絶対に許されない情報漏洩！「メルペイ」の利用者を守る高度なセキュリティVMware Horizon Cloud on Microsoft Azure
株式会社メルカリ
コーポレートエンジニアリング
システムエンジニアリングチーム 鈴木 庸陛 氏
企業名：株式会社メルペイ
フリマアプリ「メルカリ」のサービスを運営する株式会社メルカリの100％子会社として 2017 年11月に設立。2019 年 2 月に銀行口座からチャージした電子マネーに加え、メルカリの売上やポイントを支払いに利用できるスマホ決済サービス「メルペイ」の提供を開始した。2020 年 2 月には「Origami Pay」の運営会社である株式会社 Origami の全株式を取得し、同社を子会社化している。
膨大な決済情報を扱うメルペイに求められる高度なセキュリティ
「信用を創造して、なめらかな社会を創る」をミッションに、決済・金融・シェアリングなどに関連する新たなサービス提供に取り組む株式会社メルペイ。2019 年 2 月にスタートしたスマホ決済サービス「メルペイ」は、メルカリが擁する1,657 万人（2020 年 2 月現在）の顧客基盤を背景に多くの利用者を獲得し、2020年1月の時点で利用者数 600 万人を突破。対応加盟店も170万カ所に達している。
現在も多くの加盟店登録の申請が寄せられているが、申請内容を審査・管理するシステムには、高いセキュリティが求められ、機密性の高い決済情報などの漏洩は一切許されない。情報漏洩が許されないのは、利用者の個人情報も同様だ。メルカリの売上金をメルペイで利用したい場合、利用者はアプリから銀行口座を登録するか、本人確認を実施しておく必要があるが、申請内容に不備がある場合はカスタマーセンター経由で個人情報をやり取りすることになる。
このように膨大な決済情報や個人情報を利用者情報の漏洩が絶対に許されないメルペイは、加盟店を管理するシステムのオペレーション環境と、カスタマーセンターの顧客管理システムのオペレーションに仮想デスクトップ基盤（VDI）の VMware Horizon Cloud on Microsoft Azure（以 下、Horizon Cloud on Azure）を導入した。株式会社メルカリ コーポレートエンジニアリング システムエンジニアリングチームの鈴木庸陛氏は次のように説明する。
「膨大な決済情報や個人情報をセキュアに管理するために、セキュリティを最 優先に考えてHorizon Cloud on Azure の導入を決めました。端末にデータを残さない VMware Horizon ならデータの持ち出しができません。運用基盤のMicrosoft Azure は、多層なセキュリティ機能と広範なコンプライアンスによって守られている安全なクラウド基盤です」
また、VMware Horizon Cloud はユーザー環境に認証機能、セキュアな接続機能を提供するコンポーネントを配置できる。これらの要素は、より高度なセキュリティ対策を求める企業にとって安心材料となるだろう。
メルペイ様コメント：セキュリティに関する事故を一切起こさないというミッションを達成できていることこそが、Horizon Cloud on Azure を採用した最大の成果です。
シフト勤務にあった「同時接続ライセンス」人員の増員に合わせて拡張が可能
メルペイが Horizon Cloud on Azure を採用したもう 1 つの理由は、「同時接続ライセンス」が選択できることと、拡張性の高さにあった。担当者がシフト制で勤務する加盟店登録窓口やカスタマーサポートの場合、ユーザー数分のライセンスを用意する必要はない。Horizon Cloud on Azureなら業務時間中に同時接続する分だけのライセンス数を購入すればよいため、コスト面でのメリットが大きいというわけだ。
クラウド（Microsoft Azure）の利用についても、もともと同社の IT ポリシーはクラウドネイティブであることから、VDI をクラウド化することのハードルはなかった。キャパシティが決まってしまうオンプレミスの環境と異なり、クラウドなら、利用者が急激に増えた際にも拡張が容易で、コストメリットも高い。また、いくつかの候補の中でも直感的に操作できる使い勝手の高さも評価した。
豊富な実績と深い知見に基づく日商エレクトロニクスの検証サポート
Horizon Cloud on Azure の採用に際して、メルペイは導入パートナーに日商エレクトロニクスを指名した。日商エレクトロニクスは国内で初めて Horizon Cloud on Azure の導入を手がけた IT ベンダーで、Azure 環境にも精通していたことが採用の決め手となった。
「営業担当者のフットワークの軽さとスピード感のある対応力、緻密な要件定義に基づく提案力、保守も含めた一括したサポート力を高く評価して採用を決めました」（鈴木氏）
提案・初期構想の段階で発生した重要なハイライトとしては、「二要素認証」の追加が挙げられる。
同社はセキュリティレベルをできる限り高めるため、VDI へのログインに二要素認証を適用することを急遽決定した。当初はスマートフォンの活用を検討したものの、オペレーションルームは通信デバイスの持ち込みが禁止されていることから、その代替案として日商エレクトロニクスは IC カードによる認証方式を提案。約 1 カ月間の検証においても良好な結果が得られたことから、正式な採用が決まった。
その後、VDI の構築とゼロクライアント端末の調達を終え、メルペイを使った決済が本格始動する 2019 年 2 月までに無事に体制を整備することができた。
「日商エレクトロニクスは、二要素認証への対応も含めたプロジェクトの前段階から開発チームの一員として積極的に動いてくれました。プロジェクトの過程においても要件の追加や変更が発生する中で、豊富な実績に基づく知見を活かして Horizon Cloud on Azure の導入に尽力してくれました。周辺ソリューションとの連携やゼロクライアント端末の選定・検証まで、総合的なサポートには本当に助けられました」（鈴木氏）
同時接続ライセンスで効率的に利用セキュリティインシデントの削減に貢献
現在、Horizon Cloud on Azure による VDI環境は、金融情報や個人情報を扱う加盟店管理、カスタマーサポート、不正な取引や行為を 24 時間 365 日体制で監視する不正検知の 3 つの業務で利用されている。サービスインから 1 年後の 2020 年 2 月現在、利用端末台数は 2 倍以上に増え、同時接続ライセンスのメリットを活かしながら、複数のユーザーで 3 つの業務を行っている。実際の運用を通じて業務プロセスの整備も行っており、ファイルサーバーや印刷機能の追加などによる効率化が図られている。
導入から約1年が経過した現在、Horizon Cloudon Azure 環境においてセキュリティに関するインシデントは 1 件も発生していない。このことに対しては、経営陣も含めてメルペイ社内から評価の声が寄せられており、その他にもオペレーターの増員に対応した VDI の迅速な拡張など、Horizon Cloud on Azure はサービスや事業の拡大に着実な貢献を果たしているという。
「セキュリティに関する事故は一切起こさないという最大のミッションが達成できている点は、率直に評価していいと思います。VDIの拡張についても、もしオンプレミスで環境を構築していたら 3 カ月はかかるところが、クラウド化によってわずか 1 日で増強できます。これにより、オペレーターの増員が必要な際にも、容易に対応できるようになりました」（鈴木氏）
事業を支える長期的な基盤としてのHorizon Cloud on Azureの価値
Horizon Cloud on Azure の VDI の運用保守は、基本的にメルペイの社内で対応している。それに加えて、平日・日中のトラブル対応などは日商エレクトロニクスの運用保守サービスを利用するなど、安心して利用できる環境整備に努めている。
今後の展望としては、キャンペーンなどで加盟店の審査業務が一時的に増加したり、カスタマーサポート体制を強化したりするタイミングで Horizon Cloud on Azure の拡張性をさらに活用しながら、長期的な事業基盤としての投資価値を高めていく考えだ。
またメルペイの事業拡大によって、現在の業務以外でも個人情報や金融情報を扱う機会が増えることも予想され、同社が Horizon Cloudon Azure にかける期待は大きい。
鈴木氏は「高度なセキュリティ対策によってビジネスの信頼性を保つ上でも、VDI のプラットフォームとしての Horizon Cloud on Azure の価値は大きい。日商エレクトロニクスには、引き続きパートナーとしての手厚いサポートを期待しています」と語る。
クラウドネイティブな新たな発想で成長を続けるメルペイのビジネスにおいて、HorizonCloud on Azure は今後も大きな貢献を果たすに違いない。