安全な Web アプリケーションを構築するのは大変です。
Web アプリケーションのセキュリティ要件から、アプリケーションのセキュリティ設計を行います。セキュリティ規約の作成などもここで行います。
それから、実装を行った後、脆弱性診断ツールでソースコードや Web アプリケーションの脆弱性診断を行います。
重要な情報を扱う Web アプリケーションでは、さらに外部のセキュリティ会社に依頼し、Web アプリケーション脆弱性診断を行う必要もあるでしょう。
Web アプリケーションのみ言及してきましたが、他にもサーバー構成、ネットワーク構成といった物理的なセキュリティ設計・実装も必要ですし、ネットワーク脆弱性診断も必要になります。
ここまでやって、ようやく Web アプリケーションのリリースを迎えることができます。
Web アプリケーションがリリースされると運用フェーズに入る訳ですが、そこで求められることは、システムを止めず、障害を起こさず、セキュリティ事故を起こさないというものです。
これはかなり困難なことです。困難ですが、これを実現するための対策を行い、万が一セキュリティ事故が起きたときのための計画書も作成する必要があります。
Web アプリケーションをリリースしたら、採用した OS、ミドルウェア、フレームワーク、ライブラリなどの脆弱性が日々発見されているのでその対策を行わなければいけません。
運用担当者は、脆弱性情報の収集を行い、定期的もしくは緊急でセキュリティパッチの適用を行う必要があります。そのためにはメンテナンスのためにシステムの停止を行わなければならず、関係者の調整、利用者への告知が必要です。
また、セキュリティパッチの適用により Web アプリケーションの挙動がおかしくなる可能性があるので、開発者は動作確認テストを行わなければいけません。
通常の運用をしていれば、このセキュリティパッチを適用する頻度は月に1回程度は発生するものと思われます。これは大変な負荷です。
また、セキュリティパッチが適切に適用されているか、Web アプリケーションの機能追加に脆弱性がないかを確認するために、定期的な脆弱性診断（ネットワーク、Web アプリケーション）も必要です。
Web アプリケーションは、リリースした時点から攻撃者による攻撃にさらされます。
その対策として、ネットワークレベルで IDS（侵入検知システム）や IPS（侵入防止システム）、アプリケーションレベルで WAF (Web Application Firewall) を導入すれば、かなり大きなコストがかかります。
ログの監視も重要です。ログの監視自体が大変ですが、サーバーの台数が増えてくればログの集約を行うことが必要になり、統合ログ管理製品の導入も必要になるかもしれません。統合ログ管理製品を導入すればそれなりにコストがかかります。
このように、Web アプリケーションをリリースした後に、Webアプリケーションを安全に運用することは大変です。作業が大変なだけではなく、かかるコストも大きいです。
まとめると、Web アプリケーションの構築は大変ですが、安全な運用はもっと大変と言えます。ですので、Web アプリケーションの運用コストをしっかりと認識して Web アプリケーションの構築に着手する必要があります。
運用コストが大きくなりすぎて、ビジネス的に損失の方が大きくなることが見込まれれば、Web アプリケーション自体を作らない・撤退するという選択肢もありだと個人的には思っています。
コメント