センター側で運用するWAFシステムは、現状ではユーザー企業ごとに個別に用意される。よって、設定も他のユーザー企業の動向に左右されることなく、自社独自の設定ができる。

　具体的には、WAFの中核となるセキュリティポリシーやシグネチャの設定を自社の状況に合ったものに調整できる。もちろん、この調整もユーザー企業が自ら行うのではなく、セキュアスカイ・テクノロジー側で代行してくれる。導入開始直後から1カ月程度はモニターのみの運用とし、モニター結果を踏まえて正常通信をブロックしてしまうような誤検知がないことを確認。必要に応じて設定を変更した上で本番運用を開始するという流れになる。

　また、運用中は随時シグネチャのアップデートなどの作業が発生するが、これも全てセキュアスカイ・テクノロジー側で行うので、ユーザー企業は何も気にしなくてよい。この手軽さがScutumの最大の特徴といえるだろう。

　手軽さを実現する上でのもう1つの重要なポイントが価格設定だ。Scutumの利用価格はネットワークの回線帯域に応じて設定されている。最低設定はピーク時のトラフィックが500kbps以下の場合で、月額2万9800円。ピーク時が500kbps以上5Mbps未満の場合は5万9800円。5Mbps以上10Mbps未満なら12万9800円となっている。いずれも、初期費用は9万8000円だ。

　従来はこの3レベルの価格設定で提供されていたが、2011年4月からより大規模な構成のサポートも開始された。初期費用19万8000円で、50Mbps未満のトラフィックで月額14万8000円。100Mbps未満のトラフィックで月額19万8000円。さらに100Mbpsを超えるトラフィックにも個別見積もりで対応可能となっている。新サービスでは、運用可能ホスト数も従来の1FQDN（ドメイン名）から10FQDNに増加しており、構成の自由度が大幅に高まっている。加えて、1カ月間無料でテスト利用することもできるので、導入決定前に問題がないかどうか確認してから導入に踏み切れるという点も導入の際の安心感につながるだろう。

クラウド時代に求められるWAF

　WAFの導入を考える際、広帯域回線をフルに使い切るような大規模サイトを十分な予算を確保した上で立ち上げる場合には、あらかじめWAFの予算も組み込んでおくことが可能だろう。一方、比較的小規模に運用してきたWebサイトのセキュリティを強化したい場合には、新たにアプライアンス型のWAFを導入する負担は相対的に大きく見えてしまう。初期導入コストに加えて、設定や運用にも相応の知識や技術力が必要だとなればなおさらだ。

　ScutumのようなSaaS型のWAFなら、必要なときにすぐに使え、Webサイトへのアクセスの変動に応じて規模の拡大／縮小も柔軟に対応できる。しかも、利用規模に応じて支払うことになるため無駄がない。Webサイトの成長を見越して大規模なアプライアンスを導入したがアクセスが伸び悩んでいるため処理能力が余っている、といった状況も回避できるわけだ。Scutumの最低契約期間は1カ月となっているため、キャンペーンサイトなど、期間限定で運用するWebサーバを保護するために利用することも考えられるだろう。

セキュアスカイ・テクノロジー 営業企画部 部長 大木 元氏

　同社営業企画部 部長 大木 元氏によると、実際に、Scutumを導入したユーザー企業の中には、アプライアンス型のWAFを検討していたが運用管理負担の大きさからSaaS型に変更したユーザーが多いという。また、アプライアンス型のWAFを利用していたが、保守契約の満了を機に切り替えたというユーザー事例もあるという。WAFの必要性を認識しているユーザー企業にとっても、運用管理負担の大きさが課題となっていることが浮かび上がる。

　ITシステム全般の運用コスト削減を目的にクラウドの利用が拡大しつつある中で、IaaS（Infrastructure as a Service）やPaaS（Platform as a Service）といったクラウドサービスでは、自社で購入したアプライアンス型WAFをクラウド環境内に設置するわけにはいかない例が大半だ。このため、Webサイトをクラウドに移すことはできても、WAFは置いてきぼりになってしまう。SaaS型WAFなら、Webサーバが自社内にあろうが外部のデータセンターにあろうが、クラウドサービス上の仮想サーバであろうが、全く問題なく利用できる。この点も、SaaS型WAFの大きなメリットとなってくる。

　Scutumは、自社データセンター内で物理アプライアンスを冗長構成で運用するという形態を基本にしている。一方でクラウド環境を利用するユーザーのために、クラウド環境内部に仮想アプライアンスという形でWAFを設置し、これをSaaS型で提供するという取り組みも開始しているという。クラウドの活用を考えているユーザーにとっては、こうした対応も見逃せないところだろう。

　Scutumは、セキュアスカイ・テクノロジーが自社で提供する以外にも、ISPなどの事業者がOEM提供する形でも広く採用されている。正式サービス開始は2009年6月で、比較的最近のことではあるが、市場での支持を獲得した信頼されるサービスに育っているといえる。同社では、今後クラウド環境を利用して複数データセンター間でバックアップ構成を取ることなども検討しているという。SaaS型の特性を生かして、急成長中のクラウドインフラをうまく活用したサービスが今後登場してくることにも期待が持てる。