F5 State of Application Deliveryレポートに見るセキュリティに関する主な調査結果

F5エコシステム | 2017年6月29日

F5ブログを日頃からお読みの方はご存じのとおり、F5は「State of Application Delivery（SOAD）」レポートの第3版を公開しました。2017年版レポートは、約2,200人の経営幹部およびITプロフェッショナルを対象とした調査結果をまとめたもので、オンプレミス、ハイブリッドクラウド、クラウドを含むアプリケーションデリバリのあらゆる側面を取り上げています。調査結果の中には、回答者とセキュリティ環境との関わりに触れたものもあります。回答者の約5人に1人がセキュリティ関連の役職に就いており、本記事では、同業者が特に重視している項目の一部に焦点を当てます。

調査結果：クラウドとセキュリティに関する専門知識が不足しています。

驚くべきことに、回答者の5人に4人が2017年にマルチクラウド戦略を採用する予定です。また、5人に1人はすでにアプリケーションの半数以上をクラウドに移行しています。しかし現在、単一のクラウドに対応するだけでも、組織には十分な数のクラウド専門家がいるのでしょうか。AWSには精通していてもAzureについては何も知らない人もいれば、その逆もいます。

おそらく、私のコラム（またはJon Oltsikのコラム）を読んでいる方にとっては驚くことではありませんが、3組織に1組織が、セキュリティ人材のスキル不足を重大なセキュリティ課題として挙げています。世界中で自ら腕を磨くブラックハットに対抗できるだけのホワイトハットを育成できていないのが現状です。機械学習と自動化の画期的な組み合わせによって、セキュリティ人材のスキル不足が解消される可能性はあります。DEF CON 24で発表されたDARPA Cyber Grand Challengeは、すでにその方向性を示しています。しかし、それが実現するまでは、セキュリティ分野で培った現場の実力が頼りです。

その一例として、SOADレポートでは、今後12か月以内に導入を予定しているアプリケーションサービスについて回答者に尋ねています。その結果、最も多かった回答はセキュリティで、40%を占めました。

調査結果：セキュリティアプリケーションサービスの導入が高度化

本レポートでは、調査参加者に対し、新たな脅威への対抗、アプリケーションのセキュリティ確保、データ保護に向けた戦略について質問しました。今年の明るい材料は、全般的に、組織が主要なセキュリティ課題に対処する能力について、昨年よりも自信を深めていることです。

スキルギャップを除くすべての課題領域で、組織の懸念はわずかながら和らいでいます。その理由を、レポート執筆者の1人であるLori MacVittie氏に尋ねました。

「全般的に不安が和らいでいるということだと考えています。セキュリティ予算が増加傾向にあり、課題への対応に必要なソリューションを導入できるようになったことが、その理由かもしれません。公開レポートには記載していませんが、セキュリティ上の課題として『予算が少なすぎる』と回答した割合は、2016年の41%から2017年には30%に低下しました。これが、私たちがそう推測する根拠です」

世界全体で見ると、攻撃に耐える能力に最も自信を持つ組織は、単純な境界型セキュリティのアプローチを超えた対策を講じています。多くの組織が、今後1年間にDDoS緩和策（21%）、DNSSEC保護（25%）、Webアプリケーションファイアウォール（20%）を導入する予定です。

調査結果：アプリのデプロイ時に最も欠かせないものは……

SOAD調査では毎年、アプリケーションのデプロイ時に欠けていると最も困るものは何かを参加者に尋ねています。

セキュリティは、1年前よりもさらに大きな差をつけて最優先事項となっています。2016年には、可用性がセキュリティをわずかに上回っていました。侵害は停止よりもはるかに長期にわたって悪影響を及ぼす可能性があることを、組織がようやく認識し始めたのかもしれません。相次ぐ侵害の報道が、そうした認識を促していると考えられます。これは望ましい傾向です。

アプリケーションセキュリティ対策として最も一般的なのは、もちろんWebアプリケーションファイアウォール（WAF）です。クラウドファーストの回答者の半数以上が、WAFを導入していると回答しています。これはそれほど意外ではありませんが、残りの48%がどのような対策を講じているのか気になるところです……