APIセキュリティにおける最大の危険信号

APIセキュリティの不備は今や珍しくなく、公になるケースも増えています。AIアプリと相互接続されたエコシステムにより、リスクと複雑さが増大しています。攻撃者がAPIエンドポイントを標的にするようになったのも偶然ではありません。

企業は、APIベースのアプリケーションを防御できる体制を整えるために、APIセキュリティ戦略を見直す必要があります。では、何から始めればよいのでしょうか。

このインフォグラフィックでは、あらゆる組織が把握しておくべきAPIセキュリティ上の5つの重大な警告サインを詳しく解説します。これらの兆候への理解を深めることで、企業は主要なリスクを認識し、先回りして対処できるようになり、APIセキュリティへの包括的な取り組みを強化できます。

APIセキュリティの危険信号

すべてのAPIがどこにあるか把握できていない

APIの無秩序な増加は、驚くほど広範に及んでいます。Datos API Security Solution Evaluation Guideによると、2030年までに利用されるAPIの数は20億を超える見込みであり、すでに組織では平均20,000を超えるAPIが利用されています。
APIエンドポイントには特有の課題があります。F5の「2024年アプリケーション戦略の現状レポート」によると、「1つのAPIに数十、あるいは数百のエンドポイントが存在する場合があります」。さらに複雑なことに、組織は自社のシステムと通信するすべてのAPIを完全には管理できない可能性があります。
Postmanの「2023 State of the API report」では、APIの利用を妨げる要因として、以下が挙げられています。
- ドキュメントの不足（52%）
- APIの検出が困難（32%）

組織の攻撃対象領域が不明確になっています

The Datos API Security Solution Evaluation Guideでは、根本的な問題について次のように説明しています。「APIを保護するには、APIの攻撃対象領域を網羅的に把握することが不可欠です。CISOは、把握していないものを保護できません。シャドーAPI、孤立したAPI、旧バージョンのAPI、古くなったAPIを特定するには、APIディスカバリが必要です。」
APIは、現代のあらゆるビジネスに不可欠です。Venture Beatは次のように述べています。「APIはすべてのWebトラフィックの91%を占めており、マイクロサービスアーキテクチャへの移行傾向や、急速に変化する市場環境に動的に対応する必要性にも合致しています」
また、APIは重要な役割を担っているため、サイバー犯罪者の格好の標的となっています。Webベースのサイバー攻撃の90%がAPIエンドポイントを標的としており、APIを起点とする攻撃で侵害されたレコード数は10億件を超えています。

セキュリティスタックが複雑すぎる

現在のアプリとAPIは、ハイブリッドかつマルチクラウドの環境に展開されています。2024年版アプリケーション戦略の現状レポートによると、約90%の組織が、SaaS、パブリッククラウド／IaaS、オンプレミス（従来型）、オンプレミス（プライベートクラウド）、コロケーション、エッジを含むハイブリッド展開モデルを運用しています。
From 同レポートによると、6つの異なるモデルで運用する組織の数は、2023年から2024年にかけて約20%増加しました。
大企業（従業員数10,000人以上）の66%は、通常、60～80種類のセキュリティツールを使用しています。その一因は、複数のクラウド環境にわたる特定のニーズに対応するために、専用ツールが必要となることです。

セキュリティ態勢の維持に手作業が多すぎる

APIやエンドポイントが非常に多いため、セキュリティを手動で更新し続けることは現実的ではありません。APIのセキュリティ確保を自動化することで、手動更新の必要性を大幅に削減できます。その効果は、月間1,800万件のAPIリクエストの管理に伴う複雑さを軽減する取り組みを紹介した、こちらの「McGraw Hillの事例」でご確認いただけます。
State of Application Strategyの調査回答者によると、ゼロデイ攻撃への対応において、手動でのパッチ適用や更新では十分な速さを確保できません。また、多くの意思決定者は、攻撃が成功した場合のコストが高額になるため、アプリとAPIのセキュリティ自動化が不可欠だと回答しています。こうした背景から、アプリとAPIの自動化率は過去1年間で33%から43%に増加しました。公開されるCVEの数は加速的に増えており、F5 Labsの研究者は、新たに公開されるCVEが2025年には通常の1週間で500件に達すると予測しています。
生成AIの導入拡大は、アプリとAPIのセキュリティにも影響を及ぼします。セキュリティ分野における生成AIの最も主要なユースケースは、検知した脅威に応じてセキュリティポリシーを自動調整し、セキュリティ設定を生成することです。

AIアプリのセキュリティ確保に不安を感じている

生成AIのセキュリティ確保は、堅牢なアプリとAPIのセキュリティ基盤から始まります。この点について、GoogleのクラウドデベロッパーアドボケイトであるMete Atamel氏は、次のように簡潔に説明しています。「生成AIをどのように利用する場合でも、最終的にはSDKやライブラリ、またはREST APIを介してエンドポイントを呼び出すことになります」
提供開始から2か月で、OpenAI GPT Storeではすでに300万を超えるカスタム版ChatGPTがユーザーによって作成されており、サードパーティプロバイダーのセキュリティ確保に伴う課題の大きさが浮き彫りになっています。
IDCは次のように報告しています。「回答者の66%が、GenAI、さらに広くはパブリックおよびプライベートのAIワークロードを、主要なユースケースの1つとして挙げています。」また、「企業のAI搭載アプリケーションの多くは、高度に分散された形で実装されています。そのため、高可用性とセキュリティを確保しながら、さまざまなパブリッククラウド、特化型クラウド、オンプレミスのインフラストラクチャおよびアプリケーション環境を横断する、数十から数百回のAPI通信が必要です」としています。F5の調査でも、ほとんどの組織がハイブリッドおよびマルチクラウド環境へのAIアプリの導入を見込んでいることが明らかになりました。「アプリケーション戦略の現状に関する調査」の回答者は、AIアプリをパブリッククラウド（80%）およびオンプレミス（54%）で運用すると回答しています。

フラグ1

すべてのAPIがどこにあるか把握できていない

APIの無秩序な増加は、驚くほど広範に及んでいます。Datos API Security Solution Evaluation Guideによると、2030年までに利用されるAPIの数は20億を超える見込みであり、すでに組織では平均20,000を超えるAPIが利用されています。
APIエンドポイントには特有の課題があります。F5の「2024年アプリケーション戦略の現状レポート」によると、「1つのAPIに数十、あるいは数百のエンドポイントが存在する場合があります」。さらに複雑なことに、組織は自社のシステムと通信するすべてのAPIを完全には管理できない可能性があります。
Postmanの「2023 State of the API report」では、APIの利用を妨げる要因として、以下が挙げられています。
- ドキュメントの不足（52%）
- APIの検出が困難（32%）

フラグ2

組織の攻撃対象領域が不明確になっています

The Datos API Security Solution Evaluation Guideでは、根本的な問題について次のように説明しています。「APIを保護するには、APIの攻撃対象領域を網羅的に把握することが不可欠です。CISOは、把握していないものを保護できません。シャドーAPI、孤立したAPI、旧バージョンのAPI、古くなったAPIを特定するには、APIディスカバリが必要です。」
APIは、現代のあらゆるビジネスに不可欠です。Venture Beatは次のように述べています。「APIはすべてのWebトラフィックの91%を占めており、マイクロサービスアーキテクチャへの移行傾向や、急速に変化する市場環境に動的に対応する必要性にも合致しています」
また、APIは重要な役割を担っているため、サイバー犯罪者の格好の標的となっています。Webベースのサイバー攻撃の90%がAPIエンドポイントを標的としており、APIを起点とする攻撃で侵害されたレコード数は10億件を超えています。

フラグ3

セキュリティスタックが複雑すぎる

現在のアプリとAPIは、ハイブリッドかつマルチクラウドの環境に展開されています。2024年版アプリケーション戦略の現状レポートによると、約90%の組織が、SaaS、パブリッククラウド／IaaS、オンプレミス（従来型）、オンプレミス（プライベートクラウド）、コロケーション、エッジを含むハイブリッド展開モデルを運用しています。
From 同レポートによると、6つの異なるモデルで運用する組織の数は、2023年から2024年にかけて約20%増加しました。
大企業（従業員数10,000人以上）の66%は、通常、60～80種類のセキュリティツールを使用しています。その一因は、複数のクラウド環境にわたる特定のニーズに対応するために、専用ツールが必要となることです。

フラグ4

セキュリティ態勢の維持に手作業が多すぎる

APIやエンドポイントが非常に多いため、セキュリティを手動で更新し続けることは現実的ではありません。APIのセキュリティ確保を自動化することで、手動更新の必要性を大幅に削減できます。その効果は、月間1,800万件のAPIリクエストの管理に伴う複雑さを軽減する取り組みを紹介した、こちらの「McGraw Hillの事例」でご確認いただけます。
State of Application Strategyの調査回答者によると、ゼロデイ攻撃への対応において、手動でのパッチ適用や更新では十分な速さを確保できません。また、多くの意思決定者は、攻撃が成功した場合のコストが高額になるため、アプリとAPIのセキュリティ自動化が不可欠だと回答しています。こうした背景から、アプリとAPIの自動化率は過去1年間で33%から43%に増加しました。公開されるCVEの数は加速的に増えており、F5 Labsの研究者は、新たに公開されるCVEが2025年には通常の1週間で500件に達すると予測しています。
生成AIの導入拡大は、アプリとAPIのセキュリティにも影響を及ぼします。セキュリティ分野における生成AIの最も主要なユースケースは、検知した脅威に応じてセキュリティポリシーを自動調整し、セキュリティ設定を生成することです。

フラグ5

AIアプリのセキュリティ確保に不安を感じている

生成AIのセキュリティ確保は、堅牢なアプリとAPIのセキュリティ基盤から始まります。この点について、GoogleのクラウドデベロッパーアドボケイトであるMete Atamel氏は、次のように簡潔に説明しています。「生成AIをどのように利用する場合でも、最終的にはSDKやライブラリ、またはREST APIを介してエンドポイントを呼び出すことになります」
提供開始から2か月で、OpenAI GPT Storeではすでに300万を超えるカスタム版ChatGPTがユーザーによって作成されており、サードパーティプロバイダーのセキュリティ確保に伴う課題の大きさが浮き彫りになっています。
IDCは次のように報告しています。「回答者の66%が、GenAI、さらに広くはパブリックおよびプライベートのAIワークロードを、主要なユースケースの1つとして挙げています。」また、「企業のAI搭載アプリケーションの多くは、高度に分散された形で実装されています。そのため、高可用性とセキュリティを確保しながら、さまざまなパブリッククラウド、特化型クラウド、オンプレミスのインフラストラクチャおよびアプリケーション環境を横断する、数十から数百回のAPI通信が必要です」としています。F5の調査でも、ほとんどの組織がハイブリッドおよびマルチクラウド環境へのAIアプリの導入を見込んでいることが明らかになりました。「アプリケーション戦略の現状に関する調査」の回答者は、AIアプリをパブリッククラウド（80%）およびオンプレミス（54%）で運用すると回答しています。

組織全体で包括的なAPIセキュリティ対策を改善するために、F5がどのように役立つかをご覧ください。