La Japan Medical Abstracts Society rationalise sa sécurité avec F5

La Japan Medical Abstracts Society (JAMAS) gère une base de données d’environ 17 millions de références, qu’elle met à disposition par l’intermédiaire de son service de recherche payant, Ichushi-Web. Afin de renforcer la robustesse et la résilience de sa sécurité, l’organisation a déployé F5 Distributed Cloud WAAP pour bénéficier d’une protection unifiée et efficace.

Défi commercial

La Japan Medical Abstracts Society (JAMAS) est une organisation à but non lucratif dont la mission est de contribuer à la diffusion de l’information médicale. Fondée en 1903, pendant l’ère Meiji, la JAMAS collecte et indexe sans interruption depuis plus de 120 ans les articles médicaux publiés au Japon. Elle a constitué une base de données d’informations secondaires comprenant environ 17 millions de références et traite les métadonnées — telles que les titres, les noms de revues et les noms d’auteurs — plutôt que le texte intégral des articles eux-mêmes. L’un de ses principaux atouts est son thésaurus japonais exclusif, élaboré en conformité avec les Medical Subject Headings (MeSH) de la National Library of Medicine des États-Unis. Il permet d’attribuer des mots-clés pertinents à chaque article et d’effectuer ainsi des recherches très précises fondées sur des termes normalisés plutôt que sur une simple correspondance textuelle.

L’organisation propose une large gamme de services, notamment Ichushi-Web (un service de recherche payant destiné aux établissements), Ichushi Personal-Web pour les particuliers, Ichushi Web API (qui permet l’intégration avec d’autres systèmes), ainsi que la fourniture de données de recherche et de thésaurus. Ichushi-Web a été adopté par la quasi-totalité des universités japonaises spécialisées en médecine, pharmacie, soins infirmiers et odontologie. Comptant parmi les plus grandes plateformes japonaises de recherche de littérature médicale, le service enregistre jusqu’à 25 000 accès lors des journées de forte affluence. Le maintien de la fiabilité et de la sécurité du service nécessite des contrôles de sécurité réguliers.

Ippeita Toyoshima, responsable de la division des services de contenu chez JAMAS, explique : « Bien que nous n’ayons pas subi de faille de sécurité majeure, la sophistication croissante des cybermenaces nous a incités à repenser notre stratégie. Notre configuration précédente, qui consistait à exécuter des WAF open source sur chaque serveur frontal, rendait la gestion centralisée de la sécurité quasiment impossible. Il nous est clairement apparu nécessaire de migrer vers une infrastructure unifiée et plus robuste. »

En outre, les WAF open source de l’organisation posaient des problèmes de faux positifs. Chaque fois qu’un faux positif se produisait — par exemple lorsqu’un utilisateur se connectait via un proxy —, l’organisation devait demander au prestataire chargé de la gestion du système de modifier la configuration. « Nous voulions pouvoir gérer nos paramètres en interne afin de réagir beaucoup plus rapidement », explique Toyoshima.

S’appuyer sur des solutions open source signifiait également assumer l’intégralité des risques, une lourde charge pour une équipe qui cherchait à internaliser ses opérations. « Les efforts nécessaires pour ajuster et mettre à jour constamment les règles sont considérables », souligne Toyoshima. « Pour une petite équipe comme la nôtre, cela pouvait facilement conduire à négliger certaines vulnérabilités. Notre configuration WAF existante avait fondamentalement atteint ses limites. »

Solutions

Le tournant dans leur recherche d’une nouvelle stratégie de sécurité s’est produit lorsqu’ils ont découvert F5 Distributed Cloud Web Application and API Protection (WAAP). Afin d’évaluer concrètement cette technologie, Toyoshima et Takumi Watanabe, responsable de la planification et du développement au sein de la division Bases de données, ont participé en mai 2025 à un atelier pratique F5 Academy consacré aux SecOps. Impressionnée par les capacités de la plateforme F5 Distributed Cloud, l’équipe a mené une preuve de concept (PoC) complète de juillet à septembre 2025. Celle-ci a abouti à la décision d’adopter le service en octobre.

JAMAS utilisant F5 BIG-IP Local Traffic Manager (LTM) pour la répartition de charge du trafic depuis près de dix ans, l’entreprise accordait une grande importance à la solide expérience de F5. « BIG-IP LTM offre des performances stables et n’a connu aucune défaillance à ce jour, ce qui nous inspire une grande confiance dans les produits F5 », explique Toyoshima. « En outre, l’interface utilisateur et la terminologie technique présentent de fortes similitudes avec celles de la solution WAAP. Notre équipe s’étant familiarisée avec l’écosystème F5 au fil de nombreuses années d’exploitation, nous savions que cette expérience faciliterait la prise en main lors de notre transition vers un modèle d’exploitation en interne. »

Le facteur décisif a toutefois été les capacités de sécurité de F5 Distributed Cloud Services, qui surpassaient largement celles des pare-feu d’applications web (WAF) existants de l’organisation. La solution SaaS fournie par F5 Distributed Cloud WAAP offre une sécurité multicouche qui va bien au-delà de celle d’un WAF traditionnel, en intégrant une protection contre les attaques DDoS et les bots, ainsi qu’une protection des API. « Ce sont des exigences essentielles pour l’avenir de notre organisation », explique Toyoshima. « De plus, les fonctionnalités d’analyse des applications web nous permettent de réaliser facilement et de manière autonome des évaluations de vulnérabilité. Cette approche globale de la défense proactive a rendu la solution F5 Distributed Cloud WAAP extrêmement convaincante. »

La capacité à gérer les faux positifs a également été un facteur décisif. Alors que les autres services évalués par JAMAS risquaient d’écraser les paramètres d’exception personnalisés lors des mises à jour standard des règles WAF, Distributed Cloud WAAP a permis d’écarter ce risque. Sa stabilité architecturale garantit que les politiques de sécurité personnalisées restent intactes, même lorsque les définitions globales des menaces sont mises à jour.

« Compte tenu de notre objectif d’éliminer les tâches administratives redondantes, cette attention particulière portée aux détails opérationnels a permis à F5 Distributed Cloud WAAP de se démarquer lors de notre évaluation », explique Toyoshima.

Résultats

La formation pratique favorise une adoption fluide de la solution WAAP

JAMAS a intégré en toute transparence la solution WAAP nouvellement déployée. Cette adoption fluide s’explique en grande partie par l’atelier pratique auquel l’équipe a participé avant la mise en œuvre. Watanabe, qui supervise l’utilisation de la plateforme WAAP au sein de l’organisation, explique : « Issu d’une formation en sciences humaines plutôt que d’un cursus classique en sécurité, j’ai trouvé cet atelier pratique extrêmement précieux. Il est allé bien au-delà des mécanismes opérationnels de base en apportant des fondements structurés sur les principes essentiels de la sécurité. Il s’agit d’une ressource d’une valeur exceptionnelle pour tout administrateur amené à gérer Distributed Cloud WAAP pour la première fois. »

La visibilité optimisée par l’IA transforme l’analyse de la sécurité

L’équipe JAMAS a été particulièrement impressionnée par les capacités de l’assistant IA F5 WAAP, un outil en langage naturel intégré à la console Distributed Cloud. Watanabe explique : « Par exemple, lorsque je saisis les journaux de requêtes des dernières 24 heures, l’assistant IA agrège et visualise automatiquement les données par adresse IP et origine géographique. Cette fonctionnalité m’a immédiatement permis de repérer des schémas de trafic inhabituels provenant de régions inconnues. Comme F5 AI Assistant indique précisément les anomalies à rechercher, j’ai acquis une immense confiance dans la gestion de nos opérations de sécurité quotidiennes, malgré mon expérience préalable limitée. »

La facilité d’utilisation et la flexibilité contribuent à optimiser les ressources

Toyoshima cite la possibilité de passer du mode blocage au mode surveillance à l’aide d’un simple menu déroulant comme un parfait exemple de la facilité d’utilisation de la solution. « La possibilité de mettre rapidement en œuvre les processus opérationnels souhaités grâce à des modifications de configuration flexibles est extrêmement avantageuse », souligne-t-il.

En abandonnant son ancien WAF open source, qui tardait souvent à atténuer les nouvelles vulnérabilités, Toyoshima prévoyait de réduire considérablement le temps et les ressources jusque-là consacrés aux inspections de sécurité et à la surveillance manuelles. Depuis, JAMAS a progressivement avancé dans le déploiement à grande échelle de Distributed Cloud WAAP. Cette solution permet de gérer facilement les opérations en interne, sans nécessiter d’expertise spécialisée en sécurité ni de long apprentissage. Elle apporte une valeur continue et durable à JAMAS en intégrant une sécurité robuste et automatisée directement aux principaux services de base de données de l’organisation, notamment Ichushi-Web.