共通ポリシーとネイティブサービスで実現するマルチクラウドセキュリティ

共通ポリシーかネイティブサービスか—マルチクラウドセキュリティへの対応

クラウドネイティブのセキュリティサービスは、マルチクラウド環境における運用効率を低下させます。

アプリケーションセキュリティのシフトレフトが進んでいます。その結果、DevOpsチームがセキュリティを担う場面が増えています。DevOpsチームは開発ライフサイクルのプロセスに精通しているため、ソフトウェアライフサイクルの早い段階でセキュリティ要件を効果的に取り入れられます。一方で、脅威を予測するためのリソースや、最新のアプリケーションを保護するために必要な各種セキュリティソリューションとポリシーを実装するための幅広い専門知識が不足している可能性があります。

クラウドネイティブのセキュリティサービスは、DevOpsチームや事業部門の開発者に、多くのアプリケーション要件に適したプラットフォーム固有の選択肢を提供します。しかし、組織がマルチクラウドソリューションの導入を進めるにつれて、こうしたネイティブサービスのコストがメリットを上回るようになります。単一のクラウドプラットフォームでは少数のセキュリティサービスで十分だった場合でも、2つ以上のクラウドプラットフォームで同等の保護を実現するには、多数のセキュリティサービスが必要です。各プラットフォームには、それぞれ固有のアイデンティティ管理要件、セキュリティポリシー、API、管理手順があるため、全体的な効率が低下します。運用効率とセキュリティの向上は、企業のデジタルトランスフォーメーション施策と経営目標における最優先事項です。

管理オーバーヘッドによる効率低下

ネイティブセキュリティサービスの実装と管理に伴う複雑さは、運用効率を低下させる第1の大きな要因です。複数のネイティブセキュリティサービスを構成するすべてのコンポーネントを管理する難しさは、ビジネスに深刻な悪影響を及ぼす可能性があります。 設定ミスによるセキュリティギャップ は、攻撃の66%で悪用されていました（攻撃者がWebアプリケーションファイアウォールの欠陥を悪用してアカウント認証情報にアクセスしたケース、または設定に不備のあるリソースを悪用したケース）。DevOpsエンジニアには、市場投入までの期間を可能な限り短縮することが求められます。複数のクラウドプロバイダーにまたがるセキュリティポリシーの維持と把握に伴うオーバーヘッドを削減することで、DevOpsチームはその目標に注意とリソースをより集中できるようになります。

マルチクラウド環境のすべてのアプリケーションに一貫したセキュリティポリシーを適用できるサードパーティベンダーに移行することで、DevOpsチームが担うセキュリティ実装のオーバーヘッドを大幅に削減できます。この種のサービスを利用すると、セキュリティの設定ミスが本番環境に反映される頻度を減らすことができます。また、DevOpsチームに標準化に利用できる一連の自動化ツールを提供することで、CI/CDパイプラインへのポリシーと設定の統合が容易になり、既存のエンタープライズ自動化ツールチェーンにセキュリティサービスを統合できるようになります。

クラウドインフラストラクチャのセキュリティ可視性低下による効率低下

クラウドネイティブのセキュリティサービスを利用することで運用効率が低下するもう1つの要因は、クラウドインフラストラクチャのセキュリティに関する可視性の低さです。ネイティブサービスを利用すると導入を迅速化できる一方、調査回答者の36%は、これらのネイティブサービスでは十分な可視性を確保できないと回答しています。DevOpsチームがアプリケーションセキュリティの導入と管理を担うケースが増える一方で、企業全体のセキュリティ監視とレポート作成は、依然としてSecOpsの責任です。分散型のクラウドネイティブセキュリティサービスでは、セキュリティレポートと分析もデフォルトで分散し、クラウドごとに固有のものになります。分析が分散しているため、システム全体のセキュリティ状況を把握しにくくなります。その結果、SecOpsチームは、個別のプロバイダーに限定した推奨事項しか提示できない可能性があります。標準化されたマルチクラウドセキュリティベンダーを通じて実装される共通のセキュリティサービスを利用することで、すべてのアプリケーションに同じセキュリティポリシーを適用できます。これにより、SecOpsは共通のセキュリティ分析に基づき、システム全体に有益な推奨事項を提示できます。

コンプライアンス対応負荷の増大による効率低下

異なるクラウドプロバイダー間でコンプライアンスを確保するマルチクラウドセキュリティ戦略を導入する必要性も、クラウドネイティブのセキュリティサービスにおける運用効率低下の一因です。DevOpsチームは、社内と業界の両方のセキュリティ要件に準拠する必要があります。従来、特に機密性の高い個人情報や保護対象の個人情報を扱う医療機関や金融サービス企業などでは、一元化されたInfoSecチームが、アプリケーション全体にわたるセキュリティ制御の確立と監査を支援してきました。アプリケーションセキュリティのシフトレフトに伴い、現在ではDevOpsもSecOpsと同様に、エンタープライズセキュリティ要件への適合を維持する責任を担っています。AWS、Azure、Google Cloudのいずれであっても、クラウドネイティブのセキュリティポリシーが特定のクラウドプロバイダーに固有である場合、エンタープライズセキュリティ要件への適合を維持することは困難です。また、監査の効率も低下します。共通のマルチクラウドセキュリティポリシーを導入することで、セキュリティ構成の監査にかかる時間を短縮できます。可視化ソリューションを組み込むことで、コンプライアンステストの複雑さを軽減し、チーム間の連携を強化する一元的な環境を構築できます。

共通のセキュリティポリシーの採用でDevSecOpsの効率を向上

アプリケーション開発手法の変化に伴い、DevOpsが担うセキュリティ関連の責任が増えています。そのため、こうしたチームをDevSecOpsと呼び、SecOpsのセキュリティ運用モデルの一部として位置付ける方が実態に即しています。クラウドプロバイダー固有のネイティブなセキュリティポリシーを使い続けると、管理負荷が大幅に増え、DevOpsモデルのメリットの多くが失われます。マルチクラウド対応のエンタープライズセキュリティソリューションを軸に標準化することで、運用効率が向上し、新たな戦略的セキュリティパートナーと連携する機会が生まれます。これにより、マルチクラウド環境への移行時に運用効率が低下する可能性を抑えられます。

関連コンテンツ

F5 Cloud Services LabをGitHubで公開

DevOpsの実務担当者が、アプリケーション中心の世界にどのように適応しているかをご覧ください。