Last Updated on 2025-04-09 11:02 by admin

ノーコード/ローコード開発プラットフォームのセキュリティリスクに警鐘を鳴らす記事が、Service IT SecurityのSOCディレクターであるFernando José Karl氏によって2025年4月8日に発表された。

これらのプラットフォームは、プログラミングの専門知識がなくてもアプリケーション開発を可能にし、デジタルトランスフォーメーションを加速させる利点がある一方で、セキュリティが後回しにされることで組織は機密データや重要システムを露出するリスクを抱えている。

Karl氏は主なセキュリティリスクとして以下の点を指摘している

• 安全でない認証と認可（きめ細かなアクセス制御の欠如）
• 十分な入力検証（SQLインジェクション、XSSなどの脆弱性）
• 露出したAPIとデータ漏洩の危険性
• シャドーITの増殖によるセキュリティ管理の困難さ

実例として、2025年初頭にAI駆動の分析に特化したスタートアップが、ノーコード開発ツールで構築したプラットフォームが不適切に保護されたAPIキーを悪用されたDoS攻撃を受け、1週間以内にサービスを停止せざるを得なくなった事例を挙げている。また、ある金融サービス会社はローコードソリューションを使用した顧客オンボーディングシステムで、アクセス制御の設定ミスにより数千件の個人情報が露出した事例も報告されている。

多くのノーコード/ローコードベンダーは「組み込みのセキュリティ」を謳っているが、実際には高度なサイバー脅威から保護するために必要な深さが欠けていることが多いとKarl氏は警告している。

from:How Democratized Development Creates a Security Nightmare

【編集部解説】

読者の皆様、今回のニュースは、ノーコードおよびローコード開発プラットフォームのセキュリティリスクに関する重要な警告です。この記事の内容は、業界の専門家や研究機関の見解とも一致しており、信頼性が高いと言えます。

ノーコード/ローコード開発の普及は、ソフトウェア開発の民主化をもたらしました。これにより、プログラミングの専門知識がなくてもアプリケーションを作成できるようになりました。しかし、この利便性の裏には大きな課題が潜んでいます。

セキュリティの専門家たちが懸念しているのは、これらのプラットフォームがセキュリティのベストプラクティスを抽象化してしまう点です。従来の開発者が長年の経験から学んできたセキュリティの暗黙知が、ノーコード環境では失われがちなのです。

OWASPが公開している「Low-Code/No-Code Top 10」は、この分野における主要な脆弱性を明確にしています。アカウントの不正利用、認可の誤用、データ漏洩、インジェクション攻撃など、従来のWebアプリケーションと同様の脅威が存在することがわかります。

特に注目すべきは、AIと組み合わせた場合のリスクです。生成AIを用いたコード生成は機能要件には強いものの、セキュリティなどの非機能要件を考慮することは稀です。これにより、脆弱性を持つアプリケーションが大量に生み出される可能性があります。

しかし、ノーコード/ローコード開発を避けるべきというわけではありません。むしろ、その利点を活かしつつ、セキュリティを強化する方法を模索すべきでしょう。専用のアプリケーションアカウントの使用、ユーザー入力のサニタイズ、ログ記録とモニタリングの有効化など、基本的なセキュリティ対策を講じることが重要です。

また、組織全体でのガバナンス強化も不可欠です。複数のプラットフォームを使用する場合、一元的なポリシー管理が必要になるでしょう。最小権限の原則やゼロトラストの考え方を取り入れることで、攻撃対象領域を限定できます。

今後、ノーコード/ローコード開発の利用はさらに拡大すると予測されています。Gartnerによれば、2025年までにアプリケーションの70%がこれらの技術を用いて開発されるとのことです。この成長に伴い、セキュリティの重要性はますます高まるでしょう。

私たちinnovaTopiaは、テクノロジーの進化がもたらす可能性に注目しつつ、そのリスクにも目を向けています。ノーコード/ローコード開発は、イノベーションを加速させる素晴らしいツールです。しかし、セキュリティを軽視すれば、その代償は計り知れません。

開発の民主化とセキュリティの両立。これこそが、私たちが直面している重要な課題なのです。テクノロジーの恩恵を最大限に活かしつつ、リスクを最小限に抑える。そのバランスを取ることが、これからのデジタル社会には不可欠だと考えています。

【用語解説】

ノーコード/ローコード開発：
プログラミング言語によるコード記述をほとんど（ローコード）または全く（ノーコード）必要とせずに、視覚的なインターフェースを使ってアプリケーションを開発する手法。

シャドーIT：
企業や組織において、IT部門や管理部門の許可なく使用される情報システムやソフトウェア、クラウドサービスのこと。

DoS攻撃：
Denial of Service（サービス拒否）の略で、ターゲットとなるサーバーやネットワークに大量のトラフィックを送信し、正常なサービス提供を妨害する攻撃手法。

SQLインジェクション：
データベースを使用するアプリケーションに対して、入力フォームなどから悪意のあるSQL文を挿入し、データベースを不正に操作する攻撃手法。

クロスサイトスクリプティング（XSS）：
Webサイトに悪意のあるスクリプトを埋め込み、そのサイトにアクセスしたユーザーの情報を盗み取る攻撃手法。

Fernando José Karl：
記事の著者。サイバーセキュリティ分野で15年以上の経験を持つ専門家で、SOC（Security Operation Center）ディレクターを務めている。WAF、CDN、脅威インテリジェンスプラットフォームなどの開発経験があり、CISM、CISSPなどの資格を保有している。

【参考リンク】

Salesforce Lightning Platform（外部）
Salesforceが提供するノーコード/ローコード開発プラットフォーム。SFA/CRMの機能と連携したアプリケーション開発が可能。

OutSystems（外部）
Webアプリケーションやモバイルアプリケーションの開発が可能なローコード開発プラットフォーム。

【編集部後記】

皆さん、ノーコード開発ツールを使ったことはありますか？開発の民主化は素晴らしい可能性を秘めていますが、セキュリティとのバランスは常に課題です。もし業務でこうしたツールを活用されているなら、どのようなセキュリティ対策を取り入れていますか？また、開発効率とセキュリティのジレンマにどう向き合っていますか？SNSでぜひ皆さんの経験や工夫を共有していただけると嬉しいです。テクノロジーの進化と安全性、この両立について一緒に考えていきましょう。

【関連記事】

サイバーセキュリティニュースをinnovaTopiaでもっと読む