As plataformas no-code permitem que os departamentos especializados da sua empresa desenvolvam eles próprios aplicações digitais, sem dependerem do desenvolvimento de software clássico em cada projeto. Sem uma estrutura vinculativa, porém, esta liberdade pode rapidamente conduzir a TI sombra, falhas de segurança e riscos de conformidade. Por isso, uma governança no-code bem pensada cria um quadro em que os seus colaboradores podem trabalhar com autonomia, sem que os dados sensíveis, os direitos de acesso e os processos críticos deixem de estar protegidos.

A governança no-code designa as regras organizacionais e técnicas com que controla a utilização de plataformas no-code na sua empresa. Define quais as plataformas autorizadas, como as aplicações são desenvolvidas e aprovadas e que requisitos de segurança se aplicam. O objetivo é permitir que os seus departamentos especializados trabalhem de forma autónoma e, ao mesmo tempo, garantir uma utilização controlada e rastreável das aplicações.

Para isso, é necessário reunir várias áreas. Com a governança de TI, cria o quadro geral para a utilização dos seus sistemas de TI. A segurança informática protege dados, aplicações e infraestrutura. Através da conformidade de TI, garante o cumprimento de requisitos internos e externos. A governança de dados também desempenha um papel importante quando define como os seus colaboradores podem armazenar, utilizar e partilhar dados.

Duas pessoas vestidas de branco seguram painéis de vidro como se fossem dispositivos técnicos, sob uma luz roxa.

O no-code torna o desenvolvimento de aplicações muito mais acessível. É precisamente aí que reside também um risco. Quando os colaboradores podem criar soluções digitais independentemente da TI, surgem rapidamente estruturas sobre as quais a empresa quase já não tem uma visão completa.

Quando um departamento especializado precisa de uma solução a curto prazo para um novo processo, uma ferramenta configurada à pressa parece, à partida, prática. No entanto, se várias equipas utilizarem cada vez mais aplicações por conta própria e nelas guardarem dados sensíveis, perde rapidamente a visão geral.

Torna-se então difícil para a sua TI perceber que plataformas estão em uso, onde se encontram as informações e quem é responsável por cada aplicação. Surgem assim não só TI sombra, mas frequentemente também silos de dados, porque as informações se dispersam por diferentes sistemas.

Com uma governança no-code eficaz, cria transparência sobre as plataformas e aplicações utilizadas. Um registo central ajuda-o a inventariar as soluções existentes e a identificar atempadamente soluções isoladas e não controladas.

Mesmo numa plataforma autorizada, influencia de forma decisiva a segurança informática através dos direitos de acesso. Se os colaboradores puderem ver ou editar mais dados do que o necessário para as suas tarefas, aumenta desnecessariamente o risco.

Com um conceito de direitos e funções, define que utilizadores podem aceder a determinadas aplicações e informações. O princípio do menor privilégio oferece-lhe uma orientação clara: atribui apenas as permissões de que um utilizador realmente precisa para as suas tarefas.

Com a crescente interligação, deve ainda ter em atenção as interfaces API e os serviços externos. Mesmo uma aplicação configurada de forma segura internamente pode gerar riscos se transmitir dados automaticamente a terceiros. Por isso, deve integrar de forma sólida a segurança na nuvem e o controlo dessas ligações na sua segurança informática.

Cursor do rato sobre a palavra Security.

É necessário um cuidado especial quando as suas aplicações tratam dados pessoais ou outras informações sensíveis. Tem de conseguir perceber que dados são armazenados, para que fim servem e a que sistemas são transmitidos.

Não se trata apenas da conformidade com o RGPD. Consoante o setor e a estrutura da empresa, tem ainda de ter em conta requisitos internos, regulamentos setoriais ou normas como a ISO 27001. A falta de uma documentação adequada dificulta não só a conformidade de TI, mas também a posterior análise de incidentes de segurança ou de alterações erróneas. Por isso, defina logo no planeamento de uma aplicação que dados podem ser tratados e que medidas de proteção são necessárias.

Para poder escalar o Citizen Development com segurança na sua empresa, precisa de estruturas rastreáveis. Estas devem dar orientação aos seus colaboradores no dia a dia, sem causar trabalho administrativo desnecessário.

Defina quem é responsável pelo desenvolvimento, pela verificação e pelo acompanhamento das suas aplicações no-code. Os Citizen Developers podem, por exemplo, criar e manter aplicações, enquanto os responsáveis funcionais avaliam os requisitos de negócio. Os seus administradores de TI ocupam-se das condições técnicas. No caso de aplicações com maior necessidade de proteção, deve envolver adicionalmente pessoas responsáveis da segurança informática ou da conformidade de TI.

Documente as responsabilidades de cada aplicação em produção. Assim, os seus colaboradores sabem a quem se dirigir em caso de alterações, problemas técnicos ou questões de segurança.

Tenha também em conta as mudanças de pessoal. Quando colaboradores deixam a empresa ou mudam de departamento, a responsabilidade pelas suas aplicações tem de passar para outra pessoa. Defina para isso um processo de transição vinculativo, para que aplicações importantes não fiquem dependentes de colaboradores individuais.

Homem a trabalhar num computador que está sobre uma secretária.

Nem todas as aplicações no-code colocam os mesmos requisitos à sua segurança informática. Uma simples lista de tarefas interna requer muito menos controlo do que uma aplicação com a qual gere dados de clientes pessoais ou processos críticos para o negócio.

Por isso, classifique as suas aplicações com base no risco e na respetiva necessidade de proteção. Tenha em conta, entre outros aspetos, o tipo de dados tratados, o impacto de possíveis erros e os sistemas ligados. Com base nisso, define que requisitos de segurança se aplicam e que entidades envolve na verificação. Desta forma, alinha os seus controlos com o risco real e aplica os seus recursos de forma direcionada onde são realmente importantes.

Com um conceito de direitos e funções bem pensado, evita que os colaboradores tenham acesso a dados de que não precisam para as suas tarefas. Por isso, atribua as permissões com a maior granularidade possível e reveja-as regularmente.

Tenha o cuidado de não definir os direitos de acesso apenas na construção de uma aplicação. As equipas mudam, os colaboradores assumem novas tarefas e funcionalidades adicionais ampliam as aplicações existentes. Por isso, verifique regularmente se os direitos atribuídos ainda correspondem ao processo atual. Com um controlo de acessos centralizado, mantém a visão geral e consegue manter mais facilmente um nível uniforme de segurança informática.

Figuras de madeira que representam uma hierarquia.

Não tem de desenvolver de novo as verificações de segurança para cada aplicação. Com processos de segurança informática padronizados, cria um procedimento fixo para verificações recorrentes. Consoante o caso de utilização, deve ter em conta, entre outros, os seguintes pontos:

  • a verificação dos dados tratados e da sua necessidade de proteção
  • o controlo dos direitos de acesso e das funções
  • a avaliação dos sistemas ligados e das interfaces API
  • a proteção da autenticação
  • o armazenamento seguro de dados
  • o planeamento de cópias de segurança e de procedimentos de recuperação

Para isso, transponha as suas políticas de segurança informática existentes para a utilização de aplicações no-code. Verificações uniformes e revisões regulares dão orientação aos seus departamentos especializados e reduzem, ao mesmo tempo, o esforço de coordenação para a sua segurança informática.

A introdução de uma governança no-code exige mais do que a definição de regras vinculativas. As empresas têm de integrar as diretrizes nos fluxos de trabalho existentes e garantir que as equipas envolvidas as aplicam no dia a dia. Surgem frequentemente vários desafios:

  • recursos de TI limitados, em pessoal e tempo, para verificações e controlos
  • alterações rápidas nas plataformas no-code utilizadas
  • requisitos e formas de trabalhar distintos nos departamentos especializados
  • falta de aceitação de diretrizes adicionais

É particularmente importante tornar as regras compreensíveis e praticáveis. Se as diretrizes forem demasiado complicadas ou exigirem muito esforço, diminui a disposição dos seus colaboradores para as cumprir de forma consistente. Favorece assim precisamente a TI sombra que pretendia evitar. Por isso, deve envolver os departamentos especializados afetados logo no início e alinhar os processos de governança com os seus fluxos de trabalho reais.

Pessoa a estruturar a conceção de uma ferramenta numa folha de papel.

O melhor é integrar as suas diretrizes de governança diretamente em todo o processo da aplicação. Não espere até pouco antes da aprovação de uma aplicação. Defina logo no início que requisitos se aplicam durante o desenvolvimento, a verificação, a utilização e a posterior desativação.

Passo 1: Desenvolvimento

Dê aos seus Citizen Developers um quadro claro logo durante o desenvolvimento. Isso inclui, por exemplo, utilizarem exclusivamente plataformas autorizadas e fontes de dados permitidas.

Formule as suas políticas de segurança informática de forma tão compreensível que os seus colaboradores consigam perceber por si próprios que requisitos se aplicam ao seu caso de utilização. Desta forma, tem em conta os aspetos de segurança diretamente no desenvolvimento e evita correções posteriores.

Passo 2: Verificação e aprovação

Assim que a aplicação estiver desenvolvida, verifique se cumpre os requisitos definidos. Oriente-se pela categoria de risco previamente determinada e pelas diretrizes que lhe correspondem.

Documente o resultado da verificação e registe quem aprovou a aplicação. No caso de alterações que influenciem significativamente o perfil de risco, deve prever uma nova verificação. Assim, fica rastreável com base em que critérios uma aplicação pode ser utilizada em produção.

Passo 3: Operação e monitorização

Continue a acompanhar as suas aplicações também depois da aprovação. Durante a operação, surgem novos utilizadores, as permissões mudam e as equipas ampliam as funcionalidades existentes.

Com um registo de auditoria, pode rastrear atividades relevantes e acompanhar mais facilmente as alterações a dados ou sistemas. Isto ajuda-o tanto em verificações internas como na análise de possíveis problemas.

Verifique ainda regularmente se os direitos de acesso, as integrações e as responsabilidades continuam a corresponder à finalidade de utilização atual.

Passo 4: Arquivo e desativação

Termine o ciclo de vida de uma aplicação no-code de forma controlada, assim que deixe de ser necessária. Verifique primeiro se outros processos ou sistemas continuam a aceder à aplicação. Guarde ou arquive os dados necessários de acordo com as suas políticas de conservação e elimine as informações que já não sejam necessárias, desde que não existam impedimentos legais ou internos.

De seguida, remova os direitos de acesso que já não são necessários e desative as interfaces ligadas. Documente a desativação, para que fique rastreável quando a aplicação foi retirada de serviço e que medidas foram tomadas.

Talvez receie que regras de governança adicionais voltem a travar as vantagens do Citizen Development. Se os seus colaboradores tiverem de passar por vários níveis de aprovação por cada pequena alteração, perde de facto parte da velocidade que o no-code deveria oferecer. Por isso, o decisivo é adaptar o âmbito dos controlos ao risco em causa.

Crie, por isso, margens de ação claras para os seus Citizen Developers. Defina padrões vinculativos e permita decisões autónomas dentro desse quadro. Fluxos de verificação padronizados e responsabilidades claramente definidas ajudam a tornar a coordenação mais eficiente.

O decisivo é que a sua governança de TI não centralize todas as decisões, mas preveja controlos adicionais apenas onde são necessários. Assim, alia processos de segurança informática fiáveis a processos de desenvolvimento flexíveis e permite que os seus departamentos especializados implementem novas soluções com rapidez.

Equipa reunida em redor de post-its colados numa superfície de vidro.

Com uma plataforma no-code central como o SeaTable, pode também refletir tecnicamente muitos dos requisitos da sua governança. Em vez de utilizar soluções isoladas e diferentes nos vários departamentos, concentra aplicações e dados num ambiente comum.

No SeaTable, pode atribuir direitos de acesso de forma diferenciada e controlar aprovações de forma direcionada para diferentes áreas e grupos de utilizadores. Consoante o caso de utilização, dá aos colaboradores apenas direitos de leitura ou permite-lhes editar determinados dados. Com permissões de tabela, pode ainda restringir os acessos com maior precisão.

O SeaTable também o apoia na rastreabilidade. Através de vários históricos e registos, pode verificar posteriormente alterações e atividades. Desta forma, apoia tanto os controlos internos como os requisitos da sua conformidade de TI e segurança informática.

Através de interfaces API, pode ligar o SeaTable a sistemas existentes. Se tiver requisitos elevados de segurança na nuvem ou de soberania dos dados, pode ainda operar o SeaTable na sua própria infraestrutura. Assim, mantém mais controlo sobre onde estão os seus dados e sobre como configura o seu ambiente técnico.

Dessa forma, cria com o SeaTable uma base técnica para o seu Citizen Development, num ambiente gerido de forma centralizada. As verificações e aprovações adicionais de que necessita determina-as com base na sua própria governança de TI e na respetiva necessidade de proteção.

Servidores com iluminação azul.

Com o no-code, dá aos seus departamentos especializados a possibilidade de configurarem processos digitais de forma autónoma. Sem estruturas adequadas, porém, arrisca-se a TI sombra, responsabilidades pouco claras e falhas de segurança adicionais.

Com uma governança no-code eficaz, alia diretrizes organizacionais a medidas de proteção técnicas. Define funções, classifica as aplicações por risco, controla os direitos de acesso e estabelece processos de segurança informática uniformes.

Não encare a governança como um conjunto rígido de regras. As plataformas, os processos e os requisitos evoluem. Por isso, reveja também regularmente as suas estruturas e adapte-as a novos requisitos. Assim, pode aproveitar as vantagens do no-code e manter a sua segurança informática sempre sob controlo.

O que se entende por governança no-code no contexto empresarial?

Com a governança no-code, define as regras organizacionais e técnicas para a utilização de plataformas no-code na sua empresa. Determina que ferramentas os seus colaboradores podem utilizar, quem pode desenvolver aplicações e que requisitos se aplicam à aprovação, à operação e ao controlo. Desta forma, alia o Citizen Development à sua governança de TI, segurança informática e conformidade de TI.

Como é que a governança no-code evita o surgimento de TI sombra?

Evita a TI sombra sobretudo quando oferece aos seus departamentos especializados uma alternativa praticável e autorizada. Disponibilize plataformas adequadas e defina regras compreensíveis para a sua utilização. Assim, os seus colaboradores podem desenvolver soluções próprias sem recorrerem a aplicações não autorizadas. A sua TI mantém, entretanto, a visão geral dos sistemas utilizados, das responsabilidades e dos fluxos de dados.

Que influência tem a governança no-code na segurança informática?

Com a governança no-code, tem em conta os requisitos de segurança informática logo durante o desenvolvimento. Verifica atempadamente direitos de acesso, fluxos de dados, interfaces e categorias de risco e, com processos de segurança informática uniformes, cria um quadro fixo para controlos recorrentes. Assim, reduz os riscos decorrentes de permissões demasiado abrangentes, integrações inseguras ou transmissões de dados não controladas.

Uma governança de TI rigorosa não trava a inovação dos Citizen Developers?

Isso depende de como configurar as suas diretrizes. Se todas as aplicações tiverem de passar pelo mesmo processo de aprovação extenso, pode de facto abrandar o desenvolvimento. Com uma abordagem baseada no risco, cria mais flexibilidade. Dê maior liberdade às aplicações simples e verifique mais a fundo as aplicações sensíveis. Assim, os seus departamentos especializados mantêm a capacidade de ação e concentra as medidas de segurança nas áreas que realmente precisam delas.

TAGS: No Code & Low Code Segurança Informática E Proteção De Dados