La Sociedad Japonesa de Resúmenes Médicos optimiza la seguridad con F5

La Sociedad Japonesa de Resúmenes Médicos (JAMAS) gestiona una base de datos de aproximadamente 17 millones de registros, que pone a disposición de los usuarios a través de su servicio de búsqueda de pago, Ichushi-Web. Con el objetivo de reforzar la seguridad y mejorar su resiliencia, la organización implementó F5 Distributed Cloud WAAP para lograr una protección sólida y unificada.

Desafío empresarial

La Sociedad Japonesa de Resúmenes Médicos (JAMAS) es una organización sin ánimo de lucro cuya misión es contribuir a la difusión de información médica. Desde sus orígenes en 1903, durante la era Meiji, JAMAS lleva más de 120 años recopilando e indexando de forma ininterrumpida artículos médicos publicados en Japón. Ha creado una base de datos de información secundaria con aproximadamente 17 millones de registros, que contiene metadatos —como títulos, nombres de revistas y nombres de autores— en lugar de los textos íntegros de los propios artículos. Uno de sus principales puntos fuertes es su tesauro japonés propio, desarrollado en consonancia con los Medical Subject Headings (MeSH) de la Biblioteca Nacional de Medicina de Estados Unidos. Esto permite asignar palabras clave adecuadas a cada artículo y realizar búsquedas de alta precisión basadas en términos normalizados, en lugar de limitarse a simples coincidencias de texto.

La organización ofrece una amplia gama de servicios, entre ellos Ichushi-Web (un servicio de búsqueda de pago para instituciones), Ichushi Personal-Web para particulares, Ichushi Web API (que permite la integración de sistemas), así como el suministro de datos de búsqueda y de tesauros. Ichushi-Web ha sido adoptado por prácticamente todas las universidades del país especializadas en medicina, farmacia, enfermería y odontología. Como una de las mayores plataformas de búsqueda de literatura médica de Japón, llega a registrar hasta 25.000 accesos en los días de mayor demanda. Para garantizar la fiabilidad y la seguridad continuas del servicio, es necesario realizar revisiones de seguridad periódicas.

Ippeita Toyoshima, director de la División de Servicios de Contenido de JAMAS, afirma: «Aunque no hemos sufrido ninguna brecha de seguridad grave, la creciente sofisticación de las ciberamenazas nos llevó a replantearnos nuestra estrategia. Nuestra configuración anterior, que consistía en ejecutar WAF de código abierto en servidores front-end individuales, hacía prácticamente imposible gestionar la seguridad de forma centralizada. Vimos claramente la necesidad de migrar a una infraestructura unificada y más robusta».

Además, los WAF de código abierto de la organización planteaban problemas relacionados con los falsos positivos. Cada vez que se producía un falso positivo —por ejemplo, cuando un usuario se conectaba a través de un proxy—, la organización tenía que solicitar cambios de configuración al proveedor responsable de la gestión del sistema. «Queríamos poder gestionar nuestra configuración internamente para garantizar un tiempo de respuesta mucho más rápido», afirma Toyoshima.

Depender de soluciones de código abierto también implicaba asumir todos los riesgos, una pesada carga para un equipo que intentaba internalizar las operaciones. «El esfuerzo necesario para ajustar y actualizar constantemente las reglas resulta engorroso», señala Toyoshima. «Para un equipo reducido como el nuestro, esto podría hacer que se pasaran por alto vulnerabilidades fácilmente. Nuestra configuración de WAF había llegado, en esencia, a su límite».

Soluciones

El punto de inflexión en su búsqueda de una nueva estrategia de seguridad llegó cuando conocieron F5 Distributed Cloud Web Application and API Protection (WAAP). Para evaluar la tecnología de primera mano, Toyoshima y Takumi Watanabe, responsable de planificación y desarrollo en la División de Bases de Datos, asistieron en mayo de 2025 a un seminario práctico de SecOps de F5 Academy. Impresionado por las capacidades de F5 Distributed Cloud Platform, el equipo llevó a cabo una exhaustiva prueba de concepto (PoC) entre julio y septiembre de 2025, que culminó con la decisión de adoptar el servicio en octubre.

Tras haber utilizado F5 BIG-IP Local Traffic Manager (LTM) para equilibrar la carga del tráfico durante casi una década, JAMAS valoró enormemente la trayectoria demostrada de F5. «BIG-IP LTM ha ofrecido un rendimiento estable sin ningún fallo hasta la fecha, lo que nos inspira un alto grado de confianza en los productos de F5», explica Toyoshima. «Además, la interfaz de usuario y la terminología técnica guardan una gran similitud con las de la solución WAAP. Como nuestro equipo se ha familiarizado con el ecosistema de F5 a lo largo de años de uso, sabíamos que esta familiaridad reduciría la curva de aprendizaje durante la transición a un modelo de gestión interno».

Sin embargo, el factor decisivo fueron las capacidades de seguridad de F5 Distributed Cloud Services, muy superiores a las de los firewalls de aplicaciones web (WAF) que ya utilizaba la organización. La solución basada en SaaS que ofrece F5 Distributed Cloud WAAP proporciona capacidades de seguridad multicapa que van mucho más allá de las de un WAF tradicional, al integrar protección contra ataques DDoS y bots, así como protección de API. «Estos son requisitos esenciales para el futuro de nuestra organización», explica Toyoshima. «Además, la inclusión de funciones de análisis de aplicaciones web nos permite realizar fácilmente evaluaciones de vulnerabilidades por nuestra cuenta. Este enfoque integral de defensa proactiva hizo que la solución F5 Distributed Cloud WAAP resultara sumamente atractiva».

La capacidad de gestionar los falsos positivos fue otro factor decisivo. Mientras que otros servicios evaluados por JAMAS corrían el riesgo de sobrescribir la configuración personalizada de excepciones durante las actualizaciones estándar de las reglas del WAF, Distributed Cloud WAAP eliminó esta preocupación. Su estabilidad arquitectónica garantiza que las políticas de seguridad personalizadas permanezcan intactas incluso cuando se actualizan las definiciones globales de amenazas.

«Dado nuestro objetivo de eliminar tareas administrativas redundantes, esta atención específica a los detalles operativos hizo que F5 Distributed Cloud WAAP destacara durante nuestra evaluación», afirma Toyoshima.

Resultados

La formación práctica impulsa una adopción fluida de WAAP

JAMAS integró sin contratiempos la solución WAAP recién implantada. La fluidez de la adopción se debió en gran medida al seminario práctico al que asistió el equipo antes de la implantación. Watanabe, responsable del uso de la plataforma WAAP en la organización, afirma: «Como mi formación es en humanidades y no en el ámbito tradicional de la seguridad, el seminario práctico me resultó de un valor incalculable. Fue mucho más allá de los aspectos operativos básicos y proporcionó una base sistemática sobre los principios fundamentales de seguridad. Es un recurso de un valor excepcional para cualquier administrador que gestione Distributed Cloud WAAP por primera vez».

La visibilidad basada en IA transforma la comprensión de la seguridad

El equipo de JAMAS se ha mostrado especialmente impresionado por las capacidades de F5 WAAP AI Assistant, una herramienta de lenguaje natural integrada en la consola de Distributed Cloud. Watanabe afirma: «Por ejemplo, cuando introduzco los registros de solicitudes de las últimas 24 horas, AI Assistant agrega y visualiza automáticamente los datos por dirección IP y origen geográfico. Esta función me ayudó de inmediato a detectar patrones de tráfico inusuales procedentes de regiones desconocidas. Como F5 AI Assistant indica exactamente qué anomalías hay que buscar, he adquirido una enorme confianza a la hora de gestionar nuestras operaciones de seguridad diarias, a pesar de mi limitada experiencia previa».

La facilidad de uso y la flexibilidad ayudan a optimizar los recursos

Toyoshima considera que la posibilidad de alternar entre los modos de bloqueo y supervisión mediante un único menú desplegable es un claro ejemplo de la facilidad de uso de la solución. «La posibilidad de ejecutar rápidamente los flujos de trabajo operativos previstos mediante cambios de configuración flexibles resulta muy beneficiosa», señala.

Al dejar atrás su WAF de código abierto heredado —que a menudo tardaba en mitigar nuevas vulnerabilidades—, Toyoshima preveía reducir considerablemente el tiempo y los recursos que tradicionalmente se dedicaban a las inspecciones y la supervisión manuales de la seguridad. Desde entonces, JAMAS ha avanzado de forma constante en la implantación a gran escala de Distributed Cloud WAAP. La solución permite gestionar las operaciones internamente y sin complicaciones, sin necesidad de conocimientos especializados en seguridad ni de afrontar curvas de aprendizaje pronunciadas. Además, aporta un valor continuo y a largo plazo a JAMAS al integrar una seguridad sólida y automatizada directamente en los principales servicios de bases de datos de la organización, incluido Ichushi-Web.