仲條　非保持化対応の段階から参画していただいたので、弊社の情報セキュリティについて理解が深かったですね。全体を通じての進行管理でも、ほとんどお任せのような形でお世話になりました。プロジェクトの体制としては専任を置かずに通常業務の傍ら数人で対応する「二段構え」になりましたが、PCI DSSの認証取得は必須事項であり、先行投資でもありましたから、丁寧な説明を受けて、早め早めに意思決定できたのは何よりも有難いことでした。

小林　実際に、こちらはそれだけに専念できず、業務の合間を見つけて対応することもありましたが、スケジュール面でも予算面でも、ずいぶん無理を聞いていただきました。

――　私は、JTBグループ様のレスポンスの良さを感じました。こちらも「すぐにAのデータを出してください」などと、無理な要望もしましたが、素早く対応していただき助かりました。それは、PCI DSS認証取得に対する理解と共通認識がベースにあり、マルチペイメントサービスにも一貫したコンセンサスがあるからだと私なりに分析しています。コミュニケーションは、やはり双方向のものですから、平易な言葉を通して共通の認識に達するのは難しいものです。今回は、その部分での苦労が少なく、仕事が進めやすかったです。

厳しいPCI DSS準拠ゆえの難しさはあったと思いますが...？

――　さきほどもお話しましたように、PCI DSS要件の厳密さをご理解いただくまでに時間を要する場合があります。今回も些細な点ですが「1つの表示がない」というだけで、アプリを改修せざるを得ないケースがありました。認証取得のケース以外なら、機能が実装されているので問題ないと申し上げられますが、認証取得には対応していただく必要があることもご説明しなければなりません。
私たちは、あくまでも認証取得を支援する立場であり、最後は審査員がどうジャッジするかに掛かっています。合否のラインと対応の合意点を見出すのが難しい場合は、パスするレベルを提示し、合意点を一緒に探していくことで、納得した上でゴールを目指すことができると思っています。

小林　実際に、「言われた通りにすれば取れる」という確信が心強かったですね。逆に「取れない可能性もある」なんて言われたら、「やる必要があるのか？」と、また後ろ向きの議論になってしまいます。その点では、引っ張っていただいた印象があります。

――　こちらも妥協はしませんでしたが、PCI DSS要件が許容する範囲では、なるべくご相談に応じたつもりです。特に運用面は、先々長く続いていく業務でもありますから...。

仲條　コンサルという仕事の宿命なのかもしれませんが、認証取得支援という弊社寄りの立場と審査する側の中立的な立場を使い分けなければならないですからね。その辺の事情は、こちらもよく理解しつつ違和感を覚える事もしばしばありました。そのギャップを埋めることができたのは、一にも二にもコミュニケーションの賜物だったと思います。

認証取得について、社内外の評価や反響はいかがでしたか？

小林　取得からまだ数か月なので、具体的な効果は測れていないですが、対外的には取引先の1つである外資系金融機関から好印象を持っていただけました。従来は、「認定を取得した会社にアウトソースしている」という告知だけでしたが、今後はJTBグループとしてもPCI DSS認証取得をアピールしていけるので、営業面でプラス要素が出てくるだろうと期待しています。

仲條　業界にも広く伝えていくことは重要です。それによって業界全体の意識の高揚が図れれば、弊社としても一定の責任を果たすことができるのではないでしょうか。

次のステップとしては、どのようなことが考えられますか？

小林　PCI DSS認証取得が済めば、それで終わりではありません。ようやく緒に就いたばかりです。マルチペイメントの運用では、内部のレベルアップが課題として挙げられます。それは、必ず実行しなければならないことです。