如今，一股“全民开发”的浪潮正在兴起，应用程序由非开发人员开发和创建。通常，这种模式得到低代码或无代码框架的帮助。这些框架和工具允许非开发人员通过GUI获取或移动组件以创建逻辑友好的业务应用程序。允许更多IT人员和业务社区创建可推动业务价值的应用程序具有明显的吸引力。但这并不意味着低代码和无代码平台天生就没有安全问题。与其他软件产品一样，开发平台及其相关代码的安全问题也不容忽视。什么是低代码/无代码开发？无代码工具和平台使业务分析师等非程序员能够通过“抓取”界面创建和修改应用程序。在某些情况下，仍然需要一些编码能力（低代码）来与其他应用程序集成，或者生成报告和修改用户界面。这通常是用SQL或Python等高级语言完成的。低代码/无代码平台的示例包括SalesforceLightning、FileMaker、MicrosoftPowerApps和GoogleAppMaker。这些平台有四个更重要的安全问题。1.低代码/无代码应用程序的可见性低外部开发的平台总是存在可见性问题。企业只是在使用软件，却不知道源代码是什么，相关的安全隐患，也不知道平台上已经完成的测试情况和问题。这个问题可以通过向供应商索取SBOM（软件物料清单）来缓解。SBOM可以提供有关其所有软件组件及其相关漏洞的信息。SBOM的使用正在上升，最近Linux基金会的研究表明，78%的组织计划到2022年使用SBOM。这意味着SBOM的使用正在逐渐成熟，行业仍有很大的优化操作空间，流程和工具。2.不安全代码和可见性对应代码安全问题。低代码和无代码平台仍然会有代码：只是这些是抽象的代码，可以让终端用户直接使用预设的代码功能。这对于非开发人员来说无疑是一个福音，因为他们再也不用自己写代码了。但问题是所使用的代码可能不安全，并且可能通过低代码和无代码平台在组织和应用程序中传播。一种解决方案是与平台供应商合作，要求对平台中使用的代码进行安全扫描。SAST和DAST扫描结果可以为客户提供一些保证，确保他们没有复制不安全的代码。在组织控制之外创建的代码并不是什么新鲜事，并且在大量使用开源软件的时代非常普遍。近98%的组织使用开源代码，以及其他与供应链相关的威胁，例如基础设施即代码(IaC)模板。另一个需要考虑的方面是，许多低代码和无代码平台通常作为SaaS提供。这需要向供应商索取其他行业认证，如ISO、SOC2、FedRAMP等。这些可以为组织的运营和安全控制提供进一步的保证。SaaS应用程序本身也存在许多安全风险，需要适当的治理和安全控制。如果不对所使用的SaaS应用程序和平台进行监管，组织可能会面临风险。如果在低代码和无代码平台上开发的应用程序暴露敏感的组织或客户数据，这种风险会加剧。3.不受监管的影子IT由于低代码和无代码平台允许没有开发背景的人快速创建应用程序，这将导致影子IT的扩散。当业务部门和人员创建的应用程序在内部和外部暴露时，就会出现影子IT。这些应用程序可能包含组织、客户或监管机构的敏感数据，因此一旦发生泄漏，将对组织产生一系列负面影响。4.业务中断从业务连续性的角度来看，依赖于低代码和无代码平台的服务可能会在平台中断时中断自身的业务。组织需要并包括低代码和无代码平台的供应商来为关键业务应用程序建立SLA。降低低代码/无代码平台风险的一些技巧一些常见的安全最佳实践可以降低上述风险，无论涉及何种技术。这些良好做法包括从具有行业声誉的可信赖供应商处购买软件和平台。确保这些供应商拥有第三方认证以证明其内部安全实践和流程。对他们自己的应用程序和软件库中的低代码和无代码平台负责，包括他们生产的应用程序。保持良好的访问控制，了解谁有权访问平台以及允许他们进行哪些活动。实施数据安全实践以了解关键数据的位置以及使用低代码和无代码平台创建的应用程序是否包含这些敏感数据。了解低代码和无代码平台的部署位置。这些平台是部署在AWS、Google或Microsoft等全球混合云提供商中，还是部署在合法的本地数据中心中？考虑企业的安全文化也很重要。尽管平台本身的用户不一定是开发人员或安全人员，但他们仍然应该了解他们使用和创建的应用程序和低代码/无代码平台的安全风险。“能力越大，责任越大”，低代码和无代码平台也是如此。评论企业总是把企业放在首位——这是肯定的。当业务人员具备开发应用的能力时，无疑会大大降低沟通成本和潜在的团队不和谐。但是，使用第三方平台难免会在软件供应链中产生隐患。本文针对低代码/无代码平台中潜在的安全隐患提出了一些预防措施，但仔细观察，仅靠预防是不够的。一旦第三方平台出现安全漏洞，业务团队和安全团队如何修复和解决也将成为一个问题。这个时候，企业的业务运营和安全的“刹车”还是会再次发生碰撞。因此，虽然低代码、无代码平台必将成为未来企业发展的方向，但也预示着软件供应链安全体系仍有很大的发展空间。
