Low-Code Paradox in DevOps: Security and Governance Insights from Practitioners

El Panorama General: La "Vía Rápida" frente a la "Red de Seguridad"

Imagina una empresa de construcción que quiere construir casas más rápido. Tienen dos herramientas:

1. DevOps: Un equipo altamente organizado y profesional de ingenieros que trabajan en perfecta armonía para construir, probar y trasladar casas rápidamente.
2. Plataformas de Bajo Código (LCDPs): Un conjunto de kits de construcción "tipo Lego". Estos kits permiten que incluso personas que no son arquitectos profesionales (llamados "desarrolladores ciudadanos") ensamblen paredes y ventanas muy rápidamente sin necesidad de mezclar cemento o colocar ladrillos a mano.

El artículo explora qué sucede cuando intentas usar estos kits de Lego dentro de la obra de construcción profesional. Los autores llaman a esto la "Paradoja del Bajo Código".

La Paradoja: Los kits de Lego hacen que construir sea mucho más rápido y fácil (eficiencia), pero también crean nuevos agujeros ocultos en las paredes por los que los ladrones (hackers) pueden colarse (riesgos de seguridad).

Lo que hicieron los autores (El Método)

Los investigadores no solo supusieron; salieron y hablaron con 12 gerentes de construcción y ingenieros experimentados (profesionales de TI) de Finlandia, España y China. Estas personas habían estado utilizando tanto los métodos profesionales como los kits de Lego durante años.

Les preguntaron: "Cuando mezclan estos kits de Lego rápidos con su proceso de construcción rápido, ¿qué sale mal con la seguridad y las normas?"

Escucharon las respuestas y buscaron patrones comunes, mucho como un detective que reúne pistas.

Lo que encontraron (Los Resultados)

1. El "Doble Filo"

Los expertos coincidieron en que el Bajo Código es un doble filo.

• Lo bueno: Automatiza tareas aburridas y ayuda a los equipos a crear aplicaciones más rápido. Es como tener un brazo robótico que coloca ladrillos instantáneamente.
• Lo malo: Dado que estos kits se conectan a tantas otras herramientas (como fuentes de energía externas o tuberías de agua), crean una superficie de ataque más grande. Piénsalo como añadir cien puertas y ventanas nuevas a tu casa solo para hacerla más fácil de entrar; ahora, hay cien lugares más por donde un ladrón puede entrar.

2. El problema de la "Sombra"

Un problema importante es la TI de Sombra. Esto ocurre cuando los empleados utilizan estos kits de Lego para construir sus propias herramientas sin informar al equipo de seguridad de TI.

• Analogía: Imagina a un trabajador en la obra de construcción que construye secretamente una puerta lateral con una cerradura que él mismo hizo, sin que el guardia de seguridad principal lo sepa. El guardia cree que la casa está segura, pero en realidad hay una puerta trasera desbloqueada. El artículo señala que los atacantes están buscando cada vez más estas herramientas no autorizadas.

3. La llamada de atención de "SolarWinds"

Los investigadores mencionaron un famoso ciberataque del mundo real (SolarWinds) donde los atacantes se colaron en grandes empresas a través de sus cadenas de suministro.

• La lección: Incluso si el fabricante del kit de Lego dice: "Hemos actualizado la seguridad", podría no ser suficiente. El artículo sugiere que simplemente tener la herramienta no es suficiente; necesitas escanear constantemente toda la casa en busca de grietas, no solo la puerta principal.

4. El factor humano

Los expertos notaron que, aunque estas herramientas ayudan a los equipos a trabajar juntos, las personas que las utilizan a menudo olvidan la seguridad.

• Analogía: Es como darle a un niño una taladradora eléctrica porque es fácil de sostener. Pueden construir una silla rápidamente, pero podrían no darse cuenta de que acaban de taladrar un agujero justo a través de la tubería de gas. El artículo dice que la "higiene cibernética" (hábitos básicos de seguridad) es la mejor manera de evitar estos accidentes.

La Solución Propuesta: Un "Marco Holístico"

Los autores no solo señalaron los problemas; construyeron un Marco de Seguridad (mostrado en su Figura 2) para solucionarlos. Sugieren tres estrategias principales:

1. Verificaciones de seguridad automatizadas (Desplazamiento a la izquierda):
   En lugar de esperar a que la casa esté construida para buscar fugas, las buscas mientras estás ensamblando los ladrillos de Lego. Utilizas herramientas automatizadas para escanear agujeros de seguridad antes de que la aplicación esté siquiera terminada.

2. Confianza Cero (La regla de "Nunca confiar, siempre verificar"):
   Imagina un banco de alta seguridad. Incluso si tienes una llave, el guardia verifica tu identificación cada vez que pasas por una puerta. El artículo sugiere aplicar esto al software: verificar cada solicitud, incluso desde dentro del edificio, y dar a las personas solo el acceso mínimo que necesitan.

3. Gobernanza adaptativa (El reglamento):
   Dado que cualquiera puede construir con estos kits, la empresa necesita un reglamento estricto.

   • Aislamiento (Sandboxing): Permitir que las personas jueguen con los kits de Lego en un "área de juegos" (un área segura y aislada) para que, si rompen algo, no haga colapsar a toda la empresa.
   • Reglas de nomenclatura: Asegurarse de que todos nombren sus archivos y carpetas de la misma manera para que nada se pierda o se confunda.
   • Verificaciones de proveedores: Antes de comprar un nuevo kit de Lego, verifica si el fabricante es seguro y si cumple con las normas de tu empresa.

La Conclusión

El artículo concluye que el Bajo Código y DevOps son una mezcla poderosa, pero requieren un cambio cultural.

No puedes simplemente comprar la herramienta y esperar lo mejor. Las organizaciones necesitan:

• Tratar estas nuevas herramientas con la misma seriedad que la codificación tradicional.
• Aceptar que nunca puedes estar 100% seguro, pero puedes ser resiliente.
• Crear una cultura donde todos se preocupen por la seguridad, no solo el equipo de seguridad.

En resumen: La velocidad es genial, pero si no cierras las puertas mientras corres rápido, lo perderás todo. El artículo argumenta que con las reglas adecuadas y una mentalidad centrada en la seguridad, las empresas pueden disfrutar de la velocidad del Bajo Código sin ser despojadas por los hackers.