セキュリティ専門家に聞く：WebアプリケーションとAPIの保護に関する意思決定をシンプルに

Chad Davis業界マーケティング担当プリンシパルマネージャー | F5

アプリケーションセキュリティは容易ではありません。そうではないと言う人を鵜呑みにしないでください。リスク管理は継続的なプロセスです。手順を常に更新し、適切なセキュリティソリューションが導入されていることを確認する必要があります。では、ソリューションベンダーが高い有効性と使いやすさをうたっている場合、その主張をどのように検証すればよいのでしょうか。誇張を排し、本質を見極めるときです。簡単ではありませんが、デジタルエンタープライズの最重要資産であるアプリケーションとAPIの保護を任されるベンダーには、必須となる中核機能があります。

先日、F5のソリューションエンジニアリング担当RVPであるGary Neweと対談し、新しいガイド「APIおよびWebアプリケーションセキュリティソリューション徹底比較」が、SecOps担当者やクラウドアーキテクトによる主要機能についての十分な情報に基づく確かなセキュリティ判断に、どのように役立つかを話し合いました。

Chad：セキュリティアーキテクトやエンジニアにとって、適切なWebアプリケーションおよびAPI保護の選択がこれほど難しいのはなぜでしょうか？

Gary:適切なWebアプリケーションおよびAPI保護（WAAP）を選定することは、セキュリティおよびリスク管理チームにとって、確かに容易ではありません。CDNベンダー、クラウドネイティブツール、セキュリティ専業製品、WAAPプラットフォームなど、選択肢が多岐にわたるため、意思決定はさらに複雑になります。

各ソリューションは機能、性能、アーキテクチャがそれぞれ異なるため、効果的な評価や比較は容易ではありません。その結果、調査に多くの時間を要し、見落としが生じる可能性があるほか、不十分なソリューションを選択して組織をセキュリティ脅威にさらすリスクもあります。さらに、理論上の性能だけでなく、実環境でどのように機能するかも見極める必要があります。

Chad： 新しい「APIおよびWebアプリケーションセキュリティソリューションの比較」をご紹介いただき、その目的をご説明いただけますか？

Gary: もちろんです。この新しいガイドは、先ほどお話しした、アーキテクトやSecOps担当者が直面する課題に対応するために作成されています。主要なソリューションを明確かつ体系的に並べて評価し、アーキテクチャの柔軟性、ポリシーの可搬性、脅威への適応性、ライフサイクルとの統合、セキュリティの有効性といった主要な要素を取り上げています。包括的な概要を提示することで、アプリケーションセキュリティを実装する最適なアプローチを担当者が判断しやすくし、意思決定プロセスを簡素化することを目的としています。

Chad: 比較ガイドは、意思決定プロセスをどのように効率化しますか？

Gary: 比較ガイドは、時間を節約し、複雑さを軽減することで、意思決定プロセスを大幅に効率化します。さまざまなソリューションカテゴリーを簡潔かつ体系的にまとめ、各選択肢の長所と短所を明確に比較しています。これにより、担当者は具体的なニーズを満たすソリューションを迅速に特定し、見落としの可能性を抑えながら、それぞれのデジタル環境に最も効果的な保護を選択できます。

Chad: 比較ガイドで重視している主な基準にはどのようなものがありますか。また、それらが重要である理由を具体例とともに教えてください。

Gary：はい。このガイドでは、いくつかの主要な基準に焦点を当てています。たとえば、アーキテクチャの柔軟性という点では、F5 WAAP solutionsが際立っています。アプリケーションやAPIがどこにあっても、再設計、リファクタリング、移行を必要とせずに保護できるためです。APIベースのアーキテクチャやAIエコシステムの普及に伴い、オンプレミスのデータセンターや複数のクラウドプラットフォームを含む分散環境が一般化する中、この柔軟性は組織にとって極めて重要です。あらゆる環境にセキュリティポリシーを一貫して適用でき、人間が支援するAI防御によって、迅速かつ包括的な修復が可能になります。一方、CDNサービスでは通常、そのネットワーク経由でコンテンツを配信する必要があるため、最新のマルチクラウドアーキテクチャには適さない場合があります。こうしたプラットフォームは自己完結型であり、データセンター、パブリッククラウド環境、エッジロケーションのすべてに一貫して適用できる単一のセキュリティスタックを提供していません。この制約は、アジャイルな導入や拡張性を妨げ、設定ミスを招く可能性があります。また、ポリシーの調整、インシデント対応、修復によって、貴重なセキュリティチームのリソースに負担をかけるため、複雑なデジタル環境を持つ組織にはあまり適していません。

Chad：このガイドで重視している主な基準はほかにもありますか？

Gary: はい。ポリシーのポータビリティもあります。F5 WAAPソリューションには、クラウドとオンプレミス環境全体でセキュリティポリシーを一貫して展開できるという利点があるため、セキュリティを損なうことなくデジタル戦略を実行できます。同じ堅牢な単一のセキュリティスタックが、アプリやAPIの現在の場所にも、今後必要となる場所にも対応します。この一貫性により、環境間でのポリシーの不整合や設定ミスのリスクが軽減され、セキュリティ管理が簡素化されます。一方、クラウドネイティブソリューションは、多くの場合、その環境内でサイロ化されているため、複数のセキュリティスタックの管理によって運用が複雑になります。単一スタックのポータビリティがないことで、セキュリティポリシーが断片化し、管理負荷が増大する可能性があります。

脅威への適応性も重要な評価基準です。F5 WAAPソリューションは、AIを活用したディセプションと機械学習により、攻撃者の戦術が進化しても有効性を維持します。この適応性は、高度な脅威に先手を打ち、セキュリティ対策をリアルタイムで進化させるうえで不可欠です。一方、セキュリティ専業のソリューションは、特定のリスクや脅威（多くの場合、最も一般的なもの）に重点を置く傾向があり、AIによって戦術、技術、手順が急速に高度化する攻撃者の戦略には適応できません。このような静的なアプローチでは、新たに出現する脅威に対して組織が脆弱な状態に置かれる可能性があります。

Chad：このような比較ガイドが重要なのはなぜですか？

Gary：要約すると、「APIおよびWebアプリケーションセキュリティソリューション比較ガイド」は、セキュリティおよびリスク管理チームにとって非常に有用なリソースです。アーキテクチャの柔軟性、ポリシーの移植性、脅威への適応性といった主要な基準に焦点を当てることで、意思決定プロセスを簡素化し、各組織固有の環境に最も効果的なWebアプリケーションおよびAPIセキュリティソリューションの選定を支援します。包括的なガイドやリソースを活用することは、十分な情報に基づいてセキュリティ上の意思決定を行ううえで不可欠であり、複雑で絶えず変化する脅威環境において、最終的に組織のセキュリティ態勢の強化につながります。

詳細な比較表を見る：APIおよびWebアプリケーションセキュリティソリューション比較ガイド

著者について

Chad Davis業界マーケティング担当プリンシパルマネージャー | F5

Chad Davisのその他のブログ記事