新ガイドラインは、PCI DSSのセキュリティ基準の開発、管理、教育および認知を担当するオープンフォーラム、PCI Security Standards Council（PCI SSC）が2013年2月に公表した。モバイル決済のセキュリティに対するPCI DSSの影響について、PCI SSCの解釈を示すとともに、小売業者がモバイル端末を使ったクレジットカード決済を受け付けるリスクについて啓発する内容となっている。

ガイドラインの範囲

　新ガイドラインは、「決済処理専用ではなく、平文データにアクセス可能なコンシューマー向けモバイル端末（スマートフォン、タブレット、PDAなど）」（本文から引用）で決済アプリケーションを実行する際の対処法を説明する。具体的には、iPhone／iPadやAndroid端末など、決済処理専用ではないモバイル端末でクレジットカード決済を受け付ける状況を想定している。

　新ガイドラインの中で、あまり考慮されていない重要なトピックが2つある。

　1つ目は、私物端末の業務利用（BYOD）である。多くの組織がモバイルコンピューティング戦略としてBYODを採用しているのにもかかわらず、新ガイドラインはBYODに対して極めて慎重だ。「BYODのシナリオでは、小売業者が端末のコンテンツや設定をコントロールできないので、ベストプラクティスとして推奨しない」としている。

　結局のところ、BYODのモバイル決済処理は容認されるのか。それともされないのか。PCI SSCは、こうしたケースがPCI DSSに順守しているかどうかの判断を、時として主観的になりがちな認定セキュリティ評価機関（QSA）に任せているようだ。つまり、コンプライアンス対応についての判断は、小売業者自身の端末（表面上の意味でも比喩的な意味でも）次第ということになる。

　2つ目は、コンシューマーが自分の端末やアプリケーションにクレジットカード番号を入力するケースだ。例えば、小売業者がモバイル端末向けWebサイトやアプリケーションを提供しており、さらにコンシューマーが手持ちのモバイル端末で商品を購入するケースは、新ガイドラインの対象ではない。

　モバイル決済のエコシステムのうち、小売業者が管理する部分（大抵の場合はモバイルアプリケーションやWebサイト、バックエンドシステム）は通常のPCI DSSの対象となるが、モバイル端末自体のセキュリティ対策についてはコンシューマーが責任を負う。

　新ガイドラインは、小売業者がPOS（Point Of Sale）用途でモバイル端末を使う場合にのみ適用される。つまり、米モバイル決済企業Squareの「Square Register」や米電子決済サービス大手PayPalの「PayPal Here」をはじめとするモバイルカードリーダーなど、小売環境で急速に普及している技術が対象だ。

モバイル決済対応のベストプラクティス

　モバイル決済技術の採用を検討中、あるいは使用中の組織は、新ガイドラインにじっくり目を通す必要がある。内容は、以下の主要3分野を網羅するセキュリティのベストプラクティスで構成される。

• トランザクションセキュリティ
• デバイスセキュリティ
• アプリケーションセキュリティ

　後編は、各分野について詳しく見ていく。

本稿筆者のマイク・チャップル氏は、博士号、CISA（Certified Information Systems Auditor）、CISSP（Certified Information Systems Security Professional）の取得者で、米ノートルダム大学のITセキュリティマネジャー。以前は米国家安全保障局や米空軍に情報セキュリティ調査員として従事。また、情報セキュリティ関連のテクニカルエディタであり、CISSPの資格取得参考書など多数の書籍も執筆している。