APIガバナンスの最善策

APIのガバナンス、管理、セキュリティは密接に関連しながらもそれぞれ異なる分野です。まずガバナンスを実施して、API管理とAPIセキュリティの取り組みを確実に一貫して展開しましょう。

API管理とは、開発者ポータルやAPIゲートウェイ、APIライフサイクル管理ソフトウェアなどのツールを使ってAPIガバナンスポリシーを実施することです。 これらは通常、API管理プラットフォームとしてまとめられています。 ガバナンスポリシーでは、標準化されたプラットフォームをチーム間で義務付けるといったツールの要件や、APIキーや資格情報の管理方法といった運用実務の両方を定めます。

APIセキュリティは、APIガバナンスのポリシーで定められたセキュリティとコンプライアンス要件を確実に実施することを指します。 専用のAPIセキュリティツールに依存する組織もありますが、より広範囲にわたり統合された保護を実現するため、ウェブアプリケーションおよびAPI保護（WAAP）ソリューションの導入が増えています。 ガバナンスのポリシーでは、API通信の最低限のセキュリティ要件や必要な基盤的制御、またAPIゲートウェイやWAF、API保護ソリューションが、全ての脅威ベクトルにわたる攻撃からどのように防御すべきかを示した構成指針を定めています。 これには、ウェブアプリケーションやAPI、さらには自動化された脅威を対象としたOWASPトップ10リストが含まれ、ハードコードされたAPIキーの使用やライブラリのソースコードへの埋め込みを避けるなど、APIの適切な管理のベストプラクティスも促進しています。

API ガバナンス モデルには集中型、分散型、適応型の 3 つの種類があります。

集中型ガバナンスは、すべてのガバナンスポリシーの策定、レビュー、承認を行う中央チームが管理します。 この方法の利点は、最も厳しいガバナンスポリシーを適用し、組織全体での一貫性を実現できることです。 ただし、一律で厳格な方法は必ずしも有効とは限らず、開発のスピードを鈍らせ、回避策や「シャドーIT」の発生を招いてしまいます。

分散型ガバナンスは各チームにAPIガバナンスポリシーの自主的な管理権限を与えます。 この方法は開発スピードを上げ、各チームのニーズに応じた柔軟性を高めます。 一方で、分散管理は組織内でAPIポリシーや制御のばらつきを生み、統合の難しさや設定ミス、コンプライアンスの抜けを引き起こすことがあります。

適応ガバナンスは 上記の2つのモデルのバランスを取ります。 中央チームがグローバルなポリシーを策定し共有インフラを管理する一方で、開発チームはアプリケーションとAPIの具体的なニーズに合ったローカルポリシーを設定できます。 これには地域ごと、政府や業界特有のコンプライアンス要件を含めることもあります。 多くの場合、適応ガバナンスは「絶対に守るべきポリシー」と「必要に応じて柔軟に対応できる領域」を明確に分けることで、双方の優れた面を実現します。

1. まずはAPIの全体的なリストを作成しましょう。 最新のカタログを維持し、APIの所在を特定、その種類をパブリック、プライベート、サードパーティ、パートナーなどに分類します。 APIの検出ソリューションを活用して、カタログの情報を常に最新に保ちましょう。 開発者にカタログのアクセス権を提供し、既存APIの再利用を促して作業の重複を避けましょう。
2. 明確な役割と責任を定めましょう。 あなたのガバナンスモデルが集中型、分散型、あるいは適応型であっても、APIガバナンスプロセスや管理、セキュリティ、コンプライアンスなどの各領域、および関連するソリューションやポリシーの所有権と責任をはっきりさせてください。 APIの種類、地域、開発チームごとにポリシーが異なる場合は、その違いを明確に文書化し、確実に共有してください。
3. チームの協力を促し、力を発揮できる文化を築きましょう。 ガバナンスポリシーを中央で管理し、わかりやすく整えてください。 チームがポリシーをどう適用すべきかを明確に示し、ポリシーの変化に応じて継続的に研修や情報を提供しましょう。 開発者から意見を集めて、効果的な点を確認し、改善が必要な点には対応しましょう。