「 Identity Theft Resource Center」によると、 昨年、米国ではセキュリティ侵害が過去最多を記録し、約6億7,500万件の記録に及びました。こうした侵害の30％超はビジネス部門を標的とし、Neiman Marcus、Goodwill Industries、P.F. Chang’s、Dairy Queenなど、最もよく知られた小売業者も被害を受けました。
一部の小売業者は、ペイメントカード業界のコンプライアンスやセキュリティ基準（PCI）などへの対応を強化していますが、基準を満たすだけで十分なのでしょうか。なぜ準拠すべきなのでしょうか。さらに重要なのは、そもそもなぜハッカーはこれほど簡単に脆弱性を見つけ、アカウント情報にアクセスできるのでしょうか。
こうした不都合な真実などが、最近のSAP Radioの放送「クレジットカード侵害時代のデータセキュリティ」で明らかになりました。
脅威への警戒を怠らない
Richard McCammon氏（Delego Software）によると、北米だけでも詐欺による損失は数十億ドルに上り、世界規模ではその額が大幅に膨らみます。そのため、ハッカーは常に脆弱性を探し続けます。
「ハッカーは、電子商取引の管理策を備えていない人々を狙っています」とMcCammon氏は述べました。
こうした巧妙な手口はハッカーに優位を与えるように見えるかもしれませんが、データ侵害は避けられないものだと企業に思わせるべきではない、とHMS Technology Groupの共同創業者兼社長、Hillel Zafir氏は述べています。
「侵害対策は、小売業者のマーケティング、事業、セキュリティの取り組みの最優先事項であるべきです」とZafir氏は述べました。「標的にするのがずっと難しい相手になれば、ハッカーは次の相手へ移るでしょう。」
SAPのセキュリティ・アイデンティティ管理責任者、Gerlinde Zibulski氏は、ここ数年のクラウドコンピューティングの進歩により、すべての企業がハッカーに対抗できると考えています。
「お客様の中には、現在のクラウド導入環境ははるかに安全で、オンプレミス環境より安全だと言う方もいます」とZibulski氏は述べました。「興味深い指摘です。技術は間違いなく向上しており、特にセキュリティ面でそう言えます。」
基準を定める
主要クレジットカード会社6社が策定した前述のPCI基準も、サイバー犯罪との闘いの中で強化されつつあります。しかし、どのような基準策定の取り組みでも、準拠が鍵となります。
「準拠していない人がいると、こうした大規模な侵害が起きてしまいます」とMcCammon氏は述べました。「侵害が起きると、場合によっては数十万ドルの罰金が科され、数百万ドルに達することもあります。ルーターの初期パスワードを変更せずに使うような、単純なことが原因になるのです。」
しかし、HMS TechnologyのHillel Zafir氏によると、サイバー犯罪対策の答えはPCI基準だけではありません。実際、PCIが真剣に受け止められるためには、さらに多くの取り組みが必要だとZafir氏は考えています。
「銀行は小売業者と積極的に意思疎通していませんし、その間にあるゲートウェイや処理業者は、ルールが何で、どう執行すればよいのかをまったく把握していません」とZafir氏は述べました。「彼らにとっては、書類を数枚記入して『はい、PCIに準拠しています』と言うだけの簡単なことなのです。」
PCIにはまだ課題があるかもしれませんが、Zafir氏はApple PayやGoogle Walletで使われている「トークン化」技術に大きな期待を寄せています。
「銀行に送信される番号は一度しか使えず、再利用できないカード番号です。これはセキュリティ上の問題を回避する優れた方法です」とZafir氏は述べました。
ファイアウォールの先へ
ファイアウォールの設置と維持は、優れたネットワークセキュリティの基本の一つですが、SAPのZibulski氏によると、この種の「境界セキュリティ」は実際にはかなり時代遅れです。
「中世の概念のようなものです。外にいる人は皆悪で、内にいる人は皆善だという考え方です。」
Zibulski氏は、通信全体を暗号化していなければ、クレジットカード管理者やシステムを扱う人々のパスワードを、基本的に平文のままネットワーク上に送信することになると警告しています。ハッカーがこうしたパスワードを盗み取るのは非常に簡単です。
「PCI要件はもっと厳格にし、現在以上に徹底して執行する必要があります」とZibulski氏は述べました。「要件が完全に順守されず、人々が完全に準拠していなければ、問題が生じます。」
この記事は SAPとの協力により掲載されています。掲載は、世界経済フォーラムが見解を支持することを意味するものではありません。
Agendaの最新情報を得るには、 週刊ニュースレターに登録してください。
著者：Tim Clarkは、SAPグローバル・マーケティング・コミュニケーションズのブランドジャーナリズム責任者です。
画像：ワルシャワのオフィスで、ノートパソコンを持つ男性に二進法のコードが投影されている様子を示すイラスト。REUTERS/Kacper Pempel
