• アカウント情報をモバイル端末へ入力する際に傍受されないようにする
• モバイル端末内で処理あるいは保存しているアカウント情報が流出しないようにする
• モバイル端末から転送する際にアカウント情報が傍受されないようにする

　各目標について、小売業者とサービス事業者が責任を共有する。サービス事業者は、クレジットカードのトランザクション用に強力な暗号の利用を義務付けるなど、技術を通じて脅威を確実に防止できる。一方の小売業者も、端末にアクセス可能なユーザーを限定するなど、セキュアな運用に沿った方法でモバイル決済技術を利用するための措置を取る必要がある。

デバイスセキュリティ

　モバイル端末自体のセキュリティ対策に関しては、小売業者側が重大な責任を負う。新ガイドラインは、この分野で6項目の具体的な提言を盛り込んでいる。いずれも大切だが、特に重要なのは、決済処理に使用するモバイル端末の物理的、論理的なセキュリティ対策だ。

　小売業者は、モバイル決済に使用する端末の盗難や不正利用を防ぐために、適切な管理を確実に施さなければならない。使用しない端末はキャビネットに入れて施錠したり、壁やカウンターに固定して常に監視下に置くなど、安全な保管に努める必要がある。端末の機動性は制限されるかもしれないが、他人が端末を持ち出すといった望ましくない事態は防止できる。さらにアプリケーションや端末には、パスワード、多要素認証といった強力な認証を設定しておかなければならない。

　他の奨励事項として、端末のマルウェア感染防止、モバイル端末が「脱獄（Jailbreak）」されていないかどうかの確認、不要な機能の無効化、紛失や盗難に備えた端末追跡ソフトウェアのインストール、古い端末の安全な廃棄などを挙げる（Jailbreakについては「私物スマートフォン導入の壁、Jailbreakやroot化をどう防ぐか」も参照）。いずれも大企業にとっては標準的なモバイルセキュリティ対策かもしれないが、規模の小さい組織がこうした措置を講じるには、協力して取り組む必要があるだろう。

　小売業者と決済処理サービス事業者との具体的な責任分担は、端末の種類やソフトウェア、利用するサービスによって異なる。例えば、決済処理サービス事業者が小売業者のためにモバイル端末を保有／管理している場合、小売業者が端末の設定を変える余地はほとんどない。だがそれでも、端末を紛失や盗難、不正利用から守る責任は、小売業者にある。

アプリケーションセキュリティ

　コントロールの最後のカテゴリとなるアプリケーションセキュリティも、小売業者とサービス事業者の双方が責任を負担することになる。この中には以下の項目が含まれる。

• 小売業者
  • PCI DSSの要件を満たしたセキュアなサービスのみを導入する
  • オフラインのトランザクションや認証を避ける
  • 端末の無許可利用を防ぐ
  • 不審な動作のログをチェックする
• サービス事業者
  • 小売業者が、アプリケーションのセキュアな運用に関する明確な指示を受けているかどうかを確認する

　新ガイドラインの全てに目を通すことは、相当な仕事になるかもしれない。主なコントロール分野は、PCI DSS自体と同様、それぞれ最大で7項目の具体的なコントロール目標に細分化されている。中には、小売業者が複数のガイドラインを守らなければならない目標もある。これらを全て合わせ、モバイル決済対応のための複雑なコントロール環境について詳しく解説した23ページの文書になっている。

　こうした複雑さを考えると、モバイル決済技術は、絶対に不可欠な場合に限って採用すべきだといえるだろう。モバイル決済技術は、びっくりするような手法を試しに使ってみるといった場には適さない。もしモバイル決済技術が必要なビジネスケースが理にかなっているのなら、PCI DSSの場合と同じように、最初の手順として、じっくりと腰を据えてガイドラインの隅々に目を通すことだ。自分たちの技術やプロセスがガイドラインに準拠しているかどうかはっきりしない箇所にはマーカーを付け、是正のためにすべきことの一覧を作成する。

　モバイル決済ガイドラインは、相当数のベストプラクティスを盛り込んでいる。ただし、その大部分がPCI DSSの常識的な解釈だと分かれば、小売業者も安心するはずだ。現時点でモバイル端末を決済処理に使っている小売業者は、PCI DSSを常識的に解釈しているのであれば、確実なPCI DSS順守のために大幅な変更をする必要はないだろう。将来的なモバイル決済処理の導入を検討している場合、新ガイドラインは情報源として助けになる。モバイル決済アプリケーションを使っている、あるいは利用を検討している小売業者が、新ガイドラインにじっくり目を通す必要があるのは言うまでもない。

本稿筆者のマイク・チャップル氏は、博士号、CISA（Certified Information Systems Auditor）、CISSP（Certified Information Systems Security Professional）の取得者で、米ノートルダム大学のITセキュリティマネジャー。以前は米国家安全保障局や米空軍に情報セキュリティ調査員として従事。また、情報セキュリティ関連のテクニカルエディタであり、CISSPの資格取得参考書など多数の書籍も執筆している。