思想领袖
克服人工智能驱动的低代码/无代码开发的主要安全挑战
低代码开发平台 改变了人们创建自定义业务解决方案的方式，包括应用程序、工作流程和副驾驶。这些工具为公民开发人员提供支持，并为应用程序开发创建更敏捷的环境。添加人工智能只会增强这种能力。事实上，组织中没有足够的人拥有技能（和时间）来构建推动创新所需的应用程序、自动化等数量，从而导致了低代码/无代码范例。现在，无需正式的技术培训，公民开发人员就可以利用用户友好的平台和生成式人工智能来创建、创新和部署人工智能驱动的解决方案。
但这种做法的安全性如何？现实情况是，它带来了许多新的风险。好消息是：您不必在业务主导的创新提供的安全性和效率之间做出选择。
超越传统权限的转变
IT 和安全团队习惯于将精力集中在 扫描并查找代码中写入的漏洞。他们的重点是确保开发人员正在构建安全的软件，确保软件是安全的，然后 - 一旦投入生产 - 监控其是否有偏差或事后是否有任何可疑的情况。
随着 低代码和无代码的兴起，越来越多的人在传统开发流程之外构建应用程序并使用自动化来创建应用程序。这些员工通常几乎没有软件开发背景，而且这些应用程序是在安全范围之外创建的。
这就造成了 IT 不再为组织构建一切的情况，并且安全团队缺乏可见性。在大型组织中，您可能会通过专业开发在一年内构建数百个应用程序；通过低代码/无代码，您可以获得的远不止于此。有很多潜在的应用程序可能会被安全团队忽视或监控。
大量新风险
与低代码/无代码开发相关的一些潜在安全问题包括：
- 不属于 IT 的职权范围 - 正如刚才提到的，公民开发人员在 IT 专业人员的范围之外工作，导致缺乏可见性和影子应用程序开发。此外，这些工具使无数人只需点击几下即可快速创建应用程序和自动化。这意味着有无数的人以极快的速度创建了无数的应用程序，而 IT 部门却没有全面了解这些应用程序。
- 没有 软件开发生命周期（SDLC） – 以这种方式开发软件意味着没有适当的 SDLC，除了风险之外，这还可能导致不一致、混乱和缺乏责任感。
- 新手开发人员 – 这些应用程序通常是由技术技能和经验较少的人构建的，这为错误和安全威胁打开了大门。他们不一定像专业开发人员或具有更多技术经验的人那样考虑安全或开发后果。如果在嵌入大量应用程序的特定组件中发现漏洞，则该漏洞有可能在多个实例中被利用
- 不良的身份实践——身份管理也可能是一个问题。如果您想授权业务用户构建应用程序，那么可能阻止他们的第一件事就是缺乏权限。通常，这可以被规避，并且发生的情况是您可能有一个用户使用其他人的身份。在这种情况下，无法确定他们是否做错了什么。如果您访问不允许的内容或尝试执行恶意操作，安全部门将会查找借用用户的身份，因为无法区分这两者。
- 没有可扫描的代码——这会导致缺乏透明度，从而阻碍故障排除、调试和安全分析，以及可能的合规性和监管问题。
这些风险都可能导致潜在的数据泄露。无论应用程序如何构建（无论是通过拖放、基于文本的提示还是使用代码构建），它都具有身份、可以访问数据、可以执行操作并且需要进行通信与用户。数据通常在组织的不同位置之间移动；这可以轻松打破数据边界或障碍。
数据隐私和合规性也受到威胁。敏感数据存在于这些应用程序中，但其处理者是不知道如何（甚至不想）正确存储这些数据的业务用户。这可能会导致一系列其他问题，包括违反合规性。
重新获得知名度
如前所述，其中之一 低代码/无代码的一大挑战是它不属于 IT/安全的范围，这意味着数据正在遍历应用程序。人们并不总是清楚地了解谁真正在创建这些应用程序，并且总体上缺乏对实际发生情况的了解。并非每个组织都完全了解正在发生的事情。或者他们认为他们的组织中没有发生公民发展，但几乎可以肯定的是。
那么，安全领导者如何才能获得控制并降低风险呢？第一步是调查组织内的公民开发者计划，找出谁（如果有的话）在领导这些工作并与他们联系。您不希望这些团队感到受到惩罚或受到阻碍；作为安全领导者，您的目标应该是支持他们的努力，但提供教育和指导，使过程更安全。
安全必须从可见性开始。关键是创建应用程序清单并了解谁在构建什么。掌握这些信息将有助于确保，如果确实发生某种违规行为，您将能够跟踪这些步骤并弄清楚发生了什么。
建立安全开发的框架。这包括必要的政策和技术控制，以确保用户做出正确的选择。即使是专业开发人员在涉及敏感数据时也会犯错误；对于商业用户来说控制这一点更加困难。但只要采取正确的控制措施，就很难犯错误。
迈向更安全的低代码/无代码
传统的手动编码过程阻碍了创新，尤其是在竞争激烈的上市时间场景中。借助当今的低代码和无代码平台，即使没有开发经验的人也可以创建人工智能驱动的解决方案。虽然这简化了应用程序开发，但也可能危及组织的安全。然而，这并不一定是公民发展和安全之间的选择；安全领导者可以与业务用户合作，找到两者的平衡点。
