PPSecure、APIセキュリティ対策として詳細な権限管理を強調

red string lights on counter — Pratik Gupta / Unsplash

PPSecureは、アプリケーションインターフェース（API）の脆弱性に対する代替策として、アクセス権限と実際の作業行動を統合的に管理する詳細な制御体系の重要性を強調した。同社は、Webベースの業務環境全体でアクセス権限と作業内容を同時に管理すべきだと指摘している。

最近のAPI経由の個人情報漏洩事故では、ログイン状態のみを確認し、実際の情報照会権限を検証しないケースや、APIの応答値に不要な個人情報が含まれる問題が明らかになった。また、最新APIにセキュリティ対策を適用しても、旧バージョンのAPIが放置され、不正アクセスの経路として悪用される事例も報告されている。

APIはWeb、モバイルアプリ、クラウド環境を結ぶデータ経路であり、リクエスト形式が正しくてもアクセス権限を保証するものではない。呼び出し主体ごとの認可範囲、照会可能なデータ量、大量・繰り返し呼び出しの有無を検証する必要がある。個人情報保護委員会も、最小権限付与、大量呼び出しの遮断、不要な応答値の除外、未使用APIの整理を推奨している。

PPSecureのWebアクセス制御ソリューション「DBSAFER WAC」は、Web業務システムやクラウド管理コンソールへのアクセスを制御する。Web画面の録画や詳細な作業履歴の記録機能を提供し、接続者の行動を監視し、異常行動を事後監査資料として活用するのを支援する。データベースやサーバーのアクセス制御、アカウント管理と連携し、Web管理者画面の接続および作業履歴を統合管理できる。