NIS2への先手の対応：F5がどのように支援できるか

Bart Salaetsフィールド最高技術責任者 | F5

EUの広範な新しいネットワークおよび情報システムのセキュリティに関する指令（NIS2）により、これまで以上に多くの企業がサイバー防御の強化を求められることになります。

今後12か月にわたりEU加盟国がこの指令を施行していく中、新たな規則への準拠を確実にする方法を検討すべき時期が来ています。

この記事では、NIS2の厳格なリスク管理および報告要件への対応をF5がどのように支援できるかを説明します。

リスクをより効果的に管理

これまで以上に、アプリケーションは新たなビジネスモデルを生み出し、収益拡大を促進しています。顧客体験を形作り、業務の遂行と自動化を可能にし、データをインサイトへと変換します。つまり、組織のイノベーションと差別化を支える存在です。

同時に、アプリケーションプログラミングインターフェース（API）は急速に増え続けています。APIは異なるシステム間の通信やデータ共有を可能にするため、企業の事業運営や、自社および他者に向けた価値創出において中核的な役割を果たします。

しかし、アプリとAPIは大きな可能性を秘めている一方で、そのすべてを管理し、全体像を把握しようとする担当者にとって大きな悩みの種にもなり得ます。適切に対応しなければ、NIS2によって負担はさらに増すことになります。

リスク管理は、NIS2が特に重視する領域です。つまり、ご想像のとおり、アプリやAPIがどこに存在していても、その状況を把握する必要があります。さらに、F5のアプリケーション戦略の現状レポートによると、現在、組織の85%が、オンプレミスのデータセンター、複数のパブリッククラウド、エッジサイトなど、複数の場所にアプリやAPIを展開しており、この課題は一層複雑になっています。

そこで役立つのが、F5 Distributed Cloud (XC) Servicesです。

これらはSaaSベースのセキュリティ、ネットワーキング、アプリケーション管理サービスです。クラウドネイティブ環境のほか、データセンター、マルチクラウド、ネットワークエッジ、エンタープライズエッジなど、必要な場所でアプリケーションを展開、保護、運用できます。

F5 Distributed Cloud WAAPソリューションは、NIS2への対応において特に有用であり、今日の先進的な企業がデジタルエクスペリエンスを保護するうえで不可欠な4つの主要コンポーネントを統合します。

• Web Application Firewall（WAF）： F5 Distributed Cloud WAFは、強力なAdvanced WAFテクノロジーを活用し、シグネチャベースと振る舞いベースの保護を組み合わせてWebアプリケーションを保護します。中間プロキシとしてアプリケーションのリクエストとレスポンスを検査し、OWASP Top 10の脅威キャンペーンや悪意のあるユーザーなどに起因する幅広いリスクをブロックし、軽減します。NIS2に関連する好例として、Log4j関連の脆弱性など、ソフトウェアコンポーネントやツールに新たな脆弱性が検出された場合が挙げられます。F5のXC WAAPソリューションのWAFコンポーネントによる仮想パッチ適用により、アプリケーションやその構成要素であるマイクロサービスの場所を問わず、すべてのアプリケーションに対するあらゆる攻撃を即座に軽減できます。F5のXC WAAPは、悪意のある攻撃者がこの脆弱性を悪用してランサムウェア攻撃やその他の攻撃を仕掛けられる期間を大幅に短縮しながら、組織がすべてのシステムへのパッチ適用を開始するために必要な時間を確保します。攻撃を受けている間も事業継続性を維持することで、NIS2の主要要件の1つを満たすことができます。
  
  
• APIセキュリティ： F5 Distributed Cloud API Securityは、アプリケーションプログラミングインターフェース（API）を悪用して侵害やサービス停止を引き起こそうとする脅威アクターからAPIを保護します。あらゆるアプリのAPIエンドポイントを特定してマッピングできるAPI自動検出機能と、API Swaggerのインポートによるポジティブセキュリティモデルのサポートにより、組織は適切なAPIの動作を容易に監視、調整、適用できます。
  
  
• Bot Defense: F5 Distributed Cloud Bot Defenseは、悪意のある自動化を管理して排除し、人間の行動を模倣する高度な攻撃を防ぎます。統合テレメトリ、ネットワークインテリジェンス、AI/MLと人による分析を組み合わせ、クレデンシャルスタッフィング、アカウント乗っ取り、スクレイピング、カードクラッキングなどの自動化された脅威を特定し、防御します。
  
  
• DDoS緩和： F5 Distributed Cloud DDoS Mitigationにより、組織はレイヤー3～7にわたる攻撃に対して多層的な保護を実現できます。これには、大規模な分散型サービス拒否（DDoS）攻撃に対するネットワークレベルの防御、DoSシグネチャ、レート制限やIPレピュテーションなどのサービスポリシー、ディープパケットインスペクションを用いた高度なスクラビングが含まれます。これにより、Webプロパティやアプリに過剰な負荷をかけようとする、送信元を偽装した不正形式のトラフィック、リクエストフラッド、その他の不正利用から保護します。

F5 Labsやその他の組織による最近の分析から、地政学的緊張を背景にDDoS攻撃が急増していることが明らかになっています。特に、アプリケーションを標的とするDDoS攻撃が多発しており、明らかにアプリケーションの停止を狙っています。この傾向は今後も長期にわたって続くことが確実視されており、問題への対応を怠る組織はNIS2による厳しい追及を受けることになります。

要するに、F5 Distributed Cloud WAAPは組織のサイロを解消し、ビジネスと技術の両面で、新旧の運用モデルとレガシーアプリケーションおよびモダンアプリケーションを橋渡しします。クラウド、データセンター、エッジロケーション全体のセキュリティポリシーとその適用を簡素化することで、複雑さを軽減し、ポリシーの一貫性を高めます。つまり、これはまさにNIS2が求めていることであり、規制の有無にかかわらず目指すべき姿でもあります。

厳格な新しい報告要件への対応

NIS2の厳格かつ詳細な報告義務に対応するには、企業がデジタルプロセス全体、特に顧客、パートナー、サプライヤーとのデジタル接点で何が起きているかを完全に把握することが不可欠です。組織は、セキュリティ侵害を認識してから24時間以内に指定当局へ報告し、国境を越える影響が生じる可能性があるかどうかを明示する必要があります。影響を受けた組織は、侵害の深刻度と影響を示す初期評価を72時間以内に提出しなければなりません。

ここでもF5 XCが役立ちます。単一の画面で異なる環境を横断的に可視化し、アプリポートフォリオ全体を監視できます。また、誤検知の量を抑えて高い信号対雑音比を維持し、インシデントを調査・分析することも可能です。さらに、これらの環境全体で正確な資産インベントリを維持するためにも利用でき、リスク評価を容易にするとともに、環境を問わず適切なポリシーを整備するというNIS2の要件への準拠を支援します。

EUは、組織が悪意のある攻撃者の一歩先を行けるよう支援するとともに、不十分なセキュリティ対策に対して事後的に罰則を科すための取り組みを進めている点が重要です。たとえば、欧州連合サイバーセキュリティ機関（ENISA）と各国のコンピューターセキュリティインシデント対応チーム（CSIRT）は、管轄内の企業をより適切に保護するため、脆弱性に関する情報を共有しています。F5のXCソリューションは、複数の複雑な環境にわたるリスクを軽減するために、こうした情報を運用に適用するプロセスを簡素化できます。また、複数のテクノロジースタックや環境にわたり、適切なセキュリティを組み込んだアプリを開発するための、単一の簡素化された論理インターフェースも提供します。

クラウドベースで使いやすいF5のXCソリューションは、規模を問わずあらゆる企業で利用できます。このプラットフォームは、セキュリティソリューションを自社で管理、保守、運用することを望まない企業や、そのためのスキルを持たない企業、またはSaaSとしての利用を希望する企業に、簡単に導入できる選択肢を提供します。一方、セキュリティを社内で管理する意向、スキル、専門知識を持つ企業は、F5のBIG-IPおよびNGINXソリューションを導入することで、従来型と最新型のアプリケーションの両方に加え、顧客やパートナーとのデジタルインターフェースも包括的に保護できます。

NIS2に準拠するには、堅牢なアプリ保護が不可欠です。F5のポートフォリオは、まさにそれを実現できます。

著者について

Bart Salaetsフィールド最高技術責任者 | F5

Bart Salaetsのその他のブログ記事