ノーコード開発とセキュリティリスク

ホームページが誰でも簡単に製作できるようなクラウドサービスが流行ってくると、ノーコード開発も身近になってきました。
テキストエディタでコードを記述するようなプログラミングをしなくてもできるノーコード開発は、高度な専門知識が要らないため需要は多く、それに伴って選択肢も増えてきました。ノーコードで開発できれば、開発時間の短縮や効率化によって、費用面など享受できるメリットへの期待は大きいです。ただ、今後どういったものを活用していくべきかのポイントとして、セキュリティリスクの分析がとても重要となります。

たとえば、Wordpressのようなオープンソースを使用する場合は、セキュリティ対策も自己責任です。Wordpressがメジャーなツールでありオープンソースとして公開されてるがゆえに、悪意を持った攻撃者の格好の的となってしまい、常に脆弱性を狙ったWebページの改ざんや、情報漏洩などサイバー犯罪のリスクにさらされています。
Wordpressの更新はもちろん、プラグイン等も最新にアップデートして脆弱性を無くすことが大前提ですが、自動更新にしておくと、数年間メンテナンスされていないような特殊なプラグインが新しいWordpressやPHPのバージョンに追従できないため動かなくなったりするような別のトラブルも発生するため、注意が必要です。つまり、オープンソースはコミュニティなどが活発なツールは、いろいろな人が関わって脆弱性が少ない堅牢なソフトウェアとして期待出来ますが、プラグインレベルでもマイナーなものを選択すれば、当然セキュリティリスクも高くなるということです。

それでは、無料で作成できるだけではなく、有料プランも備えてビジネスとしてホームページ作成のプラットフォームを提供しているクラウドサービスはどうでしょうか？
これは、クラウドで、インフラを提供してくれるIaaSと、ソフトウェアの導入不要でサービスを提供してくれるSaaSとの特徴の違いに似ています。つまり、SaaSとしてサービス提供側がセキュリティ対策を施してくれるため、そのプラットフォームで作成されたホームページは、XSSなどセキュリティリスクがある程度既に回避できる仕組みになっているということです。
但し、こうしたサービスを利用する場合、実際はユーザにはWebページのソースを見てもどういったがコーディングがされてれているのかブラックボックスで分からないため、その提供ベンダーを信用するしかありません。オープンソースのように、いろいろな人の目線で改良されるものでれば、ある意味安心できますが、クローズされた世界で一部の人達によって作成されたツールは、その人達のセキュリティに対する感度や専門知識レベルに依存し、提供側の企業がサービス品質としてどの程度セキュリティを重要視しているかによります。そのため、そのサービスを契約をする際には、SLAや責任範囲を確認しておくとは必要でしょう。とはいえ、ホームページを作成する側の一般ユーザよりは、ITリテラシーの高い人達が作成しているので、相対的には個人でWebページを作成する場合に比べ、高いセキュリティが期待できます。
セキュリティリスクを少なくするためには、数多くの実績があり、保守体制もしっかりした業者のサービスを選択することが賢明です。

ノーコードで開発効率が上がることと、セキュリティリスクには、特に相関関係はありません。ノーコード開発だからセキュリティが心配とは言えませんが、かといって安心だとも言い切れません。セキュリティのリスク分析については、他人任せにせずはやり自社で責任をもって実施することが肝要です。

ノーコード開発でも、セキュリティのリスク分析は必須