クラウドで一貫したセキュリティを実現するには、一貫性が不可欠

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

F5では4年連続で、最新のマルチクラウド運用モデルへの移行過程で直面する課題について、世界各地の回答者に尋ねてきました。

過去3年間、最大の課題として一貫して挙げられているのが、「すべてのアプリケーションに一貫したセキュリティを適用すること」です。この課題の一因は、組織が意図せずマルチクラウド環境で運用するようになった経緯にあります。多くの組織では、開発者や事業部門が「従来型ITの非効率性を回避する」ためにクラウドを導入した結果、いつの間にかマルチクラウド環境へと移行していました。現在では、マルチクラウドは、主に導入するアプリケーションの種類に基づいて意識的に選択されています。

しかし、すべてのアプリケーションに一貫したセキュリティを適用するという課題は依然として残っています。その一因として、保護対象のアプリケーションとともにアプリケーションサービスが必ずしも移行されていないことが考えられます。F5の「State of Application Services 2019」から、次の点をご覧ください。

オンプレミスとパブリッククラウドでのアプリケーションサービスの導入状況に差があるため、セキュリティ上の懸念が生じています。全体で利用されているアプリケーションサービスの平均数は14ですが、パブリッククラウド環境ではその半分に減少します。つまり、組織はパブリッククラウドにアプリケーションを導入しているものの、アプリケーションサービスを同じ割合では導入していません。

回答者の66%がWAFを導入している一方、パブリッククラウドに導入した本番アプリケーションでWAFを使用していると回答したのはわずか33%です。その他のセキュリティ関連アプリケーションサービスも、パブリッククラウドでは同様に利用率が低下しています。セキュリティポリシーを適用するアプリケーションサービスがなければ、環境間で同等のセキュリティポリシーを実現することはほぼ不可能であるため、これは憂慮すべき状況です。

デジタルトランスフォーメーションに取り組む組織の約半数（48%）が、複数のクラウドプラットフォームに分散するアプリケーションに一貫したセキュリティを適用することの難しさを問題視しています。また、45%は、既存および新たな脅威からアプリケーションを保護することが最大の課題だと回答しています。

ここで注目すべき点は3つあります。第1に、パブリッククラウドでは、保護対象のアプリケーションとともにセキュリティ関連のアプリケーションサービスが十分に導入されていません。既存および新たな脅威からアプリケーションを保護することに課題を抱える45%の回答者にとって、対策は比較的明確です。まず、それらのアプリケーションを保護するセキュリティアプリケーションサービスを導入することです。万全ではありませんが、高度なWebアプリケーションファイアウォール、振る舞いベースのDDoS対策、ボット対策などの最新のアプリケーションサービスは、新たな脅威に不意を突かれるリスクを大幅に低減できます。現在のこうしたサービスの導入率を踏まえると、一貫したセキュリティという課題に対処する有効な方法は、あらゆる環境でアプリケーションを保護するために導入するアプリケーションサービスにも一貫性を持たせることだと考えられます。

2つ目は、やや見落とされがちな点ですが、一貫性はアプリケーションサービスだけにとどまらないということです。Webアプリケーションファイアウォールは数多く存在しますが、その機能が必ずしも同等とは限りません。機能が同等だとしても、ON-PREM WAF AのポリシーをOFF-PREM WAF Bで使用できるように変換するのは、非常に大がかりな作業です。これは、理解できない言語で書かれた「手順書」を渡すようなものです。まず翻訳が必要であり、それには時間と両方の言語に関する専門知識が求められます。したがって、そのアプリケーションサービスを単一のプロバイダーに標準化すれば、すべてのアプリケーションにセキュリティポリシーを一貫して適用しやすくなります。1つのサービス、1つの言語、1つのポリシー。

回答者が「これなしではアプリケーションをデプロイしない」としたアプリケーションサービスの第1位がセキュリティであるにもかかわらず、デプロイの詳細を見ると、必ずしもそうとは言い切れないのは、やや皮肉です。少なくともクラウドでは、セキュリティが本来あるべき以上に後回しにされているようです。

最後に、最も見落とされがちな点として、複数のクラウドやデータセンターにまたがるアプリケーションサービスを手動で管理する運用負荷も無視できません。同じものでも複数の場所に分散していると、手動での管理は格段に難しくなります。ポリシーをコード成果物として扱い、サービスと関連ポリシーのデプロイを自動化することで、本来なら発生し得るミス、エラー、漏れを減らせます。自動化とオーケストレーションでは、スクリプトやコードによって同じ結果を繰り返し再現できるため、本質的に一貫性が確保されます。古代ギリシャの哲学者アリストテレスは、「人は繰り返し行うことによって形作られる。したがって、卓越性とは行為ではなく習慣である」と述べています。つまり、マルチクラウド環境で一貫性を追求するうえで、自動化とオーケストレーションは身に付けるべき重要な習慣（プラクティス）と考える必要があります。

マルチクラウド環境のすべてのアプリケーションで一貫したセキュリティを実現するには、次の一貫性が必要です。

1. 一貫性アプリケーションを保護・防御するアプリケーションサービスの導入における
2. 一貫性すべての環境にわたるアプリケーションサービス機能の一貫性
3. 自動化とオーケストレーションを活用し、アプリケーションサービスとセキュリティポリシーの迅速かつ頻繁で一貫したデプロイを促進

一貫したセキュリティを実現するには、一貫した行動、プラクティス、ツールが必要です。この3つを組み合わせることで、組織はアプリケーションに加え、それを利用するビジネスや消費者を保護する習慣を身につけ、セキュリティプラクティスの一貫性を確保できます。

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事