No-Code-платформы позволяют специализированным отделам вашей компании самостоятельно разрабатывать цифровые приложения, не прибегая к классической разработке программного обеспечения для каждого проекта. Однако без обязательной структуры эта свобода может быстро привести к теневым ИТ, уязвимостям в безопасности и рискам несоблюдения нормативных требований. Продуманная No-Code Governance создаёт рамки, в которых ваши сотрудники могут работать самостоятельно, а конфиденциальные данные, права доступа и критически важные процессы остаются защищёнными.

No-Code Governance — это организационные и технические правила, с помощью которых вы управляете использованием No-Code-платформ в вашей компании. Вы определяете, какие платформы разрешены, как приложения разрабатываются и утверждаются и какие требования безопасности при этом действуют. Цель — дать вашим специализированным отделам возможность работать самостоятельно и одновременно обеспечить контролируемое и прозрачное использование приложений.

При этом необходимо объединить несколько областей. С помощью ИТ-governance вы создаёте общие рамки для использования ваших ИТ-систем. ИТ-безопасность защищает данные, приложения и инфраструктуру. Благодаря ИТ-комплаенсу вы обеспечиваете соблюдение внутренних и внешних требований. Важную роль играет и Data Governance, когда вы определяете, как ваши сотрудники могут хранить, использовать и передавать данные.

Двое людей в белой одежде держат стеклянные панели, словно технические устройства, в фиолетовом свете.

No-Code делает разработку приложений значительно доступнее. Но именно в этом и кроется риск. Там, где сотрудники могут создавать цифровые решения независимо от ИТ-отдела, быстро возникают структуры, о которых у компании почти не остаётся полного представления.

Когда специализированному отделу срочно требуется решение для нового процесса, быстро настроенный инструмент поначалу кажется удобным. Однако если несколько команд всё чаще самостоятельно используют всё больше приложений и хранят в них конфиденциальные данные, вы быстро теряете контроль над ситуацией.

Вашему ИТ-отделу становится трудно отследить, какие платформы используются, где хранится информация и кто отвечает за отдельные приложения. Так возникают не только теневые ИТ, но часто и data-силосы, поскольку информация распределяется по разным системам.

С помощью эффективной No-Code Governance вы создаёте прозрачность в отношении используемых платформ и приложений. Центральный реестр помогает учесть существующие решения и заблаговременно выявлять неконтролируемые разрозненные решения.

Даже при использовании утверждённой платформы вы существенно влияете на ИТ-безопасность через права доступа. Если сотрудники могут просматривать или редактировать больше данных, чем необходимо для их задач, вы без нужды повышаете риск.

С помощью концепции прав и ролей вы определяете, какие пользователи могут получать доступ к определённым приложениям и информации. Принцип наименьших привилегий (Least Privilege) даёт вам чёткий ориентир: вы предоставляете только те разрешения, которые действительно необходимы пользователю для выполнения его задач.

По мере роста взаимосвязей вам следует также следить за API-интерфейсами и внешними сервисами. Даже приложение, безопасно настроенное внутри компании, может создавать риски, если автоматически передаёт данные сторонним поставщикам. Поэтому вам следует прочно встроить облачную безопасность и контроль таких соединений в вашу ИТ-безопасность.

Курсор мыши наведён на слово Security.

Особая тщательность необходима, когда ваши приложения обрабатывают персональные или другие конфиденциальные данные. Вы должны иметь возможность отследить, какие данные хранятся, для какой цели они служат и в какие системы передаются.

Речь идёт не только о соответствии GDPR. В зависимости от отрасли и структуры компании вам необходимо дополнительно учитывать внутренние требования, отраслевые нормативы или стандарты, такие как ISO 27001. Отсутствие надлежащей документации затрудняет не только ИТ-комплаенс, но и последующий разбор инцидентов безопасности или ошибочных изменений. Поэтому уже на этапе планирования приложения определите, какие данные разрешено обрабатывать и какие меры защиты необходимы.

Чтобы вы могли безопасно масштабировать Citizen Development в вашей компании, вам нужны понятные структуры. Они должны давать вашим сотрудникам ориентир в повседневной работе, не создавая лишней административной нагрузки.

Определите, кто отвечает за разработку, проверку и сопровождение ваших No-Code-приложений. Citizen Developers могут, например, создавать и поддерживать приложения, а ответственные специалисты профильных отделов оценивают предметные требования. Ваши ИТ-администраторы занимаются техническими рамочными условиями. Для приложений с повышенной потребностью в защите вам следует дополнительно привлекать ответственных лиц из сферы ИТ-безопасности или ИТ-комплаенса.

Документируйте зоны ответственности для каждого продуктивного приложения. Так ваши сотрудники будут знать, к кому обращаться по вопросам изменений, технических проблем или безопасности.

Учитывайте также кадровые изменения. Если сотрудники покидают вашу компанию или переходят в другой отдел, ответственность за их приложения должна перейти к другому человеку. Установите для этого обязательный процесс передачи, чтобы важные приложения не зависели от отдельных сотрудников.

Мужчина работает за компьютером, стоящим на письменном столе.

Не каждое No-Code-приложение предъявляет одинаковые требования к вашей ИТ-безопасности. Простой внутренний список задач требует значительно меньше контроля, чем приложение, с помощью которого вы управляете персональными данными клиентов или критически важными для бизнеса процессами.

Поэтому классифицируйте ваши приложения по уровню риска и соответствующей потребности в защите. При этом учитывайте, среди прочего, тип обрабатываемых данных, последствия возможных ошибок и подключённые системы. На этой основе вы определяете, какие требования безопасности применяются и какие подразделения вы привлекаете к проверке. Так вы выстраиваете контроль в соответствии с реальным риском и направляете ресурсы туда, где они особенно важны.

Продуманная концепция прав и ролей не позволяет сотрудникам получать доступ к данным, которые им не нужны для выполнения задач. Поэтому предоставляйте разрешения максимально гранулярно и регулярно проверяйте их.

Не ограничивайтесь определением прав доступа только при создании приложения. Команды меняются, сотрудники берут на себя новые задачи, а дополнительные функции расширяют существующие приложения. Поэтому регулярно проверяйте, соответствуют ли предоставленные права текущему процессу. С помощью централизованного Access Control вы сохраняете обзор и можете легче поддерживать единый уровень ИТ-безопасности.

Деревянные фигурки, изображающие иерархию.

Вам не нужно разрабатывать проверки безопасности заново для каждого приложения. С помощью стандартизированных процессов ИТ-безопасности вы создаёте чёткий порядок для повторяющихся проверок. В зависимости от сценария использования вам следует учитывать, среди прочего, следующие пункты:

  • проверка обрабатываемых данных и потребности в их защите
  • контроль прав доступа и ролей
  • оценка подключённых систем и API-интерфейсов
  • обеспечение безопасности аутентификации
  • безопасное хранение данных
  • планирование резервного копирования и процедур восстановления

Для этого перенесите ваши существующие политики ИТ-безопасности на использование No-Code-приложений. Единые проверки и регулярные ревью дают вашим специализированным отделам ориентир и одновременно снижают нагрузку на согласования для вашей службы ИТ-безопасности.

Внедрение No-Code Governance требует большего, чем установление обязательных правил. Компаниям необходимо встроить требования в существующие рабочие процессы и добиться, чтобы задействованные команды применяли их в повседневной работе. При этом часто возникает несколько трудностей:

  • ограниченные кадровые и временные ИТ-ресурсы для проверок и контроля
  • быстрые изменения используемых No-Code-платформ
  • различные требования и способы работы специализированных отделов
  • недостаточное принятие дополнительных требований

Особенно важно сделать правила понятными и практичными. Если требования слишком сложны или связаны с большими затратами, готовность ваших сотрудников последовательно их соблюдать снижается. Тем самым вы способствуете именно тем теневым ИТ, которых хотели избежать. Поэтому вам следует заранее привлекать затронутые специализированные отделы и выстраивать процессы governance в соответствии с их реальными рабочими процессами.

Человек набрасывает на бумаге структуру инструмента.

Лучше всего встроить ваши требования governance непосредственно в весь процесс работы с приложением. Не ждите момента непосредственно перед утверждением приложения. Определите уже в начале, какие требования действуют на этапах разработки, проверки, использования и последующего вывода из эксплуатации.

Шаг 1: Разработка

Задайте вашим Citizen Developers чёткие рамки уже на этапе разработки. Сюда относится, например, использование ими исключительно утверждённых платформ и разрешённых источников данных.

Формулируйте ваши политики ИТ-безопасности настолько понятно, чтобы ваши сотрудники сами могли определить, какие требования действуют для их сценария использования. Так вы учитываете аспекты безопасности непосредственно при разработке и избегаете последующих исправлений.

Шаг 2: Проверка и утверждение

Как только приложение разработано, проверьте, соответствует ли оно установленным требованиям. Ориентируйтесь при этом на ранее определённую категорию риска и применимые к ней требования.

Задокументируйте результат проверки и зафиксируйте, кто утвердил приложение. При изменениях, существенно влияющих на профиль риска, вам следует предусмотреть повторную проверку. Так остаётся понятным, на каком основании приложение может использоваться в продуктивной среде.

Шаг 3: Эксплуатация и мониторинг

Не упускайте ваши приложения из виду и после утверждения. В ходе эксплуатации появляются новые пользователи, меняются разрешения, а команды расширяют существующие функции.

С помощью журнала аудита (Audit Trail) вы можете отслеживать значимые действия и проще прослеживать изменения данных или систем. Это помогает вам как при внутренних проверках, так и при анализе возможных проблем.

Кроме того, регулярно проверяйте, продолжают ли права доступа, интеграции и зоны ответственности соответствовать текущей цели использования.

Шаг 4: Архивирование и вывод из эксплуатации

Завершайте жизненный цикл No-Code-приложения контролируемо, как только оно перестаёт быть нужным. Сначала проверьте, обращаются ли к приложению другие процессы или системы. Сохраните или архивируйте необходимые данные в соответствии с вашими политиками хранения и удалите ненужную информацию, если этому не препятствуют законодательные или внутренние требования.

Затем удалите более не нужные права доступа и деактивируйте подключённые интерфейсы. Задокументируйте вывод из эксплуатации, чтобы оставалось понятным, когда приложение было отключено и какие меры при этом были приняты.

Возможно, вы опасаетесь, что дополнительные правила governance снова сведут на нет преимущества Citizen Development. Если вашим сотрудникам для каждого небольшого изменения придётся проходить несколько ступеней согласования, вы действительно потеряете часть скорости, которую No-Code должен обеспечивать. Поэтому решающее значение имеет соразмерность объёма контроля соответствующему риску.

Поэтому предоставьте вашим Citizen Developers чёткое пространство для действий. Установите обязательные стандарты и позвольте принимать самостоятельные решения в этих рамках. Стандартизированные процедуры проверки и чётко распределённые зоны ответственности помогают сделать согласования более эффективными.

Важно, чтобы ваш ИТ-governance не централизовал каждое решение, а предусматривал дополнительный контроль только там, где он необходим. Так вы сочетаете надёжные процессы ИТ-безопасности с гибкими процессами разработки и позволяете вашим специализированным отделам быстро реализовывать новые решения.

Команда собралась вокруг стикеров, приклеенных к стеклянной поверхности.

С помощью централизованной No-Code-платформы, такой как SeaTable, вы можете реализовать многие требования вашей governance и на техническом уровне. Вместо того чтобы использовать в разных специализированных отделах различные разрозненные решения, вы объединяете приложения и данные в единой среде.

В SeaTable вы можете дифференцированно предоставлять права доступа и целенаправленно управлять доступом для разных областей и групп пользователей. В зависимости от сценария использования вы предоставляете сотрудникам права только на чтение или разрешаете им редактировать определённые данные. С помощью прав на таблицы вы можете дополнительно точнее ограничивать доступ.

SeaTable поддерживает вас и в обеспечении прослеживаемости. С помощью различных историй изменений и журналов вы можете впоследствии проверять изменения и действия. Так вы поддерживаете как внутренний контроль, так и требования вашего ИТ-комплаенса и ИТ-безопасности.

Через API-интерфейсы вы можете подключить SeaTable к существующим системам. Если к вашей облачной безопасности и суверенитету над данными предъявляются высокие требования, вы можете также развернуть SeaTable на собственной инфраструктуре. Так вы сохраняете больше контроля над тем, где находятся ваши данные и как устроена ваша техническая среда.

Таким образом, с SeaTable вы создаёте техническую основу для вашего Citizen Development в централизованно управляемой среде. Какие дополнительные проверки и утверждения вам необходимы, вы определяете исходя из вашего собственного ИТ-governance и соответствующей потребности в защите.

Серверы в синей подсветке.

С No-Code вы даёте вашим специализированным отделам возможность самостоятельно формировать цифровые процессы. Однако без подходящих структур вы рискуете получить теневые ИТ, неясную ответственность и дополнительные уязвимости в безопасности.

С помощью эффективной No-Code Governance вы объединяете организационные требования с техническими мерами защиты. Вы определяете роли, классифицируете приложения по уровню риска, управляете правами доступа и внедряете единые процессы ИТ-безопасности.

При этом не воспринимайте governance как жёсткий свод правил. Платформы, процессы и требования развиваются. Поэтому регулярно проверяйте и ваши структуры и адаптируйте их к новым требованиям. Так вы сможете использовать преимущества No-Code и постоянно держать под контролем вашу ИТ-безопасность.

Что понимается под No-Code Governance в контексте компании?

С помощью No-Code Governance вы устанавливаете организационные и технические правила использования No-Code-платформ в вашей компании. Вы определяете, какие инструменты могут использовать ваши сотрудники, кто может разрабатывать приложения и какие требования действуют для утверждения, эксплуатации и контроля. Так вы связываете Citizen Development с вашим ИТ-governance, ИТ-безопасностью и ИТ-комплаенсом.

Как No-Code Governance предотвращает возникновение теневых ИТ?

Вы избегаете теневых ИТ прежде всего тогда, когда предлагаете вашим специализированным отделам практичную и утверждённую альтернативу. Предоставьте подходящие платформы и определите понятные правила их использования. Тогда ваши сотрудники смогут разрабатывать собственные решения, не прибегая к неавторизованным приложениям. При этом ваш ИТ-отдел сохраняет обзор используемых систем, зон ответственности и потоков данных.

Какое влияние No-Code Governance оказывает на ИТ-безопасность?

С помощью No-Code Governance вы учитываете требования ИТ-безопасности уже в процессе разработки. Вы заблаговременно проверяете права доступа, потоки данных, интерфейсы и категории риска и с помощью единых процессов ИТ-безопасности создаёте чёткие рамки для повторяющихся проверок. Так вы снижаете риски, связанные со слишком широкими правами, небезопасными интеграциями или неконтролируемой передачей данных.

Не тормозит ли строгий ИТ-governance инновации Citizen Developers?

Это зависит от того, как вы выстроите ваши требования. Если каждое приложение должно проходить один и тот же обширный процесс утверждения, это действительно может замедлить разработку. Риск-ориентированный подход создаёт больше гибкости. Предоставляйте простым приложениям большую свободу и проверяйте чувствительные приложения тщательнее. Так ваши специализированные отделы сохраняют способность действовать, а вы концентрируете меры безопасности на тех областях, где они действительно нужны.

TAGS: No Code & Low Code ИТ-Безопасность И Конфиденциальность Данных