ホテルチェーンのデジタルセキュリティ戦略は、13万室の客室に安心を提供

国内外に981軒のホテル、13万室以上の客室を擁する、日本最大級のホテルチェーンであるアパグループは、デジタルトランスフォーメーションに注力しています。特に宿泊客向けのモバイルアプリ「アパアプリ」は人気があります。

アパアプリには、予約、チェックイン、チェックアウトを非接触行う方法が用意されています。「ワンステップ予約」機能で、旅行者はお気に入りのホテルで客室を簡単に予約できます。また、「1秒チェックイン」機能で、アパアプリのQRコードをフロントのスキャナーにタッチするだけでチェックインが完了します。最後に、「1秒チェックアウト」により、宿泊者はルームキーをボックス（エクスプレスチェックアウトポスト）に入れればチェックアウトが完了します。この一連のストレスフリーな仕組みは、APAトリプルワンと呼ばれ、非常に好評で宿泊客の約8割が利用しています。

また、APA Stay HereアプリにはAIを活用したコンシェルジュチャットボットが搭載されているため、宿泊客はフロントスタッフに問い合わせたりフロントデスクに足を運んだりする代わりに、アプリを通じてフロントデスクにリクエストを行うことができます。

初期のホテル業界のアプリは、単なるWeb予約サイトの焼き直しでした。「当社は後発ですが、スマートフォンでの利用を前提に、お客様の利便性を徹底的に追求する形で開発したアプリで、お客様にも大変好評です。今では滞在時のサービス利用やチェックアウト後のポイント管理など、すべてがアプリ上で完結できるようになりました」と、アパリゾート株式会社執行役員兼アパグループ株式会社IT事業部長の濱本清氏は語ります。

アパホテルは、宿泊客の体験の向上だけでなく、客室清掃やフロントサービスといったホテル運営の効率化にもモバイルアプリを活用しています。客室状況の把握、遺失物管理、経理業務など従来紙で運用していた業務をアプリ化し、バックエンドのシステムとAPIで連携させています。このアナログからデジタルへの移行により、運用効率が大幅に向上しました。

世界中から多様な宿泊客を受け入れるホテル業界において、ITサービスのセキュリティは最重要課題の1つです。サイバー攻撃が日々巧妙化し、激化するにつれて、個人情報の保護はますます重要になってきています。それに合わせてアパグループでも、Akamaiのサービスを利用してDDoS対策を講じるなど、セキュリティ対策の強化に努めてきました。

しかし、アパホテルがアプリによるプロセスのデジタル化に成功したことで、新たな攻撃のアタックサーフェスが露呈しました。それは、アプリや企業間連携で使用されるAPIです。近年、ホテル運営は多様化、分散化しており、利用するシステムやサードパーティのサービスの数も増加しています。その結果、APIの数も重要度も増し、ホテルのインフラの重要な一部となりました。同時に、APIを狙ったサイバー攻撃も増加しているため、適切なセキュリティ対策が求められています。

アパホテルはAPI通信のログを収集していましたが、その量が膨大であったため、人間の手で攻撃の兆候を検知することは不可能でした。従来からセキュリティ組織の体制強化は行ってきましたが、個人に求められることは増え続けています。濱本氏と彼のチームは、APIセキュリティを大幅に強化することで、宿泊客だけでなく、何かインシデントが起きれば矢面に立つことになるホテルの従業員も守りたいと考えていました。

「APIアクティビティの可視化が重要でした」と、濱本氏は言います。「ただログを読みやすくするのではなく、API通信に精通したセキュリティ専門家の視点を必要としていました。私たちがポイントを明確に特定できれば、当社のアプリやAPIを開発するベンダーと連携しやすくなります」

サービスとAPIの将来的な拡張を見据え、API保護に特化したAkamai API Securityを選択しました。

アパグループでは、従来からWAFやDDoS対策などAkamaiのセキュリティソリューションを活用しており、技術とサポートの両方の信頼性を高く評価してきました。API Securityの決め手となったのは、単なるログの可視化と分析だけでなく、既存のセキュリティサービスとシームレスに連携して攻撃をブロックし、全体的なセキュリティ対策を強化できることでした。

「Akamaiについて最も高く評価していることの1つは、Akamaiのサポートです。セキュリティは複雑で、詳細を正確に理解している専門家を見つけるのは至難の技です。しかし、Akamaiはこのようなギャップを埋め、攻撃を迅速に解決するための参謀的な役割も担ってくれます。特にAPI Securityのワークショップは、攻撃者の視点を理解するのに役立ちました。その結果、私たちのチームメンバーの多くがセキュリティに関心を持つようになり、これは大きなメリットです」と、濱本氏は説明します。

API Securityの最大の利点の1つは、ユーザーが以前は気づかれていなかった兆候に気付けるようになったことです。たとえば、「404」はWebサービスの一般的なエラーとして無視されることがよくあります。API Securityを用いると、アパグループは404エラーの根本原因を可視化し、攻撃の兆候を検知できます。

API Securityは、ベンダーが提供する標準的な脆弱性評価サービスと比較されることがよくあります。しかし、「問題は見つかりません」という結果や、侵入テストに失敗したという結果では、結論が出ていないように感じるかもしれません。API Securityの大きなメリットの1つは、アクティビティを可視化することで、セキュリティチームが重要な領域が適切に検査されたかどうか、リスクが特定されたかどうかを確認できることです。また、膨大なログデータを追跡するという課題も解決しました。「ログを視覚化する技術や製品は多いが、本当に重要なところを見せてくれるものはほとんどありません」と、濱本氏は述べています。

「API Securityのダッシュボードを見ると、APIを通じてどれだけ多くの情報がやりとりされているかを実感できます。APIは見過ごしがちですが、今ではその保護の重要性を明確に理解しています。APIのセキュリティは複雑ですが、Akamaiのソリューションのインターフェースはわかりやすく、抵抗感を減らしてくれます」と同氏は述べています。

ゼロトラスト・アーキテクチャの概念もAPIのセキュリティを確保するために重要です。旅行代理店などのパートナー企業のシステムと接続するためのプライベートAPIは、一見安全に見えることがあります。しかし、いったんパートナー企業のネットワーク内に侵入されれば、攻撃のエントリポイントとして悪用される可能性があります。「攻撃はどこからでも、瞬時に発生する可能性があります。そのため、攻撃を即座に可視化し、貴重な情報資産、ビジネス、宿泊客を保護する仕組みが欠かせません」と、同氏は述べています。

アパグループは、アパアプリとAPA Stay Hereのさらなる改善を通じて、ホテルサービスを強化していきます。「セキュリティは最優先事項であり、お客様が安心してサービスを利用できるように、API保護にとどまらず、継続的な改善に取り組んでいます。サイバー攻撃の傾向を特定し、タイムリーな解決策とアドバイスを提供するAkamaiの継続的なサポートに期待しています、と濱本氏は締めくくりました。

アパグループは1971年に石川県で創業し、注文住宅の建設から事業をスタートしました。戸建住宅分譲とマンション開発を経て、ホテル経営や都市開発など多角的な事業を展開しています。計画客室数を含め138,054の客室を有する日本最大級のホテルチェーンであり、北米を中心に海外展開も積極的に推進しています。独自のモバイルアプリやチェックインシステムなど、ホテル業界をリードする企業です。