Low-Code Paradox in DevOps: Security and Governance Insights from Practitioners

Het Grote Geheel: De "Snelweg" versus het "Veiligheidsnet"

Stel je een bouwbedrijf voor dat huizen sneller wil bouwen. Ze hebben twee hulpmiddelen:

1. DevOps: Een hoogst georganiseerd, professioneel team van ingenieurs die naadloos samenwerken om huizen snel te bouwen, te testen en te verplaatsen.
2. Low-Code-platforms (LCDP's): Een set "Lego-achtige" bouwpakketten. Deze pakketten stellen zelfs mensen toe die geen professionele architecten zijn (zogenaamde "burgerontwikkelaars") om muren en ramen zeer snel aan elkaar te klikken, zonder dat ze cement hoeven te mengen of bakstenen met de hand hoeven te leggen.

Het artikel onderzoekt wat er gebeurt als je probeert deze Lego-pakketten te gebruiken binnen de professionele bouwplaats. De auteurs noemen dit het "Low-Code-paradox".

Het Paradox: De Lego-pakketten maken bouwen veel sneller en eenvoudiger (efficiëntie), maar ze creëren ook nieuwe, verborgen gaten in de muren waar inbrekers (hackers) doorheen kunnen sluipen (veiligheidsrisico's).

Wat de Auteurs Deden (De Methode)

De onderzoekers deden niet zomaar een gok; ze gingen naar buiten en spraken met 12 ervaren bouwmanagers en ingenieurs (IT-professionals) uit Finland, Spanje en China. Deze mensen hadden jarenlang zowel de professionele methoden als de Lego-pakketten gebruikt.

Ze stelden hen de vraag: "Wanneer je deze snelle Lego-pakketten mengt met je snelle bouwproces, wat gaat er dan mis met veiligheid en regels?"

Ze luisterden naar de antwoorden en zochten naar gemeenschappelijke patronen, net als een detective die aanwijzingen aan elkaar plakt.

Wat Ze Vonden (De Resultaten)

1. Het "Dubbelzijdige Zwaard"

De experts waren het erover eens dat Low-Code een dubbelzijdig zwaard is.

• Het Goede: Het automatiseert saaie taken en helpt teams om apps sneller te bouwen. Het is alsof je een robotarm hebt die direct bakstenen plaatst.
• Het Slechte: Omdat deze pakketten verbinding maken met zoveel andere tools (zoals externe stroombronnen of waterleidingen), creëren ze een groter "aanvalsoppervlak". Denk hierbij aan het toevoegen van honderd nieuwe deuren en ramen aan je huis om het makkelijker te maken om binnen te komen; nu zijn er honderd extra plekken waar een dief binnen kan breken.

2. Het "Schaduw"-Probleem

Een groot probleem is Shadow IT. Dit gebeurt wanneer werknemers deze Lego-pakketten gebruiken om hun eigen tools te bouwen zonder de IT-veiligheidsteam te informeren.

• Analogie: Stel je een werknemer op de bouwplaats voor die in het geheim een zijdeur bouwt met een slot dat hij zelf heeft gemaakt, zonder dat de hoofdbeveiligingswacht het weet. De wacht denkt dat het huis veilig is, maar er is eigenlijk een onvergrendelde achterdeur. Het artikel merkt op dat aanvallers steeds vaker zoeken naar deze onbevoegde tools.

3. De "SolarWinds"-Wakkerwording

De onderzoekers noemden een beroemde echte hack (SolarWinds) waarbij aanvallers via hun toeleveringsketens in grote bedrijven slopen.

• De Les: Zelfs als de fabrikant van het Lego-pakket zegt: "We hebben de veiligheid geüpdatet", is dat misschien niet genoeg. Het artikel suggereert dat het hebben van de tool niet genoeg is; je moet constant het hele huis scannen op scheuren, niet alleen de voordeur.

4. De Menselijke Factor

De experts merkten op dat hoewel deze tools teams helpen om samen te werken, de mensen die ze gebruiken vaak de veiligheid vergeten.

• Analogie: Het is alsof je een kind een boormachine geeft omdat deze makkelijk vast te houden is. Ze kunnen snel een stoel bouwen, maar ze beseffen misschien niet dat ze zojuist een gat hebben geboord dwars door de gasleiding. Het artikel zegt dat "cyberhygiëne" (basisveiligheidsgewoonten) de beste manier is om deze ongelukken te voorkomen.

Het Voorgestelde Oplossing: Een "Holistisch Kader"

De auteurs wezen niet alleen op de problemen; ze bouwden een Veiligheidskader (getoond in hun Figuur 2) om deze op te lossen. Ze stellen drie hoofdstrategieën voor:

1. Geautomatiseerde Veiligheidscontroles (Shift-Left):
   In plaats van te wachten tot het huis is gebouwd om op lekken te controleren, controleer je erop terwijl je de Lego-blokken aan elkaar klikt. Je gebruikt geautomatiseerde tools om op veiligheidsgaten te scannen voordat de app zelfs maar af is.

2. Zero Trust (De "Nooit Vertrouwen, Altijd Controleren"-Regel):
   Stel je een hoogbeveiligde bank voor. Zelfs als je een sleutel hebt, controleert de bewaker elke keer je ID wanneer je door een deur loopt. Het artikel stelt voor dit toe te passen op software: verifieer elke enkele aanvraag, zelfs die van binnen het gebouw, en geef mensen alleen de minimale toegang die ze nodig hebben.

3. Adaptief Bestuur (Het Regelboek):
   Omdat iedereen met deze pakketten kan bouwen, heeft het bedrijf een streng regelboek nodig.

• Sandboxing: Laat mensen spelen met de Lego-pakketten in een "zandbak" (een veilige, geïsoleerde ruimte) zodat als ze iets breken, het niet het hele bedrijf laat crashen.
• Naamgeving: Zorg ervoor dat iedereen hun bestanden en mappen op dezelfde manier noemt, zodat niets verloren gaat of verward raakt.
• Leverancierscontroles: Voordat je een nieuw Lego-pakket koopt, controleer of de fabrikant veilig is en of ze de regels van je bedrijf naleven.

De Conclusie

Het artikel concludeert dat Low-Code en DevOps een krachtige combinatie zijn, maar dat ze een culturele verschuiving vereisen.

Je kunt niet zomaar de tool kopen en hopen op het beste. Organisaties moeten:

• Deze nieuwe tools behandelen met dezelfde ernst als traditioneel coderen.
• Accepteren dat je nooit 100% veilig kunt zijn, maar dat je weerbaar kunt zijn.
• Een cultuur creëren waarin iedereen om veiligheid geeft, niet alleen het veiligheidsteam.

Kortom: Snelheid is geweldig, maar als je de deuren niet afsluit terwijl je hard loopt, verlies je alles. Het artikel betoogt dat met de juiste regels en een mindset waarbij veiligheid voorop staat, bedrijven kunnen genieten van de snelheid van Low-Code zonder beroofd te worden door hackers.