Low-Code Paradox in DevOps: Security and Governance Insights from Practitioners

本論文を、著者の発見と主張に厳密に沿い、平易な言葉と創造的な比喩を用いて解説します。

全体像：「ファストトラック」と「セーフティネット」

家をより速く建てたい建設会社を想像してください。彼らには2つの道具があります。

1. DevOps: 建築、テスト、そして家の移動をシームレスに行うために協力する、高度に組織化されたプロのエンジニアチーム。
2. ローコードプラットフォーム（LCDP）: 「レゴのような」建築キットのセット。これらのキットを使えば、プロの建築家ではない人々（「シチズン・デベロッパー」と呼ばれる）も、セメントを混ぜたりレンガを手で積んだりする必要なく、壁や窓を素早く組み立てることができます。

本論文は、これらのレゴキットをプロの建設現場内で使用しようとしたときに何が起こるかを探求しています。著者たちはこれを「ローコードのパラドックス」と呼んでいます。

パラドックス: レゴキットは建築をはるかに速く、容易にします（効率性）が、同時に泥棒（ハッカー）が忍び込むことができる、壁に隠された新しい穴（セキュリティリスク）も生み出します。

著者たちの取り組み（手法）

研究者たちは単に推測したわけではありません。彼らはフィンランド、スペイン、中国から、プロの手法とレゴキットの両方を長年使用してきた**12人の経験豊富な建設マネージャーとエンジニア（IT専門家）**に直接話しかけました。

彼らは彼らにこう尋ねました。「これらの速いレゴキットを、あなたの速い建築プロセスと混ぜたとき、セキュリティやルールに関して何が問題になるのか？」

彼らは答えを聞き、探偵が手がかりを組み立てるように、共通のパターンを探しました。

彼らが発見したもの（結果）

1. 「両刃の剣」

専門家たちは、ローコードが両刃の剣であることに同意しました。

• 良い面: 退屈なタスクを自動化し、チームがアプリを素早く構築するのを助けます。まるで即座にレンガを配置するロボットアームのようです。
• 悪い面: これらのキットは、外部の電源や水道管のような、他の多くのツールと接続するため、「攻撃対象領域」が拡大します。入りやすくするために家に100もの新しいドアと窓を追加したようなものです。すると、泥棒が侵入できる場所が100か所も増えることになります。

2. 「シャドウ」の問題

主要な問題の一つはシャドウITです。これは、従業員がITセキュリティチームに知らせずに、これらのレゴキットを使って自分たちのツールを構築してしまう現象です。

• 比喩: 建設現場の労働者が、メインの警備員に知らせずに、自分で作った鍵付きの裏口を密かに建設している状況を想像してください。警備員は家が安全だと思っていますが、実際には施錠されていない裏口が存在します。論文は、攻撃者たちがこれらの不正なツールをますます探し求めていると指摘しています。

3. 「SolarWinds」からの目覚めの呼びかけ

研究者たちは、攻撃者がサプライチェーンを通じて大手企業に忍び込んだ有名な現実世界のハッキング事例（SolarWinds）に言及しました。

• 教訓: レゴキットの製造元が「セキュリティを更新しました」と言っても、それだけでは不十分かもしれません。論文は、単にツールを持っているだけでは不十分であり、正門だけでなく、家全体にひび割れがないか常にスキャンする必要があると示唆しています。

4. 人間の要因

専門家たちは、これらのツールがチームの協力を助ける一方で、それを使う人々がセキュリティを忘れがちであると指摘しました。

• 比喩: 握りやすいからといって、子供に電動ドリルを与えるようなものです。彼らは素早く椅子を作ることができますが、ガス管に穴を開けてしまったことに気づかないかもしれません。論文は、これらの事故を防ぐ最善の方法は「サイバー衛生（基本的な安全習慣）」であると述べています。

提案される解決策：「包括的フレームワーク」

著者たちは問題点を指摘するだけでなく、それらを修正するためのセキュリティフレームワーク（図2に示されている）を構築しました。彼らは3つの主要な戦略を提案しています。

1. 自動化されたセキュリティチェック（シフトレフト）:
   家が完成してから漏れをチェックするのではなく、レゴブロックを組み合わせている最中に漏れをチェックします。アプリが完成する前に、セキュリティの穴をスキャンする自動化されたツールを使用します。

2. ゼロトラスト（「決して信頼せず、常に確認する」ルール）:
   高セキュリティの銀行を想像してください。鍵を持っていても、ドアを通るたびに警備員がIDを確認します。論文は、これをソフトウェアにも適用することを提案しています。建物内からのリクエストであっても、すべてのリクエストを検証し、人々には必要な最小限のアクセス権のみを与えます。

3. 適応的ガバナンス（規則集）:
   誰でもこれらのキットで構築できるため、会社には厳格な規則集が必要です。

   • サンドボックス化: 何かを壊しても会社全体がクラッシュしないよう、レゴキットで遊べる「サンドボックス（安全で隔離された領域）」で人々に遊ばせます。
   • 命名規則: ファイルやフォルダが紛失したり混乱したりしないよう、全員が同じように名前をつけるようにします。
   • ベンダーチェック: 新しいレゴキットを購入する前に、製造元が安全かどうか、また会社の規則に従っているかを確認します。

結論

本論文は、ローコードとDevOpsは強力な組み合わせだが、文化的な転換が必要であると結論付けています。

ツールを買ってうまくいくのを待つだけではいけません。組織は以下のことを行う必要があります。

• これらの新しいツールを、従来のコーディングと同じくらい真剣に扱うこと。
• 100% 安全になることは決してないが、**回復力（レジリエンス）**を持つことは可能だと受け入れること。
• セキュリティチームだけでなく、全員がセキュリティに関心を持つ文化を築くこと。

要約すれば、スピードは素晴らしいですが、速く走っている間にドアを施錠しなければ、すべてを失うことになります。 本論文は、適切な規則とセキュリティ最優先の考え方さえあれば、企業はハッカーに襲われることなくローコードのスピードを楽しむことができると主張しています。