Low-Code Paradox in DevOps: Security and Governance Insights from Practitioners

La Vue d'Ensemble : La "Voie Express" contre le "Filet de Sécurité"

Imaginez une entreprise de construction qui souhaite construire des maisons plus rapidement. Elle dispose de deux outils :

1. DevOps : Une équipe d'ingénieurs hautement organisée et professionnelle qui travaille en parfaite synergie pour construire, tester et déplacer des maisons rapidement.
2. Plateformes Low-Code (LCDP) : Un ensemble de kits de construction de type "Lego". Ces kits permettent même à des personnes qui ne sont pas architectes professionnelles (appelées "développeurs citoyens") d'assembler des murs et des fenêtres très rapidement, sans avoir besoin de mélanger du ciment ou de poser des briques à la main.

L'article explore ce qui se passe lorsque vous essayez d'utiliser ces kits Lego à l'intérieur d'un chantier de construction professionnel. Les auteurs appellent cela le "Paradoxe du Low-Code".

Le Paradoxe : Les kits Lego rendent la construction beaucoup plus rapide et facile (efficacité), mais ils créent également de nouveaux trous cachés dans les murs par lesquels des cambrioleurs (pirates informatiques) peuvent se faufiler (risques de sécurité).

Ce Que Les Auteurs Ont Fait (La Méthode)

Les chercheurs ne se sont pas contentés de deviner ; ils sont allés à la rencontre de 12 gestionnaires de chantiers et ingénieurs expérimentés (professionnels de l'informatique) en Finlande, en Espagne et en Chine. Ces personnes utilisaient à la fois les méthodes professionnelles et les kits Lego depuis des années.

Ils leur ont demandé : "Lorsque vous mélangez ces kits Lego rapides avec votre processus de construction rapide, qu'est-ce qui pose problème en matière de sécurité et de règles ?"

Ils ont écouté les réponses et recherché des modèles communs, un peu comme un détective assemblant des indices.

Ce Qu'ils Ont Trouvé (Les Résultats)

1. L' "Épée à Double Tranchant"

Les experts s'accordent à dire que le Low-Code est une épée à double tranchant.

• Le Bon : Il automatise les tâches ennuyeuses et aide les équipes à créer des applications plus rapidement. C'est comme avoir un bras robotique qui pose des briques instantanément.
• Le Mauvais : Parce que ces kits se connectent à tant d'autres outils (comme des sources d'alimentation externes ou des conduites d'eau), ils créent une plus grande "surface d'attaque". Imaginez que vous ajoutez cent nouvelles portes et fenêtres à votre maison juste pour faciliter l'entrée ; maintenant, il y a cent endroits supplémentaires où un voleur peut s'introduire.

2. Le Problème du "Shadow" (Ombre)

Un problème majeur est le Shadow IT (informatique de l'ombre). Cela se produit lorsque des employés utilisent ces kits Lego pour construire leurs propres outils sans en informer l'équipe de sécurité informatique.

• Analogie : Imaginez un travailleur sur le chantier qui construit secrètement une porte latérale avec une serrure qu'il a fabriquée lui-même, sans que le gardien de sécurité principal ne le sache. Le gardien pense que la maison est sécurisée, mais il y a en réalité une porte arrière déverrouillée. L'article note que les attaquants cherchent de plus en plus ces outils non autorisés.

3. Le Réveil "SolarWinds"

Les chercheurs ont mentionné un célèbre piratage réel (SolarWinds) où des attaquants se sont infiltrés dans de grandes entreprises via leurs chaînes d'approvisionnement.

• La Leçon : Même si le fabricant du kit Lego dit : "Nous avons mis à jour la sécurité", cela pourrait ne pas suffire. L'article suggère que le simple fait d'avoir l'outil ne suffit pas ; vous devez scanner constamment toute la maison à la recherche de fissures, pas seulement la porte d'entrée.

4. Le Facteur Humain

Les experts ont noté que si ces outils aident les équipes à travailler ensemble, les personnes qui les utilisent oublient souvent la sécurité.

• Analogie : C'est comme donner une perceuse électrique à un enfant parce qu'elle est facile à tenir. Il peut construire une chaise rapidement, mais il pourrait ne pas réaliser qu'il vient de percer un trou directement dans la conduite de gaz. L'article indique que l'"hygiène cybernétique" (les habitudes de sécurité de base) est le meilleur moyen d'empêcher ces accidents.

La Solution Proposée : Un "Cadre Holistique"

Les auteurs n'ont pas seulement pointé les problèmes ; ils ont construit un Cadre de Sécurité (illustré dans leur Figure 2) pour les résoudre. Ils suggèrent trois stratégies principales :

1. Vérifications de Sécurité Automatisées (Shift-Left) :
   Au lieu d'attendre que la maison soit construite pour vérifier les fuites, vous les vérifiez pendant que vous assemblez les briques Lego. Vous utilisez des outils automatisés pour scanner les failles de sécurité avant même que l'application ne soit terminée.

2. Zero Trust (La Règle "Ne Jamais Faire Confiance, Toujours Vérifier") :
   Imaginez une banque hautement sécurisée. Même si vous avez une clé, le gardien vérifie votre identité à chaque fois que vous passez une porte. L'article suggère d'appliquer cela aux logiciels : vérifier chaque demande, même depuis l'intérieur du bâtiment, et donner aux personnes uniquement l'accès minimum dont elles ont besoin.

3. Gouvernance Adaptative (Le Code de Règles) :
   Puisque n'importe qui peut construire avec ces kits, l'entreprise a besoin d'un code de règles strict.

   • Mise en Quarantaine (Sandboxing) : Permettre aux gens de jouer avec les kits Lego dans un "bac à sable" (une zone isolée et sûre) afin que, s'ils cassent quelque chose, cela ne fasse pas planter toute l'entreprise.
   • Règles de Nommage : S'assurer que tout le monde nomme ses fichiers et dossiers de la même manière afin que rien ne se perde ou ne soit confondu.
   • Vérifications des Fournisseurs : Avant d'acheter un nouveau kit Lego, vérifiez si le fabricant est sûr et s'il respecte les règles de votre entreprise.

La Conclusion

L'article conclut que le Low-Code et le DevOps sont un mélange puissant, mais qu'ils nécessitent un changement culturel.

Vous ne pouvez pas simplement acheter l'outil et espérer le meilleur. Les organisations doivent :

• Traiter ces nouveaux outils avec la même sérieux que le codage traditionnel.
• Accepter que vous ne pouvez jamais être 100 % sécurisé, mais que vous pouvez être résilient.
• Créer une culture où tout le monde se soucie de la sécurité, pas seulement l'équipe de sécurité.

En résumé : La vitesse est excellente, mais si vous ne verrouillez pas les portes pendant que vous courez vite, vous perdrez tout. L'article soutient que, avec les bonnes règles et une mentalité axée sur la sécurité, les entreprises peuvent profiter de la rapidité du Low-Code sans se faire voler par des pirates informatiques.