Ailos Cooperative、F5でアプリとAPIのセキュリティを強化

ブラジルの協同組合Ailosは、個人、企業、都市部の経済成長を促進する金融サービスの拡充を目的としたデジタルトランスフォーメーション戦略を推進しています。2025年までに顧客数200万人を達成することを目標としています。イノベーションで知られるAilosは、ブラジル中央銀行の即時決済システムPIXに先駆け、無料の即時送金を実現しました。同組織は、F5 Distributed Cloud Servicesを活用してデジタル資産を保護しています。

ビジネス上の課題

ブラジルのサンタカタリーナ州で20年前に設立されたAilos Cooperativeは、全国の160万人のお客さまにサービスを提供しています。プレジデンテ・ジェトゥリオのように、人口の90%がAilosのお客さまである都市もあります。このエコシステムにおける自らの役割を認識し、Ailosの経営陣は、カスタマーサービス体験の向上に向けてプロセスとアプリケーションの刷新を進めてきました。また、同組合の将来的な事業拡大を支える、拡張性の高いインフラストラクチャの構築にも注力しています。

この取り組みの一環として、Ailosの中核バンキング環境では、AWSおよびAzure上の最新のクラウドベースアプリケーションと併存する、従来型のモノリシックアプリケーションを利用しています。また、同組合はAPIの公開を容易にするクラウドネイティブプラットフォーム、MuleSoftも利用しています。お客さまは、AilosのWebサイトとモバイルアプリを通じて、これらのアプリケーションやサービスにアクセスできます。

Ailos CooperativeのアプリケーションとAPIの開発、公開、利用プロセスは、DevSecOpsのベストプラクティスに準拠しています。アプリケーションの設計はAilosチームが担当し、開発はサードパーティパートナーと連携して進めています。また、金融サービス事業に求められる高い俊敏性にも対応する必要があります。データの完全性を確保するため、同社には、すべてのAPIとアプリケーションについて、導入先を問わず可視性と制御を一元化できるマルチクラウドソリューションが必要でした。

さらに、オンプレミスとクラウドに保存されている重要データのセキュリティを確保するには、組織の分散インフラストラクチャに対応できる統合プラットフォームが必要でした。ソリューションの選定では、レイテンシーが重要な要素となりました。たとえば、サンタカタリーナ州のビジネスパーソンがドイツに出張した場合、欧州のAilosプラットフォームには、ブラジルで利用する場合と同等のパフォーマンスが求められます。

最後に、Ailosの経営陣は設備投資を削減するため、今後のテクノロジー投資をSaaSとソフトウェアに重点化しました。デジタルセキュリティを含むすべてのリソースをソフトウェアとして扱うことで、柔軟性と管理効率の向上を目指しました。従来型アプリケーションから最新のAPIまで、幅広い領域にわたるインサイトを提供できるソフトウェアベースのセキュリティおよびパフォーマンスプラットフォームを導入し、拡大する環境の管理を効率化するとともに、複数のプラットフォームにまたがる労力のかかる手作業による管理を段階的に廃止することを目指しました。こうした意欲的な目標を達成するための最適なソリューションを見つけるべく、Ailosは2023年初頭にRFPを開始しました。

ソリューション

Ailos Cooperativeは長年にわたり、コアアプリケーションのパフォーマンスとセキュリティを確保するため、F5 BIG-IP Local Traffic Manager (LTM)とF5 BIG-IP Application Security Manager (ASM)を活用してきました。しかし、モダンアプリの台頭とAPIの急増に伴い、クラウドファーストのセキュリティモデルを採用する必要が生じました。複数のベンダーを対象に複数回の概念実証（POC）を実施した結果、Ailosの経営陣は、200のアプリと数千のAPIを保護するためにF5 Distributed Cloud Servicesの導入を決定しました。

Ailosが導入したサービスには、F5 Distributed Cloud Network Connect、Distributed Cloud DNS Load Balancer、Distributed Cloud App Stackが含まれます。このインフラストラクチャは、ハイブリッドSaaSモデルで導入されています。一般公開アプリケーション向けには、Distributed Cloud Network Connectが、F5のグローバルネットワークを介して、AWS、Azure、MuleSoftのパブリッククラウドとF5が管理するRegional Edgeサイト間でSaaSベースのサービスデリバリを提供し、Ailosのパブリッククラウドに依存するプロセスを継続的にサポートします。

一方、オンプレミスのデータセンターでは、Ailosは自社のオンプレミスアプリケーションをサポートするため、F5 Customer Edge（CE）ソフトウェアパッケージの導入を選択しました。これにより、サービス提供にRegional Edgeサイトを利用する必要がなくなると同時に、アプリケーションがインターネット上で公開されないようにしています。CEはAilosのデータセンター内で、ミニPoPのように自動で機能します。これらのインスタンスのライフサイクルは、中央のSaaSコンソールから管理されます。これらの導入モデルを組み合わせることで、AilosのアプリとAPIのカタログ全体を保護し、パフォーマンスを向上させるハイブリッドなアプローチを実現しています。

F5のグローバルクラウドインフラストラクチャは、世界中のAilosのお客さまにパフォーマンスとセキュリティを提供します。サンタカタリーナ州からでもベルリンからでも、Ailosのバンキングコアを利用する際は、同社のWebサイトまたはアプリを介してアクセスします。アクセスは、Distributed Cloud Servicesの複数のインスタンスによって厳格にフィルタリングおよび検証されます。これらのインスタンスは、AIと機械学習（ML）を活用して高精度な行動分析を行い、デジタルエクスペリエンスを保護しながら最適なパフォーマンスを確保します。その後、トラフィックはAilosのプライベートクラウドまたはパブリッククラウドにルーティングされ、そこでアプリとAPIが処理され、お客さまのニーズに対応します。F5 Distributed Cloud Web Application and API Protection（WAAP）ソリューションは、AilosのアプリとAPIに対する潜在的な攻撃を特定して阻止するうえで重要な役割を果たします。

AilosのデジタルエコシステムにおけるAPIの戦略的重要性を踏まえ、API検出機能を備えたDistributed Cloud API Securityも導入されました。このクラウドネイティブプラットフォームは24時間365日稼働し、世界中で公開および利用されているAPIに関する包括的なインサイトを提供します。主な機能の1つは、ビジネスに不可欠な正規のAPIと区別しながら、使用中のシャドーAPI（コンプライアンスに準拠せず、多くの場合、文書化されていない、またはサポート対象外のAPI）を特定できることです。自動制御により、セキュリティを損なう可能性のあるサードパーティAPIにAilosの開発者がアクセスするのを防ぎます。

Distributed Cloud Servicesへの移行の一環として、Ailosはセキュリティポリシーを刷新し、分散したネットワーク、アプリ、APIを持続的に管理できる体制を整えました。この移行により、Ailosは最終的にモノリシックアプリケーションを廃止し、クラウドベースのシステムへ完全に移行できるようになります。

成果

多様な分散環境の管理にかかる時間を75%削減

F5 Distributed Cloud Servicesの導入により、Ailosは新たな時代を迎えました。単一のプラットフォームを通じて、異種混在する分散環境の管理が簡素化されました。このソリューションは、従来のバンキングコアをホストするオンプレミス環境から、AWS、Azure、MuleSoftのパブリッククラウドに至るまで、ネットワークインフラストラクチャ全体のアプリとAPIに関するインサイトを提供します。

「まず、自社環境における現在および将来のリスクを分析し、その結果を踏まえて、事業拡大を支えるソリューションを探しました」と、AilosのCISOであるSidnei Fernando da Silveira氏は述べています。「管理の複雑さを抑えた統合ソリューションが不可欠だという結論に至りました。F5 Distributed Cloud Servicesは、信頼できるソリューションとして、チームの生産性を高めるとともに、さまざまな環境を包括的に可視化します。しかも、すべてを単一のプラットフォームから管理できます」

Ailosの情報セキュリティアナリストであるDaniel Devegili氏の分析によると、同社の複数環境の管理に費やす時間が75%短縮されました。同氏は次のように述べています。「F5 Distributed Cloud Servicesを導入する前は、4つの異なるプラットフォームを運用し、環境を包括的に把握するために、各ダッシュボードで生成されたデータを手作業で関連付ける必要がありました」

APIを100%可視化

最優先課題の1つは、脅威が深刻化する中、Ailosの金融サービスAPIのセキュリティを強化することでした。Silveira氏は、「悪意のあるAPIを特定してブロックする動的な自動化テクノロジーをRFPに盛り込むため、予算を再配分しました」と述べています。

「F5 Distributed Cloud API Securityにより、AilosのサイバーセキュリティチームはAPIを100%可視化できるようになりました」とDevegili氏は述べています。DDoS攻撃を含む複数の種類の攻撃がAPIを標的としています。F5のソリューションは予測的に機能してこれらの脅威を特定し、シャドーAPIと正規のAPIを識別することもできます。自動ブロックによりAilosの開発者の作業が効率化され、F5が事前に検証したAPIを利用できるようになりました。

さらに、Ailosの管理者は、オンプレミス環境とパブリッククラウド環境に加え、関連するアプリとAPIの日々の状況を把握できるようになりました。単一のダッシュボードから詳細な分析を行い、アプリのリソースを最適化できます。この効率的なアプローチにより、チームはイノベーションと、安全なデジタル金融サービスの強化に注力できます。

Ailosは、同組合が従来使用していたハードウェアベースのソリューションからF5 Distributed Cloud Servicesへ移行したことによる効果も比較できます。Devegili氏は次のように述べています。「現在、当社は可視化からオブザーバビリティへと進化しました。F5 Distributed Cloud Services上で複数のプラットフォームのデータを相互に照合することで、当社のAPIで何が起きているかを正確かつ詳細に診断できます」

アプリとAPIの公開を120%高速化

同社は金融取引をWebページやアプリに依存しているため、ソフトウェア開発が事業の中核となっています。そのためSilveira氏は、DevSecOpsのベストプラクティスに沿った開発パイプラインの確立を、同社におけるサイバーセキュリティ上の主要な取り組みの1つと位置付けています。「現在、取り組みの60%をこの領域に集中させています。インフラストラクチャ保護の課題には十分に対応できているため、そちらに充てる割合は40%です」

Distributed Cloud WAAPは、アプリとAPIのセキュリティに対する開発者の意識向上を重視した、より広範な戦略の一環として導入されました。その結果実現した自動化により、開発者がアクセスできるのは、Distributed Cloud API Securityによって事前にチェックおよび検証され、社内の開発パイプラインでの使用が承認されたソフトウェアコンポーネントのみに限定されます。

Devegili氏によると、この戦略により、AilosのアプリとAPIを安全に公開するプロセスが迅速化しました。「アプリケーションとAPIの公開プロセスの速度が120%向上しました」と同氏は述べています。

お客様事例をすべて見る›