ポイントツーポイント暗号化
ペイメントカード業界セキュリティ標準協議会（PCI SSC）は、PCIポイントツーポイント暗号化（P2PE）標準を含む、決済業界のセキュリティ要件を定義、明確化、施行します。PCI SSCはこのような標準を通じて、P2PEソリューションプロバイダーがソリューションを検証する方法と、これらの検証済みソリューションを活用することによりマーチャントがPCI DSSの評価範囲を縮小する方法を詳しく説明します。
P2PEは、アプリケーションレベルの暗号化の特殊ケースであり、暗号化はビジネスアプリケーション（この場合は販売時点情報管理（POS）端末）内で選択的に適用されます。ポイントツーポイント暗号化プロセスが正しく実装され、アカウントデータがPOS端末などの承認された安全な暗号化デバイス（SCD）内で暗号化され、それらのデータがマーチャント環境内でまったく復号化されない場合、マーチャントはPCI DSSの範囲からほぼ完全に除外される可能性があります。
復号鍵の保護とアクセスのために厳格な管理を実施する必要があります。実際、現在のガイダンスでは、これらの鍵へのアクセスを保護するために、適切なセキュリティ評価を受けたハードウェアセキュリティモジュール（HSM）の使用が求められています。決済チェーンのアクワイアラーやその他の関係業者は、P2PEを活用してマーチャントのコンプライアンスコストを削減する付加価値サービスの販売をすでに開始しています。PCI DSSの観点からすると、アカウントデータの復号化機能を備えたシステムは即座にその対象となるため、HSM内の鍵を保護することでマーチャントを隔離する機能は、関係者全員に大きなメリットをもたらす可能性があります。
- 課題
- ソリューション
- メリット
ポイントツーポイント暗号化：今日の課題
- ポイントツーポイント暗号化でアカウントデータを保護しない組織は、PCI DSSの義務に準拠できず、罰金やビジネスへの損害を被るリスクがあります。
- 攻撃者は、多くのチャネル（Webサイト、コールセンター、ヘルプデスク、Eメールシステムなど）を介して意図的または意図せずに侵入するため、一般的な組織内の多くの場所から顧客アカウントデータを盗む可能性があります。攻撃は組織全体に迅速かつ広く伝播する可能性があり、対策とコンプライアンスレポートにかかるコストを押し上げます。
- 暗号化はリスクを軽減できますが、組織は鍵を適切に管理するための措置を講じる必要があります。純粋にソフトウェアベースのシステムに存在する鍵は、攻撃に対して脆弱であり、コンプライアンスの義務を果たさない場合がよくあります。
- PCI DSSはポイントツーポイント暗号化（P2PE）の使用を義務付けていませんが、このポイントツーポイント暗号化アプローチを利用してPCI DSSの範囲を縮小しない組織では、不必要なコンプライアンスコストが発生する可能性があります。
ポイントツーポイント暗号化：タレスのソリューション
タレスは、PCI DSSに効果的かつ効率的に準拠できるようサポートするだけでなく、ポイントツーポイント暗号化（P2PE）を通じて、PCI DSSの範囲を縮小し、コンプライアンスコストを削減する上でも役立ちます。payShield HSMは、P2PEガイドラインで義務付けられているFIPS 140-2レベル3標準に対して独自に認定されており、鍵マテリアルを安全に生成、保存、管理し、復号化操作を安全に実行できる信頼のおける環境を構築します。この方法でのHSMの使用は、ユーザーPINが決済ネットワークを通過するときにHSMを使用してユーザーPINを保護する方法と類似しています。どちらの場合も、暗号鍵とプロセスに対してメモリスキャン攻撃、ランタイムモニタリング、または悪意のある特権ユーザーのリスクを生じやすい、ソフトウェアベースのシステムによく見られる弱点を、HSMにより克服することができます。
アカウントデータの暗号化・復号化に、タレス CipherTrust データセキュリティ プラットフォーム、独自に開発したソフトウェア、サードパーティの商用アプリケーションのいずれを選択する場合でも、payShield HSMは展開が簡単で、フォーマット保持暗号化（ FPE）などの革新的テクノロジーをサポートして、既存のビジネスプロセスへの影響を最小限に抑えます。これらのデバイスは、業界パートナーや主要POSメーカー製品と直接連携可能と認定されており、迅速な展開と既存システムとのシームレスな統合を保証します。
タレス HSMを使用することで、次のことが可能になります。
- PCI DSS準拠のポイントツーポイント暗号化（P2PE）を導入して、アカウントデータを保護し、コンプライアンスコストを削減します。
- 実装プロジェクトを加速します。payShield HSMは、主要な暗号化ベンダーが提供するCipherTrust データセキュリティ プラットフォーム製品と統合することが事前認定されています。
- パフォーマンスレベルとフォームファクタの選択肢を活用することで、必要なものだけを正確に展開し、ニーズの変化に応じて簡単にアップグレードできます。
- 最先端のFPEを利用して、プレーンテキストのアカウントデータではなく、暗号化されたアカウントデータにさらされている既存システムへの影響を最小限に抑えます。