Posts

artificial-photography-119282 (1)

【コラム】 超スマート社会の始まりは、クレジット取引から

 

今日の日本社会は、大きな変化に直面している。高度化された情報社会、「超スマート社会」への変化だ。 これは、政府が積極的に推進している公的制度と政策のためにでも避けられない変化に見える。しかし、その変化に対して、不安を話したり政策推進の理由を分からないという不満もさんざん聞こえている。それで、情報と変化の目的と意義を調べてみて、変化が本格化する前に予め確認しなければならない現実的対応策を検討しようとする。

 

「マイナンバー」の不安払拭

まず検討するものは、超スマート社会を成す各構成員に対する識別手段である「マイナンバー」だ。2015年10月から施行された「マイナンバー」制度は、まだ定着段階にあるとみられるが、すでに全体社会底辺に大きな変化を起こしている。肯定的には、当初制度を打ち立てる趣旨によって、租税行政及び社会保障などの国家システムが前に比べて、より透明で公正になっているとみられる。一方、否定的には財産追跡を避けるため、銀行ではなく家に現金を保管するいわゆるたんす預金が大幅に増えるなど、社会システム変化の過渡期的な現象も現れている。

 

たんす預金問題は、意外にかなり深刻で、この1年間、3兆円以上増加し、現在43兆円規模だという。この1年の増加額は、日本国内総生産(GDP)の0.6%に該当する規模だ。紙幣相当分が市場で流通せず、すぐにたんすの中に入ったわけだ。その理由をすべてマイナンバーの影響と見ることはできないかも知れないが、たんす預金現象の最も大きな理由と分析される政府の課税強化政策の技術的基盤がマイナンバーということは確かな事実だ。

 

しかも、一部市民団体は、マイナンバー制度の導入前、そして施行中の今までも個人識別番号の情報セキュリティ的な危険性を懸念し、韓国の類似した制度である住民登録番号と関連された頻繁なセキュリティ事故を取り上げながら、不安を訴える。しかし、韓国の住民登録番号は、マイナンバーと似ているようで似ていない。同じ識別番号ではあるが、住民登録番号は該当番号を通じて「識別」と「認証」を一緒に処理しようとして、問題を起こしたものであることに比べて、マイナンバーはただ「識別」だけに使われるので、根本的に安全だとみなすことができる。そして韓国は情報化導入初期には、住民登録番号を、暗号化していなかったから事故が絶えず発生したことに比べて、マイナンバーは制度的に暗号化が必須的だ。したがって、マイナンバーの情報セキュリティ的危険性は、それほど大きくないと見られる。

 

「Society 5.0」変化の不可避性

社会構成員の識別手段であるマイナンバーと共に社会情報化に大きく影響を及ぼすのは、現在の日本政府が「超スマート社会」実現を目標として積極的に推進している「Society 5.0」政策だ。これは、ドイツの「Industry 4.0」政策と似ているようで似ていない。モノのインターネット、ビックデータ、クラウド、人工知能、ロボットなどの先端技術を産業現場特、特に工場に適用することにより、生産性を向上しようとする目的の「Industry 4.0」に比べて、「Society 5.0」はそこからさらに一歩進んで、情報化革新を通じて社会全体を全般的に成長軌道に引き上げるという超巨大計画だ。

 

現在、日本の人口は大きく減少していて、平均年齢は増加している。低い出生率と高い寿命増加がもたらすことになる結果は深刻で、これからは今までそうしてきたように若い労働者たちの負担だけでは社会的な脆弱階層の面倒を見ることができなくなるだろうという判断による決定が「Society 5.0」政策だ。これは、とても現実的判断で、政府の立場で大きな社会変化の推進は不可欠な選択だと考えられる。日本のように自然災害が頻繁な国家でかなり老朽化した産業インフラを保有したまま、労働力が減少するというのは国家において極端に危険なことだから、国家生存のためにも自発的に大きな変化以外は、避ける方法がないということは、ただ、日本だけでなく、今日、全世界のほとんどの国が直面した深刻な問題だ。

 

一応、その方向性だけは本当に正しい。企画者の能力がうらやましいほど適切だ。しかし、いくら正しい方向性であっても、現実的に適切な対策の支えがなければ無用の長物になってしまうだろう。超スマート社会を構築する第1の現実的条件は、信用である。私たちがお互いに信じて相生しようという抽象的な意味での信用ではなく、厳格な電算的定義による信用である。そういう意味で、社会そして国家の情報化という十分な電算的な信用を確保するための総体的努力と見られる。そして、「マイナンバー」そして「Society 5.0」などは、まさにそうした努力の一環だ。そういう意味で筆者は情報セキュリティ専門企業としての自社ビジョンを「開放された社会のための信用、Trust for an Open Society」に設定したことがある。

 

超スマート社会の基盤は、電算的な信用

超スマート社会政策の実際の適用について考えてみよう。そうすると、先に頭の中に浮かんでくるのが電算的な信用の不実さだ。その不実さは、公的制度だけでなく、特に私的システム、すなわちクレジット取引で大きく表れている。日本の商取引文化は、クレジット取引という世界的な動向から大きく離れていて、現金使用に固執してきた。現金の代わりにカードを使っても、クレジットカードではない銀行デビットカードを使用するので、それもまた現金使用の延長線上にあることだ。クレジットカードでは最初から支払うことができない店もよく見られるが、文化的にも電算的な信用が不実な環境だと判断される。

 

現金払いの強要を置いて、事業者の脱税への疑惑を持つのは変ではない。これは、非常に疑われることでもある。しかし、脱税の意図まではなくても、政府によって自分の財産状況が明らかになること自体が嫌な自己保護心理が大きく作用するようだ。過度な国民統制や監視に対する懸念は過ちではなく、国民としてとても当然な権利だと見られる。しかし、先にも述べたように、情報社会への変化、つまり電算的な信用システムの構築は国家生存のためにも避けられないことだけに、懸念の方向を変化そのものではなく、変化要素の適切性に集中することが適切な態度だという気もする。

 

国家的レベルの情報化推進の目的は、行政的な手続きの浪費を除去し、行政効率を向上することで、国民の負担は減らし、利便性は高め、厳格な租税正義を通じて確保した十分な財政で社会保障など国家システムを円滑に運営するためだ。効率的かつ透明な公正社会を実現するための社会インフラの情報的基盤がまさに電算的信用ことだ。これは、政策的側面だけでなく、技術的にもそうだ。たとえば、モノのインターネット技術(IoT)は、究極的には人ではないモノとモノの間の取引にまで至ることになるだろう。このため、ブロックチェーンなどの技術を通じて、事物にも商取引が可能な電算的な信用を付与する研究が進行中にある。これはもうすぐやってくる未来だ。

 

しかし、ほとんどの変化はまるで手の平を返すように急変することではなく、少しずつ徐々に近づいてくるものだ。そのため、大きな変化であっても事前に対策を立てることが可能だ。それでは、今、急を要する問題から調べてみよう。

 

最も急がれる問題は、オフライン電子商取引の現場

あまりにも当然なことだが、最も急がれる安全措置は、最も危険なところからまず保護することだ。クレジット取引の文化定着において、今最も危険なところはよくある誤解とは違って、オンライン電子商取引ではない。オンライン上で取り交わされる信用情報は、各種の関連規制によって相対的に厳しく検証されたインフラを通じて起こるため、オフラインの現場に比べては比較的安全に維持される。一方、オフラインの電子商取引は、実際の取引が起こる現場の数があまりにも多いために、取引に使用されるPOS(Point Of Sale.販売時点情報管理)端末機などのデバイスに対する基本的な安全性さえ十分確保することが難しいという現実的問題がある。

 

オフライン電子商取引の安全が特に重要なもう一つの理由は、消費者そして販売者ともにクレジットカードという実物を通して、取引プロセスに直接参加する、クレジット取引関連行為の中で最も具体的かつ可視的な行為だからだ。したがって、もしオフラインの現場でクレジット取引事故が発生するようになると、それによる社会的な不安が今後の信用社会構築においてとても大きな障害になるためでもある。

 

オフライン電子商取引の現場の中でも特にPOS端末機のセキュリティに集中する必要がある。オフライン取引現場にも安全関連規制があるが、オンライン環境に比べて相対的に管理に盲点が多いしかないため、セキュリティを疎かにする場合が多い。POS端末機の運営体制から見ても、すでに製造会社の技術的サポートを終了した運営体制を使用する場合をよくみられる。最も危険なところにも関わらず、最も管理が疎かにしているのだ。

 

超スマート社会の基盤は、社会構成員各自の電算的信用確保、そして今現在、電算的な信用の安全のための最も至急な措置は、オフライン電子商取引の現場だ。オフライン電子商取引セキュリティの具体的な内容については、以前書いた「POS&CATの決済、財布からサーバーまでデータの流れ」そして「クレジット取引セキュリティ、P2PE暗号化で安全」を参照してほしい。

networking-1626665_1280

【コラム】順序保存暗号化(Order Preserving Encryption)は安全な暗号化か。

順序保存暗号化(Order Preserving Encryption)は安全な暗号化か。

一般の企業で会社の情報セキュリティを担当しているKさんは、このごろ悩み事が多い。個人情報保護法の遵守のため、個人情報が保存されている業務システムに暗号化製品を導入して適用しようとしている。暗号化製品を設置すれば、個人情報保護法の遵守は問題ないが、業務システムの性能が低下する可能性があり、心配が大きい。
その時、偶然「OPE」という技術を採用したという暗号化製品の広告を見ることになる。OPE技術がどのような技術かは分からないが、暗号化後にもDB検索の性能低下がないという説明が大きく伝わってくる。OPEという名前が「Order Preserving Encryption」だから、暗号化(Encryption)も性能低下も解決するということで自分の悩みを一回で解決してくれそうだ。

 

個人情報の保護のため、DB暗号化製品を導入するケースが増え、上記の話のようにOPEに対する関心が高まっている。
「OPE(Order Preserving Encryption)」は、どのような技術であり、どれほど安全なのか。個人情報保護の安全性と性能低下の克服の二兎を得る技術であるかを調べることにしよう。

 

手順を維持する暗化は根本的に危

 

DB暗号化は、個人情報保護のための必須技術と認識されている。DBサーバに暗号化を適用すると、DBサーバに保存されるデータを暗号化して保存し、データを照会する際には暗号化されたデータを復号した後に使用者に対して提供される。DBサーバは暗号化と復号のための処理演算を追加で遂行しなければならないため、速度低下が避けられない。暗号化の適用によるDBサーバの性能低下問題は、暗号化アルゴリズムの効率的な実現技術で解決できる。

DB暗号化でさらに重要な問題は、検索の索引を生成する問題である。検索の索引は、DBに保存されている膨大なデータの中から必要なデータを迅速に照会するために使用されるDB内部の追加情報である。暗号化されたデータから希望するデータを検索するには、暗号化になる前のオリジナルデータを知らなければならないため、暗号化されたデータを全部いちいち復号しなければならない。希望するデータを一つ照会するたびに、膨大なデータをすべて復号しなければならないため膨大な演算量の負担が発生するしかない。これを解決する方法のひとつが、「順序保存暗号化(Order Preserving Encryption、以下OPE)」だ。

OPEは、かなりずいぶん前から存在していた技術だ。OPEの歴史を遡ると、第一次世界大戦から使用された「One-Part Code」技術がOPEの始祖といえる。暗号化されたデータについても、DBの検索索引を容易に作れるという特長のために2000年代からDBMS業界で注目され始めた。2004年には、R.Agrawalを含め4人のIBM研究員たちが最初にOPEという用語を定義した。彼らはOPEの概念に対する数学的モデルと実現に対する方向性を提示したが、安全性に対する具体的な言及や証明をしなかった。
(参考文献:R.Agrawal、J.Kiernan、R.Srikant、and Y.Xu、「Order-preserving encryption for numeric data」、SIGMOD 2004、pp.563~574)

 

データを迅速に照会するためには、データを順に整列しておかなければならない。例えば、数百万人のマイナンバーの中から自分が探すマイナンバーが含まれているかどうかを容易に探す方法は、マイナンバーを13文字の自然数と見て大きさ順に整理しておくことだ。しかし、この方法は暗号化後には使用できない。暗号化は、オリジナルデータを予測できない任意の値に変換する過程なので、暗号化されたデータはオリジナルデータとは全く違う順番に整列されるしかない。暗号化を適用しても、暗号化したデータがオリジナルデータと同様の順番に整列されるようにしてくれる方法がOPEである。大きさが小さい順に整列された数字データ1234、3456、5678という三つの数字があると仮定する。一般的な暗号化を適用すれば、三つの暗号化された数字間の順序が巻き込まれる。OPEを適用すれば、1234の暗号が3456の暗号より前に整列されて、3456の暗号は5678の暗号よりもリードすることになる。

順序保存暗号化という名称のように、果たしてOPEは安全な暗号化だろうか。安全な暗号化は、暗号文からオリジナルデータに関するいかなる情報も得られないべきだ。OPEは、暗号文で「順序」という情報を得ることができ、これをもとに、平文を類推することができる。上記で説明した1234、3456、5678の例に戻ってみよう。1234の暗号文(A)と3456の暗号文(B)を知っていれば、暗号文Aと暗号文Bの間に整列される暗号文Cは1234と3456の間にある値から作られた暗号文であることが把握できる。この場合、暗号を解読しようとする攻撃者が1234と3456を知って、二つの数を暗号化した値(暗号文A、B)たちも知っているため、このような攻撃方法を「選択平文攻撃(Chosen Plaintext Attack;以下CPA)」という。

安全な暗号アルゴリズムは、CPA攻撃モデルを採用した攻撃者が暗号文Cがどんな数字を暗号化したかを区分できない「非区別性(Indistinguishability)」を満足しなければならないが、OPEはこれを満足しないために安全な暗号化とは言えないのだ。したがって、OPEはDES、AES、SEED、ARIAなどと同じ普通のブロック暗号化アルゴリズムと肩を並べそうな高いレベルの安全性を備えていない。世界の情報セキュリティ関連の標準でOPEを見られないことも、このような理由だ。

 

「順序保存を提供する安全な暗号化は不可能なのだろうか」


という問題を解決するために、米国のジョージア工科大学(Georgia Tech)のボルディレワ(Boldyreva)教授を含めた4人の研究者たちが2009年の研究結果を発表した。
(参考文献:A.Boldyreva、N.Chenette、Y.Lee、A.O’Neill、「Order-Preserving Symmetric Encryption」、EUROCRYPT 2009、pp.224~241.)

ボルディレワは、制限的な環境ではOPEの脆弱攻撃であるCPA攻撃をある程度のレベルまでは防御できると証明した。尚且つ、制限条件でOPEにCPA攻撃をブロック暗号化アルゴリズムと同等のレベルに防御することは現実的に不可能というのも明らかにした。つまり、単純アルゴリズムの改善だけではこれ以上の安全性を期待することは難しいということだ。

アルゴリズム自体だけではCPA攻撃から逃れることはできないので、「どう実現するのか」が業界の主要関心事として浮上している。現在、大半のセキュリティ会社がOPEの安全性を補完してくれる技術およびセキュリティデバイスをともに使用し、OPEの脆弱性を補完するために努力している。OPEと共に他の検証を受けた暗号化アルゴリズムを使用したり、順序情報のみをさらに暗号化することなどをその例に挙げられる。しかし、このような状況についてよく知らない一般人たちは、「順序の保存暗号化」という名称だけを信じてOPEを他の暗号化アルゴリズムのように安全性が高いと考えやすい。

実際、ある会社ではOPE技術の安全性を誇大に評価して業界の非難を買ったりした。したがって、OPE関連ソリューションを選択する時には、製品内にOPEの安全性を補完してくれるセキュリティデバイス及び技術があるかを調べた後製品を選択しなければならない。特に、CPA攻撃は攻撃者が暗号化システムに容易にアクセスできる時に主に発生するので、製品にこのような弱点はないかを確認しなければならない。

 

暗号化を必要とする応用は様々だ。安全度が高いレベルで要求される応用がいれば、安全度が高くなくても大丈夫な応用もあり得る。OPEの場合、安全性を一部犠牲にして性能を選んだ応用と見られる。コラムの冒頭に仮想シナリオの主人公だったKさんのように、個人情報保護を必要とする応用では、長期間検証され高い安全度を保障してくれることができる標準的な暗号化技術が必要である。OPEは、オリジナルデータの順序が暗号化後も維持されるというメリットがあるため、データ検索などでは有用な技術であることに違いないが、安全性には限界があるということを忘れてはならない。

したがって、セキュリティ業界はOPE技術を適用する場合、安定性が脆弱な部分と程度については、ユーザに正確に知らせなければならない。一方、使用者は従来のブロック暗号化アルゴリズムと同レベルの安全な暗号化を提供したりはしないということを理解して、安全度よりも性能が重要な応用に選択的に適用するようにする。それとともに、足りない安全度を補完してくれるセキュリティデバイス及び機能が製品内に搭載されているかを是非検討しなければならない。

 

S54543

【コラム】 クレジット取引セキュリティ、P2PE暗号化で安全

 

どんな国であれ、外国を訪問した外国人は、大小のカルチャーショックを経験する。

自分が精神的に属している母国の文化とは全く異なった異国の文化を経験した際感じる衝撃は、2回にわたって起こる。初めは、慣れていない文化を接したときの衝撃と、その国の文化にある程度慣れて、自分の国に戻った時、今更感じるようになる見慣れない感じだ。

 

、クレジット取引の

韓国人として、日本で生活しながらも少なからぬ文化衝撃を経験した。その中でも代表的なものが現金使用に関する文化だ。韓国では、本当にクレジットカードだけ持って生活した。クレジットカードで電車・バス・タクシーなどの公共交通を利用したり、ご飯を食べたり買い物をするなど、あらゆる日常的な行為をカード一つで解決した。最近は、カードも面倒になり、財布さえ持たないまま、スマートフォン一つだけを持って外に出ていた。コンビニではスマートフォンを端末機にかざすと,直ちに決済が完了される。インターネットショッピングも、銀行取引も全てスマートフォンで処理ができるから、本当に携帯一つで日常のあらゆることを解決できるのだ。

 

しかし、日本に来てみたら、いつも現金を準備しなければならないのが一応不便だった。クレジットカードを取り扱わない店も意外にかなり多く、カード決済はできるが、決済処理にかなり長い時間が所要される店も多かった。そうなると、「カード決済できますか?」と問うこともちょっとはばかりがあった。韓国と文化が完全に違う。確かに、代々引き継がれてきた老舗にNFC方式のモバイルペイ機能を支援する最新のPOS端末機が置かれているのもちょっと変に見えるようだ。それにも便利さの中毒性は、本当に恐ろしいもので世の中が少しずつ少しずつ変化していく時はその変化に気付かないが再び過去に戻ろうとしたらとても不便で、絶対戻れないのだ。それで、日本の現金文化はまだとても不便に感じられる。

 

とにかく、そうするしかないから現金を持って外出することに慣れるしかなかった。そして、ある程度慣れてきたとき、韓国に戻った。すると、またこれは変な気がすることになる。この便利さは、いや、これは本当にちょっと恐ろしいことではないか。これは大胆過ぎるじゃないか。クレジット決済のセキュリティ規格の中で「トラック1」に記録される銀行のアカウント情報、「トラック3」の提携社の情報などの決済と直接関連していない情報を保存するトラックとは違って、クレジットカードのカード番号、発行日、有効期限などの決済過程で必需的な情報を保存する「トラック2」の敏感情報は、もし奪取された場合、誰でもどこでも任意で決済することができる。それでパスワードを含めたトラック2データは、国際闇市場で1つあたり$4,000程度で取引されるとても価値が高い情報だ。そのような情報が特別な確認手続きもなしに、こんなに広範囲にやたらに流通されても、果たして安全なのか? 5万ウォン以下の取引は、署名手続きも省略し、そのまま決済される。便利だが、不安だ。

 

安全だが難しい「PCI DSS

もちろん、クレジット取引安全のための装置はある。クレジット取引の安全を担保する最も一般的な基準であり、事実上の国際標準は「PCI DSS」だ。「PCI DSS」とは、クレジットカード会員のカード情報および取引情報を安全に管理するためにクレジット取引の全過程にかけて、取引と関連した者らが共に遵守しなければならないクレジット産業界のセキュリティ標準である。PCI DSSが登場する前には、クレジットカード会社ごとにそれぞれ異なるセキュリティ基準を要求した。それで、クレジットカード加盟店の事業者たちは各会社の異なる基準を全て合わせなければならなかったが、これは難しくて費用もたくさん払わなければならなかった。このような不便さを解消するため、JCB、アメリカン・エキスプレス、Discover、MasterCard、VISAなどの国際的なクレジットカード企業が共同で委員会を組織し、「PCI DSS」という規格を策定した。会社たちの約束に過ぎないが、事実上の国際標準として通用される。

 

クレジット取引の基準として「EMV規格(EuroPay、MasterCard、Visaの間で合意したICカード統一規格)」を使用する日本もPCI DSS規格に準拠したセキュリティ対策を樹立している。2020年3月を目標にPCI DSSに準拠してEMV基準ICカードのセキュリティ対策を打ち出した。ところが、難しくて費用もかかるのでPCI DSSを打ち出したわけだが、これも相変わらず難しくて複雑だ。POS加盟店の基準でPCI DSS規格を準拠するための努力と費用はかなりであるのだ。小さくてきれいな店一つを出したいという夢があっても、クレジット取引基準を合わせることが難しくて最初からあきらめなければならないほどだ。

 

このような問題を韓国は「VAN(Value Added Network)」会社がクレジット取引プロセスの中間段階で解決する。VAN会社らは、クレジットカード会社の代わりに加盟店を募集し、端末機などのデバイスを提供して、カード決済承認の過程を中継してくれて、売上データを整理する伝票の買い取りサービスなどを提供する。クレジットカード会社と加盟店の面倒な仕事を代わりにしてくれるわけだから、一応便利だが、取引1件ごとに別途の課される手数料が決して少なくない。「VAN手数料引き下げ!」が政治家たちの選挙公約になるぐらいだ。開業の時、併せて多く課すか、商売しながら少しずつ課すかを選択することだ。そして、真ん中でマージンを得るという事業の性質のため、大手の流通社を相手にした不正腐敗などの事件もたびたび起こる。高コスト問題をなんどか避けようとする間、むしろはるかに大きくて恐ろしい他の問題に会ったのだ。

 

クレジット取引セキュリティ、P2PE化で安全

PCI DSSは安全だ。しかし、加盟店の立場では難しいことでもある。これは、まるで「猫の首に鈴をつける。」のような問題だった。ネズミの立場では、猫の首に鈴をつけさえすれば安全だが、これは一体つける気にならないのだ。

しかし、2017年3月、改正された「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画 2017」が発表された。該当ガイドラインが2016年のガイドラインと特に違うところは、POS加盟店に要求されたセキュリティ対策の中で非保持とPCI DSS対応の部分で、「非保持」の方法として「暗号化」を追加し、その内容としてPCI DSS規格の中で「PCI P2PE(Point to Point Encryption)の構造を言及しているというところだ。「PCI P2PE」とは、カード会員の敏感情報をカードリーダ端末機から決済が承認されて処理されるサーバまで安全に転送し、処理する方式に対する規定である。その基になる技術は、「暗号化」だ。そのまま暗号化ではなく、「P2P暗号化」、すなわちクレジットカード端末機からカード会社のアプリケーションサーバを経て、データベースに保存されるまで、データが移動する全過程にわたる「エンドツーエンドの暗号化」だ。これは「E2E(End to End)」暗号化とも呼ぶ。いわば「財布からサーバまで」の意味だ。

 

P2PEまたはE2EEが現実的でないという主張をする人々もいるが、これは、当該用語を文字通りの意味で理解したためだ。エンドツーエンドの暗号化は、端末機から情報を暗号化して、通信区間でSSLを使ったり、区間暗号化を活用することで、何の問題もなく簡単に実装できる技術である。安全で、簡単だ。それで、難しくて複雑なPCI DSS規格の中でまずP2PEから適用しなければならないということだ。他の国々でもすでに一般的に実施している措置だ。韓国では、P2PE措置を取らなかった新規加盟店は、事業を開始することもできない。

 

その十分な安全性の根拠は、「DUKPT(Derived Unique Key Per Transaction)」だ。「DUKPT」とは、カードリーダー端末機とサーバの間に敏感情報が伝送されるたびに毎回新たに生成される「One Time Encryption Key」を使用し、暗・復号化する鍵管理技術だ。すべてのクレジット取引セキュリティは、固有の暗号鍵を使用する。しかし、鍵管理に問題が生じるのなら、ドアーに錠をかかって、錠の隣に鍵をおくことと同じく、全く安全ではない。その中でも最も脆弱な状態は、一つの鍵を暗号化と復号化に同じく使用することだ。錠をかけてすぐ鍵を誰かにあげることと同じだ。しかし、DUKPTは敏感情報を送信するたびに、一度だけ使用される鍵を使用するため、万が一、鍵が露出されることが起きても当該鍵は、ただそのトランザクションにだけ有効するため、悪用される危険が非常に少ない。したがって、DUKPTはPCI DSS規格に最も適合した暗号化方式で勧められるのだ。

 

結論は、クレジット取引の際DUKPTなどの適切な暗号化技術を利用すれば、十分なセキュリティ効果を得られるということだ。リーダー端末機でカード情報を読む同時に、情報を暗号化してしまえば、その情報は誰が盗んでも使えないからそもそも最初から読まないことになる。そして、そのままの状態でサーバまで送り、また、サーバから受け取る情報もまた同じく処理すれば、クレジット取引の過程のどこにも情報がないのと同じだ。盗もうとしても、盗まれない。それで、適切な暗号化技術を利用すれば、十分なセキュリティ効果を得ることができるのだ。

 

つまり、PCI DSSの中で「P2PE」エンドツーエンド暗号化を通じて「トラック2」の情報だけ財布からサーバまで安全に守れば、十分なセキュリティを達成することができる。

 

 

profile

ペンタセキュリティ、セキュリティプラットホームと IoTセキュリティのビジネスのためのMOUを締結

 

ペンタセキュリティ、

セキュリティプラットホームとIoTセキュリティのビジネスのためのMOUを締結

スマートファクトリーセキュリティにセキュリティプラットホームのH/Wセキュリティモジュール技術活用予定

 

データベース暗号化とWebセキュリティ専門企業のペンタセキュリティシステムズ株式会社(日本法人代表取締役社長 陳貞喜、https://www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)は、3月6日、セキュリティプラットホームとIoTセキュリティのビジネスのためMOUを締結したことを明らかにしました。

 

セキュリティプラットホームは、2015年設立されたIoTデバイスセキュリティ専門の企業であり、国際標準化団体であるTCGがセキュリティ標準として認証したIoT技術を持っています。今回のMOU締結を通して、IoTデバイスのセキュリティ設計に必要なカスタマイズ型ハードウェア、OS、ライブラリーを提供します。

 

ペンタセキュリティは、IoTビジネス本部を新たに新設し、既に推進していた自動車セキュリティ、AMIセキュリティに加えてスマートファクトリー、スマートホームのような様々なIoTセキュリティビジネスを拡大し、推進します。また、IoT環境でのセキュリティ脅威をより多角的に対応するため、H/W基盤のセキュリティソリューションを提供するセキュリティプラットホームとのMOUを進めることになりました。両社は今回の協力で、スマートファクトリーのためのセキュリティソリューションであるPenta Smart Factory Securityを含め、ペンタセキュリティの色々なIoTセキュリティソリューションに適用します。ペンタセキュリティは、これによりIoT環境でのE2E(End to End)セキュリティソリューションを提供する予定です。

 

Penta Smart Factory Securityは、スマートファクトリー環境で管理されるべきである色々なセキュリティ脅威を防御するため、IoT通信環境でのネットワーク攻撃を防御し、安全なデバイスおよびユーザーの認証手段を提供します。これにセキュリティプラットフォームのH/Wセキュリティモジュールを連動することで、デバイスの信頼性とセキュリティ性を向上できるようになりました。

 

セキュリティプラットフォームのH/Wセキュリティモジュールは、既存のIoT機器とたやすく連動ができ、低容量のプロセッサとメモリだけて独立的に駆動が可能であることから様々な環境に適用することができます。また、ペンタセキュリティのIoTセキュリティソリューションとの連動を通じて、IoT環境のセキュリティレベルを効果的に上昇できることを期待しています。

 

ペンタセキュリティのCSOのDSKimは、「セキュリティは容易で簡単であるべきということは、ペンタセキュリティとセキュリティプラットフォームの両方が共通的に追求する価値であるため、協業によってより見事なシナジー効果を上げている。」とし、「スマートファクトリーをはじめ、日常生活と密接に関わっているIoT技術をより安全に使用するため、研究と投資を積極的に進めるつもりだ。」と言及しました。

 D’Amo(ディアモ)

2004年リリースされたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として3,600ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そして研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

ペンタセキュリティのD’Amo、暗号鍵管理製品に「セキュリティー強化パッケージ」として機能アップグレード

ペンタセキュリティのD’Amo、
暗号鍵管理製品に「セキュリティー強化パッケージ」として機能アップグレード

ディアモ(D’Amo)に量子乱数発生器(QRNG)とHSM追加し、強化された鍵管理提供

データベース暗号化とWebセキュリティ専門企業ペンタセキュリティシステムズ株式会社(日本法人代表取締役社長 陳貞喜、www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)は、6月20日、暗号鍵管理システムであるD’Amo SG-KMS(ディアモ・エスジ・ケイエムエス)に量子乱数発生器(QRNG)やハードウェアセキュリティモジュール(HSM)を追加した「セキュリティー強化パッケージ」をリリースしたことを明らかにしました。

ペンタセキュリティのD’Amo SG-KMSは、暗・復号化に使用する鍵を物理的に安全に管理できる鍵管理システムです。鍵管理は、暗号化ソリューションの構築の際、最も核心的な技術で、使用者はD’Amo SG-KMSを通じて、鍵の生成から廃棄までライフサイクルを全般的に管理し、別途の安全なところに鍵を保管することができます。セキュリティ脅威がますます増加している状況で、ペンタセキュリティはより高度化されたセキュリティが要求されることにより精巧かつ安定的な暗号化及び保存のために量子乱数発生器とHSMを追加するようになったと説明しました。

新たに追加することになった「量子乱数発生器(Quantum Random Number Generator、QRNG)」は、量子技術に基盤して純粋な乱数(True Random Number)を生成する方法で、従来の擬似乱数(Pseudo-Random Number)生成方法に比べて高いセキュリティを持っている暗号鍵の生成が可能です。乱数(Random Number)とは、完璧に無秩序な数字で、暗号化技術の核心要素です。今までは「疑似乱数」すなわち、コンピュータプログラムで作った擬似乱数を使用しました。しかし、擬似乱数の生成方法はコンピューティング技術が発展することにより乱数の予測や再現が可能になりましたし、ハッキングの危険も高まりました。しかし、量子乱数発生器を導入することにより予測することが難しくなったため、以前に生成された数字と関連されず、どんな方法でも推定が不可能な、完璧な暗号化を構築できるようになりました。

これとともに、生成された鍵を安全な場所に保管できるハードウェアセキュリティモジュール(HSM)が追加されてより安定的な鍵管理も可能です。ハードウェアセキュリティモジュール(Hardware Security Module、HSM)は、物理的な演算装置で、保存されたデータに対する偽・変造を防止できるセキュリティプロセッサーであるが、ここに保存された鍵は、ストレージまたはメモリに保管してきた既存の鍵保管方式より安全で、ハッキングも不可能です。また、物理ハードウェアなしには、利用ができないため高いセキュリティレベルで暗号化構築が可能です。

ペンタセキュリティの最高技術責任者であるDS Kimは、「D’Amo SG-KMSのセキュリティー強化パッケージは、多様化された金融サービスやモノのインターネット(Internet of Things、IoT)のセキュリティ脆弱性に完璧に対応することになろうと期待している。」とし、「D’Amoが韓国1位の暗号プラットフォームであるだけに、鍵管理システムを中心にPOS、SAPのような多様なコンポーネントに対して強力な暗号化を通じたレベルの高いセキュリティを提供する予定。」と述べました。

D’Amo(ディアモ)

 

2014年リリース10周年を迎えたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として3,200ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そして研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

 

D’Amoに関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

 

ペンタセキュリティ D’Amo、韓国初でSAP社のHANA DB認証獲得

ペンタセキュリティ D’Amo、韓国初でSAP社のHANA DB認証獲得

HANA DB環境でも安定的なSAP暗号化提供

暗号プラットフォームとWebセキュリティ企業のペンタセキュリティシステムズ (日本法人代表取締役社長 陳貞喜、www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)が、 SAP暗号化ソリューションD’Amo for SAP(ディアモ・フォ・エスエイピ)が韓国初でABAP Add-On Deployment認証を獲得し、HANA DBのための暗号化サポートを公式的に認められたことを明らかにしました。SAPは、多くの企業が使用している経営および管理のための資源管理(ERP)システムとして、企業の重要な情報が含まれており、徹底したセキュリティが必要だが、データ構造や下部システムの修正が難しく、特にSAPの場合、データの長さや形式を変更することが非常に難しいため、一般的な暗号化ソリューションでは暗・復号化が不可能です。ペンタセキュリティは、高度化された暗号化技術に基づき、SAP暗号化ソリューションであるD’Amo for SAPをすでに2012年にリリースして、2014年にはSAP本社のセキュリティ認証を獲得したことがあります。今回は、SAPで自らで開発したHANA DB連動に対する認証である「ABAP Add-On Deployment Certification」を韓国初として獲得しました。この認証は、SAP社がHANA DBと当該アプリケーションの間の連動に対して検証した後、該当ソフトウェア開発社に与える認証で、まだ日本でこの認証を獲得して、HANA DBに対応できるようにした暗号化ソリューションはリリースされていません。

最近、SAP社では、従来に使用していた3rd Party DBMSの代わりに、独自で開発したHANA DB環境を適用していたので、ペンタセキュリティはSAP ERPを構築した顧客が安定的にD’Amo for SAPを使用できるようにHANA DB環境での暗号化認証を準備してきました。これを通じて、SAP HANA環境でSAPの暗号化方式である形態保存暗号化(FPE:Format-Preserving Encryption)やトークン化(Tokenization、トークナイゼーション)をさらに効果的に運営できるようになったことと共に、データの暗・復号化、アクセス制御、監査および鍵管理も安定的に提供して、SAP暗号化分野における立場をさらに強固にすることができるようになりました。

ペンタセキュリティの最高技術責任者であるDS Kimは、「SAPセキュリティは、企業の情報セキュリティにおいてかなりの割合を占めているため、昨年にSAP S/4HANAがリリースされた直後からDB環境最適化に対する認証を持続的に準備してきました。」とし、「韓国初でHANA DBとの連動を認められた分、D’Amo for SAPで高レベルのセキュリティ性を確保するSAP ERP環境を作っていく計画です。」と述べました。

D’Amo(ディアモ)

 

今年2014年リリース10周年を迎えたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として3,200ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そして研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

 

D’Amoに関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

 

【コラム】POS&CATの決済、「財布からサーバまで」 データの流れ

すべての企業の情報セキュリティ問題は、経済的な判断をしてこそ、きちんと解くことができる。つまり、情報が持っている経済的な価値に対する判断の問題である。セキュリティを通じて、守ろうとする情報がいかに重要な情報なのか。どれほど大きな価値があるのか。また、ハッカーにはどれほど魅力的な情報なのか。これらすべてを考慮すると、その情報はどれほど価値のある情報なのだろうか。情報を守ること、そして盗み取ることには当然それぞれの費用がかかるため、セキュリティポリシーの確立に先立って、最優先に判断しなければならないのが、情報の経済的な価値である。

 

 

企業は、保有している情報の価値がセキュリティにかかる費用より大きい時にセキュリティ措置を取る。そうしなければ価値ある情報が奪い取られてしまう。そして、ハッカーは攻撃費用が情報の価値より少ない時にハッキングを試みる。盗み取って売れば、儲けるものがあるからである。したがって、企業の情報セキュリティとは、ハッカーの攻撃費用が企業の情報価値よりさらに多くなるようにすることである。セキュリティを破って情報を奪い取るのにかかる費用が、盗もうとする情報の価値より多いとすれば? ハッキングはそもそも起きないからである。盗んでも、ハッカーにとっては損になるだけである。
ハッカーは、盗んだらお金になる情報を狙う。その中でも標的になる危険性が最も高いのは、それ自体がお金になる情報、すなわち金融情報である。
よく金融情報のセキュリティといえば、インターネットバンキングやモバイル決済のような電子金融取引やインターネット通販における電子商取引などユーザー自らが、あるWebサービスに接続して、自分の金融関連情報を直接扱う行為にかかわるセキュリティをまっ先に思い浮かべられるであろう。しかし、それよりさらに頻繁に、そして至る所でやたらに発生する金融情報取引がある。それは、オフラインのクレジットカード決済である。

CATそしてPOS

オフライン決済はほとんどが対面の状態で行われるため、決済に実物手段が存在する。現金、クレジットカードやデビットカードなど、各種の決済カード、ひいてはモバイル通信機器を利用するいわゆるスマートペイなど全ての決済が実体(実物手段)を利用した決済である。人の目ですぐ取引の過程を識別できる現金以外は、すべて取引現場の背後で別々に進められる現金の取引をお互いに暗黙的に約束する仮想的な支払いの手段である。そのため、決済過程を処理できる技術的なインフラが必要である。

 

インフラは、オフライン決済の様々な要素の中で最も重要である。いくら簡単で安全な新しい決済方式が登場しても、インフラが支えてくれなければ、無用の長物になる。決済インフラは、完全な装置産業であるため、莫大な初期投資コストが最大の影響要素となる。同じ理由で一先ず拡散されて一般化されてしまった方式のインフラを他の方式のインフラに切り替えることもとても困難がともなう。

 

それでは、オフライン決済インフラの最末端、決済端末機から見てみよう。 私たちがどこか店などでクレジットカードを利用して品物代を支払うとき、カードの情報を識別してカード会社のサーバーと通信することで、決済する装置である。

 

 

図1) CATそしてPOS

まず「CAT(Credit Authorization Terminal)」という最も単純な形の決済端末があり、CATより多くの機能を持つ「POS(Point Of Sales)」端末機がある。CATと通信モジュールを結合した無線決済端末機もあるが、決済方式だけを見ると、同じなのでCATとPOSだけを見る。

 

まず、CAT端末機は、カード情報を読み取ってカード会社に送り、カード会社から承認を受け、伝票を出力する簡単なことだけを処理する。これに比べてPOS端末機はCATの基本機能以外に商品管理、会員管理、在庫管理などの多様な付加機能を持っている。 単に言えば、CATにコンピューターが付いているのがPOSと思えば良いが、まさにこれが理由でPOSならではの問題が発生している。コンピューターが使用するオペレーティングシステム(OS:Operating System)や各種アプリケーションのセキュリティ脆弱性などをそのまま持つようになるのである。それで、たいていの場合、「決済端末機のセキュリティ」と言うと、POSセキュリティを意味するのである。

 

それでは、各端末機から読み取る情報の危険性についてもう少し具体的に探ってみよう。
「トラック2」の危険性

 

ICカードなど、既存の磁気カードのセキュリティ脆弱性問題を解消した新しい方式が登場しているものの、いまだにもクレジットカード決済のインフラにおけるセキュリティ規格の基準は、磁気カードである。磁気カードには情報を保存する3つのトラックがあるが、その中で一番重要なのは約40kbの大きさの空間にクレジットカード番号、取得日付、有効期間など決済過程に必要不可欠な情報を保存している「トラック2」である。「トラック1」の銀行口座情報、「トラック3」の提携会社情報など、他のトラックには決済と直接な関連がない情報が保存されているため、「トラック2」情報さえ持っていれば、決済が可能である。それでハッカーは「トラック2」の情報を狙う。「トラック2」の情報を奪い取り、暗証番号まで読み取られてしまうと、クレジットカードの持ち主でなくても、誰でもいつでもどこでも勝手に決済ができるということになる。そのため、暗証番号を含めたトラック2のデータはかなり価値の高い情報として国際闇市場では一件あたり約$4,000程度で取引されている。

 

トラック2は「米国銀行協会(ABA:American Bankers Association)」により制定された規格である。クレジットカードという決済手段が初めて出現したときからセキュリティの問題は多かった。カード複製そして情報奪取など、あらゆる危険性のため、トラック2のすべての情報を他のトラックに移すべきだと主張する人々も多いが、前述のようにすでに存在するインフラを変えることは簡単なことではないので、今も公式規格として使用されている。

 

要するに、オフライン決済インフラのセキュリティにおいて、最も重要なことは「トラック2」情報に該当する敏感な取引情報の安全な保護である。

 

クレジットカード産業に参入する事業者の構造は複雑である。 「顧客」や「カード会社」、「加盟店」の基本要素があり、「VAN(Value Added Network)」事業者又は「アクワイアラー(Merchant Acquirer)」が追加される構造になっています。「VAN」社が参入する3者構造と「アクワイアラー」社が参入する4者構造に分けられます。

 

 

図2) クレジットカード産業の構造

3者構造ではクレジットカード加盟店が複数のカード会社と契約を結び、4者構造では、加盟店が特定のアクワイアラーと単独契約を締結するなどの違いがある。4者構造は、参入事業者それぞれの当初の役割に充実できるように設計された自然な構造である。その反面、3者構造のVAN社は加盟店への端末機供給とクレジットカード仲介など決済関連の多様な金融決済サービスを提供し、伝票取得の役割をカード会社と共同で分担するなどの特徴がある。

 

しかし、3者構造を選ぶか、4者構造を選ぶかの問題は長所と短所を比較して選ぶのではなく、国家別そしてカード会社のポリシーによって決定される。そしてそれは、オフライン決済インフラのセキュリティとは大きな関係がない。決済インフラのセキュリティ性はトラック2の情報、すなわち、重要な取引情報が財布の中のクレジットカードからカード会社に至るまで安全に暗号化されて伝達されるかにかかっている。その他、クレジットカードの産業構造によるセキュリティ措置の検討については次回により詳しく探ってみることにしよう。

 

重ねて強調するが、産業構造がいかに複雑であっても、オフライン決済インフラのセキュリティにおいて最も重要なことは「トラック2」に該当する重要な取引情報の安全な保護である。
オフライン決済インフラ

 

 

上の「図1」は、本当に最小限の要素だけを描いたものである。実際、オフラインの決済インフラは図1よりもっと複雑である。下の「図3」を見てみよう。ところで、この図もすべての構成要素を描いたものではなく、単純な概念図に過ぎない。実際、オフライン決済インフラというのは本当に、本当に複雑だ!

 

図3) オフラインの決済インフラの構造とデータの流れの概要

 

一番上に置かれたCATとPOSは簡単に言えば、完全に独立した個人事業者の端末機である。中間に他に経由しないで、すぐカード会社のサーバーに接続される。便宜のため、「サーバー」と称しただけだが、実際には「VAN」または「アクワイアラー」事業者など、様々な要素が複雑に絡み合っているが、これについては次回に、より詳しく調べることにし、簡単にカード会社の「サーバー」と理解しよう。

 

それでは、その下にある「POSサーバー」とは何だろう?そしてPOSサーバーの前に複数台のPOSが集まったグループはまた何だろうか?

 

前述したようにCATとPOSの違いは決済機能のほか、別の付加機能があるかによって分けられます。単に決済機能のみを持つCATは、比較的簡単である。端末機とサーバーをただ安全に連結して、暗号化された決済情報を丸ごとやり取りすれば良い。しかし、決済機能のほか、様々な付加機能を持つPOSは、決済情報以外にも他の情報を取り扱うため、CATとは違って様々な問題を有することになる。

 

上の図から様々なPOSと結ばれているグループを見てみよう。これは、POSが設置された多くの加盟店を保有したフランチャイズ事業者、または1つの建物内に多くのショップをかまえ、数多くの端末機が設置されている大型百貨店のような大規模の事業者を意味する。当該事業者の「POSサーバー」は結ばれたグループのPOS端末機から収集した商品、会員、在庫、伝票などの情報を処理して保存する。そして当該情報を分析してCRMデータなどに活用し、経営活動に反映する。しかし、POSサーバーは決済情報、すなわち「トラック2」に該当する情報は絶対収集できない。強力な法的禁止の対象になっている。したがって、二つの情報は完全に分離されなければならない。

 

ここからデータの流れが問題になる。

「図3」の下、2つの線で分離されたデータの流れを見てみよう。決済情報、すなわち「トラック2」の情報は、端末機から暗号化され、そのままカード会社のサーバーまで飛んでいき、そこで処理される。これは法的義務である。それに対し、顧客および取引情報など「トラック2」以外の情報は、POSサーバーの段階で処理される。つまり、暗号化されたデータが復号化される地点がお互いに異なる。それで、暗号化・復号の鍵も別途管理しなければならない。

 

したがって、オフライン決済インフラのセキュリティにおけるイシューのほとんどは暗号化の問題ある。結局、すべての問題は、 各区間別に適用されるデータの暗号化、そしてインフラ全体の暗号化・復号鍵の管理問題に帰結される。

 

これをもって、オフライン決済インフラの構造とデータの流れについて簡単に探ってみました。しかし、前述したように「図3」も単なる概念図にすぎない。実際のインフラはそれよりもさらに複雑である。利害関係を持つ多くの事業者が複雑に絡んでいる。 それに関しては、次回により詳しく調べてみよう。

 

その前に最終結論を先に明らかにすると、オフライン決済インフラのセキュリティ問題のほとんどはデータ暗号化の問題だ、ということである。

 

 

D’Amo(ディアモ)

 

今年2014年リリース10周年を迎えたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として2,100ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そして研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

ペンタセキュリティ、「D’Amo for POS」でクレジットカード情報を安全に保存

ペンタセキュリティ、

 「D’Amo for POS」でクレジットカード情報を安全に保存

POSシステム専用のセキュリティ製品、
店舗のカードリーダーからカード会社までの全区間に暗号化適用

データベース暗号化とWebセキュリティグローバル企業のペンタセキュリティシステムズ株式会社 (日本法人代表取締役社長 陳貞喜、www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)が11月30日、POSシステムにおけるセキュリティ暗号化ソリューションのD’Amo for POS(ディアモ・フォ・ポス、以下、ディアモ)をリリースしたことを明らかにしました。

小売店やレストランなどでクレジットカードの決済や売上データの管理に使われる「POS端末」は、クレジットカードのカード番号や暗証番号などセンシティブな情報データが保存・移動されるため、管理を徹底する必要があります。既に韓国と米国では、POS端末による個人情報漏洩事故が発生しており、日本でも去年、カードの暗証番号が暗号化される前に盗み出される事故が起きました。一方で2010年12月からは改正割賦販売法の完全施行によりクレジットカード情報の安全管理が義務づけられ、これを受けて日本クレジット協会はカード加盟店やカード会社に対し、2018年3月までにPCI DSS(Payment Card Industry Data Security Standard)の準拠を求める実行計画(日本におけるクレジットカード情報管理強化に向けた実行計画)を公表しました。

このようにクレジットカード端末機のセキュリティに対する規制が強化されることにより、VAN社や流通会社、カード会社などは端末機に適合したセキュリティソリューションを探すために努力し続けています。しかし、クレジットカード端末機のシステムは加盟店の端末機からカード会社、VAN社を含め多様な仕組みで膨大な量の機微情報が移動するため、それに適合したセキュリティソリューションの適用は容易ではありません。

ペンタセキュリティの「ディアモ」はPOSシステム専用のセキュリティ製品としてカードリーダーから承認サーバ、流通会社のサーバ、ガード会社のサーバまで、データが転送されるすべての区間にわたってエンドツーエンド(End to End)のセキュリティを提供します。こうした独自の技術力を基に最近、韓国でSPCネットワークスを含め5つのVAN社に対し「ディアモ」による安全なPOSセキュリティシステムを構築しました。

ペンタセキュリティの最高技術責任者であるDS Kimは、「ディアモは2004年リリースされた韓国初の暗号化ソリューションとしてこれまで多様な顧客のシステムを分析し、それぞれの環境に最適化した暗号化プラットフォームを提供してきました。その結果、クレジットカードのユーザやVAN社、流通会社の皆が満足できるような安全なPOSセキュリティソリューション「ディアモ」の提供が可能でした。」とし、「機微情報が集約されているクレジットカード情報を取り扱うPOS端末機による情報漏洩は、社会や経済に大きな打撃を与える肝心な問題です。これからは日本でもPOS関連業界と協力し、POSセキュリティソリューションのセキュリティ性を強化していきます。」と述べました。

 

D’Amo(ディアモ)

 

今年2014年リリース10周年を迎えたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として2,100ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そして研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201