【DBの仕様】webサービスの銀行口座情報はどこに保存していますか

webサービスを作っているとき、ユーザーの銀行口座情報をもたないといけないとき、みなさんはどこに保存されていますか？
知見がなかったので、困っています。ぜひご意見いただきたいです。

クレジットカード決済であれば、paypalやwebpayなど外部サービスを使い、自身で口座情報をもつ必要はないと思いますが、受け取り口座情報など、決済サービスと関わりない場合、自身で口座情報をもたないといけない気がしています。
情報漏えいの可能性を考えると自身でもつのはとてもリスクがあり、みなさんは、どのように対処されてるか、ぜひ教えていただきたいです。

もし、口座情報保存のおすすめサービスなどあれば、教えていただきたいです。
どうぞよろしくお願いします。

行動規範の内容に同意します

回答1件

ベストアンサー

口座番号ってお客さん（エンドユーザ）のですかね。

もし自分で口座番号やクレジットカード番号を預かるなら、
必ず暗号化して保存し、あとはハードウェアで固めます。
ファイアウォールで外部からのアクセスを禁止し、
アイスウォールで内部からの流出を防ぎます。

そのサーバにアクセスするには指紋認証と
パスワードロックなどを組み合わせて厳重にした
専用のガラス張りのセキュリティルーム内からのみというルールを作ります。

このくらいやらないと、そういったセンシティブな情報を保存するなんて恐れ多いことはしない企業が一般的です。漏洩したら億単位とかで損害出たりしますので。

ちなみにこの話は、『漏洩しちゃった超有名大会社』に自分がいたときの話です。
規模がでかすぎたのでこんな感じでした。

これらを全部準備するには数千万円かかるんじゃないでしょうか。
個人や数名でやるような規模でしたら現実的ではありません。

また、やるならしっかりやっておかないと個人情報保護法、内部統制的にも
いろいろと後が面倒くさいので、そもそも自前で持つことはお勧めしません。

そういったサービス代行会社があるのかどうかは知らないのでなんとも。

参考になれば幸いです。

投稿2016/02/24 08:57

ogaaaan

総合スコア765

kurosaki

2016/02/25 05:13

ogaaaanさん、ありがとうございます！こんなに詳しく教えてもらえるとは、思ってませんでした。感激です！！！ここまでしてて、漏洩してしまうんですね。。資金のある大手企業ですら、そんなことが起きてしまうと考えると、中小企業が自前でもつという判断は考えられないですね。とても参考になりました！ありがとうございました！

ogaaaan

2016/02/25 08:45

いえいえー。お役に立てて幸いです。余談ですが、ISMSとかでPDCAしながらチェックしてるのにもかかわらず、会社を気にいって無い悪意のある社員が一人でもいたら、そいつが簡単に流出させます。おそらく50万円とかのはした金で個人情報を売っちゃうんですよね。バレたらその何十倍、何百倍も請求される可能性あるのに。で、そういう意味で社員の満足度にも気をつけないといけないので、最近はクレドという方式で運用してる会社も多いっすねー。経営は大変ですよね。以上、体験談でした。ではでは。

kurosaki

2016/02/26 09:18

返信遅れてすいません！社員リスクは、100%消すことはできないですね。おそろしや。。外部に頼るのが、最善ですね。今回初めて、テラテイル利用させていただいたのですが、ogaaaanさんのような方に出会えてよかったです。ありがとうございました！