Novant Health、APIのセキュリティを確保してケアのイノベーションを加速

ヘルスケアシステムが地域社会に提供する包括的なケアは、人々の健康や生活の改善にどのような効果をもたらしているのでしょうか。Novant Healthにおいて、その成果は以下に示す驚くべきものです。

• 680万 - 診療所への来院数
• 155,964 - 治療を受けた入院患者数
• 602,590 - 救急科への来院数
• 22,082 - 分娩数

同時に、これらの数値を見れば、「ヘルスケア機関はAPI侵害によって機微な情報を狙う脅威アクターから誰を、そして何を守る必要があるのか」が明確にわかります。

Novant Healthは、16の医療センターと1,900人以上の医師で構成される非営利の総合システムであり、900か所を超える拠点で活動を展開しています。ウィンストン・セーラムを本拠地とするこの組織は、36,000人を超えるチームメンバーと医師パートナーを擁し、ノースカロライナ州とサウスカロライナ州でケアを提供しています。

Novantは、さまざまなデジタルイノベーションの取り組みを通じて、患者ケアをより効果的で効率的かつパーソナライズされたものにしています。APIはこのイノベーションの中核であり、アプリケーション、デバイス、システム間における患者データのシームレスな交換を可能にしています。実際、APIを非常に重視しているNovantは、クラス最高レベルのAPI製品を確実に開発できるようにするために、人材、知識、リソースを結集した中核的研究拠点（COE）を構築しました。

Novantのチームは当初からAPIセキュリティを最優先課題と捉え、APIを標的とする攻撃がヘルスケアプロバイダーに及ぼす影響を調査しました。この調査を通じて明らかになった業界の統計もまた、良い意味ではありませんが驚くべきものでした。例えば、医療分野におけるデータ侵害の平均被害額は970万米ドルに達します。79%のヘルスケア組織が過去12か月間にAPIセキュリティインシデントを経験していました。

API COEチームは、ビジネスの最優先課題として、Novant全体のAPIセキュリティを強化する必要があると判断しました。当時Novantが導入していたソリューションはWebアプリケーションファイアウォール（WAF）だけでした。これらのツールは既知の攻撃からの防御を提供します。しかし、ヘルスケア組織が現在必要としているのは、もっと包括的なAPIセキュリティ、たとえば以下のような機能です。 

• 組織のIT環境内に存在するAPI数の可視化
• 処理データの種類など、各APIのリスク属性に関する知見
• 攻撃者に悪用される誤設定の検出など、その組織のAPI固有のセキュリティポスチャに関する詳細分析
• APIビジネスロジックの欠陥を悪用した攻撃からの防御

さらに、NovantのCOEチームは、「シフトレフト」、つまりセキュリティを開発の初期段階に組み入れる取り組みに重大なギャップがあることを特定しました。Dockerコンテナのテスト用ツールはありましたが、API開発用のソリューションが必要だったのです。患者カルテなどの機微な情報を扱うため、NovantのCOEチームは、従業員も製品もAPIセキュリティを100%重視しているベンダーを見つける必要があると考えました。

NovantのCOEは、包括的なAPI保護対策について学んだのち、Noname Security（現在はAkamai）との面談を開始しました。そして協力しながら、NovantのIT環境内のすべてのAPIについて、詳細なポスチャ管理分析を実施しました。NonameのAPIセキュリティプラットフォーム（現在はAkamai API Securityの一部）を使用することで、セキュリティに大きな影響及ぼすAzureの脆弱性が特定されました。

このプラットフォームのAPIポスチャ管理ソリューションを使用したところ、Novantのクラウド環境内のAPIに対するリクエストの一部がWAFツールを通らずに迂回していることが分かりました。攻撃者は、「オープンドア」を通じてWAFを迂回していたため、WAFではセキュリティを確保できず、NovantのAPIは繰り返し攻撃されていました。リスクにさらされていながら気づいていなかったのです。

Akamaiが提供した知見は衝撃的でしたが、すぐに効果を発揮しました。Novant HealthがAPIを安全に開発し維持できるかどうかは、完全に保護されたクラウドワークスペースが得られるかどうかにかかっています。NovantのVice President、Justin P. Byrd氏と同氏のチームは、AkamaiのAPIポスチャ管理ソリューションを適用しながら、隠れたセキュリティギャップの発見と緩和の作業に奮闘する、Akamaiチームの姿に感銘を受けました。

現在、COEチームは、最初の探索に基づいてAkamai APIポスチャ管理ソリューションの自動化機能を使用できるようになりました。この機能により、APIの誤設定や隠れたリスクを継続的にチェックし、プロアクティブな緩和策を講じることができます。これには、機微な情報にアクセスできるAPIと内部ユーザーを特定する機能も含まれます。 

Novantのように、何百万もの患者とのやり取りなど、広範な健康データを管理する組織にとって、機微な情報に関わるAPIを知ることは、患者、プロバイダー、規制当局との信頼を構築し維持する上で非常に重要です。

NovantのCOEには実務経験を有するエンジニアリングリーダーもメンバーに含まれています。このようなCOEにとって、APIテストにセキュリティを組み入れることも優先課題の1つでした。企業が開発するすべてのAPIにおいてスピードは重要ですが、特にNovantのようにAPIが患者ケアに不可欠な役割を果たしている組織ではさらに開発スピードの重要性が増します。しかし、スピーディな開発を求めるプレッシャーがあると、開発者は本番環境への移行を急ぎ、脆弱性や設計上の欠陥を見落としやすくなります。

COEは、すべてのAPIに実装されているセキュリティ対策を評価するために、信頼できるAPIテスト機能を求めました。これには、認証メカニズム、認可制御、データ整合性、暗号化プロトコルなど、可変要素の弱点を特定するための包括的なテストが含まれます。

もちろん、新しいセキュリティツールを導入した場合にうまくいくかどうかは、機能だけでなく、主要な関係者との関わり方によっても左右されます。開発者はセキュリティの重要性を理解していますが、スピードに対するニーズがあるため、一般的に、不慣れなツールがもたらす速度低下を警戒します。 

Novant Healthでも当初はそうでした。

NovantのチームはAkamaiとの関わりを深めながら、開発者が安全かつ効率的に業務を遂行するために役立つ多様な機能を特定しました。たとえば、Akamai API Securityのアクティブテストでは、プロセスの後半で重大かつ多大な時間を要する問題になると考えられる間違いを、プロアクティブに発見できます。

また、このソリューションを使用することで、COEは、効率性を高めるためのメモを開発者に提供できるようになりました。このソリューションがセキュリティ以外のQAチェックも行うとは知らなかったCOEチームメンバーにとって、これは嬉しい驚きでした。たとえば、構築されたAPIが実際に提供している機能がそのAPIの仕様と一致しているかどうかを判断できます。当初は冷ややかだった開発者たちが、セキュリティと効率性のメリットを実感してCOEチームに加わり、Akamai API Securityとの連携を歓迎するようになるまで、それほど時間はかかりませんでした。

「Akamaiは初日から、APIの探索、保護、テストについて、コーディングから本番まであらゆる段階で信頼できるアドバイザーの役割を果たしてくれました。おかげで、COEはセキュリティと効率性を一度に実現する方法を組織全体に示すことができます」とByrd氏は説明し、さらに次のように述べています。「このパートナーシップは製品だけに留まりません。Noname（現在はAkamai）チームのメンバーは、API開発に関連する当社の事情やビジネス上の推進要因を理解しています」

Novantのリーダーシップも同意し、「問題が発生する前に把握する」というAkamai API Securityの機能に注目し、シフトレフトの取り組みにAPIセキュリティを組み込むことに貢献しました。

現在、NovantはAkamai API Securityを使用して、API、そしてAPIを活用したあらゆるデジタルイニシアチブを「自動保護」しています。現在COEチームは、APIの探索、インベントリ、評価、テストに関してNovantが得た能力を基盤としながら、このプラットフォームの包括的な保護機能をNovantが開発する新しいAPIに適用しています。Novantの開発者が適切なベストプラクティスに基づいてAPIを構築していること、そして各APIが自動的に保護されていること、これらをCOEチームは確信できています。

今後、COEチームは、Akamai API Securityの適用範囲を社内の他のチームにも拡大しようと考えています。COEはAPI保護の組織横断的協働モデルを目指し、Akamai API Securityの使用に関して、COEチーム、Novant Healthセキュリティチーム、Novantの基盤構造チームによるパートナーシップを構想しています。

Novant Healthは、19の医療センターと2,000人以上の医師から構成される非営利の総合システムであり、900か所以上の拠点で活動を展開しています。また、多数の外来手術センター、医療プラザ、リハビリテーションプログラム、診断イメージングセンター、地域の保健プログラムを擁しています。Novant Healthの約40,000人のチームメンバーと医師パートナーは、ノースカロライナ州とサウスカロライナ州で患者とコミュニティのケアに従事しています。