使命
銀行業務では、審査こそがプロダクトです。
他の領域では、まずリリースして後から説明します。金融インフラではその逆です。証跡を示せない機能は存在しないも同然であり、コンプライアンス審査は、あらゆる機能が実際の取引を一件でも扱う前に必ず通るべき関門です。
だから私たちは、最初のコミットからこの関門を前提に開発します。台帳は追記専用で、1セント単位まで照合できます。同意、判断、状態変更のすべてを、監査人が求める文脈とともに記録します。PCIの対象範囲は意図的に小さく保ちます。最も低コストな統制とは、設計の段階で不要にしたものだからです。
その結果、監査は慌てて対応するものではなく、形式的な手続きになります。「釣り合っているはずです」は、「釣り合っている証拠がここにあります」に変わります。
PCI-DSS設計段階で対象範囲を最小化
追記専用1セント単位で照合する台帳
0重大な監査指摘
開発が止まる理由
ローンチを阻むものと、それを設計で回避する方法。
ローンチを阻むもの
- 紛争時に照合できない台帳
- スタック全体に広がるPCI対象範囲
- 証跡のないまま下される判断
- ローンチ数週間前のコンプライアンス後付け対応
私たちの作り方
- 設計段階から1セント単位で釣り合う追記専用台帳
- カードデータを隔離し、PCI対象範囲を最小限に
- 判断と同意をすべて発生時点で記録
- 統制を最初にモデル化し、文書化
機能
私たちが作るもの
- 決済ゲートウェイとPSP連携
- アクワイアラ・カードブランド接続
- トークン化台帳・許可型台帳
- KYC / AMLオンボーディングフロー
- カストディと鍵管理
- 照合・精算
- 不正検知・リスクスコアリング
- チャージバックと紛争対応
- PCIを考慮したアーキテクチャ
- コンプライアンスダッシュボードとレポート
現場から
コンプライアンス
審査に持ち込むもの
コンプライアンス審査に必要なエビデンスパックを、開発と並行して作成します。直前に慌てて寄せ集めることはありません。
データフローと脅威モデルの文書化
PCI-DSS対象範囲図と統制マッピング
重要な操作すべてに追記専用の監査ログ
端から端まで釣り合う照合レポート
アクセス制御と職務分掌マトリクス
インシデント対応手順書と監視の証跡
進め方
フローマップから監査クリアまで。
- 01
マップ
資金とIDのあらゆるフロー — 正常系、障害、返金、紛争 — を洗い出し、それぞれで整合性を保つべき箇所を明確にします。
- 02
構築
決済レール、台帳、オンボーディングを、最初のコミットから冪等性・計測・監査対応を備えて構築します。
- 03
実証
必ず釣り合う照合、外部レビュー、フレームワークに照らして裏付けた全統制。
- 04
運用
稼働中の精算・リスクダッシュボードとオンコール手順書 — 引き渡し、または共同で運用します。
実績
成果
本番稼働させたトークン化資産・決済レールの実績から。
4週間
パイロットから本番まで
0
重大な監査指摘
PCI
設計段階で対象範囲を最小化
24/7
監視中の台帳
決済の世界で「釣り合うはず」は答えになりません。私たちは、すべての取引、すべての締め、すべての監査で、釣り合っていることを証明できるシステムを作ります。