Líder do setor de seguros preenche lacuna importante na segurança de APIs

Fundada em Israel em 1978, a Clal Insurance and Finance é uma empresa líder em seguros e poupança de longo prazo, supervisionando ativos que totalizam 332 bilhões* NIS (US$ 90,87 bilhões). Por meio de três divisões distintas, ela fornece diversos serviços e produtos para clientes corporativos e privados. Aproximadamente 4.400 funcionários da Clal trabalham em colaboração com 3.700 agentes de seguros, todos dedicados a fornecer serviços de qualidade e suporte profissional aos clientes.

A empresa está impulsionando uma transformação digital baseada em APIs, que está promovendo uma inovação perfeita e uma vantagem inovadora na troca de dados com parceiros de negócios, outras empresas de tecnologia financeira e clientes. No entanto, esse ecossistema de APIs também introduz um novo canal para possíveis ameaças, o que é um problema particularmente urgente em Israel, uma nação que é frequentemente alvo de ataques cibernéticos. Ao implantar o Akamai API Security, a Clal Insurance and Finance alcançou três metas:

1. Detecção e inventário automatizados de todas as APIs
2. Processo de correção automatizado
3. Melhor postura de segurança de APIs

A Clal costumava proteger seus sites com o gerenciador de tráfego, a solução de gerenciamento de eventos e informações de segurança e o firewall de apps da Web de outra empresa. Mas essas medidas de segurança ficaram aquém com relação ao inventário de APIs vital e de longo alcance da empresa.

O ecossistema da Clal potencializa inovações como o Clal Express, um serviço da Web que permite que os clientes evitem custos elevados, um serviço que a empresa queria gerenciar e proteger à medida que as APIs proliferaram em toda a organização.

Quando a COVID-19 chegou, a Clal implantou uma solução de gateway de APIs para centralizar o ecossistema de APIs que tinha começado a construir. "Foi quando percebi que não tínhamos uma visão clara das mais de 600 APIs expostas por meio de nossos sites, e milhares por toda a empresa", explica Haim Inger, CTO da Clal. 

Embora o gateway de APIs forneça insights parciais sobre o ambiente de APIs, ele não é uma solução de segurança. Na verdade, as empresas que usam um gateway de APIs devem protegê-lo. "À medida que começamos a procurar soluções para proteger nosso gateway de APIs, vi a lacuna entre onde estávamos e onde queríamos estar com a segurança de APIs," continua Inger.

Buscando mais visibilidade sobre seu portfólio de APIs e a capacidade de detectar quaisquer ameaças ou violações em suas APIs, Inger e sua equipe de segurança avaliaram soluções. Além de fornecer a capacidade de verificar anomalias em transações e de minimizar alterações de regras para explicar o comportamento de APIs, a solução precisava ser fácil de implantar.

Após avaliar três soluções, Inger escolheu o Akamai API Security baseado em nuvem. "Eu esperava que a implantação fosse levar meses, mas, para o meu espanto, nós a integramos com F5, Splunk e todas as nossas APIs em apenas quatro dias", diz Inger.

Imediatamente após a implantação do API Security, a Clal percebeu seu valor. Ao contrário das soluções que exigiriam que a equipe de segurança da Clal analisasse cada API e criasse regras que promovessem apenas o comportamento desejado, a solução da Akamai realiza o inventário e a avaliação automáticos do ecossistema de APIs da Clal.

"Não precisamos fazer nada para entender o que está acontecendo com nossas APIs. Depois de ingerir dados tokenizados sobre nossas APIs, a solução da Akamai forneceu automaticamente insights sobre o que precisava ser corrigido e como efetuar as correções", explica Inger.

Desde a realização do inventário inicial e da análise das APIs da Clal, o Akamai API Security faz o inventário e analisa continuamente o ecossistema. "O processo de detecção é muito importante, porque fornece uma visão contínua de quais APIs estão sendo usadas e de como, e nos permite fechar as APIs que não estão mais em uso", diz Inger.

A solução da Akamai também apresenta e relata continuamente vulnerabilidades e anomalias por meio de uma auditoria de risco e uma análise comportamental. Os exemplos incluem dados de cartão de crédito sendo transferidos de maneira não segura dentro de uma API, ou um parceiro fintech usando uma API de forma não sancionada. Em todos os cenários, o API Security ajuda a Clal a garantir que nenhuma de suas APIs seja um vetor de ataque.

Inger e sua equipe também gostaram da capacidade de combinar a solução com o API Security ShadowHunt, um serviço gerenciado de busca de ameaças que conta com analistas da Akamai qualificados em busca de ameaças contra APIs. 

"Somos alertados, por exemplo, sobre padrões incomuns em como ou com que frequência nossas APIs são acessadas. Essas notificações nos permitem corrigir imediatamente quaisquer vulnerabilidades e impedir que os dados de nossos clientes sejam acessados e comprometidos", diz Inger.

Uma visão precisa do ecossistema de APIs e notificações instantâneas sobre possíveis problemas não só ajudam a fortalecer a postura de segurança de Clal, como também ajudam a fortalecer parcerias e garantir negócios ininterruptos. "Antes, simplesmente encerraríamos nossa linha de negócios com um parceiro fintech que foi atacado. Agora podemos resolver a vulnerabilidade da API e manter nossas parcerias importantes", explica Inger.

Agora, em seu segundo ano de adoção do API Security e do ShadowHunt,  Inger e sua equipe estão satisfeitos. "A solução e o serviço entregam conforme prometido. Além disso, como a API Security é baseada em nuvem, não precisamos mantê-la ou atualizá-la", continua Inger.

Além disso, a visão de 360 graus que a Akamai oferece nos ambientes de desenvolvimento e de produção da Clal, juntamente com alertas de segurança, é inestimável. "A Akamai nos ajuda a garantir a postura de segurança mais forte possível em nosso ambiente de APIs", conclui Inger. 

A Clal Holdings é uma holding cujas participações são principalmente a Clal Insurance and Finance e a empresa de cartões de crédito MAX. As ações da Clal Insurance Enterprises Holdings são detidas pelo público, sem núcleo acionista controlador, e são negociadas na Bolsa de valores de Tel Aviv. A Alrov Real Estate and Hotels Ltd. detém 14,1% das ações da empresa, enquanto o Phoenix Group detém 7,0%, o Harel Group detém 6,6%, e o Sr. Shalom Shai (Dona Engineering & Construction Co. Ltd.) detém 5,1%. Em termos de prêmios brutos recebidos, a participação de mercado do Grupo é de 15% do mercado de seguros (em 2022), e o volume de ativos que gerencia ultrapassa 332 bilhões NIS (dados de setembro de 2023). Em março de 2023, a Clal adquiriu a Max da Warburg Pincus, um fundo de investimento dos EUA e seus parceiros. O Clal Group opera em diversas áreas de seguro e de poupança de longo prazo, como pensão, fundos de previdência e de formação avançada, seguro geral, como carro e casa, seguro de saúde e cartões de crédito. Além disso, o Grupo tem uma atividade exclusiva entre companhias de seguro em hipotecas e seguro de crédito. Desde 2023, o Grupo também atua no setor de cartões de crédito. O Grupo Clal é proprietário de agências de seguro, fundos de pensão, fundos de previdência, fundos de formação e uma companhia de seguro de crédito. Segundo dados de dezembro de 2022, o Grupo tem 4.403 funcionários na Clal Insurance and Finance e nas agências de seguros e 1.337 funcionários na Max. Sendo assim, isso coloca a Clal como um dos principais grupos de seguros e poupança de longo prazo de Israel.