Superando os Principais Desafios de Segurança do Desenvolvimento de Baixo Código/Sem Código Impulsionado por IA

Plataformas de desenvolvimento de baixo código mudaram a forma como as pessoas criam soluções personalizadas para negócios, incluindo aplicativos, fluxos de trabalho e copilotos. Essas ferramentas permitem que os desenvolvedores não técnicos criem um ambiente mais ágil para o desenvolvimento de aplicativos. Adicionar IA à mistura apenas melhorou essa capacidade. O fato de não haver pessoas suficientes em uma organização com as habilidades (e tempo) para construir o número de aplicativos, automações, etc. necessários para impulsionar a inovação levou ao paradigma de baixo código/sem código. Agora, sem a necessidade de treinamento técnico formal, os desenvolvedores não técnicos podem usar plataformas fáceis de usar e IA geradora para criar, inovar e implantar soluções impulsionadas por IA.

Mas como é seguro essa prática? A realidade é que está introduzindo uma série de novos riscos. Aqui está a boa notícia: você não precisa escolher entre segurança e a eficiência que a inovação orientada a negócios fornece.

Uma mudança além da visão tradicional

As equipes de TI e segurança estão acostumadas a se concentrar em scans e busca por vulnerabilidades escritas no código. Elas se concentraram em garantir que os desenvolvedores estivessem criando software seguro, garantindo que o software fosse seguro e, em seguida, monitorando-o para desvios ou algo suspeito após o fato.

Com o surgimento do baixo código e sem código, mais pessoas do que nunca estão construindo aplicativos e usando automação para criar aplicativos – fora do processo de desenvolvimento tradicional. Essas são frequentemente funcionários com pouca ou nenhuma formação em desenvolvimento de software, e esses aplicativos estão sendo criados fora da visão da segurança.

Isso cria uma situação em que a TI não está mais construindo tudo para a organização, e a equipe de segurança falta visibilidade. Em uma grande organização, você pode obter algumas centenas de aplicativos construídos em um ano por meio do desenvolvimento profissional; com o baixo código/sem código, você pode obter muito mais do que isso. Isso é um grande número de aplicativos potenciais que podem passar despercebidos ou não monitorados pelas equipes de segurança.

Uma riqueza de novos riscos

 Alguns dos problemas de segurança potenciais associados ao desenvolvimento de baixo código/sem código incluem:

1. Não está na visão da TI – como mencionado, os desenvolvedores não técnicos trabalham fora das linhas dos profissionais de TI, criando uma falta de visibilidade e desenvolvimento de aplicativos sombra. Além disso, essas ferramentas permitem que um número infinito de pessoas criem aplicativos e automações rapidamente, com apenas alguns cliques. Isso significa que há um número incontável de aplicativos sendo criados a um ritmo acelerado por um número incontável de pessoas, tudo sem que a TI tenha uma visão geral completa.
2. Nenhum ciclo de vida de desenvolvimento de software (SDLC) – Desenvolver software dessa maneira significa que não há SDLC em vigor, o que pode levar a inconsistência, confusão e falta de responsabilidade, além de risco.
3. Desenvolvedores novatos – Esses aplicativos são frequentemente construídos por pessoas com menos habilidades técnicas e experiência, abrindo a porta para erros e ameaças de segurança. Eles não pensam necessariamente sobre as implicações de segurança ou desenvolvimento da mesma forma que um desenvolvedor profissional ou alguém com mais experiência técnica faria. E se uma vulnerabilidade for encontrada em um componente específico que é incorporado a um grande número de aplicativos, há o potencial de ser explorada em várias instâncias
4. Práticas de identidade ruins – O gerenciamento de identidade também pode ser um problema. Se você quiser capacitar um usuário de negócios a construir um aplicativo, a primeira coisa que pode impedi-lo é a falta de permissões. Muitas vezes, isso pode ser contornado, e o que acontece é que você pode ter um usuário usando a identidade de outra pessoa. Nesse caso, não há como descobrir se eles fizeram algo errado. Se você acessar algo que não é permitido ou tentar fazer algo malicioso, a segurança virá procurar a identidade emprestada, pois não há como distinguir entre os dois.
5. Nenhum código para digitalizar – Isso causa uma falta de transparência que pode dificultar a depuração, solução de problemas e análise de segurança, bem como possíveis preocupações de conformidade e regulamentação.

Esses riscos podem contribuir para possíveis vazamentos de dados. Não importa como um aplicativo é construído – seja com arrastar e soltar, um prompt baseado em texto ou com código – ele tem uma identidade, tem acesso a dados, pode realizar operações e precisa se comunicar com os usuários. Os dados estão sendo movidos, frequentemente entre diferentes lugares na organização; isso pode facilmente quebrar as fronteiras ou barreiras de dados.

A privacidade e conformidade de dados também estão em jogo. Dados sensíveis vivem dentro desses aplicativos, mas estão sendo manipulados por usuários de negócios que não sabem (nem pensam em) armazená-los corretamente. Isso pode levar a uma série de problemas adicionais, incluindo violações de conformidade.

Recuperando visibilidade

Como mencionado, um dos grandes desafios do baixo código/sem código é que não está sob a visão da TI/segurança, o que significa que os dados estão atravessando aplicativos. Não há sempre uma compreensão clara de quem está realmente criando esses aplicativos, e há uma falta geral de visibilidade sobre o que está realmente acontecendo. E nem todas as organizações estão cientes do que está acontecendo. Ou elas pensam que o desenvolvimento de cidadãos não está acontecendo em sua organização, mas quase certamente está.

Então, como os líderes de segurança podem ganhar controle e mitigar o risco? O primeiro passo é investigar as iniciativas de desenvolvedores cidadãos dentro de sua organização, descobrir quem (se alguém) está liderando esses esforços e se conectar com eles. Você não quer que essas equipes se sintam penalizadas ou impedidas; como líder de segurança, seu objetivo deve ser apoiar seus esforços, mas fornecer educação e orientação sobre como tornar o processo mais seguro.

A segurança deve começar com visibilidade. A chave para isso é criar um inventário de aplicativos e desenvolver uma compreensão de quem está construindo o quê. Ter essas informações ajudará a garantir que, se algum tipo de violação ocorrer, você poderá rastrear as etapas e descobrir o que aconteceu.

Estabeleça um quadro para o que o desenvolvimento seguro parece. Isso inclui as políticas e controles técnicos necessários que garantirão que os usuários façam as escolhas certas. Mesmo os desenvolvedores profissionais cometem erros quando se trata de dados sensíveis; é ainda mais difícil controlar isso com usuários de negócios. Mas com os controles certos no lugar, você pode tornar difícil cometer um erro.

Rumo a um desenvolvimento de baixo código/sem código mais seguro

O processo tradicional de codificação manual impediu a inovação, especialmente em cenários competitivos de tempo de mercado. Com as plataformas de baixo código e sem código de hoje, mesmo as pessoas sem experiência em desenvolvimento podem criar soluções impulsionadas por IA. Embora isso tenha simplificado o desenvolvimento de aplicativos, também pode comprometer a segurança e a segurança das organizações. Não precisa ser uma escolha entre desenvolvimento de cidadãos e segurança, no entanto; os líderes de segurança podem se associar a usuários de negócios para encontrar um equilíbrio para ambos.