[Confidential]

Copyright © NetMove Corporation. All right reserved.

1

2

3

4

5

6

7

8

9

10

11

1213

クレジットカード取引におけるセキュリティ対策（PCI P2PE ソリューションについて）
2017/6/22
ネットムーブ株式会社
高田 理己

takada@netmove.co.jp[Confidential]

Copyright © NetMove Corporation. All right reserved.

What‘s provided by NetMove?
決済サービス

セキュリティサービス
https://www.saat.jp

PCI P2PE 認定取得に向けて監査対応中[Confidential]

Copyright © NetMove Corporation. All right reserved.

15本日のお話し PCI P2PE の概要

 PCI P2PE コンポーネント
 HSM を利用した P2PE キーマネジメント[Confidential]

Copyright © NetMove Corporation. All right reserved.

16

PCI P2PE の概要についてお話しします[Confidential]

Copyright © NetMove Corporation. All right reserved.

17

PCI P2PE（Point To Point Encryption） とは？
 対面加盟店向けソリューション

 Point To Point でカード情報を暗号化
対面加盟店（カードリーダ）[Confidential]

Copyright © NetMove Corporation. All right reserved.

暗号化

決済センタ

18

経産省実行計画2017年版からの引用(2)対面加盟店におけるカード情報の非保持化についてより抜粋[Confidential]

Copyright © NetMove Corporation. All right reserved.

19

PCI P2PE Overview（PCI SSC サイト引用）• Only Council-listed P2PE solutions are recognized as meeting
the requirements necessary for merchants to reduce thescope of their cardholder data environment through useof a P2PE solution. (PCI P2PE FAQ)PCI DSS Quick Reference Guide Understanding PCI DSS v3.0
[Confidential]

Copyright © NetMove Corporation. All right reserved.

20

SAQ Validation Type P2PE

Of Questions:22

Of Questions:331

Of Questions:33
PCIP2PE Solution Provider Service
利用時は自己問診33項目で加盟店はPCIDSS準拠相当とみなされる[Confidential]

Copyright © NetMove Corporation. All right reserved.

21

Self-Assessment Questionnaire P2PE（参考）[Confidential]

Copyright © NetMove Corporation. All right reserved.

22続いて、P2PE において構成されるコンポネントとソリューション全体の管理について[Confidential]

Copyright © NetMove Corporation. All right reserved.

23

PCI P2PE Components
HSMで鍵管理

鍵管理アプリは開発済み

加盟店決済センタ間はセンシティブデータを暗号化

P2PE 認定済み
端末(POI)を利用

弊社ポケレジで対応済み
Example P2PE Implementation at a Glance[Confidential]

Copyright © NetMove Corporation. All right reserved.

24

PCI P2PE Domains (High Level Summary of Six P2PE Domains)
暗号化端末
アプリ管理

ロジスティクス

暗号化アプリセキュリティ

P2PEソリューシ
ョン管理
加盟店管理
ソリューション

N/A(Not Applicable)

復号化環境
鍵管理
運用全般

[Confidential]

Copyright © NetMove Corporation. All right reserved.

25

PCI P2PE Component Provider

Added new diagram to explain relationships between P2PE solution
providers, P2PE component providers, and other thirdparties.(Summary of Change P2PE 1.1 to 2.0）
Miura Certified PCI P2PE Component Provider• PCI P2PE Domain2 (Application Security):2016/10/10• PCI P2PE Domain6 (Cryptographic Key Operations and Device
Management) – Annex A2: (CA Operations): 2016/9/22[Confidential]

Copyright © NetMove Corporation. All right reserved.

26

PCI P2PE 認定取得プロセス例

プレ監査

 プレ監査結果
 ギャップ分析結果< ~2ヶ月[Confidential]

ギャップ改善・文書化

 ギャップ改善対応
 監査用文書< ~2ヶ月Copyright © NetMove Corporation. All right reserved.

オンサイト監査・文書ファイナライズ

 監査報告書 PCI SSC への報告
< ~1ヶ月PCI SSC レビュー

 認定取得!!
< 2~3 ヶ月

27

PCI P2PE ソリューションプロバイダの責務
 P2PE 対応可能なコンポーネントの選定

 責任、役割分担を明確に規定
 運用体制の確立[Confidential]

Copyright © NetMove Corporation. All right reserved.

28

PCI P2PE 監査提出証跡例[Confidential]

Approval

3 rd Party
Agreement

ManualLogs

Copyright © NetMove Corporation. All right reserved.

29最後に、PCI-P2PE におけるHSM を利用したキーマネジメントについてお話しします[Confidential]

Copyright © NetMove Corporation. All right reserved.

30

What’s “DUKPT”? (P2PE Core Key Management)• Derived Unique Key Per Transaction, トランザクション毎に異なるユニークな暗号鍵を使うことで暗号鍵の危殆化を防止する仕組み• BDK（Base Derivation Key）を用いて端末毎に異なる鍵を生成– BDK が危殆化した際には決済システムの鍵が判別できてしまう– P2PE では BDK は HSM に格納して厳重に管理することが義務付けられている
KSN
決済端末

HSM
BDK

最初に Initial Key を BDK で端末鍵を生成して配布[Confidential]

IPEK

Copyright © NetMove Corporation. All right reserved.

31

Remote Key Injection
PCI P2PE Domain6 Annex A1(Remote Key Distribution using
Asymmetric Techniques)

Terminal + CA Cert

HSM + CA Cert

CA

BDK

VerifySuggested
Terminal Cert
IKSN

InjectDecrypt+Generate

IPEK

Encrypt

IPEK

TMKTMKDecrypt

Verify[Confidential]

Copyright © NetMove Corporation. All right reserved.

Encrypt&Sign32

ご提供サービス形態イメージ（ご参考）[Confidential]

Copyright © NetMove Corporation. All right reserved.

33

PCI P2PE マイグレーション例（AsIs – ToBe)
ToBe

AsIs

Card
CenterCard
Center

6.オーソリ
5.オーソリNON
PCI DSSPCI P2PE

加盟店
POS Host
3.カード番号からトークンを引き当て

3.カード番号を利用したポイントサービス

2.カード番号＋金額トークン
サービス
4.ディスカウント等を付与後にオーソリ

1.磁気取引2.カード番号＋金額

5.ディスカウント等を付与後にオーソリ

4.トークン情報からポイント会員情報を照会

1.IC取引
店舗POS(磁気のみ)[Confidential]

加盟店
POS Host

Copyright © NetMove Corporation. All right reserved.

POS(with EMV)

34

PCI P2PE ソリューションまとめ 対面式決済を Point To Point で暗号化
 単に暗号化すれば良いというわけではない• 適正な暗号鍵のキーマネジメント• ソリューションとしての厳正な管理体制

 セキュリティを担保しつつ、加盟店の責務・負荷は軽減される[Confidential]

Copyright © NetMove Corporation. All right reserved.

35