Die Überwindung der Top-Sicherheitsherausforderungen bei der AI-getriebenen Low-Code/No-Code-Entwicklung

Low-Code-Entwicklungsplattformen haben die Art und Weise, wie Menschen benutzerdefinierte Geschäftslösungen erstellen, einschließlich Apps, Workflows und Copiloten, verändert. Diese Tools ermöglichen es Citizen-Entwicklern und schaffen eine agilere Umgebung für die App-Entwicklung. Die Hinzufügung von KI zu dieser Mischung hat diese Fähigkeit nur noch verstärkt. Die Tatsache, dass es nicht genügend Menschen in einer Organisation gibt, die die notwendigen Fähigkeiten (und Zeit) haben, um die erforderliche Anzahl an Apps, Automatisierungen usw. zu erstellen, um die Innovation voranzutreiben, hat zum Low-Code/No-Code-Paradigma geführt. Jetzt können Citizen-Entwickler ohne formale technische Ausbildung benutzerfreundliche Plattformen und generative KI nutzen, um AI-getriebene Lösungen zu erstellen, zu innovieren und zu bereitstellen.

Aber wie sicher ist diese Praxis? Die Realität ist, dass sie eine Vielzahl neuer Risiken mit sich bringt. Hier ist die gute Nachricht: Sie müssen nicht zwischen Sicherheit und der Effizienz wählen, die die geschäftliche Innovation bietet.

Ein Schritt jenseits des traditionellen Aufgabenbereichs

IT- und Sicherheitsteams sind es gewohnt, ihre Bemühungen auf das Scannen und die Suche nach Schwachstellen im Code zu konzentrieren. Sie haben sich darauf konzentriert, sicherzustellen, dass Entwickler sichere Software erstellen, die Software sicher ist und dann – sobald sie in Produktion ist – auf Abweichungen oder verdächtige Aktivitäten überwachen.

Mit dem Aufkommen von Low-Code und No-Code bauen mehr Menschen als je zuvor Anwendungen und nutzen Automatisierung, um Anwendungen zu erstellen – außerhalb des traditionellen Entwicklungsprozesses. Diese sind oft Mitarbeiter mit wenig oder keiner Software-Entwicklungs-Erfahrung, und diese Anwendungen werden außerhalb des Sicherheitsbereichs erstellt.

Dies schafft eine Situation, in der IT nicht mehr alles für die Organisation baut, und das Sicherheitsteam fehlt die Sichtbarkeit. In einer großen Organisation können Sie vielleicht einige hundert Apps pro Jahr durch professionelle Entwicklung erstellen; mit Low-Code/No-Code können Sie viel mehr als das erstellen. Das ist eine Vielzahl von potenziellen Apps, die unbeachtet oder unüberwacht von Sicherheitsteams bleiben können.

Ein Reichtum an neuen Risiken

 Einige der potenziellen Sicherheitsbedenken im Zusammenhang mit Low-Code/No-Code-Entwicklung umfassen:

1. Nicht im Aufgabenbereich von IT – wie bereits erwähnt, arbeiten Citizen-Entwickler außerhalb der Linien von IT-Professionals, was zu einem Mangel an Sichtbarkeit und Schatten-App-Entwicklung führt. Darüber hinaus ermöglichen diese Tools es einer unendlichen Anzahl von Menschen, Apps und Automatisierungen schnell mit nur wenigen Klicks zu erstellen. Das bedeutet, dass es eine unüberschaubare Anzahl von Apps gibt, die mit atemberaubender Geschwindigkeit von einer unüberschaubaren Anzahl von Menschen erstellt werden, ohne dass IT das vollständige Bild hat.
2. Kein Software-Entwicklungslebenszyklus (SDLC) – Die Entwicklung von Software auf diese Weise bedeutet, dass es keinen SDLC gibt, was zu Inkonsistenzen, Verwirrung und mangelnder Rechenschaftspflicht sowie Risiken führen kann.
3. Unerfahrene Entwickler – Diese Apps werden oft von Menschen mit weniger technischen Fähigkeiten und Erfahrungen erstellt, was zu Fehlern und Sicherheitsbedrohungen führen kann. Sie denken nicht unbedingt an die Sicherheits- oder Entwicklungsfolgen in der gleichen Weise, wie ein professioneller Entwickler oder jemand mit mehr technischer Erfahrung. Und wenn in einem bestimmten Komponenten, der in einer großen Anzahl von Apps eingebettet ist, eine Schwachstelle gefunden wird, kann sie in mehreren Instanzen ausgenutzt werden
4. Schlechte Identitätspraktiken – Die Identitätsverwaltung kann auch ein Problem darstellen. Wenn Sie einen Geschäftsanwender in die Lage versetzen möchten, eine Anwendung zu erstellen, kann das erste, was ihn behindert, ein Mangel an Berechtigungen sein. Oft kann dies umgangen werden, und was passiert, ist, dass ein Benutzer die Identität eines anderen verwendet. In diesem Fall gibt es keine Möglichkeit, festzustellen, ob er etwas falsch gemacht hat. Wenn er auf etwas zugreift, das er nicht darf, oder wenn er versucht, etwas Schädliches zu tun, wird die Sicherheit nach der Identität des geliehenen Benutzers suchen, da es keine Möglichkeit gibt, zwischen den beiden zu unterscheiden.
5. Kein Code zum Scannen – Dies verursacht einen Mangel an Transparenz, der die Fehlersuche, die Fehlersuche und die Sicherheitsanalyse sowie mögliche Compliance- und Regulierungsprobleme behindern kann.

Diese Risiken können alle zu potenziellen Datenlecks beitragen. Egal, wie eine Anwendung erstellt wird – ob mit Drag-and-Drop, einem textbasierten Prompt oder mit Code – sie hat eine Identität, sie hat Zugriff auf Daten, sie kann Operationen ausführen und sie muss mit Benutzern kommunizieren. Daten werden bewegt, oft zwischen verschiedenen Orten in der Organisation; dies kann leicht Daten-Grenzen oder -Barrieren durchbrechen.

Die Daten-Privatsphäre und die Einhaltung von Vorschriften sind auch auf dem Spiel. Sensitive Daten leben in diesen Anwendungen, aber sie werden von Geschäftsanwendern gehandhabt, die nicht wissen, wie (oder sogar daran denken) sie ordnungsgemäß zu speichern. Das kann zu einer Vielzahl von zusätzlichen Problemen führen, einschließlich Verstößen gegen Vorschriften.

Die Wiedererlangung der Sichtbarkeit

Wie bereits erwähnt, besteht eine der großen Herausforderungen bei Low-Code/No-Code, dass es nicht im Aufgabenbereich von IT/Sicherheit liegt, was bedeutet, dass Daten durch Apps verlaufen. Es gibt nicht immer ein klares Verständnis davon, wer diese Apps wirklich erstellt, und es gibt einen allgemeinen Mangel an Sichtbarkeit in das, was wirklich passiert. Und nicht jede Organisation ist sich sogar bewusst, was passiert. Oder sie denken, dass Citizen-Development in ihrer Organisation nicht stattfindet, aber es findet fast sicher statt.

Wie können also Sicherheitsleiter die Kontrolle übernehmen und das Risiko minimieren? Der erste Schritt besteht darin, die Citizen-Developer-Initiativen innerhalb Ihrer Organisation zu untersuchen, herauszufinden, wer (falls vorhanden) diese Bemühungen leitet und sich mit ihnen in Verbindung zu setzen. Sie wollen nicht, dass diese Teams sich bestraft oder behindert fühlen; als Sicherheitsleiter sollten Sie das Ziel haben, ihre Bemühungen zu unterstützen, aber auch Bildung und Anleitung zu geben, um den Prozess sicherer zu machen.

Die Sicherheit muss mit Sichtbarkeit beginnen. Der Schlüssel dazu ist die Erstellung eines Inventars von Anwendungen und das Verständnis, wer was baut. Durch diese Informationen können Sie sicherstellen, dass Sie im Falle eines Sicherheitsvorfalls die Schritte nachvollziehen und herausfinden können, was passiert ist.

Ein Rahmen für sichere Entwicklung sollte erstellt werden. Dazu gehören die notwendigen Richtlinien und technischen Kontrollen, die sicherstellen, dass Benutzer die richtigen Entscheidungen treffen. Selbst professionelle Entwickler machen Fehler, wenn es um sensible Daten geht; es ist noch schwieriger, dies bei Geschäftsanwendern zu kontrollieren. Aber mit den richtigen Kontrollen können Sie es schwierig machen, einen Fehler zu machen.

Auf dem Weg zu einer sichereren Low-Code/No-Code-Entwicklung

Der traditionelle Prozess des manuellen Codierens hat die Innovation behindert, insbesondere in wettbewerbsintensiven Zeit-zu-Markt-Szenarien. Mit den heutigen Low-Code- und No-Code-Plattformen können sogar Menschen ohne Entwicklungserfahrung AI-getriebene Lösungen erstellen. Während dies die App-Entwicklung gestrafft hat, kann es auch die Sicherheit und Sicherheit von Organisationen gefährden. Es muss jedoch keine Wahl zwischen Citizen-Development und Sicherheit sein; Sicherheitsleiter können mit Geschäftsanwendern zusammenarbeiten, um ein Gleichgewicht für beides zu finden.