編集部
2025年、EC業界とIoT業界にとって大きな転機が訪れます。情報処理推進機構（IPA）は、IoT製品のセキュリティ適合性評価「JC-STAR」を開始し、評価基準を満たす製品にはラベリングが義務化されます。また、ECサイトでは、クレジットカード不正利用対策として「3Dセキュア2.0」の導入が必須となり、より高度な本人認証が求められる時代に突入します。
この変化の中で、企業が求められるのは、セキュアコードレビューを通じた強固なセキュリティ体制の構築です。
2025年に求められるセキュアコードレビューの背景とは
2025年には、EC業界とIoT業界を中心にセキュリティ対策が大きな変革を迎えます。特に注目されるのが、クレジットカード決済における不正利用防止策としての「3Dセキュア2.0」の義務化です。経済産業省は、2022年に開催した「クレジットカード番号等不正利用対策の強化検討会」で、2025年までに日本国内の全てのECサイトに対してこの認証技術の導入を求めました。
3Dセキュア2.0は、従来の3Dセキュア1.0と比較して、セキュリティと利便性の両面で大幅に向上しています。従来の固定パスワード方式ではユーザーの負担が大きく、かご落ちの原因となっていましたが、2.0ではワンタイムパスワード（OTP）や生体認証などの技術を活用し、ユーザー体験を向上させながらも不正決済を防ぐ仕組みが導入されています。
また、情報処理推進機構（IPA）が導入する「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」も、同時期にスタートします。JC-STARは、IoT製品に対するセキュリティ基準を評価し、基準を満たす製品には認証ラベルが付与される制度です。特に、政府機関や重要インフラ事業者では、この認証ラベルを持つ製品の使用が推奨されるため、企業にとっては認証取得がビジネス競争力を高める要素となります。
このような制度の背景には、日本国内でのクレジットカード不正利用が増加し続けていることがあります。2023年には、カード不正利用被害額が540.9億円に達し、特に番号盗用による不正が全体の9割以上を占めています。このため、企業がセキュリティ強化を怠ると、チャージバックのリスクや顧客信頼の低下を招く可能性があります。
セキュリティ基準の厳格化が進む中で、企業が対策を講じるべきタイミングは今です。これにより、ビジネスの競争力を保つだけでなく、顧客の安全を確保するための基盤が整います。
3Dセキュア2.0がもたらすEC業界の変革
3Dセキュア2.0は、ECサイトにおけるクレジットカード決済の安全性を飛躍的に向上させる技術です。2025年までに全ての日本国内ECサイトでの導入が義務化されることにより、オンライン決済の仕組みは大きな変化を遂げることになります。EMV 3Dセキュアとも呼ばれるこの新技術は、セキュリティの強度を保ちつつ、ユーザーの利便性を向上させることを目的としています。
3Dセキュア2.0の最大の特徴は、ワンタイムパスワード（OTP）や生体認証を利用した本人認証の強化です。従来の固定パスワード方式では、ユーザーがパスワードを忘れてしまうリスクがあり、かご落ちの原因となることが多くありました。しかし、3Dセキュア2.0では、決済時にスマートフォンに送信されるOTPを入力するだけで、迅速に本人確認が完了する仕組みを採用しています。
また、3Dセキュア2.0には「リスクベース認証」の技術も取り入れられています。リスクベース認証とは、取引のリスクレベルに応じて認証の強度を調整する仕組みです。例えば、過去の取引履歴や利用者の位置情報をもとに、リスクの高い取引には追加の認証を要求し、低リスクの取引はスムーズに承認することができます。これにより、セキュリティを高めつつもユーザー体験を損なわない設計が実現されています。
3Dセキュア2.0の導入により、EC事業者は顧客の信頼を獲得し、不正利用によるチャージバックリスクを軽減できます。特に、日本国内のクレジットカード会社（例：楽天カード、イオン銀行）は、2025年に向けて2.0への移行を積極的に進めています。また、VISAやMastercardといったグローバルブランドも、3Dセキュア1.0のサポートを終了し、2.0への対応を求める方針を強化しています。
2025年に向け、ECサイト運営者がこの変化に対応しないことは、ビジネスチャンスを逃すだけでなく、セキュリティリスクへの対応が不十分であると見なされるリスクもあります。
JC-STAR制度が求めるIoT製品のセキュリティ基準
2025年3月に開始される「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」は、情報処理推進機構（IPA）が主導する新しいIoT製品のセキュリティ評価制度です。この制度により、IoTベンダーや販売事業者がIPAに申請した製品が、一定のセキュリティ基準を満たすと認定ラベルが付与されます。認定ラベルには、製品情報や評価内容を確認できる二次元バーコードが含まれ、製品の安全性を可視化します。
JC-STARの評価基準は、★1から★4の4段階に分かれており、★1は最低限の脅威への対応をカバーし、★2から★4ではIoT製品の利用形態に応じたより高度な基準が設定されています。特に★3以上の評価を取得するためには、第三者機関による詳細なセキュリティ評価が必要であり、自己宣言方式とは異なる高い信頼性が求められます。
この制度の開始に伴い、政府機関や地方公共団体、重要インフラ事業者は、JC-STARラベルの取得を製品選定の基準とすることが推奨されています。2024年7月に改定された「政府機関等の対策基準ガイドライン」でも、JC-STAR認定製品の調達が推奨されており、今後は企業が市場での競争力を保つために、適合評価を取得することが不可欠となるでしょう。
また、JC-STAR制度は、アメリカや欧州連合（EU）で実施されている類似のセキュリティ認証制度とも国際的な連携を進めており、グローバル市場でも適用可能な基準として注目されています。これにより、日本国内外の企業が共通のセキュリティ基準で評価を受けることができ、製品の信頼性を高めることが期待されています。
セキュアコードレビューの具体的な実施方法
セキュアコードレビューは、2025年に向けたセキュリティ強化の中核を担うプロセスです。特に3Dセキュア2.0やJC-STARの導入を前提にしたシステム開発では、コードの脆弱性を早期に発見し、修正することが重要です。これは、不正アクセスやデータ漏洩といったリスクを最小化し、企業の信用を守るために欠かせない取り組みです。
具体的なレビューのポイントとして、まず「認証機能の強化」が挙げられます。例えば、3Dセキュア2.0を導入するECサイトでは、ワンタイムパスワード（OTP）やリスクベース認証を組み込んだコードの適切な実装が求められます。これにより、取引ごとに異なる認証手段を用いることで、従来の固定パスワード方式よりも強固なセキュリティを実現します。
次に、「トランザクション処理の安全性」も重要なチェック項目です。特にオンライン決済を扱う企業にとって、取引データが暗号化されているか、データの完全性が保証されているかを確認することは、セキュアコードレビューの基本です。これには、TLS（Transport Layer Security）やHTTPSの適切な使用が含まれます。
さらに、「第三者機関によるコード評価」も導入の際には検討すべきです。特にJC-STARの★3以上の認定を目指す企業では、第三者による評価が必須となるため、外部セキュリティ専門家を交えたコードレビューが推奨されます。これにより、社内だけでは見つけにくい脆弱性やリスクを客観的に洗い出すことが可能となります。
これらの具体的な対策を実施することで、企業はより安全なシステムを構築し、3Dセキュア2.0やJC-STARへの適合を果たすことができます。
セキュリティリスクとコスト削減を両立させるために
2025年に向けて、企業が直面する課題は、セキュリティの強化とコスト削減をいかに両立させるかです。特に、3Dセキュア2.0の導入によってECサイトの不正決済を防止することは、顧客信頼を維持する上で欠かせません。VisaやMastercardなどの主要カードブランドが推進する3Dセキュア2.0では、固定パスワードからワンタイムパスワード（OTP）を活用した認証へと移行し、不正利用リスクを大幅に低減できます。
これにより、企業はクレジットカードのチャージバックによる損失を軽減でき、長期的にはコスト削減に繋がります。不正利用が発生した際のチャージバックは、従来ではカード会社が負担することが多かったものの、3Dセキュア2.0の導入を怠った場合、加盟店がその負担を負うリスクが高まります。このため、早期に3Dセキュア2.0を導入することで、チャージバックリスクを抑制する戦略が重要です。
また、JC-STAR制度の活用により、IoT製品のセキュリティ基準をクリアすることで、製品自体の信頼性を向上させられます。特に、★3以上の認定を受ける製品は、政府機関やインフラ企業からの信頼を獲得し、公共案件や大型契約において有利な立場を築くことが可能です。これにより、企業は新たな市場機会を創出し、競争力を高めつつ、セキュリティコストを投資と捉えることができるでしょう。
このように、3Dセキュア2.0とJC-STARの両方に対応することで、企業は不正利用リスクを減らし、信頼性を高めながらコスト削減を実現することができます。
事例紹介：セキュアコードレビューを活用した成功事例
3Dセキュア2.0やJC-STARの導入を進める中で、いくつかの企業がセキュアコードレビューを積極的に活用して成功を収めています。その一例が、国内大手EC事業者の楽天株式会社です。楽天は、2024年から3Dセキュア2.0対応のシステムへと移行し、コードレビューを強化することで、決済時の不正利用を大幅に削減しました。これにより、クレジットカード決済の安全性を確保し、ユーザーの信頼をさらに高めました。
また、IoT分野では、パナソニックがJC-STAR制度に対応した製品開発を進め、★3の認定を取得しています。パナソニックは、製品開発の初期段階からセキュアコードレビューを実施し、システムの脆弱性を徹底的に洗い出しました。これにより、製品の安全性を向上させ、重要インフラ向けの案件での採用実績を拡大しています。
さらに、日立製作所も第三者機関と連携したコードレビュー体制を構築し、JC-STAR認定を取得することで、公共事業向けのIoTソリューションで競争優位を確立しています。日立は、レビューを通じて発見した脆弱性を迅速に修正し、セキュリティ基準を満たす製品を提供することで、顧客からの信頼を獲得しました。
これらの事例からわかるように、セキュアコードレビューを戦略的に活用することで、企業はセキュリティ基準への対応を強化しつつ、ビジネスチャンスを拡大することが可能です。
今から準備すべき2025年対策：企業の次なる一手
2025年を迎えるにあたり、企業が今から取り組むべきは、セキュアコードレビューの計画的な実施と、社内の体制整備です。3Dセキュア2.0やJC-STARの導入を円滑に進めるためには、開発チームとセキュリティチームが密に連携し、コードレビューを定期的に行うことが求められます。これにより、システムの脆弱性を早期に発見し、未然に防ぐ体制を構築できます。
具体的には、楽天やパナソニックの事例に学び、開発プロセスの初期段階からセキュリティレビューを取り入れることが重要です。また、外部のセキュリティ専門家と連携し、第三者視点からの評価を受けることも効果的です。これにより、社内では見落としがちなリスクを客観的に洗い出すことが可能となります。
さらに、IPAが提供する「セキュリティ人材育成プログラム」を活用し、社員のセキュリティリテラシーを高めることも効果的です。このプログラムでは、最新のセキュリティ対策や脆弱性への対応手法を学ぶことができ、実践的な知識を持った人材を育成することで、企業全体のセキュリティ意識を向上させることが可能です。
また、セキュリティに関連する技術やガイドラインの更新にも注視し、最新の情報を基に適切な対策を取ることが求められます。例えば、経済産業省が発表するガイドラインの変更点をチェックし、適時にシステムをアップデートすることで、常にセキュアな環境を維持することができます。