2016.01.07
3Dセキュア認証のシミュレート機能について
技術話自社システムだけで完結するものは、検証もしやすい。
検証目的でデータそのものを加工してみるなんていうこともできちゃう。
でも、他システムと連動するとなると、慎重にならざるを得ない。
他システムとのデータ連動において、本番で何らかの不備が発覚した時に取り返しのつかないような状況にはなりたくないし。
特に、お金の動き・決済情報に直結するデータ連動ならば、どれだけ失敗を避けたいかは想像しやすいと思う。
そのため、十分に検証できる環境を提供してくれるなら、あらゆるケースを想定して徹底的にテストする。
でも、十分に検証できるとはとても言えないものが中にはある。
クレジットカードの「3Dセキュア認証」が、まさにそうだ。
◆3Dセキュア認証って何だ
VISA、MasterCard、JCBが推奨している本人認証用サービス。
※クレジットカード会社によって名称は異なります。
クレジットカード裏面の署名欄に記載のある「セキュリティコード」より強固なものとなります。
クレジットカードそのものの盗用があっても本人のみが知るパスワードを使用するため不正を防止できます。
◆なぜ3Dセキュア認証は検証しづらい？
多くの場合、3Dセキュア認証の検証には実在するクレジットカードおよび本番環境を用いる必要があります。
つまり、3Dセキュア認証に限ってのみ、テスト環境やテストカードといったものが提供されないことを意味します。
これは一度自社サイトを離れ、VISA、MasterCard、JCBそれぞれが提供するパスワード入力画面を経由し、また自社サイトに戻ってくるという決済上の流れを完全再現するため、クレジットカード会社側は本番環境を用いていることが要因と考えられます。
そのため、十分な検証には実在する3Dセキュア非対応・対応のカード2種類を所持した上で、本番環境を用いた実際の決済を実行してみなければならないのです。
そんな認識もなく、ただ検証をする＝実際に決済されるため、そのまま放置すると請求が来てしまう、なんてことも。
検証に使用した決済は、必ず取り消すところまで進めましょう。。
◆開発者想い（？）の代行会社は「3Dセキュア認証」もシミュレートしてくれる
今のところ経験上、2社だけ3Dセキュア認証もシミュレートしてくれる代行会社があった。
自分（開発者）の目線では「やりやすいな～ありがたい」と思っていたけど。
シミュレートができる代わりに、VISA、MasterCard、JCBそれぞれが提供するパスワード入力画面を経由せず、代行会社が用意するダミーの3Dセキュア認証画面を経由するため、完全再現とまではいかない。
・実在するカードを用いて実際に決済されてしまうが、100％動作保証が取れるほうが良いのか
・代行会社が用意するシミュレート機能に任せ、100％に近い（？）動作保証が得られるほうが良いのか
改めて整理して考えてみたら、前者だなと思えてくる。
面倒だけど手は抜かないほうがいい。
代表取締役専務
プロダクトテクノロジー本部
松本 玄
セキュリティ領域を中核とし、システム開発からインフラ、ビジネス設計、全社管理まで横断的に担当します。
主務として300項目を網羅する「SCAN DOG」自動診断エンジンや「SCSC Dog」の開発、脆弱性DBの定期更新を実践責任者として牽引します。
同時に、SCSC Legalなど新プロダクトのシステム開発と高速ローンチ（MVP→Gate）運営、Terraformを用いたIaCインフラ構成管理にも実践者として従事します。
さらに、ECプランの商品設計・価格管理を担うほか、主計局では外部・内部の監査対応責任者も務め、多角的かつ高度に業務を遂行します。
組織への貢献ポイント：
セキュリティ品質の絶対的担保と新規プロダクトの高速推進を両立し、組織全体の技術的信頼性とガバナンスを確立すること。
成果の定義：
最新脅威に対応する診断エンジンの高精度維持、新事業のアジャイルな市場投入、監査対応による経営リスクの最小化です。