外部インテリジェンスの統合

　ここ数年セキュリティ業界で勢いを増している領域の1つに「スレットインテリジェンス」がある。スレットインテリジェンスサービスは、新たに発生した脅威に関する未加工のデータを複数のソースと数百万台にも及ぶ可能性があるエンドポイントから収集する。その後、分析とフィルター処理を行うことで有用な情報を生成している。

　セキュリティ情報とイベントの管理や次世代ファイアウォールなどのセキュリティ管理システムでは、スレットインテリジェンスが採用されている。その目的は、新種の脅威やゼロデイ脅威からより適切に企業を守ることだ。IDインテリジェンスサービス（身元確認サービス）は、公的なデータソースや独自のデータソースから集めたユーザーIDとアクセスの特徴を分析する。例えばユーザーの役割、ポリシー違反、生体認証データなどが特徴になる。IDインテリジェンスは、企業がアカウントを承認して資格情報を発行する前にユーザーの身元を検証するために使用されることが多い。

　保護の対象範囲を最大限に広げるには、企業は外部のスレットインテリジェンスやIDインテリジェンスを統合できるオンライン詐欺検出システムを優先することをお勧めする。実際のところ、この機能は2017年までに大部分の製品で提供されるようになることが見込まれている。

コンプライアンス

　選択したオンライン詐欺検出システムが、必要なコンプライアンス規制の要件を全て満たしていることを確認しなくてはならない。例えば企業がペイメントカードを受け入れる場合、導入を検討している製品がPCI DSS認定を受けているかどうかを確認する必要がある。

　多くの企業は、グラム・リーチ・ブライリー法、サーベンス・オクスリー法（SOX法）またはFair and Accurate Credit Transactions Act（FACTA：公正かつ正確な信用取引のための法律）のRed Flags Rule（レッドフラグルール：金融機関などを対象としたID窃盗予防対策の設計に関する規定）に準拠しなければならない。また情報セキュリティ管理では、SSAE 16またはISO/IEC 27001認証が必要になる。オンライン詐欺検出システムを詳しく調べる際には、自社のコンプライアンス要件の一覧を手元に置いておくのがよいだろう。さらに、最終候補に残った各ベンダーには、製品がコンプライアンス要件をサポートしていることを示すドキュメントの提供を求めることも欠かせない。

その他の考慮事項

　一般的にオンライン詐欺検出ベンダーは見込み客に対して、ダウンロード可能なデータシートやパンフレットのような製品資産を自社のWebサイトで提供している。利用可能な資産、特にデータシートの著作権表示年は必ず確認することをお勧めする。資産の日付が1～2年以上古い製品については検討対象から外すのが良いだろう。オンライン詐欺検出システムは絶えず生まれる新しい脅威に順応しなければならず、適切性と競争力を維持するには革新を取り込むことが不可欠だ。資産が古いということは、製品が技術的に新しいものではなく効果的でないことを示唆している可能性がある。

　ベンダーや製品を調査すると、オンライン詐欺検出業界が2013年以降に激動の時代を経てきたことを知ることになるだろう。その主な原因は合併と買収によるものだ。ポートフォリオの技術的なすき間を埋めるためにベンダーを買収すると、革新が犠牲になることがある。各ベンダーの営業担当者と話をする際には、次のことを必ず質問して欲しい。

• 上位3つの競合製品はどれか
• 製品の改善やアップグレードは計画しているか。また、その変更の内容はどのようなものか
• そのベンダーのオンライン詐欺検出システムは競合製品と比べてどのような点が優れているか

　オンライン詐欺検出システムを評価する際に必要な作業は、データシートやマーケティング資料を探すことだけではない。こうしたものは全て誤解を招いたり、情報の有効期限が過ぎていたりする可能性がある。ベンダーから1対1で提供されるデモの機会を活用することをお勧めする。このようなデモでは、自社が所属する業界やチャネル、さらに取引量に関連して、製品について具体的な質問を営業担当者に投げ掛けることができる。また、ほとんどのオンライン詐欺検出システムは従量制であるため、具体的な価格をはっきりさせるのもこのタイミングが最適だろう。