Spire Healthcare、F5でデジタルサービスの進化を安全に推進

英国で38の病院を運営し、3,700人を超えるコンサルタントを擁する大手民間医療サービスプロバイダーのSpire Healthcareは、オンラインで提供するサービスの増加に伴い、アプリケーションセキュリティを強化する必要がありました。機密性の高い患者データを保有し、国民保健サービス（NHS）や大手保険会社などのパートナーと連携する同社には、自社のセキュリティが業界最高水準であり、信頼できることをステークホルダーに示すことも求められていました。そこで2016年、F5とSilverline（F5のクラウドベースのマネージドアプリケーションサービスプラットフォーム）を採用しました。

ビジネス上の課題

Spireは、予約、個人情報の確認、支払いができるMySpireポータルなど、顧客向けデジタルサービスを拡充する一方で、より機密性の高い患者データもオンラインで扱うようになりました。

リスクが高まる中、技術チームにはユーザーの行動に関する重要な情報が不足していました。既存のシステムでは、お客さまがどのデバイスからSpireのサービスに接続しているのか、また安全でない方法で接続している可能性があるのはいつかを把握できませんでした。この可視性の欠如により、重要なセキュリティ強化を行うことが困難になっていました。

「例えば、TLSv1.0をサポートしていないデバイスから接続しているユーザーがいるかどうか把握できていなかったため、SSLv3経由のアクセスを制限するという判断ができませんでした」と、テクニカルオペレーションマネージャーのRob Sissons氏は振り返ります。

ITチームは、重要な技術的変更を行うために必要な情報が不足していただけでなく、データセキュリティに関する社内からの問い合わせにも対応できないことが少なくありませんでした。また、日常的にSpireへ患者を紹介している大手保険会社やNHSが、自社のデータが安全に保管されていることを確認するために実施する監査にも備える必要がありました。

Spireは、顧客によるアクセスを妨げることなくデジタルサービスのセキュリティを強化するため、アプリケーションセキュリティのマネージドサービスプロバイダーを探すことにしました。

ソリューション

進化するセキュリティニーズに対応するため、SpireはF5® Silverline® Web Application Firewall (WAF)とF5® Silverline® DDoS Protectionをマネージドサービスとして導入しました。F5の顧客対応セキュリティスペシャリストが集結するSecurity Operations Center (SOC)が、24時間体制でサポートします。

「私たちにとって、SOCはまさに大きな価値をもたらしてくれる存在です」とSissons氏は述べています。「変更を実施する際に、知識豊富な専門家が別の視点から精査してくれるため、安心して進められます。また、多くの場合、実現しようとしていることを最適化する方法について、チームから提案を受けることもできます」

SOCチームは、サードパーティー開発者が提供するものも含め、Spireが新しいアプリケーションを開発・実装するプロセスに欠かせない存在となっています。Spireは、空のテンプレートから始め、テストを繰り返して特定した誤検知を許可リストに追加することで、WAFポリシーを策定しています。

「何かを開放するよう依頼すると、SOCがその提案内容を再確認してくれます」とSissons氏は説明します。「ニッチな臨床アプリケーションは、必ずしも本来あるべきセキュリティ水準を満たしているとは限りません。F5からの指摘を受け、サードパーティのソフトウェア開発者にアプリケーションの問題点を伝えたことも何度かあります」

SpireがF5との連携を開始して以来、同社のアプリケーションエコシステムは多様化し、複雑さを増し続けています。これには、保険会社が患者を紹介し、その詳細情報をより簡単に転送できるようにするAPIの導入も含まれます。Silverlineは、Spireが顧客、コンサルタント、主要パートナー向けのデジタルサービスを継続的に開発、強化するために必要なセキュリティを提供します。

SOCの支援を受け、Silverlineサービスは、Spireが保管する機密データに見合ったレベルのアプリケーションセキュリティを実装し、時折発生する重大なインシデントに迅速に対応するうえでも役立っています。

さらに、Silverlineは、ユーザー行動に関する可視性とデータを提供し、ITチームによるセキュリティポリシー全般の改善を支援することで、Spireの包括的なセキュリティポリシーの進化を支えています。また、これまで把握できなかった、顧客がサービスにアクセスする方法の詳細も明らかにします。

「例えば、TLSの強化において、情報セキュリティチームは、Silverlineが提供する受信接続に関するデータや、安全でない接続の発信元に関するデータを大いに活用してきました」とSissons氏は述べています。

お客さまに合わせた24時間365日のサポート

Silverlineのもう1つの大きなメリットは、Spireのネットワークに対する進行中の脅威に対処できることです。最近発生した大規模なDDoS攻撃では、SOCが対応に積極的に加わり、攻撃元に関する情報を提供するとともに、Spireのインターネットサービスプロバイダーとの協議にも参加しました。Sissons氏は次のように振り返ります。「このような大規模攻撃は状況が刻々と変化するため、攻撃が進行する中で調査を行う必要があります。SOCとは終始、連絡を取り合える体制が整っていました。SOCの担当者は電話会議にも参加し、非常に貴重な支援を提供してくれました」

日常的な運用においても、SpireはSOCの専門スタッフにいつでも対応してもらえるという安心感を得ています。Sissons氏は次のように付け加えます。「マネージドサービスの一環として、急な依頼でも、非常に高いスキルを持つ担当者にすぐ電話で対応してもらえます。これまでSOCに依頼して、対応してもらえなかったことは一度もありません」

ステークホルダーに安心を

Silverlineは、Spireを取り巻くより広範なエコシステムにも好影響をもたらしています。第三者からの患者紹介は同社のビジネスモデルにおいて重要な役割を担っており、F5がマネージドサービスプロバイダーとして関与することで、データセキュリティのポリシーと保護対策が厳格な基準を満たせることをパートナーに示し、安心感を与える一助となっています。Silverlineは、保険会社であるパートナーによる監査への対応にも活用されているほか、NHSのHealth and Social Care Network（HSCN）への参加要件であるセキュリティツールキットにも組み込まれています。Sissons氏は次のように付け加えています。「外部監査で、専門のセキュリティチームがこれらのサービスを保護していると説明できることは、当社にとって有益です」