである。今後予定されているシステムの再構築に当たっては、データの重要度を考慮したアプリケーションシステムを設計するという考えが重要になってくるだろう。

　次回は、今後主流となるデータセキュリティ対策の中でも注目を集めているトークナイゼーションについて解説する。