山寨程序員:不可被忽視的安全風險
對于大多數人來說,目前的流水線式的開發平臺仍然相當高深,很難通過這樣的平臺將多種應用程序整合起來,形成適合企業自己辦公習慣的工具軟件。
而隨著技術的發展,開發平臺的使用將變得越來越簡單,對于開發者的技術要求也越來越低,同時開發周期也將大幅度縮短。具Gartner預測,到2014年,企業辦公軟件中約四分之一屬于這種由最終用戶自行設計開發的程序。
但Gartner表示,雖然這種辦公軟件會讓員工的工作效率有所提升,但是同時也會將企業的敏感數據帶入到企業無法控制的環境中,為企業信息安全帶來了風險。
Gartner的Ian Finley認為,基于云的應用程序開發和部署平臺,尤其是高效率的PaaS環境,使得企業可以在自身防火墻保護范圍之外更快速的搭建應用程序。他說:“雖然很多PaaS平臺能夠提供優秀的安全性能,終端用戶卻并不一定會有效的利用這些安全性能。”
Gartner近日的另一份研究報告進一步印證了此類應用程序存在安全隱患的觀點。該報告表示,非專業的開發人員“開發出來的不安全的應用程序越來越多的被黑客利用,成為攻擊行為的中介。”
很多PaaS平臺會將軟件的開發限制在通過一系列模塊組合成企業所需軟件的范圍,即盡量少讓企業用戶自行編寫代碼,從而降低黑客利用代碼漏洞或執行惡意代碼的機會。但是據信息安全公司Integralis研究表示,此類程序仍然面臨安全風險,即從后臺泄露企業信息。
Integralis安全策略部門經理Garry Sidaway表示:“很多程序所擁有的權限遠大于它們實際需要的權限,而其中存在的安全漏洞與其在何處開發或如何開發無關。”他還表示,企業必須確保在自行開發程序的每一步都要經過安全評估和測試。
但Gartner的Finley還認為,企業尋求保護數據安全,不應該通過阻止終端開發者建立企業自己的應用程序來實現,因為這會阻礙一條很有前途的革新方式。
他引用一份調查表示,在美國“部分工作時間里會像專業程序員那樣編程”的人數已經是以往的四倍了。他認為,與其阻攔,不如“為終端程序員指引安全的編程道路”,為這些非專業的程序員提供安全編程和組建應用程序的建議。他說:“針對非專業開發人員的開發工具除了能為這些終端用戶提供方便外,還為IT管理者提供了監控風險的機會。”
Finley 表示,終端用戶的開發行為可以追溯到最初的PC時代,但是現在隨著技術的簡單化,以及人們追求程序多樣化和個性化的趨勢下,終端開發者越來越多了。他說:“在上世紀80年代,人們只敢在電腦上輸入數據或輸出報表,而如今幾乎每個員工都敢在自己的電腦上下載任何自己感興趣的軟件并且用這些軟件來處理企業數據。這種情況來自于企業中開發人員的增多,計算機技術的消費化趨勢,以及軟件廠商如微軟或Salesforce.com對于軟件的用戶友好程度不斷加強的結果。”
“隨著終端用戶開發的程序不斷增多,企業數據出現危險的可能性也在增加。實際上,網絡的危險早已存在,現在已經到了我們不得不認真面對的時候了。”