セキュリティは「お客さまの環境で」提供するサービスと「サービスとして」提供するもののどちらを選びますか？

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

クラウドコンピューティングの世界では、最近までSaaS、PaaS、IaaSが主要な柱として定着していました。しかし、クラウド利用者の理解と活用が深まるにつれ、特にセキュリティ分野で、クラウドとマネージドサービスを組み合わせた形態への関心が高まり始めています。本ブログでは、これを「at your service」*と呼ぶことにします。

従来の「as a」環境であれば、単純にBIG-IP ASM（F5のアプリケーションファイアウォール）を導入し、どこかに優れたF5 Synthesisサービスファブリックをクラウドとして構築して、「as a Service」で提供することも考えられます。アーキテクチャの観点では、現在も有力な選択肢が不足しているクラウド上で、アプリケーションセキュリティを必要とするアプリの近くに配置するのが合理的です。クラウドでホストされるアプリは、設計上、外部に公開される性質が強いため、データセンター内のアプリと同等か、それ以上にアプリケーションセキュリティを必要とします。一方、リクエストをデータセンターに送ってスキャン、無害化、評価してからクラウドへ送り返すことは、必ずしも合理的ではありません。大半のデータセンターは、クラウドプロバイダーのデータセンターの隣でインターネットバックボーンに直結しているわけではないため、通信経路がトロンボーン状（ヘアピン状とも呼ばれます）に大きく迂回することになります。

このようなモデルへの支持が高まっていることは、F5のState of Application Delivery 2015レポートで明らかになりました。特にセキュリティサービスで顕著でした。

しかし、クラウドベースのアプリケーションセキュリティソリューションは非常に合理的です。保護対象のアプリに対して、企業のデータセンターよりも物理的にもネットワークトポロジー上も近い可能性が高く、従来のオンプレミスソリューションよりもクラウドベースのアプリに適した課金モデルを提供します。

しかし問題は、構成とテストを行うための時間と知識が必要であり、さらに重要なこととして、常に最新の状態に保たなければならない点です。

ここで「as a」は、まさに「pain in the」へと変わります。この作業を遂行するには、セキュリティとアプリケーションの両方を理解している人材の知識とスキルが必要だからです。セキュリティ人材の需要が過熱している今、その確保は難しいかもしれません。

「as a」と「at your」の主な違いは、管理に対する責任と関与の度合いにあります。「at your」サービスでは、ソフトウェアやソリューションを利用するだけでなく、その分野の専門家によるソリューションの能動的な管理もサービスに含まれます。セキュリティ分野では、IT全体の人材不足、とりわけ情報セキュリティ人材の深刻な不足といったマクロ環境の圧力を踏まえると、セキュリティの専門知識をサービスとして利用できることは大きなメリットであり、経済的にも賢明な選択となる可能性があります。

IT人材不足は、まん延と言えるほど深刻化しています。採用できるセキュリティ人材がまったく見つからない状況です。ここ5年間、情報セキュリティ専門家の失業率は2%未満（多くの場合は0%）で推移しています。セキュリティスキルを持つ人材の採用市場が逼迫した結果、予想どおり賃金にも影響が及んでいます。Payscaleによると、2014年には、セキュリティアーキテクトの半数が12万ドル超の収入を得ていました。これは平均的なソフトウェアエンジニアより50%高く、認定ナースプラクティショナーの実に300%に相当します。セキュリティスキルを持つ人材は高い報酬を求め、スタートアップへ転職したり、より好待遇で肩書きも良い仕事に引き抜かれたりします（耳が痛い話ですが）。ESGのJon Oltsik氏は、自身の2015年の予測第1位として「サイバーセキュリティ人材不足による広範な影響」を挙げています。— David Holmes、F5セキュリティエバンジェリスト、Dark Reading

クラウドのビジネスモデルおよび運用モデル（マルチテナンシー、抽象化、サブスクリプション／従量課金）と、従来のマネージドサービスのメリットを組み合わせることで、組織は求める俊敏性とコスト削減を実現できます。サービスの構成と保守に必要な専門知識を提供すると同時に、利用者による連携と積極的な参加を促すことで、「at your」モデルは、組織が場所を問わず重要なアプリケーション**を保護し、セキュリティ対策が講じられているという安心を得るための手段を提供します。

* はい、略すとSaySになることは承知しています。それが良いのか悪いのかは、何とも言えません。もしかすると、どちらでもあるのかもしれません。

** アプリケーションが中心となる世界では、ほぼすべてのアプリケーションが該当しますよね。今となっては、わざわざ「重要な」と付ける必要もなさそうです。

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事