Interface)*1について、情報セキュリティの一層の確保を図るため、このたび「APIセキュリティ診断」サービス(以下「本サービス」)を刷新し、提供内容を拡充します。デジタルビジネスを推進するにあたり、企業がAPIを利用して、自社のWebサービスの機能を外部に公開したり、他システムと連携させたりすることで、自社サービスの価値向上や提供範囲の拡大を図る動きが増えています。一方で、APIは従来のWebアプリケーションとは異なり、画面上の挙動だけではなく、背後で動くAPIの要素技術や仕組みを把握した上で、セキュリティ対策を行うことが求められます。APIを外部に公開する場合は、APIの利用を他者に認可するフローに不備があると、気づかないうちにセキュリティ上の問題が発生していることもあります。NRIセキュアは、2016年より本サービスを開始し、様々なシーンで利用されているAPIについて、セキュリティ診断と対策の実行を数多く支援してきました。そのため、APIで用いられる技術を実装レベルで熟知した技術者が、APIの利用例や連携先の外部サービスなど、案件ごとの特性を踏まえて、セキュリティ上の問題点を洗い出したり有効な対策を推奨したりすることが可能です。今回、API仕様書やシステム構成図を元に、机上で評価する「APIセキュリティ設計レビュー」を新たに加え、疑似攻撃を通じてセキュリティ上の問題点を洗い出す「APIセキュリティ診断」とあわせて、2つのメニューを用意しました。Connect」*3に、NRIセキュア独自の観点を加えた診断項目を基に評価します。「REST」*4、「GraphQL」*5といったAPI特有の仕様を採用している場合や、サーバレス*6及びマイクロサービス*7などの実行環境を用いる場合も、診断が可能です。API)*8で定められた要件に基づき、診断対象となるAPIのセキュリティプロファイルを評価する、「FAPIセキュリティプロファイル評価オプション」*9を提供します。本サービスの詳細は、下記のWebサイトからご覧いただけます。https://www.nri-secure.co.jp/service/assessment/apiNRIセキュアは、今後も企業・組織の情報セキュリティ対策を支援するさまざまな製品・サービスを提供し、社会における安全・安心なデジタルトランスフォーメーション(DX)の推進に貢献していきます。Interface):プログラムの特定の機能を、その他のプログラムでも利用できるようにしたもの。OAuth2.0:OAuthとは、Webサービスの連携において、外部からのデータやサービスに対するアクセスを、利用者の同意に基づいて認可するためのフレームワークであり、2.0が最新バージョン(2019年12月時点)。OAuthに対応したサービス間の連携では、利用者が外部サービスにIDやパスワードを漏らすことなく、必要最低限のアクセス権限のみを委譲することができる。Connect:Webサービスサイト間で、ユーザの同意に基づき、ID情報を流通させるための標準フレームワーク。Connect対応サイトにログインすることが可能となる。REST:外部から特定のプログラムを呼び出す際に使われる、APIの規格の一つ。GraphQL:サーバからデータを取り出すためのAPI用言語。サーバレス:クラウドサービスを利用しているシステムにおいて、クラウド事業者が、事前にサーバリソースを割り当てることなく、任意のイベントをトリガーにリソースを割り当て、コード実行を行うこと。マイクロサービス:アプリケーションをサービスや機能などで細かく分割して開発する手法のこと。Groupにより検討されている金融機関向けのAPI要件のこと。Foundationが推進していることもあり、今後の金融業界におけるAPIのセキュリティ要件のスタンダードとなる可能性が高い。金融機関は、自社のAPIにFAPIの要求仕様を採り入れることで、より高度なセキュリティを確保できるとともに、金融業界のAPIエコシステムに適合しやすい仕様になることが期待できる。Flow)を利用したプロファイルの評価にも対応している。