Coraz więcej aplikacji powstaje na platformach no-code. Jest to wygodniejsze i szybsze, daje większą elastyczność i swobodę, nie wymaga znajomości języków programowania. Są to korzyści zarówno dla deweloperów, jak i "citizen developerów". Ale no-code ma też swoje wady, a jedną z głównych jest bezpieczeństwo.
Poufność danych i ich ochrona w trakcie rozwoju to jeden z najważniejszych punktów. Niestety, platformy no-code nie zawsze radzą sobie z tym zadaniem i są bardziej podatne na ataki. O tym, jakie problemy z bezpieczeństwem możesz napotkać i jak ich uniknąć, opowiemy w tym artykule.
Co jest nie tak z no-code?
Według oceny benchmarku, 93% analizowanych aplikacji naruszało kilka OWASP MASVS. Do powszechnych problemów należały:
- niewystarczający rozmiar kluczy;
- wyciek danych;
- brak właściwego użycia bezpiecznych certyfikatów;
- nieszyfrowane przesyłanie danych przez HTTP.
Statystyki są zatrważające. Niemal każda aplikacja nie radzi sobie z właściwym zarządzaniem bezpieczeństwem.
Instrumenty no-code czasami narażają użytkownika na większe ryzyko. Kiedy tak zwany deweloper obywatelski korzysta z narzędzia no-code strony trzeciej, istnieje wiele możliwości ataków złośliwego oprogramowania. Po pierwsze, brak wiedzy użytkownika nie będącego deweloperem, następnie brak weryfikacji, w jaki sposób i za pomocą jakich narzędzi zabezpieczona jest platforma no-code.
Kwestie bezpieczeństwa no-code są największym problemem tego ruchu. Istnieje duża szansa na ujawnienie poufnych danych przedsiębiorstwa przy korzystaniu z niepewnego oprogramowania.
Co wpływa na podatność na bezpieczeństwo platform no-code?
Przechowywanie aplikacji w chmurze
Umieszczając swoje produkty na publicznym magazynie w chmurze, narażasz się na ewentualne ryzyko. Użytkownicy takich platform nie mają kontroli nad ich prywatnością. Dlatego nie mogą być pewni, że dane będą chronione.
Rozwiązaniem problemu jest korzystanie ze sprawdzonych usług chmurowych, które posiadają międzynarodowe certyfikaty i zgodność z normami ISO.
Ogólnie rzecz biorąc, każda platforma chmurowa powinna zapewniać trzy główne aspekty bezpieczeństwa danych klienta: poufność, integralność i dostępność.
Optymalnym rozwiązaniem jest umieszczenie aplikacji na usługach w pełni kontrolowanych przez samo przedsiębiorstwo.
Kwestie dostępu do danych
Dane są podstawowym źródłem w działaniu aplikacji. Dlatego kwestia dostępu do nich często staje się głównym problemem. Gdy pracujesz z platformami no-code, proces ten jest trudny do kontrolowania. Załóżmy, że możesz ograniczyć dostęp do danych dla różnych typów użytkowników, ustalić loginy, ograniczyć dostęp według czasu i dostęp do określonych typów informacji. W takim przypadku możesz łatwo zwiększyć poziom bezpieczeństwa swoich produktów.
Niestety, nie wszystkie narzędzia zapewniają tę funkcjonalność. Dlatego jest to kolejny punkt, który należy rozważyć przy wyborze platformy no-code.
Shadow IT
Tak zwane shadow IT, czyli wszelkie narzędzia cyfrowe wykorzystywane poza kontrolą działu IT lub bez jego zgody, narażają firmy na jeszcze większe ryzyko. Narzędzia te często obejmują platformy no-code, które nie posiadają niezawodnego systemu zabezpieczeń.
Ponieważ w większości przypadków rozwój no -code jest wykonywany przez osoby, które nie mają wykształcenia technicznego, ponownie poza działem IT, nieświadomie mogą one udostępnić publicznie ważne informacje.
Mała widoczność
Choć technologie nazywane są no-code, nie oznacza to, że kodu w ogóle nie ma. Jego generowanie jest ukryte przed użytkownikiem, który pracuje z gotowymi komponentami platformy. Jest to również jeden z istotnych problemów dla deweloperów.
Kod może być modyfikowany z zewnątrz podczas cyberataków, o czym deweloper może nie wiedzieć.
Do ograniczenia ryzyka służą technologie kryptografii z kluczem publicznym, mechanizmy podpisu cyfrowego oraz platformy działające zgodnie z certyfikatem ISO 27001.
Oprócz tego, podczas tworzenia aplikacji z no-code można napotkać kilka innych problemów.
Otwarcie systemów na ataki. Przy no-code często istnieje mniej barier wejścia dla atakujących. Może to ułatwić im wykorzystanie luk w zabezpieczeniach i uzyskanie dostępu do systemów.
Trudności z namierzeniem źródła naruszenia. Jeśli dojdzie do naruszenia, ustalenie miejsca jego powstania może być trudne. Może to utrudnić naprawę problemu i zapobieganie przyszłym naruszeniom.
Komponenty open source. W projektach, które wykorzystują komponenty open source, hakerzy mogą wykorzystać jawność exploitów na swoją korzyść.
Łagodzenie zagrożeń
Dość proste działania mogą zminimalizować ryzyko związane z bezpieczeństwem:
- praca z oprogramowaniem pochodzącym od rzetelnych i zaufanych dostawców;
- dostępność certyfikatów platformy potwierdzających zgodność z międzynarodowymi standardami bezpieczeństwa oprogramowania;
- kontrola dostępu: kto ma dostęp do platformy i jakie działania może wykonywać;
- wdrożenie dodatkowej ochrony istotnych danych;
- umieszczenie samych narzędzi no-code, jak i gotowych aplikacji na sprawdzonych usługach chmurowych (za wiarygodne uznaje się na przykład AWS, Google czy Microsoft Azure);
- nie przechowuj wrażliwych danych w aplikacjach no-code: unikaj przechowywania wrażliwych danych, takich jak numery kart kredytowych, hasła i informacje osobiste;
- jeśli musisz przechowywać tego typu dane, zaszyfruj je i przechowuj w bezpiecznej lokalizacji;
- aktualizuj swoje oprogramowanie: zapewnij ochronę swoich danych poprzez aktualizację oprogramowania.
Bezpieczeństwo w AppMasterze
AppMaster priorytetowo traktuje bezpieczeństwo samej platformy oraz bezpieczeństwo Twoich aplikacji.
W jaki sposób dane są chronione na platformie?
Zgodność z OWASP
Open Web Application Security Project (OWASP) udostępnia darmowe zasoby dotyczące bezpieczeństwa aplikacji. AppMaster stosuje się do ich wskazówek i zaleceń, aby mieć pewność, że korzystasz z bezpiecznego i niezawodnego produktu.
Kompleksowe logowanie
Korzystamy z najlepszych rozwiązań do zbierania i zarządzania logami. Logowanie w wygenerowanych aplikacjach może być skonfigurowane bardzo szczegółowo.
Kontrola dostępu
Dostęp do wszystkich systemów oparty jest na rolach. Dostęp do danych nie jest możliwy bez zgody właściciela danych.
Odporność na błędy i tworzenie kopii zapasowych
System posiada automatyczny backup: jeśli jeden serwer ulegnie awarii, drugi natychmiast przejmuje jego zadania.
Model współodpowiedzialności
Chronisz tworzone przez siebie aplikacje i integracje za pomocą zdefiniowanych przez użytkownika polityk prywatności.
Usługi Amazon Web Services
AppMaster działa na Amazon Web Services i jest zgodny z SOC 2, CSA i ISO 27001.
Odzyskiwanie danych
Możesz uzyskać dostęp do odzyskiwania danych w trybie point-in-time. Jeśli wdrożysz funkcję, która wpływa na Twoje dane, możesz przywrócić dane z poprzedniego czasu.
Szyfrowanie HTTPS
Każde połączenie wykonane z AppMaster jest szyfrowane end-to-end przez HTTPS z TLS v1.3.
Wniosek
Aby złagodzić możliwe ryzyko związane z implikacjami no-code, należy dokładnie rozważyć implikacje bezpieczeństwa związane z używaniem narzędzi no-code i podjąć kroki w celu ochrony danych. Może to obejmować wdrożenie solidniejszych środków bezpieczeństwa, takich jak szyfrowanie i uwierzytelnianie wieloczynnikowe, oraz ścisłe monitorowanie dostępu do wrażliwych informacji. Ponadto ważne jest, aby być na bieżąco z najnowszymi zagrożeniami bezpieczeństwa i regularnie łatać i aktualizować swoje systemy.
