apree health

apreeは、患者が低コストで質の高い医療を見つけ、健康保険の詳細や請求情報にアクセスし、給付金を管理し、さらには健康状態を追跡できるようにする医療ナビゲーションプラットフォームとモバイルアプリを提供し、企業とその従業員を支援しています。同社のプラットフォームとアプリケーションは、100 を超えるAPIパートナーとの統合と1,000を超えるサードパーティー顧客との統合によって実現されているため、ベストプラクティスに基づいたトップダウンのセキュリティ志向の文化が不可欠です。

apreeのInformation Security部門担当Senior ManagerであるDavid Quisenberry氏は次のように説明しています。「情報の共有は、より良い医療効果を実現する唯一の方法です。しかし、その情報は非常に機密性が高く、保護する必要があります」

ボットによる大規模なソーシャルエンジニアリング攻撃やAPI攻撃など、現在の攻撃の種類や傾向を踏まえると、そのようなセキュリティは極めて重要です。そのような環境でセキュリティに包括的かつ効果的に対処するためには、強力な保護対策の証拠を示しながら、優先順位付けと反復作業を継続的に行う必要があります。

残念なことに、apreeにはセキュリティ運用（SecOps）チームをこのように強化する適切なソリューションが欠如していました。SecOpsチームは、基本的なWebアプリケーションファイアウォールから潜在的な問題に関する通知を受け、手動で調査を行って最適な対応を決定するよう促されていました。同社でモバイルアプリを通じたCredential Stuffingが急増した際には、調査、潜在的な影響に関する報告、対策の実行に気が滅入るほどの時間と費用がかかりました。 

apreeのSenior Information Security AnalystであるCat Schwan氏は、「まるでもぐらたたきのようで、一時的にしかセキュリティポスチャを改善することはできませんでした」と述べています。

apreeの最優先事項は、API攻撃を防止し、関連する攻撃をブロックすることでした。AkamaiのアプリケーションおよびAPI保護ソリューションをそのニーズに合わせて設定することで、同社はそれを実現できました。Akamaiを利用することにより、セキュリティチームはPOSTリクエストやパートナー統合に使用されるAPIのHTTPヘッダーレイヤーにセキュリティレイヤーを追加しています。 

同時に、Akamaiは、多くの手間と不安を招いていた大量のボットから、apreeとそのモバイルアプリを保護しています。apreeが最後にCredential Stuffingを受けてから18か月が経過し、このような攻撃への対処に伴うオーバーヘッドコストが大幅に減少しました。同様に重要な点として、apreeは、消費者、雇用者、パートナーから委ねられた機微な情報のセキュリティを確実に確保することができます。 

さらに、Quisenberry氏は次のように説明しています。「弊社のアプリケーションと医療ガイドに迅速かつ安全にアクセスできるようにすることが重要です。Akamaiによってそれを確実に実現できることに、エンジニアリングチームは大喜びしています」

apreeがAkamaiと提携することとなったきっかけはAPI攻撃の防御でしたが、さまざまな形でメリットを得てきました。

apree（当時はCastlight Health）が無料のCOVID-19ワクチンファインダーを立ち上げるためにBoston Children’s Hospital（BCH）や疾病予防管理センター（CDC）と協力した際には、セキュリティが確保されているという確信を得ることと、必要に応じてスケーリングする能力を確保することが重要でした。BCHはCastlightに対し、最新のCOVID-19ワクチンのデータを供給するソリューションを支えるテクノロジーインフラの構築を依頼し、そこから生まれたのが、Castlightがリリースした最初のUngated版の体験でした。Akamaiのグローバルプラットフォームによって自動的に、ワクチンファインダーが正確な最新情報を提示できるようになりました。

「Akamaiを利用することで、不正なWebスクレイパーからバックエンドを保護し、この高リスクで注目度の高いプロジェクトに関連する膨大な量のトラフィックを処理できるようになりました。また、アプリが不正利用・流用されることも防げました」とSchwan氏は述べています。

DDoS攻撃防御、オリジンの防御、高度なボット検知など、apreeが導入したアプリケーション保護機能は、侵入検知システムと連携して、迅速な脅威検知とインテリジェンスを実現します。Akamaiのソリューションをこのスタックの一部として使用しているため、同社は攻撃ベクトルをより迅速かつ簡単に把握できます。

たとえば、apreeがインジェクション攻撃を特定した際、Akamaiは即座に防御を提供し、脅威環境を可視化しました。「Akamaiは、脆弱性の優先順位付けと98%の仮想マシンへのパッチ適用に必要な知見を5日以内に提供してくれました」とQuisenberry氏は語ります。

さらに、apreeがセキュリティ基盤のさらなる強化のためにGoogle Cloudに移行した際に、Akamaiが不可欠であることが証明されました。Schwan氏は、「弊社の環境が変化した際、Akamaiのおかげで容易に移行することができました」と述べています。

まず、Castlightとの合併時にVera Whole HealthのWebアプリのセキュリティを強化することに成功しました。「これらのアプリを驚くほど簡単に弊社の環境に統合することができました」とSchwan氏は続けます。

実際、Google CloudとAkamaiの両方を利用することにより、SecOpsチームが思い描いている自動化（堅牢なAPIコールを行うときなど）を実現することができます。「Akamaiによって変更管理の自動化が可能になるという事実は、弊社にとって非常に価値のあることです。弊社のチームはセキュリティ制御を確立し、その証拠を共有できるようになります」とSchwan氏は述べています。

Akamaiは、apreeのチームがセキュリティ対策の成熟度を高めることに注力できるようにし、安心して将来に向けて前進できるよう後押ししています。「Akamaiは、アジャイルで自動化されたセキュリティアーキテクチャを実現するのに必要なテクノロジー、テレメトリー、知見を提供してくれます」とQuisenberry氏は締めくくります。

apree healthは、医療体験を再定義し、患者による医療へのアクセスと医療との関わり方、医療機関による医療提供方法、雇用主やその他の購入者による医療費の決済方法を変革する、初のエンドツーエンド・ヘルスケア・ソリューションを構築するというミッションを掲げています。トップクラスのナビゲーションとデータに基づいた知見、最先端の一次医療モデル、価値ベースのリスクモデルを組み合わせて、医療効果を高め、医療を受ける人々の生活をより良くすることで、そのミッションを遂行します。