デジタルガレージ イーコンテクストカンパニーの業態について
— デジタルガレージ イーコンテクストカンパニーの業務内容について教えて頂けますか。
ネットショップに対して、主に決済プラットフォームである「econtextゲートウェイ」を提供しています。 決済プラットフォームとは、ネットショップで買い物をしたお客様からの支払代金の回収を代行し、回収した代金をネットショップにまとめて渡すというサービスです。 インターネットで買い物をする場合、クレジットカード決済、銀行振込、代引き、コンビニ決済など、さまざまな代金支払い方法があります。 ネットショップで使える支払い方法は、幅がある方が利便性が高く、エンドユーザにとって利用しやすいショップとなります。そのための支払い手段を提供するシステムがecontextゲートウェイです。 もちろん、econtextゲートウェイはクレジットカード決済、銀行振込、代引き、コンビニ決済、Pay-easy、郵便局の払込票等の支払い方法すべてに対応しています。
提携ネットショップ数2万3047社、取扱件数661万件、取扱高551億円(いずれも2009年1月現在 取扱件数、取扱高は半期当たりの数字)となっています。 支払いできる拠点は全国に約6万6300拠点あり、銀行振込、郵便局での振替はもちろん、コンビニエンスストアは90％以上をカバーしています。
— econtextゲートウェイの特長は何でしょうか。
特長は2点あります。
1つはお客様から預かったお金を分別管理していることです。分別管理とは、私どもの事業費と、お客様からの預かり金をまったく別に管理することです。簡単に言えば、預かっているといいながら、勝手にこちらではお客様のお金に手を出せないということですね。 これによって、万が一、当社が経営危機に陥った場合でも、エンドユーザからの預かり金は全額保護され、ネットショップに支払われます。 これはほかの決済・収納代行システムではやっていないことです。
2点目は、支払いサイクルが短いことです。エンドユーザからお金をお預かりして、ネットショップに5銀行営業日で連絡、8銀行営業日で支払いを行っています。収納代行システムの一般的な支払いサイクルは通常1カ月ですが、当社は例えばカード会社がお客様の口座から引き落としをする前でも、売上に対して立て替え払いをすることで、支払いサイクルの短期化を実現しています。これはキャッシュフロー的にもお客様にメリットがあると考えています。
なぜ、決済サービスにタイムサーバーが必要なのか？
— この度、どのような目的でタイムサーバーを導入されたのでしょうか。
2008年11月にPCI DSSというクレジットカード業界の国際的情報セキュリティー基準に準拠するために監査機関のチェックを受けました。それまでコンピュータの時刻合せはインターネットを利用して公開されているNTP(Network Time Protocol)で行っていました。しかし、チェックを受けた際に、時刻の同期はインターネット経由でない方式で行うよう指導を受けました。インターネット経由ではセキュリティー面に問題があるためです。
インターネット経由以外の方法を調べたところ、独自にタイムサーバーを設置し、電話（テレホンJJY:電話回線経由の時刻配信サービス）やGPSで時刻を取得する方法があることが分かりました。
セイコープレシジョンのタイムサーバーはどの方式でも対応可能でしたが、GPSを利用して同期を行う場合、データセンターにアンテナを設置しなければなりません。ケーブル敷設やアンテナの設置工事、アンテナ設置後の管理や費用の問題もあり、今回はGPSではなく電話での時刻取得方法を選択しました。電話の場合、大掛かりな工事が要らず、電話線を引くだけですぐ利用できるというメリットがありました。
— PCI DSSの準拠認定のための診断プログラム「AIS」に基づく監査も受けたということですが。
当社はAISの中でも最も厳しい大型加盟店を対象とした“レベル1”のバリデーション(検証)を受けています。AISは加盟店の取引規模によって監査内容が異なるのですが、レベル1のバリデーションは、
①問診票による自己診断
②脆弱性スキャニングテスト
③訪問調査
といった内容となっています。
脆弱性スキャニングテストとはいわゆる侵入検査で、わざとシステムへの攻撃を行い、不正アクセス、ハッキング、悪質なウィルスなどの外部の脅威からシステム全体が保護されるかどうかをチェックします。ネットワーク機器、ホスト、アプリケーションなど、システム内にある全ての機器やソフトウェアについてテストを受けるという厳しいものです。
レベル1の監査がさらに厳しいのは、他のレベルにはない訪問調査を受けることです。 訪問調査では、セキュリティー対策・運用状況や情報管理体制についてインタビューや確認、コンピュータやネットワーク機器に関するセキュリティー設計のチェック等が行われます。
これらの調査をパスし、PCI DSS準拠の認定を無事受けることができました。
— なぜ情報セキュリティー基準を満たすために、タイムサーバーが必要なのでしょうか。
先ほどお話ししたように、PCI DSSを取得する要件となっているためにタイムサーバーが必要となったのですが、その目的はシステムの正確な時刻同期のためです。 例えば、問題が発生した際、取引履歴を追跡し、問題点を調査する必要があります。もし記録時刻が実際の取引時刻とずれているとこの調査が非常に困難になります。 ですから、econtextゲートウェイの決済システム部分だけでなく、ルーター等の周辺機器やファイアーウォールの時刻もタイムサーバーにより同期する必要がありました。
— 収納代行システムにはわずかな時間のズレも許されないのですか。
何百万人というエンドユーザの方のお金を預かる以上、何らかのトラブルが発生した場合を想定したシステムを構築しなければなりません。トラブルに対処するためには、まずどのような現象が生じたのかの正確な把握が必要です。「いつ」発生したのかということは、正確な把握のために重要な要素の1つですね。
PCI DSSの要件には「すべての重要なシステムクロックおよび時間を同期する」といった詳細要件があり、また、テスト手順も定められています。
econtextゲートウェイのような決済・収納システムでは、システム全体の連携・保守・万が一のトラブル時のログ追跡に正確な時間の記録は欠かせません。たとえば、取引一つとっても、何らかの問題が発生したときに、各種のログの中からその取引の関連部分の情報をすべて抜き出し、どこに問題があるかを検討することになります。ところが、その際機器ごとに時間が変わっていると、どの部分が当該の取引の情報なのかがわからなくなります。何百万人というエンドユーザの取引の情報を扱うわけですから、正確を期さなければなりません。よって正確なタイムサーバーによる、高精度の時刻配信がそのシステムの根本要素となっています。
※PCI DSS(Payment Card Industry Data Security Standard) クレジットカード情報・取引情報を安全に守るために、JCB、アメリカンエキスプレス、Discover、マスターカード、VISAの国際ペイメントブランド5社が共同で策定した、クレジット業界におけるグローバルセキュリティー基準
PCI DSS国際基準もセイコープレシジョンのタイムサーバーでクリア
— セイコープレシジョンのタイムサーバーを選んだ理由は何でしょうか。何が決め手となりましたか。
まず、テレホンJJYによる時刻の同期が国際基準のPCI DSS要件を満たしていたので、テレホンJJYを使って時刻同期ができるタイプに絞りました。 今回導入したものは運用時の誤差もミリ秒単位という非常に正確なもので仕様的に満足がいくものでした。テレホンJJYは電話回線経由で時刻同期できるので、電話線を引くだけで実現できるのも良かったですね。データセンターという性質上、新たな設備・デバイスを設置する必要がないというのも大きな魅力でした。
さらに、タイムサーバーは高額なものが多い中、セイコープレシジョンのタイムサーバーは海外製品の約半分の費用で導入できるという費用的なアドバンテージもありました。
時計の世界では世界標準のセイコーの製品ですから、タイムサーバーの正確さにも期待ができます。
これらの理由から、セイコープレシジョンのタイムサーバーを導入することにしました。
— 今回、パートナーの日立システムアンドサービスから購入されましたが、同社から購入された理由は何でしょうか。
日立システムアンドサービスには、これまでにもさまざまな製品・サービスを紹介してもらっていました。その関係で今回もタイムサーバーの導入を相談しました。
今までの経験から、日立システムアンドサービスにお願いすれば、スムーズな導入・稼働が可能だと考えていました。
— 導入時の日立システムアンドサービスのサポートはどうでしたか。
今回は、いかに早く導入するかが一番の問題でした。そこで、導入の際の設定シートをもらい、設置の疑問点などを素早く解決しました。
また、日立システムアンドサービスに、購入時に希望の設定内容を伝えたところ、タイムサーバーが届いたときには希望の通りの設定になっていました。設置時に当社がやったことは、もちろんシステム全体の動作のチェックはありますが、強いて言えば電話回線に接続して、実際に時報で同期できるか確認しただけ、といえます。
結果として、こちらの予想以上にスムーズに稼働に至ることができました。
わずか1カ月弱で導入完了し、稼働開始
— タイムサーバー導入に当たり、どのような使い方ができれば理想だと考えていましたか。
econtextゲートウェイ周りのシステムはもちろんですが、それだけでなく、当社内の全てのサービス・システムに利用したいと考えていました。現在、社内のパソコンの時刻同期にも使うなど、時刻管理に関しては理想はほぼ実現しています。
— 導入からサーバ設置、安定稼働までの期間はどのくらいかかりましたか。
導入から稼働まで1ヶ月弱です。発注が2008年12月中旬で、日立システムアンドサービスに設定もすぐにやってもらいました。最終的には、2009年1月上旬に本番稼働というスピード導入ができました。
