シフトレフト：金融サービスのAPIセキュリティを一変させるアプローチ

F5エコシステム | 2024年8月14日

APIは今やこれまで以上に不可欠です。特に金融サービス機関では、口座保有者の日々の取引決済の処理、スムーズなオンライン口座開設など、さまざまな業務をAPIに依存しています。

さらに、金融サービスのエコシステムが絶えず進化し、APIを介したFinTech企業との提携が一般化する中、この業界ではAPIの利用が大幅に拡大しています。その結果、金融サービス機関のAPIへの依存度はかつてないほど高まっています。

しかし、APIへの依存度が高まるにつれ、攻撃者の注目も集めるようになっています。

攻撃者は、これらのAPIが果たす重要な役割を認識し、システムへのアクセスや重要データの窃取を目的として、APIの脆弱性を突いたり、悪用したり、侵害したりしようと絶えず標的にしています。従来のアプリおよびAPIセキュリティツールによるトラフィックベースの検出と検査だけに依存すると、把握できるのは全体像の一部に限られ、APIを検出できるのも本番環境へのデプロイ後となるため、ハイブリッド環境やマルチクラウド環境の複雑さと管理上の課題がさらに深刻化します。

こうした状況は、大規模なデータ侵害、コンプライアンス上の問題、多額の規制当局による制裁金など、深刻なビジネスリスクをもたらします。しかし、金融サービス組織は、迅速なサービス利用、口座情報の一元的な確認、簡単な送金を顧客から求められているため、こうしたリスクを受け入れざるを得ません。これらはすべて、基盤となるAPIによって実現されています。

本記事では、ハイブリッドおよびマルチクラウド環境で事業を展開する金融サービス企業にとって、シフトレフトがもたらす変革的なメリットを掘り下げ、それがFinServ APIセキュリティにおける次の重要なマイルストーンとなる理由を解説します。コードベースから直接APIを早期に検出し、包括的に把握して事前に文書化することで、組織は防御を強化し、可視性における重大なギャップを解消し、統制を改善できます。さらに、コンプライアンス要件と規制当局の要求に対応し、極めて大きなリスクを伴うこの業界で、APIセキュリティの新たな基準を確立できます。

シフトレフトとは何か、なぜ重要なのか

セキュリティの考え方における「シフトレフト」は、単なるトレンドではありません。従来のWebアプリよりも変更頻度が高く、新しいものがはるかに速いペースで追加されるAPIでは特に、堅牢な保護とリスク管理を確保するために不可欠になりつつあります。

端的に言えば、インラインのトラフィック分析など、従来のセキュリティ対策だけに注力していると、組織は攻撃対象領域全体に存在する脆弱性を把握し、理解できません。その結果、組織は攻撃を受けやすい状態に置かれます。特に金融サービスのAPIでは、この問題が顕著であり、死角が深刻な事態を招くおそれがあります。脆弱性や弱点は、本番環境では修正がより困難になり、コストも増大します。また、コードを変更するたびに、新たなリスクが生じる可能性があります。

「シフトレフト」戦略の重要性は、単に新しいテクノロジーを統合することにとどまりません。開発サイクルの最初期からAPIセキュリティに取り組む方法を根本的に変革することにあります。

コーディング段階から検出を開始し、ドキュメントの正確性を確保することで、組織はAPI環境の全体像をより包括的に把握できます。このプロアクティブな取り組みにより、本番環境で顕在化する可能性のある脆弱性について、テストと早期検出を行い、ルール、制御、ポリシーを通じて即座に対処できます。これにより、開発者の作業を遅らせることなく、アプリケーションを本番環境へ移行するための強固な基盤が整います。その後、次のリリースやバージョンでは、コードレベルで脆弱性に対処した更新済みのコードを組み込むことができます。インベントリ作成とドキュメント化のプロセスを自動化すれば、開発者は世界を変えるかもしれない次の画期的な機能に集中できるため、間違いなく歓迎するでしょう。

シフトレフト戦略を採用する主なメリットとは？

シフトレフトの考え方を採用するメリットは数多くあります。より充実したドキュメントを整備し、テストで特定された脆弱性に対処するための予防的なセキュリティポリシーをあらかじめ適用することで、チームはAPIへの理解を深め、セキュリティ態勢を強化したうえで本番環境へ移行できます。コードから得られるこの検出結果は、組織にとっての出発点となります。これにより、異常や、未知または非推奨のゾンビAPIおよびシャドーAPIを見つけやすくなり、本番環境への移行後にはドリフトも検出できます。そのため、本番環境などで「その場で学習する」必要がありません。

初期ドキュメントがないまま情報をつなぎ合わせる事後対応型のアプローチと比べ、シフトレフトにより、組織は数歩先を見据え、セキュリティ上の課題に正面から取り組む準備を整えることができます。

その他のメリット：

本番環境における脆弱性の露出を抑制
APIのドキュメント整備と理解の向上
セキュアコーディングの実践を促進し、APIコードを継続的に強化・改善
継続的なリスク評価と修復のサイクルを採用し、ツール統合に伴う課題を軽減

シフトレフト戦略で脆弱性を早期に検出するために検討すべき新たなツール

アプリケーションとAPIのセキュリティソリューションを管理することは、すでに多くの組織にとって困難な課題となっています。実際、F5がスポンサーを務めたDatos Insightsの最近のレポートによると、APIセキュリティ分野だけでも80社を超えるソリューションプロバイダーが事業を展開しており、組織では平均20,000を超えるAPIが使用されています。

その結果、組織はアプリとAPIを保護するために、さまざまなベンダーのテクノロジーを寄せ集めて使用することが多く、APIセキュリティは実質的にサプライチェーンセキュリティと化しています。これを踏まえ、APIセキュリティの「シフトレフト」ソリューションを選ぶ際に考慮すべきポイントをご紹介します。

スキャン、偵察、テスト機能によるコードレベルの検出により、コード内のCVEとAPIリスクを早期に検出
生成AIを活用したインテリジェントで自動化されたセキュリティ対応
堅牢なAPIスキーマの自動作成と検証
実用的なインテリジェンスによりAPIリスクを明確化
ライフサイクル全体にわたるAPIセキュリティ—アプリ開発ライフサイクル全体をカバーする、アプリとAPIのセキュリティおよびデリバリ機能の幅広いポートフォリオに含まれるソリューションを活用

シフトレフトアプローチの中核をなす先を見据えた戦術により、不整合やシャドーAPIなどの問題を、より迅速かつ正確に特定できます。この手法は、ドキュメントが欠落していたり、基礎からの包括的な理解が不足していたりする可能性のある場当たり的なアプローチよりも、はるかに優れています。

適切なテクノロジーを導入してシフトレフト戦略を採用することで、セキュリティが強化されるだけでなく、開発ライフサイクル全体が効率化され、アプリケーションチームとリスク管理チームの双方にメリットがもたらされます。そのため、先進的な金融サービス組織にとって不可欠な取り組みとなっています。

詳細はこちらシフトレフトがお客さまの組織にどのように役立つかをご覧ください。

_{このブログには、他の業界分野に焦点を当てた記事と一部共通する内容が含まれています。}

注目のブログ記事

F5、NVIDIA Cloud Partnerリファレンスアーキテクチャで大規模なAI推論を高速化・保護

妥協のないAIモデルとエージェントのセキュリティ：F5によるCalypsoAIの買収で実現する、エンドツーエンドのAIランタイム保護

量子時代への備え：F5でPQCを有効化するための実践ガイド