Low-Code Paradox in DevOps: Security and Governance Insights from Practitioners

Il Quadro Generale: La "Corsia Preferenziale" vs. La "Rete di Sicurezza"

Immaginate un'azienda edile che vuole costruire case più velocemente. Ha a disposizione due strumenti:

1. DevOps: Un team altamente organizzato e professionale di ingegneri che lavorano in perfetta sinergia per costruire, testare e spostare le case rapidamente.
2. Piattaforme Low-Code (LCDP): Un set di kit di costruzione "tipo Lego". Questi kit permettono anche a persone che non sono architetti professionisti (definiti "sviluppatori citizen") di assemblare muri e finestre molto velocemente senza dover mescolare cemento o posare mattoni a mano.

Il documento esplora cosa succede quando si cerca di utilizzare questi kit Lego all'interno del cantiere professionale. Gli autori definiscono questo fenomeno il "Paradosso Low-Code".

Il Paradosso: I kit Lego rendono la costruzione molto più veloce e facile (efficienza), ma creano anche nuovi buchi nascosti nelle pareti attraverso i quali i ladri (hacker) possono infiltrarsi (rischi per la sicurezza).

Cosa Hanno Fatto gli Autori (Il Metodo)

I ricercatori non hanno solo indovinato; sono usciti e hanno parlato con 12 manager edili ed ingegneri esperti (professionisti IT) provenienti da Finlandia, Spagna e Cina. Queste persone utilizzavano sia i metodi professionali che i kit Lego da anni.

Loro hanno chiesto: "Quando mescolate questi kit Lego veloci con il vostro processo di costruzione veloce, cosa va storto in termini di sicurezza e regole?"

Hanno ascoltato le risposte e cercato modelli comuni, proprio come un detective che assembla indizi.

Cosa Hanno Trovato (I Risultati)

1. La "Spada a Doppio Taglio"

Gli esperti hanno concordato sul fatto che il Low-Code è una spada a doppio taglio.

• Il Buono: Automatizza compiti noiosi e aiuta i team a costruire applicazioni più velocemente. È come avere un braccio robotico che posiziona i mattoni istantaneamente.
• Il Cattivo: Poiché questi kit si connettono a molti altri strumenti (come fonti di energia esterne o tubature dell'acqua), creano una "superficie di attacco" più ampia. Pensateci come aggiungere cento nuove porte e finestre alla vostra casa solo per renderla più facile da entrare; ora, ci sono cento posti in più dove un ladro può sfondare.

2. Il Problema dell'"Ombra"

Un problema maggiore è l'Shadow IT (IT ombra). Questo accade quando i dipendenti utilizzano questi kit Lego per costruire i propri strumenti senza dirlo al team di sicurezza IT.

• Analogia: Immaginate un operaio nel cantiere che costruisce segretamente una porta laterale con una serratura fatta da lui stesso, senza che la guardia di sicurezza principale lo sappia. La guardia pensa che la casa sia sicura, ma in realtà c'è una porta sul retro sbloccata. Il documento nota che gli attaccanti stanno cercando sempre più questi strumenti non autorizzati.

3. Il Risveglio "SolarWinds"

I ricercatori hanno menzionato un famoso attacco reale (SolarWinds) in cui gli attaccanti sono infiltrati nelle grandi aziende attraverso le loro catene di approvvigionamento.

• La Lezione: Anche se il produttore del kit Lego dice: "Abbiamo aggiornato la sicurezza", potrebbe non essere sufficiente. Il documento suggerisce che avere semplicemente lo strumento non è abbastanza; è necessario scansionare costantemente l'intera casa alla ricerca di crepe, non solo la porta d'ingresso.

4. Il Fattore Umano

Gli esperti hanno notato che, sebbene questi strumenti aiutino i team a lavorare insieme, le persone che li utilizzano spesso dimenticano la sicurezza.

• Analogia: È come dare un trapano elettrico a un bambino perché è facile da impugnare. Può costruire una sedia velocemente, ma potrebbe non rendersi conto di aver appena forato un buco proprio attraverso la tubatura del gas. Il documento afferma che l'"igiene informatica" (abitudini di sicurezza di base) è il modo migliore per fermare questi incidenti.

La Soluzione Proposta: Un "Framework Olistico"

Gli autori non si sono limitati a indicare i problemi; hanno costruito un Framework di Sicurezza (mostrato nella loro Figura 2) per risolverli. Suggeriscono tre strategie principali:

1. Controlli di Sicurezza Automatizzati (Shift-Left):
   Invece di aspettare che la casa sia costruita per controllare le perdite, le si controlla mentre si assemblano i mattoni Lego. Si utilizzano strumenti automatizzati per scansionare i buchi di sicurezza prima ancora che l'applicazione sia finita.

2. Zero Trust (La Regola "Non Fidarsi Mai, Controllare Sempre"):
   Immaginate una banca ad alta sicurezza. Anche se avete una chiave, la guardia controlla la vostra identità ogni singola volta che attraversate una porta. Il documento suggerisce di applicare questo al software: verificare ogni singola richiesta, anche dall'interno dell'edificio, e concedere alle persone solo l'accesso minimo necessario.

3. Governance Adattiva (Il Regolamento):
   Poiché chiunque può costruire con questi kit, l'azienda ha bisogno di un regolamento rigoroso.

   • Sandboxing: Permettere alle persone di giocare con i kit Lego in una "sandbox" (un'area sicura e isolata) in modo che, se rompono qualcosa, non facciano crollare l'intera azienda.
   • Regole di Nomenclatura: Assicurarsi che tutti nominino i loro file e cartelle allo stesso modo in modo che nulla vada perso o venga confuso.
   • Controlli sui Fornitori: Prima di acquistare un nuovo kit Lego, verificare se il produttore è sicuro e se rispetta le regole della vostra azienda.

Il Punto Cruciale

Il documento conclude che Low-Code e DevOps sono un mix potente, ma richiedono un cambiamento culturale.

Non si può semplicemente acquistare lo strumento e sperare nel meglio. Le organizzazioni devono:

• Trattare questi nuovi strumenti con la stessa serietà della codifica tradizionale.
• Accettare che non si può mai essere sicuri al 100%, ma si può essere resilienti.
• Creare una cultura in cui tutti si preoccupano della sicurezza, non solo il team di sicurezza.

In breve: La velocità è ottima, ma se non si chiudono le porte mentre si corre veloce, si perderà tutto. Il documento sostiene che con le regole giuste e una mentalità orientata alla sicurezza, le aziende possono godersi la velocità del Low-Code senza essere derubate dagli hacker.