アプリが多すぎて、脅威の対象領域が拡大していませんか？

“アプリが多すぎるということはあるのでしょうか。何個からが多すぎるのでしょうか。自社にいくつあるのか、さらには（驚くべきことに）誰がアクセスできるのかを把握していますか？最近のIDGの調査によると、企業が保有するアプリは平均1,742個で、アプリ開発の約60%が社内で行われています。アプリが増え続ける中、企業はセルフサービス、自動化、一元管理の実現に取り組んでいます。”

拡大する脅威領域

もちろん、アプリケーションはビジネスの運営に不可欠です。適切に活用すれば、ほぼあらゆるタスクやプロセスを迅速かつ容易に進められます。しかし、優れたものでも増えすぎると問題になるのでしょうか。どうやら、そのようです。IT運用担当者は、絶えず変化するアプリケーションアーキテクチャ、プラットフォーム、最新の技術標準への対応に苦慮しており、その結果、アプリケーションのセキュリティ、可視性、コンプライアンスに対する懸念が高まっています。

実際、ある大手運送会社もこの問題に直面しました。アプリケーションの増加がまだ問題として認識されていなかった頃、この運送・オフィスサービス大手が自社のアプリケーションポートフォリオを評価したところ、大規模な買収の推進と急成長の結果、2,600を超えるアプリケーションを抱えていることが判明しました。同様に懸念されたのは、これらのアプリケーションに接続するカスタムインターフェースが14,000を超えていたことです。これほど多くのアプリケーションによって生じる広大な脅威対象領域は、どの企業にとっても単独で対処するには非常に大きなリスクです。しかも、これはこのようなアプリケーションの増加に伴う数多くの重大なリスクの1つにすぎません。

“IDGの最近の調査によると、企業は平均1,742個のアプリを保有し、アプリ開発の約60%を社内で行っています。”

リスクと対策

アプリケーション開発環境が飛躍的に充実したことで、今では最初のアイデアから概念実証までを数週間で進められます。このスピード向上に伴い、セキュリティやコンプライアンスに影響するものも含め、アプリケーションの開発とデプロイに関する意思決定の責任は、ネットワークやセキュリティの専門家から開発者へとシフトレフトしています。これは、潜在的なイノベーション創出力を引き出し、組織の競争力を高めるという点でスピード向上に大きく貢献しますが、重大なセキュリティ脅威、コンプライアンス要件、運用上の懸念は依然として残っています。

新たなステークホルダーは、各分野の専門家が管理する、より堅牢なソリューションよりも、クラウドネイティブで低コストのオープンソースの選択肢を優先します。これは、他のチームに依存するとプロセスに摩擦が生じ、イノベーションのペースが鈍化しかねないという妥当な懸念に基づいています。しかし、このアプローチでは、セキュリティおよび管理ツールの乱立、アプリケーションパフォーマンスの可視性不足、規制遵守要件への対応に伴う大きな課題がよく見られます。

セキュリティおよび管理ツールの乱立

F5の「2019年版アプリケーションサービスの現状レポート」によると、約87%の企業がマルチクラウド環境を導入しており、クラウドプロバイダーが提供するツールをそのまま利用する傾向があります。そのため、実質的に同じ問題を解決するために複数のネイティブインターフェイスを使用することになり、機能、ポリシー、管理インターフェイスの違いによる問題が生じ、ビジネスリスクが高まります。

さらに、組織が管理するアプリケーションは膨大な数に上るだけでなく、その構造も複雑化しています。その結果、企業が直面する脅威領域、つまりセキュリティ上の潜在的な脆弱性が存在する範囲は拡大しています。現在では、node.jsやHTML5などのさまざまなWebフレームワークに加え、アプリケーションサーバーやWebサーバーにも対応しなければなりません。また、ブラウザーによってアクセスできるアプリケーションも異なります。複雑さが増すたびに脆弱性も増え、管理すべきリスクが拡大します。

では、このリスクをどのように管理すればよいのでしょうか。視点を変えることが重要です。

これまでもネットワークのセキュリティ確保は重視されてきました。しかし今は、アプリケーションセキュリティにも目を向ける必要があります。特にWebアプリケーションファイアウォールは、アプリケーションセキュリティを管理する一般的な手段です。攻撃者が狙うのは、ネットワークだけではないからです。ネットワークがセキュアでも、アプリケーションに脆弱性があれば、そこから侵入されてしまいます。

先ほどの運送会社をもう一度例に挙げてみましょう。世界中の誰もが、配送サービスを利用するためにそのWebサイトへアクセスできます。その数は数十億人に上ります。ネットワークを完全にロックダウンしていても、誰もがアプリケーションの利用を許可されているため、そこが侵入口になる可能性があります。つまり、最大のリスクは厳重に保護されたネットワークではなく、そのアプリケーションにあります。現在、多くの企業にとって、アプリケーションは最も脆弱な部分です。そして、ハッカーもそれを認識しています。

分散した開発チームによるイノベーションを妨げることなく、グローバルに連携できる標準化されたアプリケーションサービスを構築する必要があります。セキュリティを確実に組み込むには、自動化を積極的に導入し、活用できるようにします。セキュリティポリシーは、後付けでハードコーディングしたり手動で設定したりするのではなく、各分野の専門家が定義・管理し、CI/CD自動化パイプラインで使用できるアーティファクトとしてソースコードリポジトリに保存します。アプリケーションの市場投入を安全にさらに迅速化するには、必要な部分だけをコーディングし、認証やWebアプリケーションファイアウォールなど、再利用可能なインフラストラクチャサービスを活用することが重要です。

“驚くべき事実をご存じですか？ほとんどの組織は、自社のアプリがその時々でどのような状態にあるのかを把握できていません。アプリがどこにあり、誰がアクセスできるのかはおろか、アプリの数さえ把握していないのです。”

アプリケーションの可視性不足

2019年3月時点で、Androidユーザー向けに提供されているアプリは210万本を超えていました。AppleのApp Store

では、180万を超えるアプリが提供されています。しかも、これには開発・導入済みの数百万ものエンタープライズアプリケーションは含まれていません。すべて合わせると、現在世界中で稼働しているアプリケーションは、おそらく10億を超えるでしょう。

驚くべき事実をご存じでしょうか。ほとんどの組織は、アプリで今何が起きているのかを把握できていません。保有するアプリの数さえ把握しておらず、それらがどこに存在し、誰がアクセスできるのかもわかっていません。最も重要なアプリケーションでさえ、そのパフォーマンス（可用性、エンドユーザーのレイテンシーなど）を一貫して可視化できている組織はほとんどなく、問題が発生した際にどこを確認すべきかも把握できていません。

どのような戦略を採用する場合でも、目標は、さまざまなインフラストラクチャサイロ全体でアプリケーションを一貫した方法で導入、管理する手法を確立することです。そのための最善の方法、そしてすべてのアプリケーションの通信経路を可視化する方法は、一貫したマルチクラウドアプリケーションサービス群を活用することです。特にマルチクラウドアーキテクチャ全体で、可能な限り一貫したサービスを再利用できる共通ツールを導入することで、リスクと不具合を減らし、再現性を高めることができます。こうした一貫したサービスをアプリケーション環境全体に導入すれば、データパスを通過するすべてのトラフィックを詳細に検査できるようになり、問題発生時のトラブルシューティングが容易になるほか、悪意のあるトラフィックを遮断できます。

この一貫性と、このアプローチによって得られる可視性は、アプリの高いパフォーマンスとセキュリティを維持するために連携が必要な各運用チーム間の摩擦軽減にも役立ちます。

コンプライアンス上の課題

現在、多くの組織、特に複数のクラウドでアプリケーションを運用している組織（大多数の組織がすでに実施しているか、実施を計画しています）は、規制遵守要件への対応において大きな課題に直面しています。

多くの現代都市と同様に、ベルビュー市ではデジタル面のニーズが大幅に拡大しています。10年前、市のVPNを使用してシステムにリモートアクセスしていたのは、少数の技術職員だけでした。現在では、全職員1,600人がリモート勤務できる環境が整っています。市警察が機密性の高い犯罪歴データにアクセスできるようにするには、連邦政府のCriminal Justice Information Services（CJIS）セキュリティポリシーや、関連するFederal Information Processing Standard（FIPS）など、厳格な連邦ガイドラインにシステムを準拠させる必要があります。CJISおよびFIPSへの準拠状況は、連邦政府による年次監査で確認されます。基準を満たしていない場合、警察が現場でアクセスできる情報は制限されます。そのため、市には最終的に、すべての行政サービスへ安全かつコンプライアンスに準拠したアクセスを提供する機能が必要でした。

解決策は何でしょうか。同じことの繰り返しに聞こえるかもしれませんが、やはり鍵となるのは一貫性です。一貫性があり、監査可能なセキュリティポリシーをCI/CDパイプラインに統合することで、コンプライアンス対応が簡素化され、DevOpsのプラクティスやツールの導入を遅らせる主な障壁の1つに対処できます。

アプリケーションのビルドとデプロイ時には、CI/CDワークフローによって、毎回保護され、コンプライアンスに準拠した状態でリリースされます。

“どのような戦略を採用する場合でも、目標とすべきは、分散したさまざまなインフラストラクチャ全体で、アプリケーションを一貫した方法でデプロイし、管理する方法を見いだすことです。”

今後の展望

アプリが急増していることは間違いありません。こうしたアプリケーションの多くは、IT部門ではなく業務部門のユーザーによって組織に導入されるため、IT担当者の中には「シャドーIT」や「野良IT」と呼ぶ人もいるでしょう。しかし、このような否定的な呼び方では、業務部門のユーザーが自らアプリケーションを調達（または構築）することで生じる問題には対処できません。むしろ、これはビジネス主導のIT、すなわちビジネス目標の達成に向けて業務部門のユーザーとIT部門が協力するパートナーシップだと捉えてください。

アプリケーションの増加に伴い、一貫性があり、自動化可能な一元管理が求められています。現在、多くの企業では、アプリケーション資産がクラウド、プライベートデータセンター、オンプレミス、各種SaaS環境など、さまざまなプラットフォームに分散しています。企業は、アプリケーションポートフォリオ全体を単一画面で把握できるようになりつつあります。このような管理により、リスクへの対応が大幅に容易になります。

F5の幅広く包括的なアプリケーションサービスのポートフォリオと、あらゆる環境で利用できるプラットフォームにより、組織は多様な環境にわたる監査可能なエンタープライズグレードのセキュリティサービスとインフラストラクチャサービスを一元的に管理できます。これにより、変更に伴うコストを削減し、開発者はイノベーションに注力できるようになります。