オンプレミスと Azure を組み合わせて PCI DSS 準拠のシステムを構築、電話放送局が見据える IVR サービスの未来像とは

電話を用いたカード情報取得業務を効率化するカード決済 IVR サービスの基盤に Azure を採用

電話放送局は、40 年以上にわたり、導入企業のコール業務に最適化した自動音声応答（以下、IVR）サービスを提供してきました。以前は多額の設備投資を行いオンプレミスの IVR を構築するという方式が一般的でしたが、テクノロジーの進化に合わせてクラウド活用を推進。現在は月額制の SaaS 型クラウドサービスを中心にビジネスを展開しています。カード決済 IVR もその 1 つで、カード情報の取得を外部システム化することでセキュリティを強化し、情報漏えいのリスクを大幅に軽減するサービスとなります。同社の代表取締役 社長で技術部門のトップも兼任する森 正行 氏は、カード決済 IVR サービスの概要についてこう解説します。

• 株式会社電話放送局 代表取締役社長 森 正行 氏

「現在は少なくなりましたが、以前は通販や月額制のサービスなどの申込みでコールセンターに電話をした際に、オペレーターからクレジットカード番号などをヒアリングされ、それに回答することでクレジットカード決済がなされて契約が成立するといったプロセスが一般的でした。ただしオペレーターとはいえ、他人にクレジット番号などの情報を伝えることに不安を感じていたユーザーも多かったのではないでしょうか。当社のカード決済 IVR は、こうした不安感を解消し、さらに悪意を持つオペレーターが不正利用することがないように、クレジットカード番号などを IVR で受け取り、安全にクレジットカード決済が行えるようにするサービスとして提供しています」（森 氏）。

以前よりオンプレミス環境にシステムを構築して SaaS 型の IVR サービスとして提供するというビジネスを展開してきた同社ですが、カード決済 IVR サービスの開発にあたっては、セキュリティ強化による不正防止を目的に改正された割賦販売法に対応するため、よりセキュリティを重視したシステム構築が必要となりました。クレジットカード業界のグローバルセキュリティ基準である PCI DSS 準拠は不可欠で、特に脆弱性管理やパッチ適用といったシステム構築後の運用フェーズで負担となるタスクを、いかに運用負荷をかけずサービスを継続稼働しながら実現するかという部分が大きな課題として顕在化していたと森 氏は語り、その解決策としてクラウドサービスの活用を検討したと振り返ります。

クラウド基盤の選定にあたっては、オンプレミス環境で SQL Server を採用していたことから、Microsoft Azure（以下、Azure）を最有力候補とし、もう 1 つのメガクラウドサービスと比較検討を行ったといいます。最終的に Azure を採用した要因について、森 氏は次のように語ります。

「オンプレミス環境のシステムだけでは求めるシステムは実現できないと判断し、クラウドの活用による課題解決を検討していきました。それ以前には座学や自社での検証などによりある程度クラウドに対する知見を深めてはいたのですが、果たして本当に最適解に辿り着けるのかといった懸念も感じていました。そのなかでマイクロソフトのエバンジェリストにさまざまなアドバイスをいただけたことが採用の決め手となりました。Azureを有効活用するためのサービスの組み合わせや、ASP.NET で Web アプリケーションを開発する際の Microsoft Visual Studioと組み合せた開発手法などをレクチャーしていただき、そこで提案された Azure のサービスが PCI DSS 準拠にほぼそのまま使える点が非常に魅力的でした」（森 氏）。

Azure の IaaS・PaaS・SaaS サービスを活用し、PCI DSS 準拠の強固なセキュリティを実現

こうして割賦販売法の改正を踏まえ、PCI DSS に準拠するという会社方針を定めてシステム構築に着手した電話放送局。前述したとおりオンプレミス環境ですべてを構築することは断念し、できるだけ Azure のサービスを組み合わせて、運用フェーズの負荷を軽減させる方向性でシステム設計が進められました。「IVR を稼働させるプラットフォームは物理的に電話回線を接続する必要があるため、フルクラウドではなく、オンプレミスとクラウドのハイブリッド構成を採用したと森 氏。「マイクロソフトのエバンジェリストにアドバイスをいただきながら、オンプレミス環境で構築する必要があるもの以外はクラウド上に構築するという方針でシステムの検討・設計を進めていきました」と説明します。

さらにシステム構成の設計だけでなく、システム上で稼働するアプリケーション開発においてもマイクロソフトの支援によりスムーズに進められたと森 氏は語り、インフラからアプリケーションに至るまで手厚いサポートを得られたことを喜びます。

完成したシステムは、オンプレミス側に IVR のコア機能、それ以外の Web や DB といった機能は Azure（クラウド）側に持たせる構成となりました。「Azure 側では運用フェーズの負担を減らすため PaaS / SaaS のサービスを中心にシステムを構築することを目指しました。ただ、システム開発当時（2016年）の Web Apps サービスは TLS のバージョン指定や暗号化スイートの都合上 PCI DSS 準拠させることができなかったため、Web アプリケーションを稼働させるプラットフォームの部分は Azure Application Gateway＋IaaS上に Windows Serverと IIS を立てるという構成にしています」と森 氏。そのなかで Azure Application Gateway の SSL アクセラレータや WAF 機能を利用し、ログは Azure 側で保管・管理するといった工夫を施したと語ります。

またオンプレミス環境と Azureの接続には Azure ExpressRoute が採用されました。専任のネットワークエンジニアを置いていない同社では、セキュアなネットワーク構築にハードルの高さを感じていましたが、マイクロソフトの支援により実現できたといいます。

• システム概要図

改正割賦販売法の基準をクリアするカード決済 IVR サービスが運用面の課題も解決

こうして、オンプレミスとAzure の組み合わせで構築されたカード決済 IVR サービスの運用が開始されます。当初は西日本のデータセンターに構築したオンプレミス環境と Azure を組み合わせてサービスを提供していましたが、導入企業の増加に合わせてビジネスを拡大し、現在はオンプレミス環境として東日本のデータセンターも併用しているといいます。こうしたシステム周りのスケールアップも、Azure を採用したことで容易に行えたと森 氏。運用においては Azure SQL Database とのセッション切れなどのトラブルがごくまれに起こる程度で、開始から数年が経過した現在においてもほぼノートラブルで運用できていると、マイクロソフトの支援によって構築されたシステムを高く評価します。

実際、2018 年 6 月 1 日施行の改正割賦販売法でのクレジットカード情報に対する「非保存・非処理・非通過」の実現のためにカード決済 IVR サービスを導入した企業は順調に増えており、「運用を大幅に変えることなくセキュリティを強化できた」「運用コストを削減できた」といった喜びの声が聞こえてきているといいます。

今後は、よりクラウドネイティブなサービスの提供も視野に入れており、森 氏は「オンプレミス環境に構築しているシステムを、可能な範囲でクラウドの活用へと移行していきたいと考えています。それにより、容易なスケールアップや安定性の維持といった効果が得られることを期待しています。また、当社でも利用している Microsoft Teams などのコミュニケーションツールと電話を組み合わせたサービスも、業務用途に応じて提供できるようにしていければと思います」と今後の展望を語ります。

また、代表取締役 社長と技術部門トップを兼任している森 氏は、今回のプロジェクトで導入した Azure のサービスについて経営者目線と技術者目線の双方で高く評価しており、同社が今後展開していくビジネスにおいてマイクロソフトのさらなる支援を期待しています。

「Azure に対して、メガクラウドにおいては後発な印象を持っていましたが、マイクロソフト製品を活用した開発・運用を長く行ってきた当社にとっては、なじみやすいのではとも感じており、実際に導入してもそういった印象を受けました。今後も継続的に Azure をはじめマイクロソフト製品を中心としたサービスの構築・提供を考えており、継続的な技術支援と新たなビジネスチャンスが生まれるソリューションの提案に期待しています」（森 氏）。

さまざまな業種・規模の企業が抱える課題の解決を支援する電話放送局が模索する、Azureを活用した IVR サービスのビジョンには、今後も注視していく必要がありそうです。

• （左から）株式会社電話放送局 西殿 拓夫 氏、森 正行 氏

[PR]提供：日本マイクロソフト