アプリケーション戦略の現状 2022：セキュリティの軸はアイデンティティへ

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

後に「State of Application Strategy Report」となる年次調査を初めて開始してから8年の間に、アプリケーションのセキュリティおよびデリバリサービスの中で、セキュリティの重要性が着実に高まり、最優先事項となるまでを見てきました。

ロードバランシング、キャッシュ、CDNなどのテクノロジーを含む一般的なカテゴリーとしての可用性が最優先事項であり続けた期間は、2003年当時、新たに公開されたWebサーバーがインターネット上で攻撃を受けずにいられた時間と同じ程度でした。ご存じない方のために付け加えると、それはごく短い時間でした。

セキュリティはほぼ瞬く間に最優先事項へと浮上し、2017年頃からその座を譲っていません。

しかし、それも今までの話です。

今年、初めて中核以外のセキュリティサービスが「最も多く導入された」サービスの首位に立ちました。そのサービスとは、アイデンティティです。

しかし、アイデンティティおよびアクセス関連のテクノロジーが最も広く導入されるようになっただけではありません。調査全体を通じて、アイデンティティベースのセキュリティへの大きな移行を示す証拠が数多く確認されています。

APIセキュリティを例に考えてみましょう。確かに導入は進んでいます。しかし、さらに詳しく調査し、回答者が有用だと考える具体的な保護の種類について尋ねました。それらは大きく3つのカテゴリーに分類できます。

1. 従来型。これらの保護機能は主に、Webアプリケーションファイアウォールに長年搭載されてきたWebベースの保護機能を基盤としています。レート制限、OWASP Top Ten、そしてもちろん暗号化／復号です。
2. モダン型。これらの保護機能はここ数年で登場し、APIセキュリティの重要な要素となっています。このグループには、マルウェアや悪意のあるコンテンツを検出するペイロード（コンテンツ）検査や、認証／認可が含まれます。先に明かすと、これがアイデンティティに関わる部分です。
3. 適応型。適応型の保護は、AIと機械学習を活用し、人間のユーザーと人間以外のユーザーを識別する行動分析が可能になったことで生まれた新しいカテゴリーです。こうした手法は、不正対策やボット対策サービスの基盤となる傾向があります。

このリストの中で、回答者が最も「価値がある」と考える保護対策について尋ねました。その結果、特に過去1年間にAPI保護対策を実際に導入した回答者は、セキュリティに関する習熟度が高いことが明らかになりました。サービスの導入と同様に、APIにとって最も価値のある保護対策の第1位はアイデンティティでした。

有望なのは、適応型の手法が重視されている点です。セキュリティサービスの強化に向けてAIと機械学習が積極的に採用されていることを考えれば、これは決して意外ではありません。膨大なデータ量と攻撃を見逃した場合の影響を踏まえると、インフラからアプリケーション、さらにはビジネスそのものまでを保護するため、業界全体がより高度で適応性の高いセキュリティ手法へと移行しているのも当然です。

アイデンティティ分析と行動分析は、いずれも包括的なセキュリティ戦略の重要な要素です。デジタル経済を支えるうえでAPIの役割がますます拡大していることから、APIにとっては特に重要です。また、検査も引き続き重要です。多くの攻撃、特にマルウェアや悪意のあるコンテンツは、APIトランザクションのペイロードと照合できる固有のシグネチャによって容易に特定できる場合が多いためです。攻撃の可能性を確実に特定することと同様に、特定の速さも重要です。検査は、悪意のあるコンテンツを迅速かつ確実に特定する方法として、今なお有効です。

最後に、COVIDによって加速したデジタルトランスフォーメーションの結果として、アイデンティティ関連テクノロジーの導入が進んでいます。回答者に、COVID後のセキュリティ戦略にどのような変更を加えているかを尋ねたところ、4分の1を超える回答者（26%）がクレデンシャルスタッフィング対策ソリューションを導入し、34%がAPIセキュリティフレームワークを導入していました。

このトピックに関連するのは最初の数値です。なぜなら、クレデンシャルスタッフィングとは、デジタル世界における人々のアイデンティティ（認証情報）を保護することにほかならないからです。パンデミックの期間を通じて、あらゆる業種でデジタルの選択肢が驚異的に増加したことを踏まえると、少なくとも一部の企業がアイデンティティを保護する責任を真摯に受け止めているのは心強いことです。

これはセキュリティ分野で比較的急速に進展しているトレンドであり、組織がデジタル経済での事業展開をさらに拡大するにつれて、今後も一層広がっていくと予想されます。特に、自動化、クラウドネイティブなアプリケーションアーキテクチャ、デジタルエコシステム、そしてもちろんIoTにおいてAPIの重要性が高まるなか、APIの「ユーザー」をより正確に識別する必要性が生じています。デジタル経済におけるAPIの保護は、テクノロジー上の課題にとどまらず、ビジネス上の課題でもあります。

しかし、この傾向はデジタル世界におけるアイデンティティの重要性も示しています。そのため、2022年に最も多く導入されたアプリケーションセキュリティおよびデリバリーテクノロジーの首位にアイデンティティ関連サービスが浮上したことは、さほど驚くべきことではありません。

This shift toward identity revealed by F5の調査で明らかになったアイデンティティ重視への移行は、市場がセキュリティの基盤となるアプローチとしてゼロトラストを採用する中で、重要な意味を持ちます。回答者の40%が、ゼロトラストを「最も注目すべき」トレンドまたはテクノロジーとして挙げています。アーキテクチャモデルとして、ゼロトラストは、アプリケーションとインフラストラクチャのセキュリティ確保と保護に重点を置いています。具体的には、セキュアなマイクロペリメーターを備えたネットワークを設計し、ユーザー権限とアクセスを制限することでリスクを抑えます。

ゼロトラストの根幹にあるのは、シンプルな問いです。リソースへのアクセスを許可すべきなのは、誰か。この問いに答え、そこから導かれるポリシーをコア、クラウド、エッジ全体に適用するには、ほかにも多くの要素を考慮する必要があります。しかし、アイデンティティがなければ、このアプローチ全体が成り立ちません。

アイデンティティが引き続き最優先事項となるかはまだ分かりません。しかし、Web3のような新たなトレンドでも、アイデンティティが中核的な構成要素として重視されていることを踏まえると、セキュリティの軸足をアイデンティティへ移す動きは、まだ始まったばかりだと考えられます。

特定のトピックについて詳しく解説したブログもご覧ください：

State of Application Strategy 2022：8年間のトレンドを読み解く ›

アプリケーション戦略の現状 2022：エッジワークロードがアプリとデータに拡大 ›

アプリケーション戦略の現状 2022：デジタルイノベーターが示すモダナイゼーションの重要性 ›

アプリケーション戦略の現状 2022：マルチクラウドの複雑化が続く ›

アプリケーション戦略の現状 2022：パフォーマンスのトレンド ›

アプリケーション戦略の現状 2022：運用をモダナイズするとき ›

アプリケーション戦略の現状 2022：ビジネスの未来はアダプティブに ›

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事