Mengatasi Tantangan Keamanan Utama dari Pengembangan Low-Code/No Code yang Dipandu AI

Platform pengembangan low-code telah mengubah cara orang membuat solusi bisnis kustom, termasuk aplikasi, alur kerja, dan copilot. Alat-alat ini memberdayakan pengembang warga dan menciptakan lingkungan yang lebih gesit untuk pengembangan aplikasi. Menambahkan AI ke dalam campuran ini hanya meningkatkan kemampuan ini. Fakta bahwa tidak ada cukup orang di sebuah organisasi yang memiliki keterampilan (dan waktu) untuk membangun jumlah aplikasi, otomatisasi, dan sebagainya yang diperlukan untuk mendorong inovasi ke depan telah memberikan rise pada paradigma low-code/no-code. Sekarang, tanpa perlu pelatihan teknis formal, pengembang warga dapat menggunakan platform yang ramah pengguna dan AI Generatif untuk membuat, berinovasi, dan mengirimkan solusi yang dipandu AI.

Tapi, seberapa aman praktik ini? Kenyataannya adalah bahwa ini memperkenalkan sejumlah risiko baru. Berikut adalah kabar baiknya: Anda tidak perlu memilih antara keamanan dan efisiensi yang disediakan oleh inovasi yang dipimpin bisnis.

Pergeseran di luar cakupan tradisional

Tim IT dan keamanan terbiasa fokus pada pemindaian dan mencari kerentanan yang ditulis ke dalam kode. Mereka telah berfokus pada memastikan pengembang membangun perangkat lunak yang aman, memastikan perangkat lunak tersebut aman dan kemudian – setelah itu berada di produksi – memantauinya untuk penyimpangan atau hal-hal mencurigakan setelah itu.

Dengan munculnya low code dan no code, lebih banyak orang daripada sebelumnya membangun aplikasi dan menggunakan otomatisasi untuk membuat aplikasi – di luar proses pengembangan tradisional. Ini seringkali adalah karyawan dengan sedikit atau tidak ada latar belakang pengembangan perangkat lunak, dan aplikasi ini dibuat di luar cakupan keamanan.

Hal ini menciptakan situasi di mana IT tidak lagi membangun semua untuk organisasi, dan tim keamanan kekurangan visibilitas. Di sebuah organisasi besar, Anda mungkin mendapatkan beberapa ratus aplikasi yang dibangun dalam setahun melalui pengembangan profesional; dengan low/no code, Anda bisa mendapatkan lebih banyak dari itu. Itu adalah banyak aplikasi potensial yang bisa tidak terdeteksi atau tidak dipantau oleh tim keamanan.

Sejumlah risiko baru

 Beberapa kekhawatiran keamanan potensial yang terkait dengan pengembangan low-code/no-code termasuk:

1. Tidak dalam cakupan IT – seperti yang disebutkan sebelumnya, pengembang warga bekerja di luar garis IT profesional, menciptakan kekurangan visibilitas dan pengembangan aplikasi bayangan. Selain itu, alat-alat ini memungkinkan jumlah orang tak terbatas untuk membuat aplikasi dan otomatisasi dengan cepat, hanya dengan beberapa klik. Itu berarti ada jumlah aplikasi yang tak terhitung yang dibuat dengan kecepatan tinggi oleh jumlah orang tak terbatas tanpa IT memiliki gambaran lengkap.
2. Tidak ada siklus hidup pengembangan perangkat lunak (SDLC) – Mengembangkan perangkat lunak dengan cara ini berarti tidak ada SDLC yang ada, yang dapat menyebabkan inkonsistensi, kebingungan, dan kekurangan akuntabilitas selain risiko.
3. Pengembang pemula – Aplikasi ini sering dibangun oleh orang-orang dengan keterampilan teknis yang lebih sedikit dan pengalaman, membuka pintu bagi kesalahan dan ancaman keamanan. Mereka tidak selalu memikirkan tentang keamanan atau konsekuensi pengembangan dengan cara yang sama seperti pengembang profesional atau seseorang dengan pengalaman teknis lebih banyak. Dan jika kerentanan ditemukan dalam komponen tertentu yang disematkan ke dalam sejumlah besar aplikasi, itu memiliki potensi untuk dieksploitasi di seluruh instance
4. Praktik identitas yang buruk – Manajemen identitas juga dapat menjadi masalah. Jika Anda ingin memberdayakan pengguna bisnis untuk membangun aplikasi, hal pertama yang mungkin menghentikannya adalah kekurangan izin. Seringkali, ini dapat diatasi, dan apa yang terjadi adalah Anda mungkin memiliki pengguna yang menggunakan identitas orang lain. Dalam kasus ini, tidak ada cara untuk mengetahui jika mereka melakukan sesuatu yang salah. Jika Anda mengakses sesuatu yang tidak diizinkan atau Anda mencoba melakukan sesuatu yang berbahaya, keamanan akan mencari identitas yang dipinjam karena tidak ada cara untuk membedakan antara keduanya.
5. Tidak ada kode untuk dipindai – Ini menyebabkan kekurangan transparansi yang dapat menghambat pemecahan masalah, debugging, dan analisis keamanan, serta kemungkinan masalah kepatuhan dan peraturan.

Risiko-risiko ini semua dapat menyumbang pada kebocoran data potensial. Tidak peduli bagaimana aplikasi dibangun – apakah itu dibangun dengan drag-and-drop, prompt berbasis teks, atau dengan kode – itu memiliki identitas, itu memiliki akses ke data, itu dapat melakukan operasi, dan itu perlu berkomunikasi dengan pengguna. Data dipindahkan, seringkali antara tempat-tempat yang berbeda di dalam organisasi; ini dapat dengan mudah merusak batas atau penghalang data.

Keamanan data dan kepatuhan juga dipertaruhkan. Data sensitif hidup dalam aplikasi ini, tetapi itu sedang ditangani oleh pengguna bisnis yang tidak tahu bagaimana (atau bahkan memikirkan) untuk menyimpannya dengan benar. Ini dapat menyebabkan sejumlah masalah tambahan, termasuk pelanggaran kepatuhan.

Mengembalikan visibilitas

Seperti yang disebutkan, salah satu tantangan besar dengan low/no code adalah bahwa itu tidak berada di bawah cakupan IT/keamanan, yang berarti data sedang berpindah melalui aplikasi. Tidak selalu ada pemahaman yang jelas tentang siapa yang benar-benar membuat aplikasi ini, dan ada kekurangan visibilitas secara keseluruhan tentang apa yang benar-benar terjadi. Dan tidak semua organisasi bahkan menyadari apa yang terjadi. Atau mereka pikir pengembangan warga tidak terjadi di organisasi mereka, tetapi itu hampir pasti terjadi.

Jadi, bagaimana pemimpin keamanan dapat mengambil kontrol dan mitigasi risiko? Langkah pertama adalah untuk melihat ke inisiatif pengembang warga di dalam organisasi Anda, menemukan siapa (jika ada) yang memimpin upaya ini dan terhubung dengan mereka. Anda tidak ingin tim-tim ini merasa dihukum atau terhambat; sebagai pemimpin keamanan, tujuan Anda harus mendukung upaya mereka tetapi memberikan pendidikan dan panduan tentang membuat proses ini lebih aman.

Keamanan harus dimulai dengan visibilitas. Kunci untuk ini adalah membuat inventori aplikasi dan mengembangkan pemahaman tentang siapa yang membangun apa. Memiliki informasi ini akan membantu memastikan bahwa jika beberapa jenis pelanggaran terjadi, Anda akan dapat melacak langkah-langkah dan mengetahui apa yang terjadi.

Buatlah kerangka kerja untuk apa yang terlihat seperti pengembangan yang aman. Ini termasuk kebijakan dan kontrol teknis yang diperlukan yang akan memastikan pengguna membuat pilihan yang tepat. Bahkan pengembang profesional melakukan kesalahan ketika datang ke data sensitif; itu bahkan lebih sulit untuk dikendalikan dengan pengguna bisnis. Tetapi dengan kontrol yang tepat di tempat, Anda dapat membuatnya sulit untuk melakukan kesalahan.

Menuju low-code/no-code yang lebih aman

Proses pengkodean manual tradisional telah menghambat inovasi, terutama dalam skenario waktu-ke-pasar yang kompetitif. Dengan platform low-code dan no-code hari ini, bahkan orang-orang tanpa pengalaman pengembangan dapat membuat solusi yang dipandu AI. Sementara ini telah mempermudah pengembangan aplikasi, itu juga dapat membahayakan keamanan dan keselamatan organisasi. Tidak harus menjadi pilihan antara pengembangan warga dan keamanan, bagaimanapun; pemimpin keamanan dapat bermitra dengan pengguna bisnis untuk menemukan keseimbangan untuk keduanya.