業種金融・保険
全社PCの認証強化で「PCI DSS v4.0.1」への準拠を実現！オフライン環境でも使えるデバイスレス多要素認証を全社導入
株式会社ニッセンホールディングスと株式会社SBI新生銀行が出資するニッセン・クレジットサービス株式会社は、衣料品や雑貨の通販で知られる「ニッセン」の公式クレジットカードの運営を主な事業としています。
同社は、クレジットカード業界のグローバルセキュリティ基準である「PCI DSS v4.0.1」への準拠に向け、全社員が利用する業務用デスクトップパソコンに「PassLogic for Windows Desktop（Windows OS認証強化）」を採用しました。
コールセンターの共有パソコンやネットワークに接続されていない完全オフライン環境においても、強固な多要素認証を実現し、セキュリティ強化と運用負荷の最小化を両立しています。
導入のメリット
- PCI DSS v4.0.1（要件8.4および8.5）に迅速に対応
- シフト制業務における「人」と「デバイス」の管理課題を解決
- 完全オフライン環境に対応した多要素認証を導入
同社へのPassLogic導入の経緯について、ニッセン・クレジットサービス株式会社インフォメーションテクノロジー部の林 良和氏、および岸本 大志氏にお話を伺いました。
ご担当者様情報
ニッセン・クレジットサービス株式会社
インフォメーションテクノロジー
マネージャー
林 良和氏
ニッセン・クレジットサービス株式会社
インフォメーションテクノロジー
岸本 大志氏
導入の背景・課題
「PCI DSS v4.0.1」で厳格化された多要素認証――膨大な要件をどう読み解き、対応したのか
同社は、通販サイト「ニッセン」でのお買い物がお得になることに加え、多彩なポイント還元施策を強みとして、多くのお客様にサービスを提供しています。クレジットカードを取り扱う事業者として、情報セキュリティの維持とお客様からの信用・信頼の確保は、最優先で取り組むべき重要なテーマです。
同社がパソコンログオンの認証強化を検討し始めた直接のきっかけは、「PCI DSS」がバージョン3.2から4.0へ移行したことでした。
PCI DSS v4.0では、新たにカード会員データ環境への「すべてのアクセス」に対して多要素認証（MFA）の適用が求められるようになりました（要件8.4）。さらに、少なくとも2種類の認証要素を使用することや、リプレイ攻撃を防ぐ仕組みを備えることなど、認証方式そのものにもより厳格な要件が定められています（要件8.5）。
さらに、2024年6月にリリースされた改訂版「PCI DSS v4.0.1」では、MFAの適用範囲がより明確化されたことから、同社ではv4.0.1を基準として認証基盤の見直しに取り組みました。
- PCI DSS v4.0.1で厳格化された多要素認証要件への対応が急務だった
- 複雑な要件を正確に解釈し、自社環境に適した認証方式を設計する必要があった
- 限られた期限内で、新たな認証基盤を構築・展開する必要があった
林 良和氏新バージョンでは、多要素認証に関する要件が大幅に厳格化されました。英語で記載された仕様書を読み込み、『どこまでの範囲に、どのような認証を実装すれば基準を満たせるのか』を正しく解釈するには、多くの時間と労力を要しました。限られた期限の中で、これらの要件を満たす認証基盤をどのように構築するかが、当社にとって最大の課題でした。
導入した理由
シフト制コールセンターとテレワークで直面した「デバイス管理の限界」――解決策は「デバイスを持たない」こと
同社は、限られた期間で確実にPCI DSS v4.0.1へ対応するため、長年にわたり基盤系システムの主要パートナーとして支援を受けてきた大手システムインテグレーターに相談し、複数の認証製品を比較検討しました。
当初は、USBキーやハードウェアトークンを利用した認証方式も有力な候補でした。しかし、実際の運用を想定すると、「物理デバイスをどのように管理するか」という課題が浮き彫りになりました。
岸本 大志氏当社ではコールセンターを運営しており、多くのオペレーターがシフト制で交代しながら共有端末を利用しています。また、社員にはテレワーク環境を提供しており、リモートアクセスによる業務も行っています。このような環境では、物理デバイスを全員に配布し、『誰がどのデバイスを利用しているか』という“人とデバイス”の紐付けを管理し続けることは現実的ではありません。
紛失時の対応や再発行、運用ルールの整備まで考えると、物理デバイスを前提とした運用は『誰も幸せにならない』と判断しました。
最終的に採用したのは、ハードウェアトークンなどの専用デバイスを必要としない、デバイスレスの多要素認証を提供する「PassLogic」でした。「PassLogic for Windows Desktop」により、パターンの所持との組み合わせで多要素認証を実現させることで、共有のデスクトップパソコンであっても、端末単位ではなく利用者一人ひとりのアカウント単位で多要素認証を適用できます。
さらに、ネットワークに接続されていない完全オフライン環境でも、あらかじめ取得しておいた乱数によって強固な認証を維持できる点も、同社の運用環境に適した大きな決め手となりました。
導入後の改善効果
懸念していた現場の混乱もなく、全社展開はわずか3か月で完了
プロジェクトの開始後、全社員が利用するデスクトップパソコンへの展開は、わずか3か月で完了しました。
実は、本番導入の約1年前にはPassLogicの無料評価版を用いた事前検証を実施しており、社内環境における様々な認証パターンの動作確認や運用イメージを十分に把握していました。そのため、本番導入では検証時の設定やノウハウを活用できたことが、短期間での展開につながりました。
情報システム部門では、新しい認証方式の導入による現場への影響や混乱を懸念していましたが、それは杞憂に終わりました。利用者向け手順書の整備や認証画面の分かりやすさもあり、現場は大きな混乱なく受け入れ、スムーズに運用を開始することができました。
運用開始後のユーザー管理についても、クラウド版ならではのシンプルな管理画面により、人員の増減に伴うユーザー登録や削除を容易に実施でき、管理者の運用負荷は最小限に抑えられています。
その結果、最も重要な目標であったPCI DSS v4.0.1への準拠（SAQ）も、計画どおり達成することができました。
今後の展望
クラウド・SAML連携による認証基盤の最適化へ
PCI DSS要件への対応を完了し、堅牢なシステム基盤を構築した同社。次のステップとして、ビジネス環境の変化や多様な業務ニーズへ柔軟に対応するため、認証・ID管理基盤のさらなる最適化と強化を目指しています。
業務で利用する各種クラウドサービスとのSAML連携による認証強化や、Active DirectoryおよびEntra IDとの連携による社内ID管理の一元化などの検討を進めています。
林 良和氏PassLogicがSAML連携にも対応していることを改めて認識し、今後の認証戦略における有効性を再認識しました。今後は、業務効率とセキュリティをより高いレベルで両立させるためにも、クラウドサービスやSAML連携を活用した認証基盤のさらなる最適化が重要になると考えています。また、こうした安全なシステム基盤をベースにしながら、AIの活用も推進していきたいですね。
以上、ニッセン・クレジットサービス株式会社に、PassLogic for Windows Desktop採用の背景と理由を伺いました。
PCI DSS v4.0.1への対応をきっかけに、多要素認証の強化と現場運用の両立という課題に取り組んだ同社。デバイスレス認証の採用により、共有パソコンやオフライン環境でも高いセキュリティを維持しながら、運用負荷を抑えた認証基盤を実現しました。
当社は今後も、多様な業務環境やセキュリティ要件に対応し、お客様の安心・安全なシステム運用を支援してまいります。
Windows認証強化の導入をご検討の方、または自社サービスにPassLogicを採用したい方は、ぜひ下記のボタンからお問い合わせください。
※本文中の社名・製品名は各社の商標または登録商標です。
※仕様、サービスの内容、名称は予告なく変更される場合があります。
※記載の内容は2026年7月時点の情報です。
