医学中央雑誌刊行会、F5でセキュリティを効率化

医学中央雑誌刊行会（JAMAS）は約1,700万件の文献情報を収録したデータベースを管理し、有料検索サービス「Ichushi-Web」を通じて提供しています。より強固でレジリエントなセキュリティを実現するため、F5 Distributed Cloud WAAPを導入し、堅牢な保護を一元化しました。

ビジネス上の課題

医学情報の普及への貢献を使命とする非営利団体、医学中央雑誌刊行会（JAMAS）の歴史は、明治時代の1903年にさかのぼります。以来120年以上にわたり、国内で発表された医学論文を継続的に収集し、索引を作成してきました。論文の全文ではなく、タイトル、掲載誌名、著者名などのメタデータを扱い、約1,700万件の二次情報からなるデータベースを構築しています。大きな強みの1つは、米国国立医学図書館のMedical Subject Headings（MeSH）に準拠して独自に開発した日本語シソーラスです。これにより、各論文に適切なキーワードを付与し、単純なテキスト照合ではなく、標準化された用語に基づく高精度な検索を実現しています。

同機構は、機関向け有料検索サービス「Ichushi-Web」、個人向けの「Ichushi Personal-Web」、システム連携を可能にする「Ichushi Web API」、検索用データおよびシソーラスデータの提供など、幅広いサービスを展開しています。Ichushi-Webは、国内の医学・薬学・看護学・歯学系大学のほぼすべてで導入されています。日本最大級の医学文献検索プラットフォームの1つであり、ピーク時には1日最大25,000件のアクセスがあります。サービスの信頼性と安全性を継続的に確保するには、セキュリティを継続的に見直す必要があります。

JAMASコンテンツサービス部部長の豊島一平太氏は、次のように述べています。「これまで重大なセキュリティ侵害は発生していませんが、サイバー脅威が高度化する中で、戦略の見直しが必要だと考えました。従来は、フロントエンドサーバーごとにオープンソースのWAFを稼働させていたため、セキュリティを一元管理することはほぼ不可能でした。より堅牢で統合されたインフラストラクチャへの移行が明らかに必要だと認識しました」

さらに、同組織のオープンソースWAFには、誤検知に関する課題もありました。ユーザーがプロキシ経由で接続した場合などに誤検知が発生するたび、システム管理を担当するベンダーに設定変更を依頼する必要がありました。「対応時間を大幅に短縮できるよう、設定を社内で管理できる機能が必要でした」と豊島氏は述べています。

オープンソースソリューションに依存することは、すべてのリスクを自社で負うことでもあり、運用の内製化を目指すチームにとって大きな負担でした。豊島氏は次のように述べています。「ルールを継続的に調整し、更新するには多大な手間がかかります。当社のような少人数のチームでは、脆弱性を見落とす事態にもつながりかねません。従来のWAF構成は、根本的に限界に達していました」

ソリューション

新たなセキュリティ戦略を模索する中で転機となったのは、F5 Distributed Cloud Web Application and API Protection（WAAP）を知ったことでした。このテクノロジーを実際に評価するため、豊島氏と、データベース事業部で企画・開発を統括する渡辺拓海氏は、2025年5月にF5 Academy SecOpsのハンズオンセミナーに参加しました。F5 Distributed Cloud Platformの機能に感銘を受けたチームは、2025年7月から9月にかけて包括的な概念実証（PoC）を実施し、10月にサービスの採用を決定しました。

JAMASは、トラフィックの負荷分散にF5 BIG-IP Local Traffic Manager (LTM)を約10年間使用してきたことから、実績あるF5への信頼を非常に重視しました。豊島氏は次のように説明します。「BIG-IP LTMはこれまで障害ゼロで安定したパフォーマンスを発揮しており、F5製品に高い信頼を寄せています。また、UIや技術用語はWAAPソリューションと共通する部分が多くあります。長年の運用を通じてチームがF5のエコシステムに慣れ親しんでいたため、内製運用モデルへ移行する際にも、この習熟度を生かして学習負担を軽減できると考えました」

しかし、最終的な決め手となったのは、既存のWebアプリケーションファイアウォール（WAF）を大きく上回るF5 Distributed Cloud Servicesのセキュリティ機能でした。F5 Distributed Cloud WAAPが提供するSaaSベースのソリューションは、DDoS、ボット、APIの保護を統合し、従来のWAFの範囲をはるかに超える多層的なセキュリティ機能を提供します。豊島氏は次のように説明します。「これらは、今後の当組織にとって不可欠な要件です。さらに、Webアプリスキャン機能が搭載されているため、脆弱性評価を自分たちで容易に実施できます。プロアクティブな防御に向けた包括的なアプローチにより、F5 Distributed Cloud WAAPは非常に魅力的なソリューションでした」

誤検知を管理できることも、決め手の1つとなりました。JAMASが評価した他のサービスでは、通常のWAFルール更新時にカスタム例外設定が上書きされるおそれがありましたが、Distributed Cloud WAAPではこの懸念が解消されました。アーキテクチャの安定性により、グローバルな脅威定義が更新されても、個別に調整したセキュリティポリシーは維持されます。

豊島氏は次のように述べています。「重複する管理作業の排除を目指す当社にとって、こうした運用上の細部への配慮が、評価においてF5 Distributed Cloud WAAPを際立たせる要因となりました」

成果

実践的なトレーニングでWAAPをスムーズに導入

JAMASは、新たに導入したWAAPソリューションを既存環境にスムーズに統合しました。円滑な導入を実現できた主な要因は、チームが実装前に受講したハンズオンセミナーです。組織におけるWAAPプラットフォームの利用を管理する渡辺氏は、次のように述べています。「私は従来のセキュリティ分野ではなく文系出身のため、このハンズオンセミナーは非常に有益でした。基本的な運用方法にとどまらず、セキュリティの中核となる原則を体系的に学ぶための基礎を身に付けることができました。Distributed Cloud WAAPを初めて管理する担当者にとって、極めて価値の高いリソースです」

AIを活用した可視化でセキュリティに関する洞察を変革

JAMASチームは、Distributed Cloudコンソールに統合された自然言語ツール、F5 WAAP AI Assistantの機能を特に高く評価しています。渡辺氏は次のように述べています。「例えば、過去24時間のリクエストログを入力すると、AI AssistantがIPアドレスと地理的な発信元別にデータを自動で集計し、可視化します。この機能により、見慣れない地域からの通常とは異なるトラフィックパターンをすぐに特定できました。F5 AI Assistantが確認すべき異常を明確に示してくれるため、これまでの経験が限られているにもかかわらず、日々のセキュリティ運用を管理するうえで大きな自信が得られました。」

使いやすさと柔軟性でリソースの最適化を支援

豊島氏は、1つのドロップダウンメニューでブロックモードと監視モードを切り替えられる機能を、このソリューションの使いやすさを示す好例として挙げています。「柔軟に設定を変更し、意図した運用ワークフローを迅速に実行できることは、非常に大きなメリットです」と同氏は述べています。

新たな脆弱性への対策が遅れがちだった従来のオープンソースWAFから移行することで、豊島氏は、これまで手作業によるセキュリティ検査と監視に費やしていた時間とリソースを大幅に削減できると見込んでいました。その後、JAMASはDistributed Cloud WAAPの本格展開を着実に進めています。このソリューションにより、専門的なセキュリティ知識の習得や多大な学習負担を必要とせず、社内で円滑に運用できます。また、Ichushi-Webをはじめとする組織の中核的なデータベースサービスに、堅牢で自動化されたセキュリティを直接組み込むことで、JAMASに継続的かつ長期的な価値をもたらします。