高まるデータの価値
データセキュリティに投資する先進企業
Impervaは、WAF（Web Application Firewall）やDDoS対策のソリューションでよく知られるセキュリティベンダーである。セキュリティ市場全体・WAF市場全体が堅調な伸びを見せる中、2022年の同社は競合他社を凌駕する2桁後半の成長を記録した。
Webアプリケーションは、ごく一般的な企業システムとして利用されるようになった。スマートフォンアプリやアプリケーション同時の連携でもWebが頻繁に利用されており、Webトランザクションは急速に伸び続けている。いまやWebアプリケーションは、ビジネスに直結するような存在となった。
当然のことながら、サイバー犯罪者もWebアプリケーションを積極的に狙ってくる。単なるDDoS攻撃ではなく事前に脅迫して身代金を狙うランサムDDoSと呼ばれる手口や、対策しにくい手法で長期間にわたってリソース消費を狙うロー＆スロー攻撃というものも登場している。システム連携に利用するAPIを狙った高度な攻撃技術も開発された。
「クレジットカード業界のグローバルセキュリティ基準であるPCI DSSや、総務省のスマートシティ セキュリティガイドラインなどでは、WAFの適用を条件として挙げています。すでにアプリケーションセキュリティは、あらゆる組織において導入しなければならない必須の対策の1つです」と、Imperva Japan 代表執行役社長の柿澤光郎氏は述べる。
株式会社Imperva Japan 代表執行役社長 柿澤光郎氏
ImpervaはWAF市場のリーダーであり、優れたソリューションとして第三者機関の調査でも高い評価を受けている。SecureIQLabが9,000超の攻撃手法を用いてさまざまなソリューションを比較調査したところ、Impervaの“セキュリティ投資対効果（ROSI）”が最も高かった。最も効率よく効果的なセキュリティソリューションという結果だ。
柿澤氏は、同社の成長の理由としてアプリケーションセキュリティのリーダーであることに加えて、2021年以降のデータセキュリティへの注力を挙げる。
EUのGDPRや日本の改正個人情報保護法など、セキュリティ侵害による情報漏えい等に厳しい罰則を設けており、データ保護の強化を要求する法・規制が増えている。企業活動においても、AIやIoTといった先端技術を応用したデータ活用・データドリブンビジネスという考え方が広まりつつある。データがビジネスや生活に直結するようになり、これらをいかに保護すべきかという課題が生まれている。
すでにグローバルでは、Impervaのデータセキュリティソリューションはアプリケーションセキュリティと同等の売上比率を達成しており、金融業などセキュリティに敏感な企業が積極的に投資しているとのことである。「日本市場では、まだアプリケーションセキュリティに傾倒しているように思います。企業経営者は、社内外にあるデータの価値を正しく理解する必要があります。データ保護の重要性、最新のデータ管理の手法・技術について、一層の啓蒙活動が必要だと感じています」（柿澤氏）
DXに欠かせないデータとAPI
重要なITを狙うサイバー犯罪者
Impervaの躍進のもう1つの要因は、最新のサイバー攻撃に対する効果的な対策だ。企業が積極的に推進しているDXにおいて、重要な要素としてシステム／データ連携が挙げられる。これまで独立していたシステムやデータをつなぐことで、新しい価値を生み出そうという取り組みだ。システム連携を支える中核技術の1つが「API」である。
2022年には、オーストラリアの通信事業者が数百万人規模の個人情報を窃取され、データを人質とした身代金を要求されるインシデントがあった。攻撃経路は特定されていないものの、管理が不十分なAPIを介して顧客データベースが攻撃されたと考えられている。データの一部には運転免許証やパスポートなどの身分証明書番号が含まれていた可能性があり、これらの再発行にかかる行政支出も巨額になる可能性が高いとみられる。
「自社のデータやAPIがどのような状態にあるのか、適切に管理できているのか ―― “Security Posture”の考え方は非常に重要です。現在のインターネットトラフィックの70%がAPIという分析もあります。クラウドやDXの推進発展によって、データはありとあらゆる場所で発生し、あらゆる場所に散在するようになりました。Impervaのセキュリティソリューションは、API保護もデータ保護もオールインワンで提供できる点が多くのユーザーから高く評価されています」と、Imperva Japan シニアセールスエンジニアの木田貴章氏は述べる。
株式会社Imperva Japan シニアセールスエンジニア 木田貴章氏
2022年に登場した「Imperva API Security」は、APIを継続的に監視して、レガシーアプリケーション／クラウドアプリケーションを可視化・保護することのできるソリューションである。クラウドサービスとして提供されており、既存のImperva Cloud WAFのユーザーはシームレスに有効化される。機械学習技術と自動化技術が応用されており、常に変更の検出と分類を行って的確に脅威やリスクを判別する。あらゆる環境・あらゆるAPIに適合するため、リスクが高い開発環境のAPIであっても確実に保護できる。
データ保護の領域では「Imperva Data Security Fabric」も注目度が高い。クラウドを含むさまざまな環境に分散したデータに対して、一元的な管理を実現するためのソリューションだ。データの発見と分類、アクティビティの監視、アクセス制御、リスク分析や脅威の検知・防御といった包括的なデータ保護を、あらゆる環境へ適用できる。
データ、そしてデータにいたるすべての経路を保護
あらゆる環境で重要なアプリケーション、API、データを
保護するImperva
Impervaのセキュリティソリューションは、運用負荷を抑えながら効果的な対策を実現することに長けている。例えば、「Imperva Data Risk Analytics（DRA）」は機械学習技術を応用しており、あらかじめ学習しておいたベースラインから逸脱した振る舞いを検出する仕組みで、データベースを保護するソリューションだ。
従来のデータベースセキュリティは、企業内に分散したデータベースを細かにチェックする必要があり、人的リソースの負担が大きく、ごく一部しか監視することができなかった。Imperva DRAを用いれば、人材を増強することなく数十倍の効果を持つ監視体制を維持できる。
「Imperva Advanced Bot Protection（ABP）」は、米国の著名なカードゲーム会社が採用したことで知られる。人気のカードが販売されると、悪性ボットによって買い占めてオークションサイトなどで売りさばく転売業者が問題視されていた。Imperva ABPで効果的にボットを排除することで、本当にカードゲームを楽しみたいユーザーへ適正価格で販売できるようになった。
「当社には強力なセキュリティおよびコンプライアンスチームが所属しています。私達のソリューションを活用することで、優秀な専門家の知見と技術を活用することができるのです」（木田氏）
Impervaが目指すのは、「あらゆる環境で重要なアプリケーション、API、データを保護」するソリューションである。データへの侵害や意図しない移動を防ぐアプリケーションセキュリティ、内部脅威を含めて情報を直接的に管理・保護するデータセキュリティ、確実・安全にデータを配信するためのエッジセキュリティといった3つの領域のすべてをカバーする。
「データは企業の最重要資産です。情報を確実に保護し、適切にシステムを連携し、安心してデータを活用できる環境があるからこそ、DXを推進できるのです。今後はお客さまへ積極的にソリューションを提案して、セキュリティアドバイザーとしても活躍できる場面を増やしていきたいと考えています。負荷が小さく、投資対効果が高く、サポート品質も高いImpervaとして、日本企業の競争力強化に貢献したいと考えています」（柿澤氏）