O SaaS razmišljamo na napačen način

We’re used to thinking about securing software-as-a-service (SaaS) platforms and the cloud as two separate beasts. This separation stems from the way SaaS and the public cloud first emerged as small point solutions and an extension of the traditional data center, respectively. Today, due to the advent of low code, this separation is wrong, and it’s holding us back from seeing what’s right in front of our eyes. Low code makes SaaS platforms a part of the public cloud, a place where developers build multiple applications rather than consuming a single one: a cloud platform.

Če ne uspemo spremeniti svoje miselnosti, nas vodi do tega, kje smo danes, pri čemer so te aplikacije prepuščene lastništvu brez vidnega vidika varnosti. In da je zadeva še hujša, so aplikacije z nizko kodo vdelane neposredno v platforme, kot sta Salesforce in Microsoft Dynamics, ki ju uporabljamo vsi in hranita naše najbolj občutljive poslovne podatke.

Kako smo prišli sem?

Zgodbe o izvoru so vedno zanimive, ker razložijo nekaj temeljnega o tem, kako dojemamo junaka zgodbe. Medtem ko se je SaaS začel kot razširitev korporativnega omrežja, se je javni oblak začel kot razširitev podatkovnega centra. Ta zelo različna izhodišča pojasnjujejo, zakaj se je varovanje SaaS začelo s senčnim IT (zaščita perimetra), varovanje javnega oblaka pa z zaščito delovne obremenitve (strežniki dviganja in premikanja in njihovi omrežni/gostiteljski agenti). To je tudi pomenilo, da so bile za varovanje SaaS in oblaka zadolžene različne varnostne ekipe, kar je seveda privedlo do ločevanja orodij, različnega modeliranja groženj in, kar je najpomembneje, oblikovanja različnih varnostnih miselnosti.

Tako SaaS kot javni oblak sta se od teh prvih dni drastično razvila. Ponudniki javnih oblakov so uvedli vedno bolj razdrobljene računalniške paradigme, postopoma uvajajo infrastrukturo kot storitev (IaaS), platformo kot storitev (PaaS) in brez strežnika, da bi razvijalcem pomagali, da se osredotočijo na trenutno poslovno težavo. Zgradili so tudi celoten ekosistem že pripravljenih rešitev za zapletene, a pogoste probleme – identiteto, dovoljenja, beleženje, konfiguracijo in uvajanje, če naštejemo le nekatere.

SaaS je včasih pomenil točkovno rešitev za določen problem. Salesforce se je začel kot CRM, ServiceNow kot sistem za prodajo vstopnic, Office365 pa kot e-pošta, preglednice, dokumenti in diapozitivi. (Čeprav je to več kot ena rešitev, so te zelo specifične.) Primerjajte to z današnjim dnem: razvijalci Salesforce gradijo aplikacije za skoraj vse poslovne potrebe na vrhu platforme Salesforce so aplikacije ServiceNow z nizko kodo ravnanje s skoraj vsem from HR to health and finance processes, and Power Platform, Microsoft’s low-code platform embedded into Office365, is being used by more than 20 milijonov uporabnikov v celotni industriji rešiti vsako poslovno potrebo, od produktivnosti do nabave in procesov, povezanih s COVID-om.

Jasno je, da so to postale platforme za razvoj aplikacij na ravni podjetja, ne pa usmerjanje rešitev za specifične poslovne težave. Številni razvijalci se danes odločijo, da bodo svoje aplikacije gradili na abstrakcijah, ki jih zagotavlja platforma, ne glede na to, ali gre za brezstrežniške funkcije v javnem oblaku ali razširljive gradnike na platformah z nizko kodo SaaS.

Uvedba poslovnih razvijalcev

Comparing how SaaS platforms started and where they are now clearly shows how far these have come from their earlier versions. But there’s still a major shift we haven’t mentioned yet: the introduction of business developers.

SaaS platforme z nizko kodo črpajo svojo moč iz podatkov, ki jih vzdržujejo, in svojih obstoječih uporabnikov. Oba nista omejena na IT, temveč sta močno usmerjena v posel. Dostop tako do poslovnih podatkov kot do poslovnih uporabnikov pomeni, da je SaaS v odličnem položaju za reševanje najbolj perečega vprašanja, s katerim se danes srečujejo mnoga podjetja – digitalne transformacije.

Zaradi globalnega pomanjkanja razvijalcev in težav pri poenostavitvi poslovnega procesa s tako številnimi zainteresiranimi stranmi platforme z nizko kodo uvedejo bližnjico, ki poslovnim uporabnikom omogoča, da sami poenostavijo svoje procese, ne da bi čakali na IT.

Nizka koda postaja pri poslovnih uporabnikih tako zelo priljubljena, da je v svojem uvodnem govoru na Inspire leta 2019 izvršni direktor Microsofta Satya Nadella razpravljali o priložnosti nizke kode za opolnomočenje ljudi in ustvarjanje novih delovnih mest za bele ovratnike, tako kot je to storil Excel.

Tako kot je javni oblak platforma za razvoj aplikacij, ki razvijalcem omogoča, da se osredotočijo na svojo poslovno logiko, so platforme SaaS postale platforme za razvoj aplikacij z uporabo nizke kode, ki poslovnim uporabnikom omogoča, da postanejo razvijalci in obravnavajo vse poslovne potrebe.

SaaS je zdaj osredotočen na nove vrste razvijalcev, ki obravnavajo celo vrsto nezadovoljenih poslovnih potreb z namenskimi aplikacijami in ustvarjajo novo vrsto oblaka: poslovni oblak.

Zaščita nizke kode kot razširitev oblaka

Ob spoznanju, da so nekatere platforme SaaS zdaj platforme za razvoj aplikacij in razširitev oblaka, bi morali ponovno preučiti odgovornosti for securing those applications and bringing them under the security team’s umbrella.

Platforme, kot so Salesforce, ServiceNow in Office365, bi morali obravnavati enako kot obravnavamo AWS, Azure in GCP, kjer se osredotočamo na aplikacije, ki so bile zgrajene in gostujejo v teh platformah za razvoj aplikacij, namesto da obravnavamo celotno platformo kot eno samo aplikacijo. .

Shadow IT, for example, remains an issue with smaller and an ever-growing number of point-solution SaaS. But it doesn’t make sense to treat any single platform mentioned above as a single app to discover and catalog. Instead, we should discover and catalog the applications built with those platforms — and there are tens of thousands of those. In most organizations, this enormous complexity is hidden behind a single line in an application inventory.

Aplikacije, izdelane s platformami z nizko kodo SaaS, bi morale biti preučiti z enako strogostjo varnosti, kot jo uporabljamo za tiste, zgrajene v oblaku, ker je na koncu aplikacija aplikacija, ne glede na to, kje je bila zgrajena in gostovana.

Kar je pomembno za varnost naših poslovnih aplikacij, so ljudje, postopki in orodja, ki sodelujejo pri izdelavi, vzdrževanju in zaščiti teh aplikacij. Za aplikacije, zgrajene v oblaku, imamo profesionalne razvijalce, avtomatizirane procese CI/CD in različna varnostna orodja od skeniranja kode in dinamične analize do nadzora med izvajanjem in preprečevanja. Za aplikacije, zgrajene na platformah z nizko kodo SaaS, imamo nekaj profesionalnih razvijalcev, pa tudi poslovne uporabnike, ki so ne pozna varnostis malo ali nič procesov uvajanja in nobenih varnostnih kontrol ali jamstev.

Če razmišljamo o platformah z nizko kodo kot delu SaaS, nam je težko videti, da a velika del naših poslovnih aplikacij zdaj gradi podjetje, zunaj IT in zunaj varnostnega nadzora. Da bi začeli videti težavo in ugotoviti naš pristop k njej, moramo spremeniti svojo miselnost, da priznamo platforme z nizko kodo kot del oblaka in obravnavamo aplikacije na teh platformah kot vse druge aplikacije.