PCI DSS 対応の安全なプラットフォームでクレジット

CUSTOMER SUCCESS STORY
導入事例
PCI DSS 対応の安全なプラットフォームで
クレジットカード加盟店の
集客支援ビジネスを本格始動へ
Before
CLO プラットフォームサービス「CardSpring」の日本での立ち上げに際し、
サービス・インフラの PCI DSS 対応が急務となった
After
Trend Micro Deep SecurityTM の導入が、短期間・低コストでの PCI DSS
対応を支援。CardSpring 事業を本格始動させる態勢を整えた
【導入の背景・課題】
40 年以上の歴史を有する大手システムインテグレーター、TIS。同社は、クレジットカード・決
済のシステムに関しても豊富なノウハウと卓越した技術力を持ち、その強みを活かした新サービ
>> TIS 株式会社
スとして、米国カードスプリング社のクラウドサービス「CardSpring」の日本での展開を決めた。
CardSpring は、PaaS（Platform as a Service）型の「CLO（Card Linked Offer）」サービ
業種情報サービス
スであり、デジタルクーポンとクレジットカードの利用情報を結び付け、カード利用者に対するイ
従業員 6,077 名（20 1 4 年 4 月 1 日現在）
ンセンティブ（割引・ポイント付与など）の提供を可能にする。利用者が従来のようにクーポンを
地域東京都、日本
お客様の課題
決済分野での技術力・ノウハウを活かし
た新規事業として、米国カードスプリン
グ社の CLO プラットフォームサービス
「CardSpring」を日本で展開することに
なった
● CardSpring サービスの日本での立ち上
げに際して、サービス・インフラの PCI
DSS 対応が必須となり、可能な限り、短期
間・低コストで PCI DSS 認定を取得する
必要に迫られた
●
導入製品・ソリューション
●
Trend Micro Deep SecurityTM
導入効果
●
1 つの製品で、多くの PCI DSS 要件への対
応を支援できる Deep Security を活用、
約 6 カ月間で PCI DSS 認定を取得。PCI
DSS 対応のために導入する製品数・コスト
も必要最低限に抑えられた
PCI DSS 要件に含まれるウイルス対策・
変更監視などのセキュリティ・オペレーショ
ンを 1 つの管理サーバから実行。運用の簡
素化やサーバ・リソースの有効活用が実
現された
● トレンドマイクロの
「推奨スキャン」で、
システムに潜在する脆弱性を自動で検
知。仮想パッチ機能によるセキュリティ
パッチ適用の効率化も実現された
印刷して持参する必要がなくなるという利便性から CLO への期待は高まっており、TIS は、ペイ
メントプロセッサー（決済事業者）やメディア事業社との連携・協業を推し進め、どの店舗、どの
カードでも使えるサービスを目指しているという。また、加盟店もクーポン利用者の属性（新規
／リピーター、来訪回数等）をとらえられるようになり、クーポン配布対象の絞り込みやクーポン
効果の測定なども的確に行えるようになるという。
このように、CardSpring はカード加盟店の集客施策の先鋭化・最適化に極めて有効な基盤だ
が、そのインフラ上では多くのカード情報が扱われ、セキュリティには万全を期すことが求められ
る。加えて、CardSpring のサービスは、米国 CardSpring とのデータ連携によって実現される
ものでもあり、日本での展開に際してカードスプリング側が求めるセキュリティ要件に
CardSpring の国内インフラを対応させる必要があった。その要件が、PCI DSS※ 1 への準拠だ。
「つまり、PCI DSS 認定を取得しないかぎり、CardSpring のサービスを日本で立ち上げることは
できなかったのです」と、TIS で CardSpring 事業を担当するアドバンストソリューション事業部の
吉川大亮氏は振り返る。この重要命題を遂行する一手として、TIS が採用したのがトレンドマイク
」だった。
ロの「Trend Micro Deep SecurityTM（以下、Deep Security）
CardSpringプラットフォームの概要図
●
データセンター
仮想基盤
Deep Security エージェント
Web
IPS
決済パートナー
DB
サーバ
CardSpring
WAF
ファイア
ウォール
サーバ
DB
Web
サーバ
サーバ
Deep Security
マネージャー
※ 1 ：PCI DSS は、
「Payment Card Industry Data Security Standard」
の略。
クレジットカード・データのセキュリティを確保するための国際標準規格。
Page 1 of 2 • Customer Success Story • TIS 株式会社
CUSTOMER SUCCESS STORY
導入事例
【選定理由・導入ソリューション】
CardSpring の国内インフラを PCI DSS に対応させるに際して、吉川氏らが全面的な協力を仰
いだのは、TIS の IT 基盤サービス部門だ。同部門は、IT インフラの設計・構築・運用などを手が
ける組織であり、PCI DSS 認定取得のコンサルティング・サービスも社内外に向けて提供してい
る。その部門が「可能な限り手間とコストをかけずに PCI DSS 対応を実現したい」との要請に従っ
て選定したセキュリティソリューションの 1 つが、Deep Security だ。現在、CardSpring の国内イ
ンフラでは、基幹サーバのすべてに Deep Security のエージェントが組み込まれ、ウイルス対策
TIS 株式会社
アドバンストソリューション事業部
アドバンストソリューション事業総括部
モバイルプラットフォーム推進室
吉川大亮
氏
「PCI DSS 認定の取得という大きなタスクを遂
行するうえで、複数の PCI DSS 要件に対応して
いるDeep Security は非常に有用でした。この
製品があって本当に助かりました」
や変更監視（重要ファイルの改ざん防止）
、仮想パッチ適用（IPS/IDS 機能を通じた脆弱性対策）
など、複数の PCI DSS 要件に対応するセキュリティ施策が包括的に講じられている。
IT 基盤サービス本部の江口哲平氏は、PCI DSS ソリューションとしての Deep Security の利
点を次のように説く。
「通常、PCI DSS 準拠などを目的に改ざん防止やウイルス対策などの施策を講じようとすると、
施策ごとに個別のツールの導入が必要とされ、導入・運用の負担が増すばかりか、管理サーバも
ツールごとに設置しなければなりません。対する Deep Security の場合、1 つの製品で複数の
PCI DSS 要件をカバーでき、複数の対策を 1 つの管理サーバから管理・運用することができます。
そのため、導入・運用負担も少なく、セキュリティ確保のために多くの IT リソースを割く必要もな
TIS 株式会社
IT 基盤サービス本部
IT 基盤サービス第 1 事業部
IT 基盤サービス第４部主任
宮崎優
氏
「Deep Security は優れた統合型サーバセ
キュリティソリューションですが、導入支援の
技術セミナーやドキュメント類など、製品に
付随する情報・サービスも充実しています。
それも、競合製品に比した Deep Security
のアドバンテージです」
なお、CardSpring の国内インフラは、TIS が管理・運用するデータセンター内に配備されて
おり、ネットワーク全体はファイアウォール・アプライアンスや IPS アプライアンスなどによって保
護されている。この構成の中で、TIS は Deep Security の IPS 機能も用いているが、その理由に
ついて、IT 基盤サービス本部の宮崎優氏は以下のように説明する。
「例えば、ホスト型の Deep Security の IPS 機能を使えば、SSL で暗号化された通信など、ネッ
トワーク上の IPS アプライアンスで捕捉しづらい攻撃も検知、対応することが可能です。要する
に、アプライアンスだけでは足りない部分を Deep Security で補完し、全体のセキュリティ強度
を高めているということです」
TIS 株式会社
IT 基盤サービス本部
IT 基盤サービス第 1 事業部
IT 基盤サービス第４部
江口哲平
くなるのです」
氏
「Deep Security は、多岐にわたる機能が
1 つの製品にまとめられており、1 つの管理
サーバで多くのセキュリティ要件に対応して
います。そのため、導入・運用負担も最小
【導入効果】
Deep Security の導入・活用によって、TIS は CardSpring インフラの PCI DSS 対応（PCI
DSS 認定取得）を約 6 カ月間で完了させ、20 1 4 年 1 2 月 1 日から同インフラの運用を始動させて
いる。その結果を踏まえ、吉川氏は Deep Security の導入メリットについて改めてこう話す。
「我々にとっては、PCI DSS 認定の取得は非常に大きなタスクでした。それが滞りなく遂行でき
たのは、Deep Security の活用で多くの PCI DSS 要件をカバーできたおかげです」
吉川氏はまた、Deep Security の運用のしやすさも高く評価する。
限で済み、サーバ・リソースの有効活用も図
「CardSpring のシステムは管理すべき情報が多く、全体の運用には相応の手間がかかります。
れる。これは特筆すべき優位性です」
そうした中で、ファイル改ざんやウイルス対策などのオペレーションが 1 つの画面から行える意義
導入先プロフィール
は決して小さくありません。また、脆弱性対策のためのセキュリティパッチの適用においても、
TIS は、1 97 1 年創設の独立系システムイン
テグレーター。年間売上高は 1,426 億円強
（20 1 4 年 3 月期／単体）に上り、金融・製造・
流通／サービス・公共・通信などの広範な
領域で、3,000 社を超える企業のビジネス
パートナーとして機能。それぞれの基幹 IT
インフラを支えるシステム構築を手がけてき
た。また、SI・受託開発の事業に加えて、デー
タセンター／クラウドなどのサービス型 IT ソ
リューションの提供にも注力。中国・
ASEAN 地域を中心にグローバルなサポート
体制を築いている。
Deep Security で提供される『推奨スキャン』機能でサーバの脆弱性を自動的に検出し、仮想
パッチを当てるという運用スタイルを採用しています。その効率性にもかなり助けられています」
吉川氏によれば、TIS では今後も決済系サービスの拡充・強化を推し進める計画であり、その
流れの中で、Deep Security 活用がさらに進展する可能性は十分にあるという。また、宮崎氏・
江口氏も、対外的な PCI DSS ソリューションを構成する選択肢の 1 つとして、これからも Deep
Security を位置づけていく考えであり、宮崎氏は、Windows Server 2003 のサポート切れなど
OS の老朽化対策として、Deep Security を有効活用することも視野に入れている。
CardSpring インフラの PCI DSS 対応を短期間・低コストで実現した Deep Security ――。
その活躍の場は、TIS においても着実な広がりを見せつつあるようだ。
TREND MICRO は、Trend Micro Deep Security、およびDeep Securityは、トレンドマイクロ株式会社の登録商標です。本ドキュメントに記載されている社名、製品名
およびサービス名は、各社の商標または登録商標です。記載内容は 20 1 4 年 1 2 月現在のものです。内容は予告なく変更になる場合がございます。
Copyright © 20 1 5 Trend Micro Incorporated. All rights reserved. [Item No. BR-CASE-070]
東京本社
名古屋営業所
大阪営業所
福岡営業所
〒1 5 1 -0053
〒460-0002
〒532-0003
〒8 1 2 -00 1 1
東京都渋谷区代々木 2-1-1 新宿マインズタワー TEL.03-5334-3601（法人お問い合わせ窓口） FAX.03-5334-3639
愛知県名古屋市中区丸の内 3-22-24 名古屋桜通ビル7階 TEL.052-955-1221 FAX.052-963-6332
大阪市淀川区宮原 3-4-30 ニッセイ新大阪ビル 13 階 TEL.06-6350-0330（代表） FAX.06-6350-0591
福岡県福岡市博多区博多駅前 2-3-7 シティ21ビル7 階 TEL.092-471-0562 FAX.092-471-0563
Page 2 of 2 • Customer Success Story • TIS 株式会社

Download Report