デジタル環境でのセキュリティ侵害や攻撃は、企業に深刻な影響を与えます。2023年に公表された英国政府の報告書では、過去12カ月にサイバー犯罪を経験した企業の割合は、中規模企業で4分の1超、大企業で3分の1超でした。被害には大きな費用も伴います。
2023年の英国政府の調査では、企業が負担するサイバー犯罪の平均コストを被害企業1社あたり約15,300ポンドと推計しました。一方、IBMの2023年版「Cost of a Data Breach Report」は、データ侵害の世界平均コストを445万米ドルとしています。この数字は、攻撃の被害を受けた553社の調査に基づきます。
企業には複数の防御策があります。その一つが、強固なセキュリティ対策を備えた信頼できる決済代行会社と提携することです。本記事では、決済代行会社のセキュリティを比較する際に確認すべき機能を、思わぬ被害を防ぐ観点から詳しく解説します。
決済セキュリティが重要な理由
決済事業者は顧客の機密性の高い個人情報や金融情報を大量に扱うため、セキュリティが最優先です。選択した決済技術は、自社口座への精算も担います。事業の安定した運営を守るには、決済に伴う次のリスクを抑えなければなりません。
企業の金銭的損失： 個人の金融情報が無断または不正に使われた後のチャージバックや返金対応には、費用と担当者の時間がかかります。
顧客の信頼喪失と評判の悪化： 売上減少につながる可能性があり、信頼回復は容易ではありません。
法的な影響： 各地域の規制に対応していない場合、高額な罰金などの不利益が生じることがあります。
最悪の場合、長期間にわたり企業の評判を損なう壊滅的な結果となります。たとえばオーストラリアの大手ピザチェーンは2023年9月、個人情報の盗難を伴うデータ侵害で約193,000人の顧客が影響を受けた可能性があると発表しました。翌月にはシンガポールの高級複合施設でセキュリティ事故が発生し、665,000人の顧客の個人データが流出しました。
したがって、安全な決済処理は不要な負担ではなく、企業の成長と成功への投資と考えるべきです。
グローバルな成長を実現する
決済代行のセキュリティを構成する主な要素
デジタル決済は急速に進化し、サイバー犯罪者の手口もセキュリティ専門家の対策と並行して高度化しています。強固な決済セキュリティは規制対応に必要なだけでなく、デジタル市場で信頼を築く基盤です。安全な決済システムには3つの柱があります。これらを理解すれば、攻撃に耐えられる加盟店契約会社を選びやすくなります。
認証
認証とは、取引に関わる当事者の身元を確認し、顧客、加盟店、金融機関がそれぞれ本人・正規の組織であることを確かめる手続きです。
代表例がCVV（カード確認コード）です。クレジットカードやデビットカードに記載された3桁または4桁の番号で、オンラインや電話での取引時に入力を求められます。仮に不正利用者がカード番号を入手しても、カードを実際に持つ人だけがこのコードを確認できるという考え方です。
カード不正のリスクをさらに下げるため、現在の決済事業者は多要素認証を提供しています。カード情報に加え、取引処理前に2段階目の認証を求める場合があります。たとえば、利用者へワンタイムコードをSMSで送る、指紋認証を求めるといった方法です。
機密性
認証が本人確認であるのに対し、機密性は情報を安全に保つことです。顧客データとカード情報は、送信中も保存中も非公開にしなければなりません。そのために暗号化が重要な役割を果たします。
完全性
3つ目の柱はデータの正確性と信頼性です。取引の全過程で、情報が改ざんされていない状態を保ちます。信頼できる加盟店契約会社は、電子署名や安全なデータ伝送手順などを使い、各取引の完全性を保証します。これにより、加盟店と顧客は知らない間に情報が書き換えられないと安心できます。
暗号化はどのように決済を守るのか
暗号化技術は、高度化する脅威に対応するため継続的に進歩しています。数十年にわたり使用・改善されてきた代表的な方式が、SSL（Secure Sockets Layer）とTLS（Transport Layer Security）です。
SSLは1990年代半ば、オンライン通信の機密性、データ完全性、認証を確保するためNetscapeが開発しました。「ハンドシェイク」と呼ばれる手順でサーバーがデジタル証明書をクライアントへ送り、暗号鍵を共有します。情報は送信中には読み取れない状態になり、目的地へ到着すると元に戻せます。
SSLは脆弱性への対応として1990年代に何度か更新され、1999年には改良版のTLSが導入されました。機能が追加され、攻撃に対する脆弱性もさらに改善されました。TLSは現在も安全な通信の基準で、HTTPSなどに広く採用されています。暗号アルゴリズムや鍵交換方式は、オンラインセキュリティへの要求に応じてその後も進化しています。なお、TLSを指してSSLという言葉を使う人もいます。
TLSはインターネット上の安全な通信を目的とし、交換するデータの機密性と安全性を守ります。第三者による盗聴や改ざんを防ぎます。ただし、現代のデジタルセキュリティには他にも重要な仕組みがあります。2000年代に登場したトークナイゼーションもその一つです。機密データを固有の識別子、すなわち「トークン」に置き換える方法で、カード決済において重要です。
トークナイゼーションの仕組みとメリット
従来の暗号化ではデータを読めない状態に変換し、送信先で元に戻します。一方、トークナイゼーションは、カード情報などの機密情報を、機密性を持たない固有のトークンへ置き換えます。安全な保管庫またはサーバーでトークンを生成・管理し、機密データはその保管先へ送ります。取引処理では、トークンが元の情報の代わりに使われます。
そのため、攻撃者がトークンを傍受しても、元の情報へアクセスすることはできません。トークナイゼーションは従来の暗号化に追加の保護層を加え、データの機密性と完全性を高めます。
カード情報を扱う際のセキュリティ要件を定めるPCI DSSは、2000年代半ば以降のトークナイゼーション普及に重要な役割を果たしました。現在では広く採用され、Apple PayやGoogle Payなどのモバイル決済・デジタルウォレット、VisaやMastercardなどのカードネットワークがカード情報の安全性向上に利用しています。医療など他業界の機密情報保護にも使われています。
決済代行会社とコンプライアンス
ここまでの機能の多くは、顧客と機密データを守るものです。企業自体を守る加盟店契約会社を選ぶことも重要です。その方法の一つが、厳格なコンプライアンス基準の遵守です。信頼できる決済代行会社は、自国の基準だけでなく、取引する他の国・地域に適用される業界基準も最新の状態で満たします。
PCI DSS
加盟店と決済事業者が守るべき世界共通の基準の一つが、PCI DSS（Payment Card Industry Data Security Standard）です。オンライン取引時にカード情報を安全に扱い、データ侵害や不正のリスクを抑えるために設計されました。
PCI DSSは法律ではありませんが、カード情報を処理、保存、送信する組織に対し、大手カード会社が契約上課す義務です。対象には加盟店、決済事業者、金融機関が含まれます。
主な要件は次のとおりです。
安全なネットワークを構築し、維持する。
暗号化などの対策でカード会員データを保護する。
強力なアクセス制御を導入する。
ネットワークの脆弱性を定期的に監視・テストする。
情報セキュリティ方針を維持し、従業員にセキュリティのベストプラクティスを教育する。
PCI DSSへの対応は通常、年間取引件数を基に4段階に分類されます。取引量が多いほど、より厳格な対応が求められます。未対応の場合、罰金、カード決済機能の制限、評判の悪化につながる可能性があります。
国・地域によって異なる規制・基準
PCI DSS以外にも、決済を扱う企業が理解すべき業界基準や地域規制があります。
ISO/IEC 27001： 機密情報の管理を扱う、情報セキュリティマネジメントシステム（ISMS）の国際規格。
GDPR： 個人データの処理とプライバシーの権利を扱うEU規則。
Personal Data Protection Act（PDPA）： シンガポールで事業を行う企業が個人データを収集・利用する方法を定める法律。
Notifiable Data Breaches（NDB）Scheme： データ侵害を経験したオーストラリア企業に、当局への通知を義務付ける制度。
決済事業者に求めたい高度なセキュリティ機能
以下は、近年のデジタル決済セキュリティを変えた機能です。信頼できる決済代行会社は、オンラインデータの完全性、真正性、機密性を守るため、これらを円滑に組み込みます。
3Dセキュア
3DSとも呼ばれる3Dセキュアは、従来のパスワードに加えて保護層を追加します。利用者は、ワンタイムパスコード、銀行の認証ページ、または生体認証などで、もう一度本人確認を行います。これにより、無断取引のリスクを抑えます。
欧州では、Strong Customer Authentication（SCA）規則により、すべてのカード決済で3DSが求められます。他地域では任意です。一定額を超える取引や、不審・高リスクと判断した取引でのみ3DSを表示する企業もあります。
大手カードブランドは2022年、3D Secure 2（3DS2）と呼ばれる新しい版へ移行しました。従来版の制約を改善し、より迅速、安全、正確な不正検知を可能にしました。
生体認証
指紋・虹彩スキャン、声・顔の認識技術は、デジタル決済の追加認証として利用が広がっています。生体データは個人固有で、現在の技術は速く円滑に動作するため、使いやすさを保ちながら安全性を高められます。
機械学習
従来のコンピューター処理は、定めたルールに従って動作させるものです。機械学習のアルゴリズムは大量のデータから学習・適応し、通常とは異なる動きを見分けられます。そのため、不正の可能性がある異常な活動をリアルタイムで企業へ知らせることができます。
信頼できる決済代行会社は、こうしたサイバーセキュリティの進歩を組み合わせ、変化する脅威へ多面的に備えます。安全性を高めるだけでなく、顧客の負担を抑えた利用体験にもつながります。
決済パートナーの選び方
決済代行のセキュリティ水準は、パートナー選定時に必ず確認したい項目です。適切な決済事業者は、最初から慎重に選ぶべきです。一度導入した後は、安全性と信頼性が継続すると確信し、本業の成長に集中できる状態が望まれます。現在のニーズだけでなく、将来にも通用する強固なセキュリティ機能が必要です。
候補を絞る際は、次を確認してください。
機密性の高い顧客データを守るため、どのような対策があるか。エンドツーエンド暗号化、トークナイゼーション、PCI DSSなどの業界基準への対応を確認する。
事業の成長に合わせて拡張できるか。現在の取引量だけでなく、事業拡大後にも対応できる柔軟性を確認する。
海外取引に対応しているか。複数通貨、現地の決済方法、地域規制への対応を確認する。
既存システムへ簡単に連携できるか。API連携と主要なeコマース基盤への対応を確認する。
料金体系と関連手数料はどうなっているか。費用の内訳が明確で、透明性と競争力のある料金であることが重要。
24時間いつでも顧客サポートを利用できるか。緊急の問題やセキュリティ懸念が生じた際、いつでも連絡できることが重要。
技術サポート担当者に十分な専門知識があるか。問題を迅速に解決し、決済処理への影響を抑えられる体制が理想。
自社で問題を解決するための包括的な資料があるか。軽微な問題を社内で処理し、連携を円滑に進めるために役立つ。
すでに決済事業者を利用している場合も、強力で安全、費用対効果が高く、使いやすい仕組みか改めて確認する価値があります。不安がある場合は、Airwallexへの切り替えを検討してください。
Airwallexが提供する最高水準の決済セキュリティ
Airwallexは、現代のグローバル企業向けに、最新の決済セキュリティ技術を備えた決済処理と加盟店契約サービスを提供します。
グローバル展開を前提に設計され、世界各地で60以上の金融ライセンスを保有しています。顧客の所在地を問わず、法令・業界基準に沿って、安全かつ円滑に決済を受け付けられます。Apple Pay、Google Pay、Alipay、Klarnaを含む160以上の決済方法で購入手続きを現地向けに最適化できます。複数通貨で価格を表示・精算し、高額な為替手数料を避けることも可能です。
Airwallexは、ネットワークトークナイゼーションや3DS2など、最高水準のセキュリティ技術で企業と顧客を保護します。機械学習を用いた最適化エンジンには、自動再試行、ISOメッセージの最適化、チャージバック前の解決プログラムが含まれ、決済承認率の向上と決済紛争コストの削減を支援します。
Airwallexなら、次世代技術で顧客データを守れます。詳しくは、Airwallexにご登録ください。
財務業務を効率化する
View this article in another region:グローバル
Tilly Michell
Content Marketing Manager
Tilly manages the content strategy for Airwallex. She specialises in content that supports businesses in their growth trajectory.
