Ajattelemme SaaS:a väärällä tavalla

Olemme tottuneet ajattelemaan ohjelmisto-as-a-service (SaaS) -alustojen ja pilven turvaamista kahtena erillisenä pedona. Tämä erottaminen johtuu siitä, miten SaaS ja julkinen pilvi syntyivät alun perin pieninä pisteratkaisuina ja vastaavasti perinteisen datakeskuksen laajennuksina. Nykyään matalan koodin tulon vuoksi tämä erottelu on väärin, ja se estää meitä näkemästä sitä, mikä on silmiemme edessä. Matala koodi tekee SaaS-alustoista osan julkista pilvipalvelua, paikkaa, jossa kehittäjät rakentavat useita sovelluksia sen sijaan, että kuluttaisivat yhtä: pilvialustaa.

Epäonnistuminen ajattelutavan muuttamisessa johtaa nykyiseen tilanteeseen, jossa nämä sovellukset jäävät käsiksi ilman tietoturvanäkyvyyttä. Ja vielä pahempaa, matalakoodiset sovellukset on upotettu suoraan alustoihin, kuten Salesforce ja Microsoft Dynamics, joita me kaikki käytämme ja jotka sisältävät arkaluontoisimpia yritystietojamme.

Kuinka me päädyimme tänne?

Alkuperätarinat ovat aina mielenkiintoisia, koska ne selittävät jotain perustavanlaatuista tavasta, jolla koemme tarinan sankarin. SaaS aloitti yritysverkon laajennuksena, kun taas julkinen pilvi aloitti palvelinkeskuksen laajennuksena. Nämä hyvin erilaiset lähtökohdat selittävät, miksi SaaS-suojaus aloitettiin varjo-IT:llä (kehän suojaaminen) ja julkisen pilven suojaaminen työkuormasuojauksella (lift-and-shift -palvelimet ja niiden verkko-/isäntäagentit). Tämä merkitsi myös sitä, että eri tietoturvatiimien tehtävänä oli turvata SaaS ja pilvi, mikä tietysti johti työkalujen erotteluun, erilaiseen uhkien mallintamiseen ja mikä tärkeintä, erilaisten turvallisuusmielipiteiden muodostumiseen.

Sekä SaaS että julkinen pilvi ovat kehittyneet dramaattisesti noista alkuajoista. Julkiset pilvipalveluntarjoajat esittelivät yhä yksityiskohtaisempia laskentaparadigmoja, ottamalla asteittain käyttöön infrastruktuurin palveluna (IaaS), alustan palveluna (PaaS) ja palvelimettoman, jotta kehittäjät voivat keskittyä käsillä olevaan liiketoimintaongelmaan. He rakensivat myös kokonaisen valmiiden ratkaisujen ekosysteemin monimutkaisiin mutta yleisiin ongelmiin – identiteettiin, käyttöoikeuksiin, lokiin, konfigurointiin ja käyttöönottoon muutamia mainitakseni.

SaaS tarkoitti aiemmin pisteratkaisua tietylle ongelmalle. Salesforce aloitti CRM:nä, ServiceNow lippujärjestelmänä ja Office365 sähköpostina, laskentataulukoina, asiakirjoina ja dioina. (Vaikka tämä on useampi kuin yksi ratkaisu, nämä ovat hyvin erityisiä.) Verrattuna tähän päivään: Salesforce-kehittäjät rakentavat sovelluksia lähes mihin tahansa liiketoiminnan tarpeeseen Salesforce Platformin päällä ovat ServiceNow-sovellukset, joiden koodi on matala hoitaa melkein mitä tahansa HR:stä terveys- ja talousprosesseihin, ja Power Platform, Microsoftin Office365:een upotettu matalakoodialusta, on käytössä yli 20 miljoonaa käyttäjää koko toimialalla ratkaisemaan kaikki liiketoiminnan tarpeet, tuottavuudesta hankintaan ja COVIDiin liittyviin prosesseihin.

On selvää, että niistä on tullut yritystason sovelluskehitysalustoja, eivätkä ne tarjoa ratkaisuja tiettyihin liiketoimintaongelmiin. Monet kehittäjät päättävät nykyään rakentaa sovelluksensa alustan tarjoamille abstraktioille, olivatpa ne palvelimettomia toimintoja julkisessa pilvessä tai laajennettavia rakennuspalikoita SaaS-alustalla.

Liiketoiminnan kehittäjien esittely

Vertaamalla SaaS-alustojen alkua ja missä ne ovat nyt, osoittaa selvästi, kuinka pitkälle ne ovat edenneet aiemmista versioistaan. Mutta silti on olemassa suuri muutos, jota emme ole vielä maininneet: liiketoiminnan kehittäjien esittely.

SaaS-alustat hyödyntävät tehoaan ylläpitämiensä tietojen ja olemassa olevien käyttäjien avulla. Ne eivät kumpikaan rajoitu IT-alaan, vaan suuntautuvat voimakkaasti liiketoimintaa kohti. Pääsy sekä yritystietoihin että yrityskäyttäjiin tarkoittaa, että SaaS on täydellisessä asemassa ratkaisemaan monien yritysten tämän päivän kiireellisimmän ongelman – digitaalisen muutoksen.

Koska kehittäjistä on maailmanlaajuinen pula ja liiketoimintaprosessien virtaviivaistaminen niin monien sidosryhmien kanssa on vaikeaa, matalakoodialustat ottavat käyttöön pikakuvakkeen, jonka avulla yrityskäyttäjät voivat virtaviivaistaa prosessejaan itse odottamatta IT:tä.

Matala koodi on nousussa yrityskäyttäjien keskuudessa niin paljon, että Microsoftin toimitusjohtaja Satya Nadella 2019 Inspire-puheenvuorossaan keskusteltiin mahdollisuudesta alhainen koodi antaa ihmisille vaikutusmahdollisuuksia ja luoda uusia toimihenkilötöitä aivan kuten Excel teki.

Aivan kuten julkinen pilvi on sovelluskehitysalusta, jonka avulla kehittäjät voivat keskittyä liiketoimintalogiikkaan, SaaS-alustoista on tullut sovelluskehitysalustoja, jotka käyttävät alhaista koodia antaakseen yrityskäyttäjille mahdollisuuden tulla kehittäjiksi ja vastata kaikkiin liiketoiminnan tarpeisiin.

SaaS on nyt keskittynyt uudentyyppisiin kehittäjiin, jotka vastaavat monenlaisiin tyydyttämättömiin liiketoiminnan tarpeisiin omistetuilla sovelluksilla ja luovat uudenlaisen pilven: yrityspilven.

Low Coden turvaaminen pilven laajennuksena

Kun ymmärrämme, että jotkin SaaS-alustat ovat nyt sovelluskehitysalustoja ja pilven laajennus, meidän pitäisi tarkastella uudelleen vastuut näiden sovellusten suojaamiseksi ja niiden saattamiseksi turvallisuustiimin sateenvarjon alle.

Meidän tulisi kohdella alustoja, kuten Salesforce, ServiceNow ja Office365, samalla tavalla kuin käsittelemme AWS:ää, Azurea ja GCP:tä, jolloin keskitymme sovelluksiin, jotka on rakennettu ja isännöity näissä sovelluskehitysalustoissa sen sijaan, että käsittelisimme koko alustaa yhtenä sovelluksena. .

Esimerkiksi Shadow IT on edelleen ongelma pienempien ja jatkuvasti kasvavan pisteratkaisujen SaaS-ratkaisujen kanssa. Mutta ei ole järkevää käsitellä yhtä yllä mainittua alustaa yhtenä sovelluksena löydettäväksi ja luetteloitavaksi. Sen sijaan meidän pitäisi löytää ja luetteloida näillä alustoilla rakennetut sovellukset – ja niitä on kymmeniä tuhansia. Useimmissa organisaatioissa tämä valtava monimutkaisuus on piilotettu yhden rivin taakse sovellusluettelossa.

SaaS matalakoodialustoilla rakennettujen sovellusten pitäisi olla tarkasteltiin samalla tietoturvatarkkuudella, jota käytämme pilveen rakennetuissa, koska sovellus on loppujen lopuksi sovellus riippumatta siitä, missä se on rakennettu ja isännöity.

Yrityssovellustemme turvallisuuden kannalta tärkeitä ovat ihmiset, prosessit ja työkalut, jotka ovat mukana kyseisten sovellusten tekemisessä, ylläpidossa ja suojaamisessa. Pilviin rakennettuihin sovelluksiin meillä on ammattimaisia ​​kehittäjiä, automatisoituja CI/CD-prosesseja ja erilaisia ​​tietoturvatyökaluja koodin skannauksesta ja dynaamisesta analysoinnista ajonaikaiseen valvontaan ja estoon. SaaS-alustaille rakennetuille sovelluksille meillä on ammattikehittäjiä, mutta myös yrityskäyttäjiä ei tietoturvatietoinen, kanssa käyttöönottoprosesseja on vähän tai ei ollenkaan eikä turvatarkastuksia tai takuita.

Ajattelemalla matalan koodin alustoja osana SaaS-palvelua meidän on vaikea nähdä, että a valtava osa Yrityssovelluksistamme rakennetaan nyt liiketoiminta IT-alan ja tietoturvavalvonnan ulkopuolella. Aloittaaksemme nähdä ongelman ja selvittää lähestymistapamme siihen, meidän on muutettava ajattelutapaamme tunnustamaan matalan koodin alustat osana pilviä ja kohdeltava näiden alustojen sovelluksia kuten mitä tahansa muita sovelluksia.