API保護の強化が金融サービスのセキュリティ向上につながる5つの領域

Joshua Goldfarb

APIセキュリティは今、大きな注目を集めています。それには十分な理由があります。考えてみれば、金融サービス組織の多くは、テクノロジー企業に近い存在へと変化しています。デジタル化する顧客ニーズへの対応水準を引き上げ続けるFinTechに追随し、さらには連携するため、絶えずイノベーションを求められています。その結果、APIを介してFinTechを取り込んだ金融サービスのエコシステムが進化し、オープンファイナンスの動きが大きく拡大しました。これにより、金融機関は事業運営において、これまで以上にAPIに依存するようになっています。

当然ながら、銀行がAPIの重要性を認識する一方で、攻撃者もその重要性に気付いています。攻撃者は、APIの脆弱性を悪用したり、不正利用したり、侵害したりすることで利益などを得られると認識しており、ビジネスに不可欠なAPIを絶えず標的にしています。同時に、近年では攻撃対象領域が大幅に拡大しています。これは主に、業界全体でハイブリッド環境やマルチクラウド環境の複雑さが増し、その管理が一層困難になっているためです。こうした状況は、大規模なデータ侵害、コンプライアンス上の問題、規制当局による制裁金といった形で、ビジネスに重大な影響を及ぼします。

もちろん、悪いニュースばかりではありません。金融サービス組織は、信頼できるパートナーと連携することで、APIに対する脅威から自組織をより効果的に保護できます。適切なパートナーがAPIセキュリティの向上に貢献できる5つの領域を見ていきましょう。

1. 開発：開発チームは難しい課題に直面しています。一方では、必要な機能を開発して稼働させるための厳しい期限があります。他方では、セキュリティチームが定めた要件に従ってAPIを開発しなければなりません。しかし、こうした要件を適用したり、何らかの方法で確認したりする有効な手段はありません。コードの監査やレビューは可能ですが、手間と時間がかかるうえ、人為的なミスや見落としが生じやすいプロセスです。また、多くの場合、緊急性の高い他の優先事項が優先され、後回しになります。ほとんどの企業では、通常、開発者の数がセキュリティ担当者を大幅に上回るため、規模の問題が生じます。その結果、バグや見落とし、脆弱性が開発プロセスをすり抜け、本番環境のAPIに入り込んでしまいます。セキュリティチームが障壁となって、ビジネスに必要なスピードを低下させることなく、セキュリティ制御を拡張するには、自動化が不可欠です。信頼できるパートナーと連携し、スキーマ、標準、ポリシーを自動的に適用することが、より効果的な方法です。
2. アクセス制御：意外に思われるかもしれませんが、誰がどのAPIにアクセスできるかを制御することは、今なお課題です。現代のビジネスの複雑さを考えれば、それほど意外ではないでしょう。ほとんどの企業は、2社以上のクラウドプロバイダーに加え、オンプレミス環境やデータセンター環境も利用しています。通常、こうした分散した各拠点のネットワーク、テクノロジー、開発、セキュリティの各スタックを管理するには、複数のチームが必要です。そのため、APIへのアクセスの制御（および監視）が深刻な課題となっているのも不思議ではありません。実際、2023年版のOWASP API Security Top 10のうち4項目は、認証または認可に関連しています。適切で信頼できるプロバイダーは、複雑さを軽減し、過重な負担を和らげるうえで役立ちます。これにより企業は、適切なアクセス制御を含め、これらの環境の運用、保守、セキュリティ確保に注力できます。
3. 野良API：正式なプロセスには相応の時間がかかるため、開発者が開発期限に間に合わせようと、新たなインフラストラクチャやエンドポイントを立ち上げることがあります。また、インフラストラクチャやエンドポイントが見落とされ、適切なインベントリ登録、管理、監視、保護が行われていない場合もあります。理由を問わず、野良APIは存在します。把握されていないAPIは、インベントリ登録、管理、監視、保護ができません。信頼できる優れたパートナーは、未知のAPIの検出だけでなく、その保護にも役立ちます。
4. WAFだけでは不十分： Webアプリケーションファイアウォール（WAF）がセキュリティスタックに不可欠な要素であることは間違いありません。WAFは、多種多様な脅威に対して重要な保護を提供します。しかし、APIが日々さらされるあらゆる種類の攻撃をすべて阻止することを目的としたものではありません。さらに、APIは急速に進化しているため、セキュリティ制御では把握できない、まったく新しい種類の脆弱性が生じます。信頼できるパートナーのサービスには、WAFによる保護に加え、WAFと統合された、APIの脆弱性を特定して緩和する高度な機能が不可欠です。
5. 高度な攻撃：既知の一般的な攻撃だけがアプリケーションを狙う時代は終わりました。高度な攻撃者は、検知をかいくぐり、機密性の高いビジネスフローを露呈させ、データを窃取し、不正行為を引き起こし、アプリケーションを停止させ、評判を損なう高度な攻撃を仕掛けます。これには、手動攻撃と自動化された（ボットによる）攻撃の両方が含まれます。このような高度な攻撃を特定、検知、緩和するには、専門的なノウハウが必要です。信頼できるパートナーが提供するAPIセキュリティには、最も高度な攻撃に対する防御が含まれている必要があります。

もちろん、これは網羅的なリストではありません。各金融サービス組織はリスク登録簿を確認し、どのリスクや脅威が事業に最も大きな影響を及ぼす可能性があるかを把握する必要があります。より深刻な影響が見込まれるものには、より高い優先順位を付けることができます。ただし、多くのリーダーは、APIセキュリティリスクの実態を最も効果的に評価する方法を把握していない可能性があります。そのため、適切なパートナーとの連携が一層重要になります。APIセキュリティに関連するリスクは、理想的にはリストのかなり上位に位置付け、投資に値する優先課題とすべきです。これには、APIセキュリティの重要性を理解し、適切なソリューションを提供できるパートナーとの連携も含まれます。

詳細については、銀行・金融サービス向けサイバーセキュリティをご覧ください。

著者について

Joshua Goldfarb

Joshua Goldfarbのその他のブログ記事