＃JCDSC主催 PCI DSSセキュリティフォーラム2018

カード情報非保持化とBPO事業者向け
クラウドサービス

2018/6/22

セキュリティプラットフォーム事業部事業部長

滝村 享嗣

本日のアジェンダp

会社概要

p サービス沿革
p

PCI DSS準拠/非保持化サービスラインナップ

p

改正割賦販売法及び実行計画2018について

p PCI DSS Ready Cloudのご紹介
p カード情報非保持化サービス Pay TGのご紹介
1
Copyright© LINK,INC. All Rights Reserved.

株式会社リンク

会社名
所在地

設 立URL
代表者
資本金
売上高
従業員数
業務内容

会社概要

株式会社リンク［本社］ 東京都港区赤坂7丁目3番37号 カナダ大使館ビル１階［支社］ 大阪府大阪市北区梅田2-2-2
ヒルトンプラザウエスト オフィスタワー18階
1987年11月18日
http://www.link.co.jp/
岡田 元治
10,000,000円
48億7,700万円 （2017年 5月 実績）
73 名 （2017年5月末 現在）
at+link ［ ホスティングサービス ］リンクベアメタルクラウド［ アプリプラットフォーム ］
PCI DSS Ready Cloud ［ セキュリティプラットフォーム ］
BIZTEL ［ クラウド型テレフォニーサービス ］
e-select ［ オンラインモール ］
中洞牧場 ［ 乳製品の製造・販売 ］

2
Copyright© LINK,INC. All Rights Reserved.

サービス沿革
p2013年5月 PCI DSS Ready Cloudを発表

p

2013年10月 ビジネスモデル特許を出願

p

2014年1月 KVH株式会社(現 Coltテクノロジーサービス)との提携を発表

p2014年9月 Cloud Token for Payment Cardを発表

p 2016年12月 BIZTELコールセンター PCI DSSを開始
p 2017年6月 PCI DSS Ready Cloud AWSを発表
p 2017年10月 非保持化サービス「Pay TG」を発表

3

Copyright© LINK,INC. All Rights Reserved.

カード情報非保持化/PCI DSS準拠を促進させる
サービスラインナップ-1
p BPO事業者、中規模システムを保有するお客さま向け「PCI DSS Ready Cloud プライベートクラウドモデル」• カード会社、決済代行事業者、中堅から大規模のEC事業者

p フィンテック事業者、ECカートを保有するお客さま向け「PCI DSS Ready Cloud AWSモデル」• AWSを利用されているフィンテック事業者、ECカート事業者

p 受注処理を行うコールセンターを保有するお客さま向け「BIZTELコールセンター PCI DSS」
• 通販事業者/カード会社のコールセンター及びそれらの外部委託先コー
ルセンター事業者
4
Copyright© LINK,INC. All Rights Reserved.

カード情報非保持化/PCI DSS準拠を促進させる
サービスラインナップ-2
p 電話・はがき等で受注処理を行う通販加盟店さま向け
カード情報非保持化サービス「Pay TG」• 電話/はがき/FAX等で受注処理を行う通販事業者向け

p 大規模システムを保有するお客さま向け「Cloud Token for Payment Card」• POS加盟店、カード会社、大規模な決済代行事業者

5
Copyright© LINK,INC. All Rights Reserved.

改正割賦販売法及び実行計画2018について

6
Copyright© LINK,INC. All Rights Reserved.

6月1日施行 改正割賦販売法 概要
クレジットカードを取り扱う加盟店において、カード情報の適切な管理や不正使用対策を講じることが義務づけられることになりました。改正割賦販売法の施行は2018年6月1日とされております。

改正のポイント

内容（35条の16）
クレジットカード情報の適切な管理等■カード情報を盗らせない
・カード情報の非保持化またはPCI DSS準拠の義務
・委託先の情報管理に係る指導等の義務（第35条17の15）
クレジットカードの不正使用対策の義務■偽造カードを使わせない （※対面取引）
・決済端末の「100%IC対応」の実現■行政指導や罰則について行政指導（報告徴収・立入検査）の可能性有り。罰則（懲役・罰金・過料）はなし。 (第49条）※ただし、故意にクレジットカード番号等の情報を漏えいした場合は、会社役員や個人に対して罰則有り【3年以下の懲役または50万円以下の罰金】
7
Copyright© LINK,INC. All Rights Reserved.

3月1日に発表された実行計画2018とは「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画」
・以下はその抜粋
各主体

役割

加盟店

・カード情報の非保持化（同等相当含む）またはPCI DSS準拠（対面加盟店は最終的には2020年3月までに完了）
・対応済の加盟店は、最新の攻撃手口に対応したセキュリティ対策の改善・強化を不断に実施
・EC加盟店の委託先事業者における対策

カード会社・PSP

・PCI DSS準拠の維持・運用
・カード会社は、PCI DSSに準拠していないPSPとの取引を見直し
・加盟店に対して非保持、非保持と同等/相当又はPCI DSS準拠に向けた要請【実行計画2018 P20~22】 カード情報の適切な保護を推進するためには、カード情報を取り扱う事業者全てが自主的な取組を進めることが重要である。なお、各主体がカード情報を取り扱う業務を外部委託する場合は、委託者自身が委託先のセキュリティ状況を確認し、責任を持ってPCI DSS準拠等の必要な対策を求めていくこととする。また、複数の委託者からカード情報を取り扱う業務を受託する又はショッピングカート機能等のシステムを提供する事業者は、自社システムにおけるカード情報の保持状況について確認の上、PCI DSS準拠等の必要な対策を行うことが求めら れる。

8Copyright© LINK,INC. All Rights Reserved.

BPO事業者等中規模システムを保有するお客さま向け
PCI DSS準拠を低コスト/短期間に実現させる「PCI DSS Ready Cloud」
プライベートクラウドモデル

9
Copyright© LINK,INC. All Rights Reserved.

PCI DSS Ready Cloudのコンセプト①

p PCI DSSに準拠したクラウドサービス→ 世界中に多数存在例）Amazon Web Services/Microsoft Azureなど

p クラウドサービスを利用する顧客のPCI DSS準拠をイネーブリング（促進）するクラウドサービス→ 世界初のサービス：
10
Copyright© LINK,INC. All Rights Reserved.

PCI DSS Ready Cloudのコンセプト②

Amazon WebServicesなど
他社クラウドサービス

自身のクラウドサービスのインフラがPCI DSSに準拠

クラウドサービスを利用する
顧客のPCI DSSの準拠を促進○×○○
11
Copyright© LINK,INC. All Rights Reserved.

特長（対応項目比較）
約400項目のPCI DSS要件に対しオンプレミスと比較して、大幅に対応項目を圧縮オンプレミスで構築

ユーザ対応
約400項目PCI DSS Ready Cloud
でカバー
ユーザ対応
約170項目
12
Copyright© LINK,INC. All Rights Reserved.

PCI DSS準拠を促進させる仕組み ①
p PCI DSS要件に適合したサービスや仕様を標準で提供ØPCI DSSに必要となるセキュリティコンポーネントの標準実装。
個別投資（カスタムアプリケーションは除く）は必要ない。
Ø環境構築を行う際のツール選定のプロセスが不要ØPCI DSSのギャップ分析が不要（カスタムアプリケーションは除く）
ØOSや各種設定のテンプレート化による、設計プロセスの削減
Ø手間のかかる関連ベンダコントロールをPCI DSS Ready Cloudに一本化
13
Copyright© LINK,INC. All Rights Reserved.

PCI DSS準拠を促進させる仕組み②
p PCI DSS準拠を促進させるサポートサイト（ナレッジの提供）

14
Copyright© LINK,INC. All Rights Reserved.

PCI DSS準拠を促進させる仕組み ③
p PCI DSS準拠のためのコンサルティングを軽減するドキュメント類

ガイダンスシート

サービス仕様書

準拠証明書
15
Copyright© LINK,INC. All Rights Reserved.

特長（コスト比較）
オンプレミスと比較して圧倒的な低コスト（サーバ11台の構成で比較）
オンプレミスで構築

初期5,200万円

月次290万円■インフラ費用他
・GAP分析等
・サーバ/ネットワーク・ソフトウェア・システム設計/構築■インフラ費用・ソフトウェア保守・ハードウェア保守・運用人件費■データセンター費用
・回線/ラック
・監視/運用設定■データセンター費用
・回線/ラック・24時間 監視/運用

初期260万円

月次130万円※左記同等機能をサービス料金内に含む。
※サービス料金以外にお客さま人件費含む※オンプレミスで構築する場合との比較資料が必要な場合はお問い合わせください。
16
Copyright© LINK,INC. All Rights Reserved.

特長（スケジュール比較）
オンプレミスと比較して圧倒的な短納期
オンプレミスで構築
お客様
サービスリリース
▽

3ヶ月

2ヶ月

3ヶ月

2ヶ月

2ヶ月

ギャップ分析

ツール選定

ツール調達／設計

インフラ構築／設定

アプリケーション
テスト

2.5ヶ月

1ヶ月

2ヶ月

サービス
仕様策定

設定

アプリケーションテスト

△PCI DSS Ready Cloud
納品

お客様
サービスリリース▽

17
Copyright© LINK,INC. All Rights Reserved.

多数のBPO事業者に選ばれています
p BPO事業者サービス概要
p PCI DSS準拠/非保持化のコストを抑制したい、ノウハウに精通した人材が不足するなど課題を持つ企業に向けたBPOサービスを提供
p 電話での決済、カード加盟店の売上集計、データ入力・電子化といった機密性の高い情報を取扱う業務

p BPO事業者に導入された主なサービス
p PCI DSS Ready Cloud プライベートクラウドモデル
p BIZTEL コールセンターPCI DSS

p 解決した課題
p ビジネスプランにあったシステム投資
p 「PCI DSS準拠済」BPOサービス開始までのスケジュールを短縮
18
Copyright© LINK,INC. All Rights Reserved.

電話/はがき/FAXオーダーの加盟店向け
カード情報非保持化サービス Pay TGのご紹介

19
Copyright© LINK,INC. All Rights Reserved.

MOTO加盟店 認定非保持化ソリューションとは【実行計画2018 P13〜14 】 ② メールオーダー・テレフォンオーダー等の非対面加盟店における非保持化について
メールオーダー・テレフォンオーダー等の EC 加盟店以外の非対面加盟店(以下 「MO・TO 加盟店」という)においては、顧客から電話・FAX・はがき等でカード情 報を入手し、MO・TO 加盟店の機器においてカード情報を入力し決済を行うため、カ ード情報を電磁的情報で自社内に「通過」させない外回り方式を導入することにより、カード情報の非保持を実現することが可能となる。

20
Copyright© LINK,INC. All Rights Reserved.

電話/はがき/FAXで受注処理を行う加盟店向け

カード情報非保持化サービス「Pay TG」概要

21
Copyright© LINK,INC. All Rights Reserved.

カード情報非保持化サービス「Pay TG」の特長①

カード情報の非保持化を実現
PCI PTSの認定済のCCT同等以上のセキュリティレベルの決済専用端末を当社から貸与します。外回り決済を実現し、加盟店内の業務端末では正規のカード情報を電磁的に通過/処理/保存されません。

22
Copyright© LINK,INC. All Rights Reserved.

カード情報非保持化サービス「Pay TG」の特長②

既存の決済代行事業者を利用可能
本サービスを利用するにあたり、現在利用されている決済代行事業者を変更する必要はございません。そのまま継続利用することが可能です。

23
Copyright© LINK,INC. All Rights Reserved.

カード情報非保持化サービス「Pay TG」の特長③

ECと同様の決済フローを実現
決済結果や金額、カード番号と紐付くIDを受注システムと連係する仕組みを提供することにより、ECと同様の決済フローを実現しています。

24
Copyright© LINK,INC. All Rights Reserved.

カード情報非保持化サービス「Pay TG」の特長④

業務用PCと金額連携する仕組み
決済結果や金額、カード番号と紐付くIDを受注システムと連係する仕組みを提供する
ことにより、金額の二度打ち等、オペレーション上の手間を発生させない設計を実現しています。

25
Copyright© LINK,INC. All Rights Reserved.

「Pay TG」実装機能概要• オーソリ• オーソリ売上• カード有効性チェック• カード情報お預かりサービス※各決済代行事業者が提供するサービスに準じます。

26
Copyright© LINK,INC. All Rights Reserved.

Pay TG PCアプリ利用をし、オーソリ処理から取引IDを受注管理システムに登録する場合の想定イメージ図

業務用PC端末

お客さま情報

お客さま情報商品番号 商品名 金額
合計金額

業務用PC端末

Pay TG端末

OK

コピーペーストまたは手入力

商品番号 商品名 金額
取引ID

受注管理システムOK

受注管理システム
Pay TG PCアプリ
入力画面

1.注文内容をヒアリング後、Pay TG PCアプリに合計金額をコピーペーストまたは手入力、支払方法、分割回数を選択し［実行］ボタンを押下。指定した内容がPay TG端末へ送信されます。

2.内容を確認の3.正常な決済

上、端末に以下の情報を入力します。

処理後、以下の結果が画面表示されます

・カード番号・カード有効期限
・セキュリティ
コード

コピーペースト
またはて入力Pay TG PCアプリ
オーソリ結果4.当社ゲートウェイを介して、Pay TG PCアプリにオーソリ結果が表示。戻ってきた取引IDをお客様の受注管理システムにコピーペーストまたは手入力します。

・取引ID
・承認番号

※取引結果はPay TG PCアプリの機能でCSVデータとして一括ダウンロードする事も可能です。
※上記仕様は開発中の為、変更になる可能性がございます。

27

Pay TG API利用をし、オーソリ処理から取引結果を受注管理システムと連携する場合の想定イメージ図

業務用PC端末

業務用PC端末

Pay TG端末

お客さま情報

お客さま情報商品番号 商品名 金額

商品番号 商品名 金額

合計金額

取引ID

OK

受注管理システム※戻り値をセット受注管理システム※入力値が送信

1.実行ボタンで以下のデータを決済ゲートウェイに送信します。
【送信内容】
・トランザクションID
・処理カテゴリ
・取引ID
・取引日付
・合計金額
・支払区分
・支払回数

OK

2.内容を確認の上、端末に以下の情報を入力します。
・カード番号・カード有効期限
・セキュリティコード※API仕様書はNDA締結後ご提供します。

3.正常な決済
処理後、以下の結果が画面表示されます
・取引ID
・承認番号

4. 受注管理システムに結果を受け渡しします。
【受信内容】
・処理結果コード・詳細結果コード・エラーメッセージ
・取引ID
・応答承認番号
・決済GWエラーコード
・決済GWエラーメッセージ
・端末から電文を受信した時刻
・端末へ電文を送信した時刻

28

Pay TG PCアプリケーション仕様• 対応OS ：Windows OS 7 、8.1、10(Windows7および8の場合はUSBドライバーのインストールが必要)• ディスク容量 ：最大300M 以上• CPU： 1GHz 以上• メモリ ： 1GB 以上の空き• USBポート ：USB1.1以上※Pay TG端末は受注処理用PCと1対1でペアリング認証します。
※仮想環境では動作保証いたしません
29
Copyright© LINK,INC. All Rights Reserved.

Pay TG 端末仕様

30
Copyright© LINK,INC. All Rights Reserved.

Pay TG 接続先決済代行事業者について※掲載されていない決済代行事業者は個別にお問い合わせください。
31
Copyright© LINK,INC. All Rights Reserved.

Pay TG導入事例
p 大手旅行代理店 受注センター
導入台数：80台
複数拠点利用の場合でのコスト抑制を評価
p スキンケア商品 受注センター
導入台数：10台
コンプライアンス（6/1改正割賦販売法への対応）
p 定期購読（新聞、雑誌）サービスセンター
導入台数：10台
運用方法を変更する必要がない点を評価
p ISP事業者 コールセンター
導入台数：70台
タブレットと比較・検討して運用面で優れていると判断したため
32
Copyright© LINK,INC. All Rights Reserved.

申込から利用開始までの手順
お客様
■見積依頼
①マーチャントID数②Pay TG決済端末台数③契約期間（1年、2年、3年）④決済代行会社⑤利用開始希望日■関連書類記載［サービス利用申込書］［Pay TG決済端末情報］［担当者・サポートアカウント］※サービス約款の合意が必要です。

①Pay TG決済端末 設置拠点
②設置拠点
③決済代行事業者④利用開始日、利用期間(1年、2年、3年)⑤マーチャントIDおよびマーチャントPass■サポートサイト ログイン
Pay TG PCアプリケーションをサポートサイトからダウンロードしてください。
※操作方法、Pay TG決済端末の準備などはユーザマニュアルをご確認ください■ペアリング認証
・Pay TG PCアプリケーションがインストールされた業務PCとPay TG決済端末間をペアリング認証を行って下さい。
■初期起動
・最新のファームウェアを確認

リンク■見積書送付［サービス利用申込書］［Pay TG決済端末情報］［担当者・サポートアカウント］送付■関連書類受領［サービス利用申込書］［Pay TG決済端末情報］［担当者・サポートアカウント］
・決済GWセンターに加盟店情報を登録
・Pay TG決済端末 初期設定作業

決済代行会社へ加盟店がPay TG利用することを連絡■サービス仕様書郵送
・Pay TG サービス仕様書
・サポートサイト ログインID

サービス仕様書とPay TG端末は別発送■Pay TG端末郵送
・付属品：USBコード、AC電源、SIM(セッティング済）、箱お客様の顧客情報管理システムとPay TGをAPI接続する場合は、別途お客様のカスタマイズが必要です。

33
Copyright© LINK,INC. All Rights Reserved.

お問い合わせ株式会社リンク
TEL
FAX

セキュリティプラットフォーム事業部： 03-6406-4639： 03-5785-2277

MAIL ： spdsales@link.co.jp

URL ： http://www.pcireadycloud.com/

34
Copyright© LINK,INC. All Rights Reserved.