COTS（MPoC）におけるPCIモバイル決済（PCI Mobile Payments on COTS）は、スマートフォンやタブレットなどの市販の汎用デバイス上で動作する決済受入ソリューションを対象とした、PCIセキュリティ基準評議会の規格です。この規格はモジュール式かつ目標ベースであり、つまり、目標を達成するために使用する具体的な構成要素を規定するのではなく、ソリューションが満たすべきセキュリティ目標を定めています。

SPoCは、COTSデバイスでのPIN入力に対応し、外部カードリーダーを必要としていました。CPoCは、PIN不要の非接触決済に対応していました。MPoCはこれら両方を統合し、同一デバイス上でPIN入力と非接触によるカード情報の入力の両方を可能にするほか、オフライン取引、オンラインPIN、デバイスのカメラによる撮影を含む手動カード入力、リモートカーネル、外部磁気ストライプおよびセキュアカードリーダー、ならびに一般には販売されていない企業向けデバイスへの対応を追加しています。

はい。PCI SSCは、SPoCおよびCPoCの両規格について、2026年5月1日から10月31日までの正式な移行期間を設定することを発表しました。いずれかのプログラムの下で検証済みのソリューションを提供するベンダーは、今すぐMPoCへの移行計画を立てる必要があります。具体的な導入要件や期限については、アクワイアラーや決済ブランドと相談してください。

バージョン1.1は2024年11月26日に公開されました。主な変更点としては、セキュアソフトウェアおよびカーネルの機能検証要件が削除されたこと、および1つのMPoC SDKが別のMPoC SDKを統合することが許可されたことが挙げられます。この更新により、認証の対象となるソリューションアーキテクチャの範囲が広がりました。

PCI SSCは、MPoC製品を「MPoCソリューション」、「MPoCソフトウェア」、「MPoCサービス」の3つのカテゴリーに分類しています。各カテゴリーは個別に評価・登録されます。完全なエンドツーエンドのMPoCソリューション登録が、本番環境での導入を可能にするものです。ソフトウェアやアテステーション・モニタリングサービスなどのコンポーネント登録も、それ自体で有効な製品ですが、コンポーネント登録のみを有するベンダーであっても、本番環境での運用を開始するには、完全なソリューション登録が必要となります。

はい。MPoC製品は、PCI SSCが承認してリストに掲載する前に、PCI認定のMPoC試験所による評価および検証を受ける必要があります。キーサイトは、PCI認定のMPoC試験所です。

SPoCまたはCPoCの下ですでに検証済みの製品は、MPoCプログラムの下で評価を申請することができます。実際には、MPoCの範囲や構造はこれら2つの先行プログラムとは異なるため、これは単なる書類手続きではなく、本格的な評価となります。既存の証拠のうち、どの程度が引き継がれるかを確認するには、スコープ定義の協議を行うのが最も手っ取り早い方法です。

これは、範囲や製品の種類、そして開始時点でのドキュメントの完成度によって異なります。スケジュール超過の最大の要因は、セキュリティ目標に対する反論がまだ盛り込まれていないドキュメントです。正式な評価の前に設計とドキュメントのレビューを開始することが、スケジュールを守るための最も効果的な方法です。

MPoCへの登録には、年次チェックポイントや再認証の期限など、継続的な義務が伴います。ソリューションに変更が加わると、差分評価が行われる場合があります。キーサイトでは、こうした事態を当初から想定して計画を立てているため、メンテナンスサイクルにかかる費用は予期せぬ出費となることなく、予算に組み込まれています。

はい。MPoCは、PIN入力の有無にかかわらず、外部の磁気ストライプリーダーおよび外部の接触型または非接触型のセキュアカードリーダーの使用に対応しています。評価の範囲は、リーダーとCOTSデバイス間でセキュリティの責任がどのように分担されているかによって異なります。

COTSデバイスはハードウェアによるセキュリティ保証を提供しないため、MPoCでは、特定のデバイスがトランザクションを処理するのに十分な安全性を確保している状態にあるかどうかを継続的に判断するために、認証および監視システムに依存しています。これは規格のセキュリティモデルの中核をなすものであり、評価の過程で問題が生じやすい箇所でもあります。

はい。EMVCo、Visa、Mastercard、American Express、またはその他のPCIプログラムへの対応も進めている場合、Keysightはそれらの作業を1つのロードマップに統合し、各スキーム間でドキュメントやテスト結果を再利用できるようにします。

通常は、モバイルエンジニアリングリーダー、バックエンドまたはプラットフォームリーダー、暗号・セキュリティアーキテクト、そしてコンプライアンスを担当する担当者です。ドキュメントの責任者の明確化は、各チームが想定している以上に重要です。スケジュールを守るために、初日からその責任者を明確にしておくことが、最もコストのかからない対策となります。