ECサイトの個人情報はなぜ狙われるのか　「セキュリティは全員参加」アラタナ×さくらインターネット対談

「セキュリティは全員参加」　意識せずともECが使える世界へ

増田（さくら）　EC市場は伸び続けており、必ずしもネットやセキュリティに強いユーザーだけがECを利用しているわけではありません。ユーザー側のリテラシーも、情報漏えいなどの問題につながっているのでしょうか。

松野（アラタナ）　2通りの考えかたがあると思います。1つは、ネットショッピングをするユーザーの母数が増え、個人情報の価値が高くなっているというもの。もう1つは、これまでも被害はあったけれど、検知されていなかった。それが表に出てくるようになったという考えかたです。

　どちらにしても、リスクの部分だけに焦点が集まり、ECを利用する人、ECサイトを開設・運営する人が減ってしまうのは悲しいことです。ECは本来、とても便利なものですから。

　その便利さを享受するためにも、「セキュリティは全員参加」という意識を持つべきだと考えます。ECサイトが100あるうち、1つでもセキュリティ対策がとられていないサイトがあるだけで、先に述べたような被害が起こり得ますし、それが原因でECから離れてしまう人が出てくるでしょう。

増田（さくら）　「セキュリティは全員参加」、いい言葉ですね。そのためにはセキュリティへの啓蒙活動と、導入ハードルを下げることが重要だと考えています。

　そこで今年2月から、「さくらのSSL」のラインアップの1つとして、「SureServer for SAKURA」という新サービスの提供を始めました。特徴としては、コスト面での導入ハードルを下げるため、クラウドサービスのように月額制の料金体系を設けたことです。SSLサーバ証明書の契約は、年間単位で数万円というプランが多いのですが、先に述べたとおり、まだ何も起きていないのにそのコストは高い、と感じられる方も多いはずです。月額制にすることで、スタートアップなどこれからビジネスを拡大していきたい方が、「とりあえず始めてみよう」と思えるようにしました。

　もう1つの特徴として、エンジニアの負担を減らすため、有効期間を最長にしています。業界の決まりとして、数年に一度更新しなければならないので、できるだけその手間を減らして差し上げたい。そこで、通常の企業認証なら3年、EV認証なら2年と最長にして、月額の支払いでもこの有効期間は変わりません。ご自身での設定が難しい場合は、当社で代行することも可能です（別料金）。

松野（アラタナ）　SSLの導入は、ECサイトのセキュリティを考えるうえで基本中の基本です。役割は、ウェブサイトの運営者のプロフィールを証明する、入力する情報を暗号化するの2つ。サイトのプロフィールを示すことで信頼できるサイトか否かユーザーが判断できますし、情報を暗号化することで盗み見を防ぎます。

　しかしながら、2014年から報道されているように、SSL自体の堅牢性が危ぶまれていて、セキュリティ研究家含め、さまざまなエンジニアが脆弱性を探している状況です。そうなると、機動的な対応が求められるので、料金体系が月額制なら入れ替えも迅速に検討できるでしょうから、選択肢の1つとして有効かもしれませんね。

増田（さくら）　当社にご相談いただく方々の中には、「よくわからないけど、SSLを入れないといけないと言われて」といった具合で、「セキュリティは全員参加」というところまで考えが及んでいない方もいらっしゃいます。松野さんがおっしゃったように、SSLは基本中の基本ですから、まずは月額制で導入していただいて、そこからさらに意識を高く持っていただけるよう、啓蒙していきたいと考えています。

松野（アラタナ）　ECシステムの歴史を振り返ると、まず便利な機能だけが先行して実装され、セキュリティが後追いになってしまった。セキュリティが実装されるスピードは加速度的に上がってきてはいるものの、そこにスマートフォンなど新しいデバイスが加わるなどして、混沌としているのが現状です。

　しかしながらセキュリティは本来、当たり前のことです。水が安全に飲める、空気が安心して吸えるのと同じレベルで、誰もがインターネットを安全に使えるようになるのがセキュリティのゴールではないでしょうか。

　そういう安全なECの環境を、さくらインターネットさんと一緒に作っていきたいなと考えています。