Clal Insurance

1978年にイスラエルで設立されたClal Insurance and Finance社は、有数の保険および長期貯蓄会社であり、監督している資産は総額3,320億新シェケル*（908.7億米ドル）に達します。3つの部門を通じて、個人顧客と法人顧客にさまざまなサービスと製品を提供しており、約4,400人の従業員が3,700の保険代理店と協力して、高品質のサービスと専門的なサポートをお客様に提供しています。

同社はAPIをベースとしたデジタルトランスフォーメーションを推進しています。これにより、シームレスなイノベーションが促進され、ビジネスパートナー、その他のフィンテック企業、顧客とのデータ交換において先行者利益を得ています。しかし、このAPIエコシステムにより、潜在的な脅威につながる新たな経路も生じています。これは、頻繁にサイバー攻撃の標的となる国であるイスラエルにおいて、特に差し迫った問題です。Akamai API Securityを導入することにより、Clal Insurance and Financeは次の3つの目標を達成しました。

1. すべてのAPIの探索とインベントリの自動化
2. 修正プロセスの自動化
3. APIセキュリティポスチャの改善

Clalは他社のトラフィックマネージャー、セキュリティ情報およびイベント管理ソリューション、Webアプリケーションファイアウォールを使用してWebサイトのセキュリティを確保していました。しかし、同社のAPIインベントリは重要かつ広範であったため、そのようなセキュリティ対策は不十分でした。

Clalのエコシステムは、Clal Expressのような革新的なサービスを支えています。Clal Expressは、顧客が自己負担費用を削減できるようにするWebサービスです。同社は組織全体でAPIが大幅に増加したことを受けて、このサービスを管理し、セキュリティを確保したいと考えていました。

新型コロナウイルスが拡大した際、ClalはAPIゲートウェイソリューションを展開し、すでに構築を開始していたAPIエコシステムを一元化しました。ClalのCTOであるHaim Inger氏は次のように述べています。「弊社のWebサイトでは600以上のAPI、エンタープライズ全体では数千ものAPIが公開されており、それらを明確に把握できていないことに気づきました」

APIゲートウェイはAPI環境に関する部分的な知見をもたらしますが、セキュリティソリューションではありません。実際、APIゲートウェイを使用している企業は、そのセキュリティを確保する必要があります。「APIゲートウェイのセキュリティを確保するためのソリューションを探し始めたところ、当時の弊社の状況とAPIセキュリティを実装して実現したい姿との間にギャップがあることがわかりました」とInger氏は続けました。

APIポートフォリオの可視性とAPI内の脅威や脆弱性の悪用を検知する機能を求めて、同氏のセキュリティチームはソリューションを評価しました。必要としていたのは、トランザクションの異常をチェックし、APIのふるまいを考慮してルールの変更を最小限に抑えられるだけでなく、簡単に展開できるソリューションでした。

3つのソリューションを評価した結果、Inger氏はクラウドベースのAkamai API Securityを選択しました。「展開には数か月かかると予想していましたが、驚いたことにわずか4日でF5、Splunk、そしてすべてのAPIと統合できました」とInger氏は語りました。

API Securityの導入後、同社はすぐにその価値を実感しました。他のソリューションではセキュリティチームが各APIを確認し、必要なふるまいのみを促すルールを作成する必要がありますが、Akamaiのソリューションは同社のAPIエコシステムの状態を自動的にインベントリして評価します。

「何もしなくてもAPI資産の状態を把握できました。弊社のAPIに関するトークン化されたデータをインジェストした後、Akamaiソリューションは修正すべき点とその修正方法についての知見を自動的に提供してくれました」とInger氏は説明しました。

ClalのAPIの初期インベントリと分析を実施して以来、Akamai API Securityはエコシステムのインベントリと分析を継続的に行っています。「探索プロセスは非常に重要です。どのAPIがどのように使用されているかを継続的に把握し、使用されなくなったAPIを閉じることができるからです」と、Inger氏は述べています。

また、Akamaiのソリューションは、リスク監査とふるまい分析を通じて、脆弱性や異常を継続的に明らかにし、報告します。たとえば、API内で安全でない方法で転送されているクレジットカードのデータや、許可されていない方法でAPIを使用するフィンテックパートナーなどです。どのような場合でも、API SecurityはAPIが攻撃経路にならないように同社を支援します。

さらに、Inger氏のチームはこのソリューションをAPI Security ShadowHuntと組み合わせられることも気に入っています。API Security ShadowHuntは、API脅威ハンティングに精通したAkamaiのエキスパートアナリストを活用する、マネージド脅威ハンティングサービスです。 

「たとえば、APIへのアクセス方法やアクセス頻度の異常なパターンについて、アラートが発せられます。この通知により、脆弱性を直ちに修正し、お客様のデータへのアクセスや侵害を防止できます」と述べています。

APIエコシステムを正確に可視化し、潜在的な問題に関する通知を即座に受けられれば、同社のセキュリティポスチャの強化だけでなく、パートナーシップの強化や途切れることのないビジネスの実現につながります。「以前は、フィンテックパートナーが攻撃を受けた場合、関連事業を停止していました。今ではAPIの脆弱性に対処し、重要なパートナーシップを維持できるようになりました」と、Inger氏は述べています。

API SecurityとShadowHuntを導入してから2年目の現在、彼のチームは満足しています。「ソリューションとサービスは約束どおりに提供されています。さらに、API Securityはクラウドベースなので、私たちがメンテナンスやアップグレードを行う必要はありません」と同氏は続けます。

また、Akamaiは同社の開発環境と本番環境全体を可視化し、セキュリティアラートを発します。これらは極めて有益です。「Akamaiは弊社のAPI環境で可能な限り強力なセキュリティポスチャを確立するために力を尽くしてくれています」とInger氏は締めくくりました。

Clal Holdingsは、主にClal Insurance and Financeとクレジットカード会社MAXの株式を保有している持株会社です。Clal Insurance Enterprises Holdingsの株式は公開されており、支配株主はおらず、テルアビブ証券取引所で取引されています。同社の株式の14.1%をAlrov Real Estate and Hotels Ltd.、7.0%をPhoenix Group、6.6%をHarel Group、5.1%をShalom Shai氏（Dona Engineering & Construction Co. Ltd.）が保有しています。総経過保険料に関して、同グループの市場シェアは保険市場全体の15% であり（2022年時点）、管理資産は3,320億新シェケルを超えています（2023年9月現在）。2023年3月、Clalは米国の投資ファンドであるWarburg PincusとそのパートナーからMaxを買収しました。Clal Groupは、年金、共済および高等訓練基金、一般保険（自動車保険や住宅保険）、健康保険、クレジットカードなど、複数の多様な保険分野や長期貯蓄分野で事業を展開しています。さらに、住宅ローンや信用保険を取り扱う保険会社の中でも特有の活動を行っています。2023年以降、同グループはクレジットカード業界でも積極的に活動してきました。Clal Groupは、保険代理店、年金基金、共済基金、訓練基金、信用保険会社を所有しています。2022年12月現在、同グループはClal Insurance and Financeおよび保険代理店の従業員4,403人と、Maxの従業員1,337人を擁しています。これにより、Clalはイスラエル有数の長期保険および貯蓄グループの一つとなっています。