決済システムを組むのに必要な知識とスキル

Question

システム開発やプログラミングにおける決済システムの開発についてです。

仮に言語はPHPとします。

システム開発などで決済などが絡むようなものはハードルが高く、
初心者などでは難しくベテラン以外は組んではいけないという話をよく見ます。

これに異議があるわけではなく、セキュリティのことが何もわからない人には、
そういうシステム開発はリスクが大きすぎると思います。

しかし、ではいったい何ができるようになれば決済システムなどを組めると言えるのでしょうか。
決済システムだからこそ、注意して組む点があるのでしょうか。

ここでいう決済システムというのは「Paypal」「Web Pay」などの決済サービスを利用して、
利用者がクレジットカード決済をすると、
それに応じて利用者にサービスを提供するというようなものです。

基本的にサイトをSSL化して、SQLインジェクション、XSS、CSRF、セッションハイジャック、入力バリデーションなどの
セキュリティ対策ができていれば大丈夫なのでは?と安易に思っています。

実際の開発現場ではどうなのでしょうか。

おそらくは自分が不安なことがあるなら組まないほうがよいというのが答えの気もしますが、
エンジニアとして会社勤務経験がなく独学でプログラムを学んでいる人は、
ここまでできれば大丈夫という判断をすることが難しい気がします。

決済を扱うシステムを組む場合に、
ここには気をつけているというのがあれば教えていただけますでしょうか。

特に決済システムを組む予定があるわけではなく、疑問に思い質問しています。

また決済システムが簡単に組めると考えているわけでもないですが、
決済サービスを利用する以上顧客情報として重要なものを保持するわけでもないので、
決済システムのどこがそこまでハードルを上げているのか気になりました。

よろしくお願いいたします。

Answer 1

扱う内容次第ではありますが、一般的なショッピングサイトなどであれば
セキュリティ的には
IPAの安全なwebサイトの作り方
を理解して実践出来る程度の理解があれば問題無いかと思います。

より高度なセキュリティが求めらえるのであれば、PCI-DSS等の基準を満たせることが条件になってくるかと思います。

アプリケーション的には

• 原理的に（DBの制約などを使って）2重課金が発生し無いようにする
• 決済後の業務用件に沿える形で設計する
• 課金関係の操作を後から追えるように全てトラッキングする（かつ、セキュリティ的に問題無い状態にする）
• 最悪のケースを想定して、それにどう対応するかも設計レベルで決めておく

と言ったところでしょうか。

が、結局はその問題発生時のリスクについて責任が取れるかの方が重要なので
契約の範囲と専門家としての注意義務の範囲とリスクとの兼ね合いで責任が取れると判断できるかどうかかなと思います。
判断出来ないならどれだけスキルがあっても実装するべきではないと思います。

Answer 2

コーディングについてはtanatさんのご回答と同意見です。

「コーディング上の対策」は、実は決済システムにおけるセキュリティ対策の一部でしかないのです。開発するシステムについてのリスク分析を行って、対策の方針を決めた上で、コーディング上の対策を講じていくことになります。こういった分野の知見も求められます。とはいえ、そういう人は多くはありませんから、若手エンジニアはそのような人の下について経験を積んでいくことになります。

・ハードウェアのセキュリティ対策（冗長構成、データセンターの利用）
・OS上のセキュリティ対策（権限設定、暗号化、ログ取得の設定など）
・セキュリティマネジメントシステムの構築（ISMSなど）
・WAF(Web Application Firewall）やIPS（侵入防御システム）, IDS（侵入検知システム）の導入
・担当者の教育や機密保持契約といった人的対策

Answer 3

実際にECサイトを構築し、決済代行業者とのインタフェースを構築したことがあります。
カード情報を扱うために、PCIDSSの取得を決済代行業者から求められました。（これは、決済代行業者によっても異なると思います）
その過程で、セキュリティ専門の調査会社から、サイトの診断を受けて、指摘された脆弱性については、プログラム改修や、インフラの改修等を行う必要があります。
一つ一つはさほど難しいことはないのですが、指摘されたことをきちんと理解して、さらにその対策を講じるだけのスキルは必要ですね。

PCI DSSとは

Answer 4

決済システムは決済代行会社毎に決済に関する仕様があり、その仕様を理解し、組み込むシステムに合う形に設計するのが、経験が少ない人には厳しいかなと思います。

tanatさんも言われているように、決済はアプリケーション的にも考慮すべき点が多々あり、決済のAPIの仕様を把握できていればいいというものではありません。

セキュリティ、業務要件、アプリケーション上の制約、決済の仕様などを踏まえて包括的に設計する必要があります。

システム開発の経験が少なくてもそういった事ができる人はいるでしょうが、リスクを減らすためには経験が多い方がいい、という事になるかと思います。