API態勢について確認すべき15の質問

Chuck Herrin

今日は、ある秘密をお話しします。この20年間で最高情報セキュリティ責任者（CISO）を6社ほどで務めてきましたが、侵害を理由に採用されたのは、わずか1社だけでした。たった1社です。

残る5件は、退職によるものか、主要なステークホルダーからの信頼を失ったために前任者が交代したケースでした。実に半数が、侵害ではなく信頼の喪失を理由に交代していたのです。

CISOが自社のAPI環境を把握すべき理由

APIセキュリティの観点から、CISOが自社のAPIの露出状況を把握する必要性は、いくつかの明確な記述に集約できます。

まず、特定の環境に対する脅威モデルを作成するには、資産、アクター、インターフェース、アクションという4つの要素を把握する必要があります。つまり、「誰が、何に対して、何を、どのような経路で行っているのか」ということです。

次に、APIの「I」は「インターフェース」を意味します。アプリケーションプログラミングインターフェースは、さまざまなプラットフォーム、言語、フレームワークで広く使用されており、現在のソフトウェア開発のほぼすべてがAPIファーストです。したがって、皆さまの環境にもAPIは必ず存在します。

第3に、CISOとして、機密データを社内向け、またはWebアプリやモバイルアプリ向けに公開・提供するインターフェースのインベントリを把握していなければ、脅威モデルは不完全であり、サービスやデータが公開されている箇所に対応する盲点が生じます。

最後に、不完全な脅威モデルでは、包括的なセキュリティ監督と、相当な注意を払っていることの証明が欠けています。これらは、監査機関と規制当局が確実な実施を求める2つの重要な領域です。監査機関と規制当局には、特定の環境における資産、主体、インターフェース、アクションが把握され、管理されていることを確認する責任があります。

APIセキュリティのリスク評価

F5は、お客さまが常にその場で最も的確な判断を下せる存在であってほしいと考えています。そこで、APIエコシステムの現状を評価するための簡単な質問リストを作成しました。今のうちにこれらの質問に回答しておけば、将来、実地検査や外部監査で同様の質問を受けた場合にも備えられます。

私はこれらの質問を、複数の機関の規制当局者や審査担当者に直接共有してきました。米国連邦通信委員会がAPIの問題に特化した罰金や同意命令を出し始め、現行のPayment Card Industry Data Security Standard（PCI DSS）4.0以降では、特に開発段階でAPIのコンプライアンスが求められるようになった今、防御担当者がこれらの質問への回答をすぐに提示できるよう準備しておくことが、これまで以上に重要です。

すべてに回答できなくても、現状を把握し、先を見越して取り組む姿勢を示すことは、CISOにとって極めて重要です。APIセキュリティ態勢を把握し、継続的に進化させていることを示せば、これまで努力して築いてきた信頼を維持できます。

以下に、簡単なものから難しいものの順に示します。思うように先へ進めない場合は、F5のアカウントチームにご連絡ください。サポートいたします。

1. 自社のAPIセキュリティの責任者は誰ですか？
2. 当社のAPIにはそれぞれ担当者が割り当てられていますか？
3. 収益のうち、API経由のものはどの程度ですか？
4. 当社にはAPIがいくつありますか？
5. そのうち、現在使用されているAPIはいくつで、休眠状態のAPIはいくつですか？
6. そのうち、最も一般的なAPIの問題トップ10に対して脆弱なものはいくつありますか？
7. 当社のペネトレーションテストでは、本番環境におけるAPIの脆弱性とビジネスロジックへの攻撃を十分に網羅できていますか？
8. 当社のAPIのうち、法令や規制への準拠が求められるデータを送受信するものはどれですか？
9. 悪意のあるトラフィックは検出されていますか？どのAPIエンドポイントで検出されていますか？
10. APIセキュリティ全体のリスクはどの程度ですか？昨年の同時期と比べて改善していますか、それとも悪化していますか？
11. 他のチームよりもAPIの問題を多く生じさせている開発チームはありますか？そうしたチームに対して、APIセキュリティの問題に関するトレーニングやフィードバックはどのように行われていますか？
12. コードやAPIの変更を本番環境に反映する前に、審査するプロセスはありますか？
13. 当社のAPIに対して検知されたセキュリティイベントのアラートは、誰に通知されますか？
14. 本番環境のAPIのいずれかに対するオブジェクトレベル認可の不備（BOLA）攻撃が検出された場合、平均応答時間は何分ですか？
15. 最後に、リストの最上位にある基本事項に立ち返ります。APIセキュリティの責任者だと考えられている人々は、自らがその責任を担っていることを認識し、同意しているでしょうか？

セキュリティ態勢の強化

評価することは、API環境とAPIがもたらす潜在的な脅威を把握し、セキュリティ上の盲点を明らかにしてセキュリティ態勢を強化するための第一歩です。

今週、カリフォルニア州サンタクララで開催されるAPI Worldにぜひご参加いただき、APIについて幅広く学んでください。木曜日の午後1時（PST）から、同僚2名とともに公開セッション「AIの世界はAPIの世界：最先端のモダンアプリを保護する」で講演します。同じセッションは、11月14日（木）午後1時からオンラインでも開催されます。

F5は、11月12日（火）午前9時から、バーチャルセッション「API CTF：APIセキュリティの楽しい基礎を学ぶ」も開催します。

API Worldに参加されない方は、APIセキュリティのデモをご覧ください。

著者について

Chuck Herrin

Chuck Herrinのその他のブログ記事