Commerzbank、Akamaiとの連携でAPIセキュリティを強化 

国際的なプレゼンスを誇るヨーロッパ最大の金融機関の1つであるCommerzbankは、APIを活用した革新的なデジタルサービスを通じて顧客に価値を提供しています。同行はごく初期段階から、CRUD（作成（Create）、読み取り（Read）、更新（Update）、削除（Delete））操作を起点とし、再利用性の高いソリューションを作成することに重点を置いていました。このアプローチにより、卓越したスケーラビリティと伸長性の基盤が築かれ、時間の経過とともに内部および外部のAPIをエコシステムに統合しやすくなりました。

しかし、AIによって加速する時代において、Commerzbankは、従来のセキュリティ・バイ・デザインの対策では、顧客の信頼を維持し、安全でシームレスなアクセスに対する高まる期待に応えるには不十分であることを認識していました。同行は、OWASP原則への準拠、明確かつクリーンなインターフェース定義、厳格なポリシー、セキュリティが確保されたトークン概念、定期的な侵入テストなど、幅広い堅牢なメカニズムを導入しました。しかし、脅威と複雑さが増大するにつれ、Commerzbankはリアルタイムで適応できるソリューションを必要としていました。

そのために、同行はAkamaiおよびDeloitteと提携し、既存のAPI管理プラットフォームを強化および拡張する、専用のAPIセキュリティレイヤーを導入しました。この取り組みにより、異常の検知、管理されていないシャドウAPIの発見、部門間のガバナンスの強化を実現しながら、APIエコシステムの拡大に合わせたアジリティ、コンプライアンス、および安全なスケーリング能力を維持できました。

Commerzbankは、毎月60億件を超えるAPIコールを処理し、顧客、パートナー、行内アプリケーションから成る広大なデジタルエコシステムをサポートしています。2017年以降、同行はAxway Amplify API Management Platformを使用して行内APIとインターネットに面したAPIの両方を管理していました。しかし、脅威の巧妙化に伴い、Principal Software Engineer兼Solutions ArchitectのVolker Sulzbach氏は、強力なAPI防御の必要性を認識するようになりました。

「当行のAPI管理プラットフォームはその役割を十分に果たしています」と、Sulzbach氏は述べています。「しかし、APIの異常なふるまいや潜在的な攻撃を、問題が発生する前に特定する手段が必要でした」

同行のSOCはファイアウォールなどの広範なネットワーク保護を担当していましたが、Sulzbach氏のチームは、イノベーションの勢いを阻害することなく、すべてのビジネス関連APIを直接監視し、異常やシャドウAPIを早期に検知したいと考えていました。

複数のベンダーを評価した結果、CommerzbankはAkamaiのAPI Securityソリューションを選択しました。このソリューションは、環境全体でAPIを継続的に探索し、分類し、保護します。「異常検知は、当行にとって最優先事項でした」と、Sulzbach氏は述べています。

「単なるコールごとの検査だけでなく、ふるまいに基づく評価が必要でした。Akamaiはそれを可能にします」と同氏は続けます。機械学習を活用した異常検知により、API Securityは異常なAPI動作、潜在的な悪用、シャドウAPIを特定し、管理対象と管理対象外のエンドポイントの両方を完全に可視化します。

「API Securityが『野良』APIを特定し、開発段階でセキュリティを組み込むのに役立つことに感銘を受けました」と、Sulzbach氏は説明します。

実装の最初のフェーズは、本番稼働前にAPIのシミュレーションとテストを行うために使用される、Commerzbankのサンドボックスゲートウェイから始まりました。チームがAPI Securityの正確性と応答性を検証した後、最初に約25の本番環境APIを保護しました。

「まず、ルールを整備し、フォールス・ポジティブ（誤検知）を減らし、チームがアラートに対応できるようにしたいと考えました。次の段階では、API Securityの使用を拡大しました」とSulzbach氏は説明します。

この拡大により、最終的には数千ものAPIとエンドポイントがカバーされ、内部トラフィックと外部トラフィックの両方で継続的な可視性とセキュリティが提供されます。

このソリューションは、セキュリティにとどまらず、CommerzbankのAPIガバナンス戦略も進化させました。同行は、一貫性と透明性を確保するために、APIに厳格な命名規則およびフォーマット基準を適用しています。しかし、一部のAPI所有者はこれまで、リリース加速のため、略語やドイツ語の用語の使用を避けるなどのルールを無視していました。

API Securityを使用すれば、このようなことはなくなります。「現在では、ビジネス関連のAPIをすべて把握できるようになりました。つまり、APIが当行のガバナンスルールに従っていることを確認できるようになったのです」と、Sulzbach氏は述べています。「この可視性により、経営陣との連携が可能になり、欧州中央銀行などの規制当局にAPIをプロアクティブに保護していることを証明することができています」

AkamaiはAPI SecurityをSaaSとして提供していますが、Commerzbankはより優れた制御とより迅速な導入を実現するために、オンプレミスでのオンボーディングから始めることを選択しました。この段階的なアプローチにより、チームは自信を持ってポリシーを調整し、セキュリティフレームワークの成熟に合わせて最終的にクラウドネイティブのワークフローと統合できています。

「クラウドを拒否する意図はありませんでした。迅速に開始し、ソリューションを検証し、セキュリティデータを内部に保持しながら、検知のメリットをすべて得たいと考えていたのです」と、Sulzbach氏は説明します。

導入と設定を合理化するために、CommerzbankはDeloitteと提携し、技術的サポートおよび戦略的サポートを提供しました。この連携は、セットアップの迅速化、ルールの微調整、プラットフォームを長期的に管理するための行内チームの準備に役立ちました。

「Deloitteは当行の環境とAkamaiのテクノロジーを徹底的に把握しており、明確なガイダンスと専門知識を提供することで導入を合理化してくれます」とSulzbach氏は述べています。

Commerzbankは、Akamai API Securityを採用したことで、ますます相互接続が進む金融エコシステムにおいて、リスクの軽減、コンプライアンスの強化、安全なイノベーションを実現できるようになりました。同行のロードマップには、API Securityをすべてのビジネス主導型APIに統合し、設計からランタイムまで継続的な保護を実現することが含まれています。最終的には、API所有者に潜在的な悪用を警告し、チームが脆弱性を早期に修正できるようにし、脅威を自動的にブロックすることさえも可能になります。

「当行は、広大なAPI環境を可能な限り最善の方法で保護したいと考えています。これを実現可能にするのが、API Securityです。当行のビジネスに重要なすべてのAPIをカタログ化し、スキャンし、保護してくれるからです」と、Sulzbach氏は締めくくりました。

Commerzbankには、法人顧客と個人および中小企業顧客という2つの事業セグメントがあり、総合銀行として包括的な金融サービスポートフォリオを提供しています。ドイツ国内の法人顧客とドイツのミッテルシュタント（中小企業）向けの大手銀行であり、約24,000の法人顧客グループのための強力なパートナーです。4,000億ユーロを超える資産を運用するCommerzbankは、ドイツの民間および中小企業顧客向けの大手銀行の1つでもあります。オンラインおよびモバイル、電話またはビデオによるリモート相談窓口、約400の支店での対面対応など、オムニチャネルアプローチに基づく広範な商品とサービスを提供しています。