Хотя low-code платформы могут быть более безопасными, чем традиционная разработка приложений, риски все еще существуют. Вот как их преодолеть.
Все больше компаний, чем когда-либо, обращаются к low-code платформам, чтобы ускорить разработку приложений и снизить нагрузку на ИТ-персонал. Эти платформы, оснащенные графическим пользовательским интерфейсом и предназначенные для более простого использования, чем традиционные методы разработки, быстро развиваются. По данным Gartner, к 2024 году более 65 % деятельности по разработке приложений будет осуществляться с использованием low-code сред.
Если все сделано правильно, low-code платформы на самом деле могут быть более безопасными, чем традиционная разработка приложений, потому что сама платформа помогает всему процессу разработки следовать принципу “Shift Left”. Это особенно хорошо работает, когда ИТ-отдел поддерживает контроль над low-code платформой, внедряя правильную политику и обеспечивая ее соблюдение.
“Это самый низкий риск для предприятия, потому что это самый прозрачный, наиболее управляемый и контролируемый способ разработки приложений”, - сказал Майкл Бекли, исполняющий обязанности технического директора Appian. “Любая приличная low-code платформа предоставит вам централизованный контроль над тем, кто может получить доступ к приложениям, автоматизации и данным под ними”.
Растущий риск ‘Гражданского застройщика" Хотя это важный шаг на пути к безопасности, существует множество предостережений для реального достижения высокого уровня безопасности и управления. Это связано с тем, что, хотя ИТ-специалисты хорошо используют low-code платформы, наибольший рост наблюдается среди “гражданских разработчиков” — сотрудников за пределами ИТ-отдела, которые создают приложения для других или для себя. По данным Gartner, более 40 % компаний реализуют инициативы по развитию активных граждан, и многие другие либо оценивают, либо планируют их начать.
Хотя расширение прав и возможностей гражданских разработчиков отлично подходит для повышения производительности, это может значительно усложнить безопасность и управление. Разработчики за пределами ИТ-отдела с гораздо большей вероятностью “выйдут из-под контроля”, создавая часть своих приложений за пределами собственного инструментария low-code платформы. Это может привести к фактическому ослаблению общей безопасности приложения.
“Когда есть много свободы, также должно быть много контроля, а это означает хорошее управление”, - сказал Энди Довган, директор по развитию Creatio. “Это тонкая грань, потому что они могут рассматривать управление как лишение их свободы, но в зрелых демократиях вы знаете, где применять управление”.
Ключ, по его словам, в том, чтобы предоставить как можно больше свободы, если только она не натыкается на границу, которая может привести к риску. Это относится ко всему на этом пути, от управления данными до подключения к другим бизнес-процессам. Это требует наличия правильных ограничений безопасности, встроенных в платформу — ограничений, которые побуждают ИТ-персонал соответствующим образом настраивать разрешения безопасности для всех объектов.
Еще одной полезной функцией является встроенная система проверки работоспособности, которую можно настроить для автоматической проверки общего состояния платформы и выявления любых неправильно настроенных или потерянных объектов перед развертыванием.
Свобода с ограничениями Чтобы обеспечить безопасность для всех типов пользователей, убедитесь, что установлены правильные процессы и протоколы. Это включает в себя обучение и сертификацию гражданских разработчиков, проведение обычного тестирования и проверок приложений, а также использование политик разрешений для определения того, какие действия могут выполнять конкретные пользователи и к каким данным они могут получить доступ. “Доступ на основе ролей должен быть максимально детализированным. Это особенно важно сегодня, с повсеместным распространением API и данных”, - сказал Маюр Шах, старший директор по управлению продуктами в WaveMaker.
Вероятно, наиболее важным способом использования политики безопасности является обеспечение того, чтобы все, кто работает над приложением — ИТ—специалисты или гражданские разработчики - проходили через low-code платформу. Должна быть действительно веская причина для выхода за рамки, сказал Бекли.
Но даже при правильной low-code платформе и всеобъемлющих протоколах и процедурах истинная безопасность может быть недостижимой. Вот несколько причин, почему и как их преодолеть.
Отсутствие прозрачности Проблема: С таким количеством поваров на кухне может быть трудно следить за тем, что строится, какие ресурсы используются и соблюдаются ли приемлемые процессы.
Решение: Одно из решений требует, чтобы гражданские разработчики создавали то, что они хотят, в изолированной среде, получая доступ только к ресурсам, доступным в этой изолированной среде. Также важно реализовать детальные элементы управления для просмотра, редактирования и обмена данными. Сама low-code платформа может иметь значение. По словам Бекли, виртуальный уровень данных в low-code платформе может обеспечить контроль безопасности, необходимый для обеспечения того, чтобы только соответствующие люди могли получить доступ к системе. “Использование виртуального уровня данных в low-code платформе обеспечивает контроль безопасности, гарантирующий, что только нужные люди могут получить доступ к системе”, - отметил он. Качественные low-code платформы также оснащены множеством других встроенных проверок соответствия требованиям безопасности, таких как PCI (для оплаты), HIPAA (здравоохранение) и FedRAMP (правительство).
Еще один способ повысить прозрачность заключается в том, чтобы централизованные ИТ-службы управляли внедрением и настройкой платформы, а также тем, какие артефакты доступны для использования каждой группой. Это делает все более управляемым и позволяет всем безопасно обмениваться информацией и сотрудничать, добавил Шах.
Проблемы бизнес-логики, которые могут привести к раскрытию данных Проблема: Хотя low-code платформы включают средства управления доступом и разрешения, они должны быть правильно настроены разработчиками для создания безопасных приложений. Но разработчики — особенно гражданские разработчики — все еще могут принимать решения, которые могут поставить под угрозу безопасность. Например, разработчик может непреднамеренно разрешить размещение конфиденциальных данных в общедоступном месте.
Решение: Наличие управляемой среды с возможностью автоматического определения того, где данные подвергаются воздействию и где средства контроля безопасности не применяются должным образом, имеет жизненно важное значение. Благодаря этим возможностям команды разработчиков получают более частые рекомендации на ранних этапах процесса, что позволяет им лучше управлять проверками кода и избегать проблем бизнес-логики, которые могут привести к раскрытию данных.
Уязвимости через сторонние интеграции
Проблема: Отчет Verizon о расследовании нарушений данных за 2020 год показал, что 43 % всех нарушений связаны с уязвимостью на уровне приложений. Это связано с тем, что риски безопасности возрастают по мере интеграции разработчиков с внешними базами данных, приложениями, облачными сервисами и другими ресурсами. Low-code платформы не всегда изначально поддерживают эти интеграции, что означает, что они не могут справиться с угрозами безопасности, возникающими из-за этих интеграций, сказала Сэнди Кариелли, главный аналитик Forrester, в отчете.
Решение: По этим причинам лучше всего развертывать в той же среде, что и low-code платформа, сказала Кариелли. Она рекомендует создавать необходимые функции с использованием low-code платформы, а не использовать стороннюю интеграцию, когда это возможно, часто путем создания собственных API-интерфейсов внутри платформы.
Другие уязвимости
Существует множество других уязвимостей, которые могут проявиться даже в средах low-code разработки. Например, приложения, разработанные в low-code средах, часто используют собственные языки, библиотеки, фреймворки и программное обеспечение.
Хотя защита low-code платформы может помочь, также полезно убедиться, что выбранная вами low-code платформа имеет надежный набор компонентов пользовательского интерфейса, чтобы разработчикам не приходилось создавать свои собственные, проверять собственные библиотеки на предмет потенциальных рисков, тестировать API, с которыми взаимодействуют приложения, с помощью сканера API, изолировать приложения и запускать их в контейнерах. Наконец, найдите виртуальный уровень данных, который обеспечивает соблюдение политик управления данными, а также политик безопасности, защищающих прямой доступ к базовым источникам данных.
Все эти уязвимости также должны быть устранены с помощью стороннего аудита безопасности. Это может принимать форму автоматизированных инструментов тестирования, таких как ZAP от OWASP (прокси-сервер атаки Zed), которые могут находить уязвимости в веб-приложениях на этапах разработки и тестирования. Другие полезные инструменты включают SonarQube и w3af.
Несмотря на необходимую осторожность, low-code все еще остается верным путем Существует множество причин для использования low-code платформ, но получение максимальной отдачи без ущерба для безопасности требует изменения мышления и подхода. То же самое было верно и при переходе от потоковых подходов к гибкому управлению проектами — это потребовало изменений в языке, а также в способе развертывания команд, настройки контрактов и развертывания технологий.
Low-code также лучше всего работает при полном сотрудничестве между гражданскими и профессиональными разработчиками. Это требует не только выбора правильных людей в качестве гражданских разработчиков и их обучения, но и подбора правильных руководящих принципов.
“Речь идет о том, чтобы убедиться, что [гражданские разработчики] понимают потенциальные риски, связанные с нарушениями безопасности, а также правильно обучают и сертифицируют их”, - сказал Довгань. “Это приводит к лучшему согласованию между ИТ и бизнес-организациями и может действительно улучшить безопасность и управление”.
Наконец, в low-code средах нет ничего “установите и забудьте”. Они требуют постоянных проверок безопасности, потому что все может измениться и действительно меняется.
“Часто, как только система развернута, группы безопасности проверяют ее не чаще одного раза в год”, - сказал Довгань. “Но с low-code, который движется так быстро, вам нужен более частый контроль — по крайней мере, один раз в квартал. Вы можете оказаться в совершенно иной ситуации через несколько месяцев, потому что ваши гражданские разработчики уже создали несколько приложений, некоторые из которых могут иметь проблемы с безопасностью”.
Источник: https://www.itprotoday.com/application-security/app-development-staying-secure-using-low-code-platforms