24件の質問
誰が支払いを承認し送信したかを追跡できますか。
はい。承認は既存の統制とともにERP内に残ります。統合レイヤーは、作成、署名、送信、受信したすべてのファイルを、タイムスタンプ、識別子、使用した技術アカウントとともに記録します。その記録により、銀行のステータスレポートの各支払いをERPの伝票と承認者までたどれます。
これでカードデータを当社のシステムから排除できますか。
それが設計の狙いです。カード番号は認定端末またはホスト型決済ページで取得し、ゲートウェイでトークンに置き換えるため、POS、ERP、データストアにはトークンしか残りません。これによりPCI DSSが適用される範囲を縮小できます。最終的な範囲はお客様の評価機関が確認します。
オンライン決済のEMV 3-D Secureに対応していますか。
はい。オンラインのカード決済では、規制やリスク上必要な場合にイシュアーがカード会員を認証できるよう、EMV 3-D Secureをゲートウェイ経由で組み込みます。チェックアウトでチャレンジ方式とフリクションレス方式の両方を実装し、事業者のテストカードで双方を試験します。
顧客の同意はどう扱われますか。
顧客は、どのデータが何の目的でどの期間共有されるかを確認し、自分の銀行で認証します。コネクターは同意とトークンを暗号化して保管し、すべての呼び出しを有効な同意に紐付けます。顧客は同意を撤回でき、撤回後はコネクターがその顧客について当該銀行への呼び出しを停止します。
オープンバンキングのデータはどう保護されますか。
トークンと同意記録は保存時に暗号化し、コネクターだけが使用でき、すべての呼び出しを根拠となる同意とともに記録します。目的に必要なデータだけを取得し、保存期間を定めます。GDPRなどのデータ保護規則が適用され、お客様のデータ保護責任者とともに設計します。
受信するWebhookはどう保護しますか。
受信するすべてのWebhookを処理前に検証します。パートナーが署名する場合は署名で、しない場合はトークン、送信元、タイムスタンプの確認で検証します。ペイロードは契約に照らして検証し、パートナーが複数回送信してもイベントは一度だけ処理します。
ERPへのアクセスはどう管理しますか。
各連携は、そのフローに必要な権限だけを持つ専用の技術アカウントを使用し、個人のログインは使いません。認証情報はコードではなくお客様のシークレットストアに保存し、エンジニアのアクセスは氏名を特定して記録し、プロジェクト離脱時に削除します。
CRMの顧客データはどう保護しますか。
アクセスはロールベースで、お客様のIDプロバイダーに従い、各担当者は業務に必要な顧客とフィールドのみを閲覧できます。機微なフィールドはマスキングまたは暗号化でき、変更は記録されます。連携は限られた権限の専用技術アカウントを使用し、認証情報はお客様のシークレットストアに保存します。
支払いファイルをどう安全に保ちますか。
支払いファイルは各銀行の求めに応じて署名・暗号化し、合意したチャネル上でのみ送ります。鍵と証明書はコード内ではなく、お客様のキーボルトまたはハードウェアセキュリティモジュールに保管します。送信前にファイルを検証し、すべての振込を記録するため、誰が各支払いを承認・送信したかを追跡できます。
PCI DSSの対象範囲をどう減らしますか。
PCI DSS自体をなくすことはできませんが、対象となる範囲を減らすことはできます。ホスト型決済ページ、端末でのポイントツーポイント暗号化、ゲートウェイのトークンにより、カード番号をPOS、ERP、データウェアハウスの外に保ちます。評価担当者向けにデータフローを文書化します。
当社のIDプロバイダーを接続できますか。
はい。Microsoft Entra IDやKeycloakなどのプロバイダーを通じて、OpenID ConnectまたはSAML 2.0によるシングルサインオンを追加します。アプリケーションが対応する場合はSCIMでユーザーをプロビジョニングします。アクセスの付与と削除は、お客様のIDプロバイダーを唯一の場所として行います。
当社の規制・セキュリティ要件の下で作業できますか。
はい。お客様のポリシー、アクセスルール、環境、変更プロセス、監査要件の範囲内で作業します。作業開始前に、データの取り扱い方法、エンジニアがアクセスできる環境、リスク・コンプライアンスチームが必要とする証跡を合意します。適用する統制を平易に説明し、評価者がレビューできるようにします。
カードデータはどう扱いますか。
完全なカード番号を見るシステムを可能な限り少なくするよう設計します。ホスト型決済フィールド、トークン化、ネットワークトークンにより、カードデータをプロセッサ側に留め、PCI DSSスコープを縮小します。カードデータの取り扱いが必要なシステムは、適用されるPCI DSS統制に合わせて構築し、評価者向けに文書化します。
データはどこにホストされますか。
お客様の規則が定める場所です。政府またはソブリンクラウドのリージョン、承認済みの商用クラウド、お客様自身のデータセンターに対応し、ホスト場所の判断をお客様が行えるよう設計します。バックアップ、ログ、サポートアクセスも同じ規則に従います。データはアプリケーションではなく、こうした経路からリージョンの外へ出ることが多いためです。
ゲストとテナントのデータはどのように保護しますか。
各システムは必要なデータだけを、お客様が選んだリージョンに保持し、通信中も保存時も暗号化します。アクセスは役割に従い、記録されます。お客様に適用されるGDPRと中東・北アフリカの個人データ保護法に備えて設計します。
運用を危険にさらさずにOTシステムへ対応するにはどうしますか。
保護・監視された経路からデータを読み取り、お客様の変更・安全プロセスの外で制御システムを変更することはありません。稼働中システムへの作業は運用エンジニアとともに計画し、すべての変更をロールバックできるようにします。
患者データをどう保護しますか。
機能が必要とするデータだけを収集し、お客様が選んだリージョンと環境に保持し、通信中も保存時も暗号化します。アクセスは役割に従い、記録されます。当社のエンジニアは可能な限り合成データまたは非識別化データで作業し、実データはお客様の承認と監督のもとでのみ扱います。
このソフトウェアでHIPAAやGDPRに準拠できますか。
コンプライアンスはお客様の組織と、システムの運用方法に属するため、ソフトウェア供給者だけで準拠させることはできません。当社は適用される要件に沿って設計・構築し、統制を文書化し、お客様のプライバシー・セキュリティチームの評価を支援します。
オーディエンスデータをAIで安全に使えますか。
モデルが見る前に個人データをマスキングまたはトークン化し、モデルはプライベートまたはソブリンクラウドで動作できるため、データがお客様の環境外に出ることはありません。
AIエージェントがすべきでないことをするのをどう防ぎますか。
各エージェントは固有のアイデンティティとジャストインタイムの認証情報を持ち、ツールはプロンプトインジェクションとツールポイズニングのガードレールの背後に置かれ、すべての操作が記録されます。
従業員データはどう保護されますか。
アクセスは役割に従い記録され、データは法律が求める場所に保たれ、プラットフォームはGDPRとMENAの個人データ保護法に合わせて設計します。
当社を規制に適合させることはできますか。
コンプライアンスはお客様の組織とその業務に属します。当社は、適用される監査を通過するシステムを設計・構築し、統制を文書化し、お客様のチームの評価を支援します。
EU AI Actに向けてAIシステムをどう準備しますか。
AIガバナンス、ガードレール、アルゴリズムリスク監査、各モデルとエージェントの動作記録により、評価の根拠となる証拠を揃えます。
データを海外に送らずにAIを動かせますか。
はい。モデルはエアギャップ、オンプレミス、地域のソブリンクラウドで動作でき、権限を考慮した検索により、モデルがデータを見る前にアクセスを制御します。
その他の質問
- XSISとの協働お客様のシステム、コード、データの保護方法、データの保存場所、AIコーディングツール、必要なアクセス。13件の質問
- ソフトウェア、AI、データAIモデル内のデータ、説明可能性とバイアス、データウェアハウス、Web・モバイル・クラウドのセキュリティ、安全な移行。6件の質問
- AIとデータAIモデルとマネージドサービスでデータがどこへ行くか、鍵の保有者、テストデータの作成方法、満たすべきルール。15件の質問
- サイバー・量子セキュリティ量子安全暗号、AIエージェントID、ゼロトラスト、SBOM、OT監視、セキュリティ認証。21件の質問
- コストと価格プロジェクトやチームのコストを決める要因と、当社の見積もり方法。29件の質問
- 期間作業開始と納品までの期間、それを変える要因。10件の質問
- 所有権と契約コード、データ、成果の所有者と、契約の仕組み。22件の質問
- チームと人員プロジェクトの担当者、選定方法、チームの変化。30件の質問
- プロセスとコミュニケーション作業の計画、報告、受け入れ方法。121件の質問
- テクノロジー当社が扱うプラットフォーム、標準、ツール。144件の質問
- サポートと運用本番稼働後に何が起きるか。サポート、監視、変更。29件の質問
- XSISについて当社が誰か、どこにいるか、連絡方法。6件の質問
契約ではなく、対話から始めましょう
構築、接続、保護のどれが必要かを教えてください。アーキテクトが内容を一緒に整理し、どこから始めるべきかを提案します。
今後の流れ
日程の調整
セッションの日程を調整するため、当社チームからメールをお送りします。
事前コンサルティングセッション
無料の30分オンライン事前相談です。目標、システム、制約を伺います。
準備状況レビュー
無料の48時間準備状況レビューで、プリンシパルアーキテクトがプロジェクトを6項目のDefinition of Readyに照らして確認し、適切なトラックを提案します。
トラックの選択
スコープが確定したプロジェクトには、拘束力のある提案書を3–5営業日以内にお渡しします。構想段階のプロジェクトはBlueprint Studioから始まります。稼働中のシステムに障害がある場合、文書化されていない場合、連携が必要な場合は、1–2週間の診断から始まります。Blueprint Studioと診断はそれぞれ固定料金で、提案書に記載します。