自信のある人が実践するセキュリティ習慣

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

2017年版「アプリケーションデリバリの現状」から得られた知見

経営幹部もセキュリティ担当者も、少なくともアプリケーション層への攻撃に耐えられるという自信の度合いについては、現実的な見方をしています。

興味深いことに、どちらのグループも、こうした攻撃を退けられる可能性について悲観的ではないようです。F5の「State of Application Delivery」調査では、アプリケーション層への攻撃に組織が耐えられるかどうかについて「まったく自信がない」と回答した割合は、両グループともわずか5%でした。しかし、だからといって楽観的なわけでもありません。悪意ある攻撃者と対峙し、アプリケーションセキュリティの攻防に勝てると強く確信していたのは、セキュリティ担当者の10%、経営幹部の13%にとどまりました。

実際、彼らの見解は、現実主義（リアリズム）に立脚した中間的な立場に大きく傾いていました。

セキュリティ担当者の40%は、以前より自信が増したとも減ったともいえない中立的な立場でした。経営幹部も同程度の割合（37%）が同じ見解を示しています。昨今の状況を考えれば、妥当な姿勢といえるでしょう。現時点で把握している脅威には耐えられるという自信があるかもしれません。しかし、そこにセキュリティの難しさがあります。未知のものが、まさに脅威になろうとしているのです。

では、セキュリティ担当者や経営幹部のうち約10%が、自社のセキュリティ態勢にこれほど強い自信を持っているのはなぜでしょうか。彼らは、ほかの人が知らない何かを知っているのでしょうか。

その実態を明らかにするため、データをさまざまな角度から分析しました。完全版レポートでは、Webアプリケーションファイアウォールの導入が、また程度は低いもののDDoS Protectionの導入も、アプリケーション層攻撃に耐えられるという回答者の自信につながっているようだと述べました。しかし、利用可能なセキュリティサービスはこの2つだけではありません。現時点では8種類を追跡しています。

したがって、他のセキュリティアプリケーションサービスも、自組織のセキュリティ態勢に対する回答者の信頼度に影響を与える可能性があると考えるのが妥当でしょう。データを簡単に分析したところ、実際にその可能性があることがわかりました。

追跡対象の8つのセキュリティサービスすべてで、最も高い信頼感を持つ回答者ほど導入率が高いことがわかりました。各サービスの導入状況は、信頼度によって概して大きな差がありました。信頼度が最も低い回答者では、アプリセキュリティサービス全体の導入率が平均で24%低くなっていました。セキュリティサービスが少ないほど、信頼度も低い。これは偶然でしょうか。そうは思えません。

しかし、アプリケーション層への攻撃に耐えられるという確信を左右し得るのは、セキュリティサービスの導入だけではありません。アプリケーションを保護するために、それらのサービスをどのように活用するかも重要です。

毎年、アプリをどのように保護しているかを尋ねています。保護が必要な主な攻撃対象領域として、クライアント、リクエスト、レスポンスの3つを特定しています。それぞれが異なる時点に存在し、アプリとその貴重なデータのセキュリティと防御を強化するためのセキュリティ対策（およびサービス）も異なるためです。回答者には、この3つの領域それぞれにセキュリティポリシーをどの程度一貫して適用しているかを、「常に」「まったく適用していない」「場合によっては適用している」から回答してもらいました。ここまでくれば、最も高い自信を持つ回答者が3つの領域すべてを常に保護していると知っても、驚く人はいないでしょう。反対に、自信が最も低い回答者は、どの領域もまったく保護していない傾向があります。

もちろん、信頼度を左右する要因はこれだけではありません。信頼度が最も低い回答者のうち、これらの攻撃対象領域を常に保護している人もわずかながらいます。逆に、信頼度が最も高い回答者の中にも、これらの領域をまったく保護していない人がいます。信頼度が最も低い回答者も、これらの領域を場合によっては保護しているという事実から、これが一因であることは分かります。しかし、唯一の要因ではありません。もしそうであれば、領域をまったく保護していないことと、信頼度が最も低いこととの間に、より強い相関が見られるはずです。

それでも、信頼度が最も高い層の半数以上が、クライアント（60%）、リクエスト（61%）、レスポンス（57%）を常に保護しています。

偶然でしょうか？今回も、そうは思いません。

もちろん、セキュリティアプリサービスの導入・適用と信頼度の間に因果関係があるとは断定できませんが、両者に相関関係があることは明らかです。

アプリケーション層への攻撃に耐えられるという確信が最も強いIT担当者は、より悲観的な担当者に比べて、セキュリティアプリサービスを導入し、3つの攻撃対象領域すべてをプロアクティブに保護する傾向があります。明日どのような脅威が訪れても防御できるか、いまひとつ自信が持てないなら、検討に値するポイントです。

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事