Personal Capitalの安全性【個人情報流出について恐れている方向け】

私は毎月のように Personal Capital を使って自分の純資産情報を集めています。これを3年以上続けています。私がツールを使っていると言うと、誰もが同じ質問をします - 「Personal Capitalは安全ですか？」

セキュリティは、あらゆる金融アグリゲータやツールに対して人々が抱く最大の懸念事項の1つです。Mint、Personal Capital、その他のサービスにかかわらず、自分のデータを「クラウド」に置くことには不安がつきまといます。最近、ハッキングが多発していることを考えると、なおさらです。最大の信用調査機関のひとつであるEquifaxがハッキングされ、1億4300万人の消費者のデータが盗まれました。膨大な量でした。

自分のデータが他の会社でも安全だということをどうやって知ることができるでしょうか？

それは、情報を持っているときに、その情報をどのように保護しているかということと、情報を得るときに、その情報の送信をどのように保護しているかということの2つです。

2つの重要なセキュリティ分野

金融系アプリとセキュリティに関しては、2つの重要な要素があります。

• 自分のデータの安全性：ツールに自分のデータを渡した場合、そのデータはどのように保存され、保護されるのか？何が保存されているのか、どこに保存されているのか。盗難を防ぐために従業員はどのように監視されているのか？
• 接続の安全性 ： ツールと通信するとき、その接続の安全性は？ログインするとき、自分のデータを見るとき、何かを更新するとき、認証情報を渡すとき、そのデータの送信にはリスクが伴います。

あなたがシステムに入れる情報は、その保管場所で安全でなければなりません。また、その情報を伝える方法も安全でなければなりません。

クラウド上のデータの安全性

Personal Capital のようなツールで人々が抱く最大の懸念は、データを "クラウド "に置くことです。

そこで、セント・ザビエル大学の会計・財務学部の助教授であり、Center for the Study of Fraud and CorruptionのディレクターでもあるDavid M. Parker氏の記事を発見しました。「Personal Capital」のようなサービスについての考えを述べている記事となります。パーカー氏は、クラウドベースのツールを使用する際の潜在的なリスクとリターンをどのように判断すべきかについて、貴重な意見を述べてくれています。

Amazon、Microsoft、Dropbox、Equifax、銀行、Google、Facebookなど、誰にでもデータを提供してクラウドにデータを保存することについての一般的な考えについてですが、それは安全なのでしょうか？最近のニュースでは、サイバー犯罪者の手によってデータ流出の被害を受けた多くの企業が明らかになっています。

クラウドにデータを預けると、データが盗まれる可能性があるのですか？はい。

そこで、あなたはデータを自宅で安全に保管することにしました。データが盗まれることはありますか？それもあります。サイバー犯罪者は、自宅のコンピュータ、自宅のWi-Fi、インターネット接続可能なサーモスタットやドアベルなどに侵入することができます。

クラウドに有利な点としては、アマゾンやマイクロソフトのような大企業が、自宅にいるよりも多くのリソースを持ち、防御的なセキュリティに優れている可能性があります。そして、確かに、彼らのビジネスにとっては、安全性を保つために最善を尽くすことが最善の利益となります。また、データを自宅に保存するだけではなく、ハードドライブが爆発したり、データが入った家が燃えたりする可能性があるため、冗長化されたストレージも提供しています。そのため、リスクを許容できることが多いのです。

私はPersonal Capitalについて直接の個人的な経験はありません。私の理解では、これらのサードパーティの金融データアグリゲーターサービスは、あなたのすべての金融データを1つの場所に集めて、顧客に美しいグラフやチャートの利便性を提供することで機能しています。つまり、彼らはあなたの銀行やブローカーなどと協力して、あなたの取引にアクセスする必要があるのです。アクセスできる範囲や種類は、金融機関が彼らをパートナーと見ているか、ライバルと見ているかによって異なります。

私が思い浮かべる問題は、アタックサーフェスの大きさです。銀行とアグリゲーターの両方がお客様の情報を持っている場合、犯罪者は情報を盗むための2つのターゲットを得ることになります。また、すべての情報が一箇所に集められていれば、複数のアカウントに侵入する必要がなく、犯罪者はワンストップショッピングができることになります。リスクは常に存在します。完全に安全なシステムは存在しません。脆弱性は常に存在し、それを悪用しようとする悪人もいます。しかし、サービスのメリットに比べて、そのリスクが妥当かどうか、最小限であるかどうかは、常に個人の判断に委ねられています。

あなたのデータが自宅で100％安全なわけではありませんし、クラウドで100％安全なわけでもありません。しかし、あなたがデータを託す企業は、あなたを守るための安全策（「防御的セキュリティ」）を講じています。

Personal Capitalのデータはどのくらい安全ですか？

Personal Capital のサーバーに自分のデータが保存されていることを心配していますか？

Personal Capitalのセキュリティに関して、一番知っている人物は Fritz Robbins です。彼は、同社の最高技術責任者兼最高情報責任者です。この分野で20年以上の経験があり、RSAセキュリティのシステムアーキテクトとして3年間勤務した後、8年間にわたって自身のフルライフサイクルソフトウェアエンジニアリング会社を経営してきました。スタンフォード大学でコンピュータサイエンスの修士号を取得しています。(また、Personal Capitalの創業者であるビル・ハリスは、ほとんどの大手銀行で採用されているオンライン認証システムを構築したPassMark Security社を共同設立しており、Fritz Robbinsはその会社にも在籍していました。)

Fritz Robbinsは、セキュリティについて、下記のように説明をしています。

当社の見解では、銀行や証券会社の口座を Personal Capital 経由で閲覧する方が、ブラウザから直接銀行や証券会社のサイトにアクセスするよりも、安全性が高いと考えています。その理由の多くに触れています。

• お客様の認証情報は、安全なデータセンターに保管されますが、常にお客様の（一般的に安全性の低い）ブラウザを介して送信されます。
• 接続は読み取り専用であり、Personal Capitalを介してお客様の銀行/証券口座から資金が送金されることはなく、お客様の銀行/証券口座のパスワードが当社のサーバからお客様のブラウザに返されることはありません。
• 当社のサービスでは、銀行/証券取引のすべての取引を（電子メールまたは携帯電話のプッシュ通知で）通知しますので、銀行/証券取引口座の不正行為を簡単に監視することができます。また、Personal Capitalのチームのセキュリティ能力の高さを知ることで、彼らが最高レベルのサービスを提供していることを確信しました。

Personal Capitalがお客様のデータを保護する方法は2つあります。

• 非常に強力な暗号化技術を使用していること。
• 厳格な内部アクセスコントロールを行っている。

銀行の認証情報をPersonal Capitalに入力すると、Personal CapitalはAES-256で暗号化し、ユーザー固有の鍵を回転させるなどの多層的な鍵管理を行います。AES-256とはAdvanced Encryption Standard（AES）のことで、米国国立標準技術研究所（NIST）が定めたゴールドスタンダードです。256は使用する鍵の長さを指し、256ビットが最長となる。また、米国政府が使用している暗号と同じものです。

お客様の金融機関のログイン認証情報を保存することはありません。そのデータは暗号化され、Envestnet Yodleeに保存されています。Yodleeは、金融サービスやウェルスマネジメントのツールや企業のランドリーリストを支えるプラットフォームです。Yodlessは通貨監督庁による定期的な監査を受けており、そのセキュリティプロセスはこちらでご覧いただけます。

内部のアクセスコントロールに関しては、Personal Capital の誰もお客様の認証情報にアクセスすることはできません。

Personal Capitalとの接続の安全性は？

あなたのデータは暗号化されてサーバー上に安全に保管されていますが、誰にも覗かれることなく、まずそこに到達しなければなりません。

ここで、暗号化がもう一つの役割を果たします（専門的な話になります）。

お客様のPersonal Capitalとのオンラインでのやり取りはすべて暗号化されており、お客様がPersonal Capitalのサーバーと何をやり取りしているのかを誰も解読することはできません。Personal CapitalはTLS 1.2を推奨していますが、TLS 1.1やTLS 1.0もサポートしています。それ以外の安全性の低いプロトコルは認めていません。暗号化では、通信セッション中に鍵を交換する必要がありますが、Personal CapitalではECDHE鍵交換を用いてPerfect Forward Secrecyを実現しています。

また、2ファクタ認証も必要です。これは、未知のデバイスや新しいデバイスからログインした場合、電話やメールで本人であることを確認するというものです（設定時に選択します）。これは、金融機関にとって必須の機能であり、まだ導入されていない銀行もあります。

最後に、彼らのアプリはNowSecureとAppSecureの認証プロセスによってテストされています。

Personal Capitalはどのようにして不正行為を防止するか

ここまでは、Personal Capital がお客様とお客様のデータをどのように保護しているかについてのみ説明してきました。もしデータが悪いものだったら？

お客様のクレジットカードが不正に使用されていたらどうしますか？パーソナル・キャピタルは、お客様の取引を監視し、その日に確認したすべての内容を記載した「Daily Transaction Monitor」メールを送信することができます。月末に明細書を確認するのではなく、記憶が新鮮な時に毎日確認することができます。2週間前の取引は覚えていないかもしれませんが、今日起きたことなら覚えているはずです。

私は個人的に、0ドルや1ドルを超える金額の取引通知を設定していますが（カードによっては0ドルにできないものもあります）、そのレベルの通知が過剰であると感じる場合には、この方法が良い選択肢となります（おそらくそうなるでしょう）。

• パーソナル・キャピタルは安全ですか？　→ そう、Personal Capitalは、実は銀行よりも安全なのかもしれません。
• どのようにしてPersonal Capitalは銀行よりも安全になるのでしょうか？ → 銀行が行っていることをすべて行い、場合によってはそれ以上のことも行います。
• 読み取り専用です。お客様がパーソナル・キャピタルに口座を接続すると、パーソナル・キャピタルはデータを読む以外に何もできません。資金の移動もできません。読み取り専用なので、認証情報は別の場所（Yodlee）に保存されています。
• 2ファクタ認証。すべての銀行が2ファクタ認証を備えているわけではありませんが（驚くべきことですが、事実です）、Personal Capitalは備えています。これは必要不可欠な追加のセキュリティレイヤーです。すべてを256ビットに暗号化しています。ブルートフォース（総当たり攻撃）では、10億年かかると言われています。
• 1つのアクセスポイントで複数の銀行にアクセスできるので、それぞれの銀行に個別にログインする必要はありません。実際、Personal Capitalにログインする際には、銀行の認証情報を入力する必要がないため、情報が送信されることはありません。万が一、マルウェアやキーロガーに感染しても、お客様の金融口座は安全です。

100％安全なものはない

よく言われるように、100％安全なものは、世の中に存在しません。Personal Capitalは100%安全ではありません。Personal Capitalの代替品も100%安全ではありません。

システムに別のレイヤーを加えれば、それは攻撃される可能性のある別のレイヤーです。

とはいえ、それらを使うことで得られるメリットと、攻撃される可能性の少なさを比較検討する必要があります。

私は個人的には Personal Capital を利用することに満足していますが、最終的にはあなたが決めることです。彼らはすべての適切な保護措置を講じており、しばしば必要以上の基準を設けているので、私にとってはそれで十分です。