米国の生命保険会社

まっさらなデータセンターを設計する機会は、頻繁にはありません。しかし、そのチャンスは、大手保険会社が別の大手保険会社に買収されたことで訪れました。「年金事業は複雑です。お客様とそのアドバイザーのために、毎晩膨大な計算とセルフサービスアプリが必要とされます」と、同社の最高情報セキュリティ責任者（CISO）は述べています。「当社は、すばらしい顧客体験を提供することに集中できるように、まったく白紙から始めてITをシンプル化する機会に恵まれました」

同社の事業は顧客の定年後の収入を守ることなので、セキュリティは最優先事項です。CISOの最初の行動は、以前の仲間に声をかけ、セキュリティアーキテクトとして復帰してもらうことでした。「私たちはバンドを再結成したのです」と同氏は言います。2人は新しいデータセンターの計画に着手しました。CISOは「私たちはこの動きを、ITサービスを提供する従来の方法から一歩先に進めて、より機敏な事業運営を実現するチャンスだととらえました」と述べています。

マルウェアは最高レベルの防御システムをもすり抜けることができるため、そのような状況が発生した場合にマルウェアの拡散を制限する方法が必要でした。しかし、2人はファイアウォール導入には乗り気ではありませんでした。「以前のデータセンターでは、ファイアウォールのルールを最新の状態に維持するために、チーム全員で対応する必要がありました」とCISOは振り返ります。「さらに、このようにトラフィックの多いネットワークでは、ファイアウォールがボトルネックになる可能性があります」

同社は、その日の市場実績やその他の変動要因に基づいて、約50万件の保険契約や年金商品の価値を毎晩計算し、午前4時までに金融アドバイザーなどのパートナーに提供しています。これらの計算と夜間バックアップにより、大量のトラフィックが生じます。「旧データセンターでは、ファイアウォールは一晩中限界に達し、処理が遅れる可能性がありました」とセキュリティアーキテクトは述べています。「管理オーバーヘッドを削減し、高スループットの冗長ファイアウォールにコストをかけることなく、ネットワークをシンプルにセグメント化する方法を求めていました」

両氏は、Akamai Guardicore Segmentationに解決策を見出しました。 「Akamai Guardicore Segmentationでは、サーバー間通信にファイアウォールを通す必要がなく、潜在的なボトルネックが解消されます」とセキュリティアーキテクトは説明します。「SQL Serverデータベースにエージェントをインストールしたところ、パフォーマンスへの影響がゼロになりました。多少なりとも影響はあると考えていたので驚きました」 

新しいデータセンターへの移行中に一時的な障害でユーザーに影響が及ばないようにするために、各アプリケーションと依存関係のあるアイテムを同時に移行する必要がありました。そうすれば、ある場所のアプリケーションが別の場所のデータベースと通信するときに発生するレイテンシーを回避できます。依存関係を特定するのは簡単ではありませんが、ソフトウェアエージェントを約750台のサーバーと750台のワークステーションにインストールして、相互に通信しているシステムを確認することで、問題が解決されました。「各アプリケーションの依存関係が表示されるので、Akamai Guardicore Segmentationは、どのアセットを新しいデータセンターに同時に移行するかを計画し、サーバー間の通信に適したクリーンなルールを作成することができました」とセキュリティアーキテクトは述べています。「プロセスレベルまでの詳細を確認できるのは素晴らしいことです」

すべてのシステムとプロセスが独自のセグメントに割り当てられるようになったため、どのアセットが相互に通信できるかを厳密に管理できます。「Akamai Guardicore Segmentationは、業務を妨害する可能性のある攻撃の拡散を制限します」とCISOは述べています。「お客様の定年後の収入と安心を守る当社の取り組みを支えてくれています」Log4j攻撃が現れたときは、Akamai Guardicore Segmentationで脆弱性のあるアプリケーションを簡単に確認でき、攻撃を受ける前に迅速に脆弱性を修正できました。

また、ファイアウォールのルール設定より簡単にルール設定ができるので新しいデジタル体験を迅速に導入することもできます。ファイアウォールルールを変更すると、通信が一時的に短時間中断されるため、以前は変更が午後9時から午後10時までの時間帯の1時間に制限されていました。新しいルールが原因で発生した問題が次の朝に発覚した場合、チームは勤務時間後まで修正に取りかかることができませんでした。 

「ファイアウォールルールのトラブルシューティングには、最大1週間かかることがあります。その間、ユーザーが新しいアプリケーションや機能を利用できなくなってしまいます」とセキュリティアーキテクトは述べます。「Akamai Guardicore Segmentationを使用して、新しいお客様とアドバイザーへのサービスを迅速に導入し、本番環境でルールを1時間未満で変更でき、テスト環境であれば数秒で変更できます」 

また、Akamai Guardicore Segmentationのルールは、ファイアウォールのルールよりも簡単に最新の状態を維持することができます。たとえば、アプリケーションの容量を追加すると、アプリケーションの既存のルールが新しい仮想マシンに自動的に適用されます。 

時間を節約できるように、セキュリティアーキテクトはアプリケーション開発者にAkamai Guardicore Segmentationへの読み取り専用アクセス権を付与しました。「アプリケーションの問題が通信ルールに起因しているかどうかを、私に連絡せずとも確認できるようになりました」と彼は言います。「ルールに問題がある場合は、電話で話している間に数回クリックするだけで修正できます」 

この2人は、すでにAkamai Guardicore Segmentationを活用する新しいやり方を計画しています。1つは、AristaのスイッチとF5のロードバランサーをソリューションに統合することで、コミュニケーションをより詳細に把握することです。 

「Akamai Guardicore Segmentationの管理がどの程度簡単になるかは確信がありませんでした」とCISOは言います。「しかし、結局データセンター移行の最も簡単な部分であったことがわかりました。これで、当社が守る定年後の収入のお客様、販売パートナー、社内ユーザーに向けて、シンプルさを維持するという当社のブランドプロミスを果たせます」それには複雑なことは何もありません。