そのノーコード活用、ちょっと待った！　本当に安全な使い方？　「ウチも効率化」の前に知っておくべきこと

公開 2022年04月01日 13時00分

更新 2022年04月07日 17時54分

[ITmedia]

印刷する Googleで優先するソースとして追加

　非ITエンジニアでもアプリケーションを作成し、業務を効率化できるノーコード・ローコード開発ツール（以下、まとめてノーコード）。エンジニア不足といわれる中で、現場のニーズを現場担当者が改善していくのに役立つソリューションだ。

　しかしノーコードにも、活用に当たっては注意点がある。情報を守るセキュリティ対策だ。例えばニューヨーク市交通局などが米Microsoftのノーコードツール「Power Appsポータル」で開発したアプリから、約3800万件の情報漏えいがあったと、セキュリティ企業の米UpGuardが2021年8月に発表している。原因はツールの仕様で、初期設定のままだと誰でもデータにアクセスできる仕組みだったという。

　「ノーコードツールはユーザー側でコードを書く必要がなく、ツール側がある程度の安全性を担保してくれるので、低レベルな脆弱性が発生するリスクは下がる。一方で“シャドーIT”や設定ミス、それらに起因するトラブルにつながりやすいリスクもある」

　こう指摘するのは、ノーコードのユーザーコミュニティーを運営する一般社団法人NoCoders Japan協会の西谷大輔理事。リスクを避けつつ、より安全にノーコードを活用するには、どのような点に気を付けるべきか。西谷理事と同協会の高橋翔代表理事によれば、重要なのは、経営層などが導入の初期段階から関与することだという。

特集：DXでリスク増大　経営層が知っておきたい情報セキュリティの課題と対策

デジタル庁の創設や印鑑・FAXの見直しなど、官民でDXが進んでいる。一方、DXによる利便性の拡大は常に情報セキュリティのリスクを伴う。そこでポイントになるのが、経営層や管理職によるセキュリティへの理解とリーダーシップだ。この特集では、経営者向けの解説や最新事例、ソリューションをお届けする。

ノーコードの柔軟性がかえって仇に

　ノーコードは「誰でもアプリケーションを作成できる」からこそ、いわゆる“シャドーIT”につながりやすい側面がある。

　ノーコードツールはSaaS型での提供が多く、一般的なSaaSよりも設定できる項目や機能が多い傾向にある。それゆえに、一般的なSaaSではユーザー側で調整できないような設定まで操作できるツールもあり、IT部門や管理部門などが把握していない機能を現場が使ってしまう可能性があるという。

NoCoders Japan協会の西谷大輔理事

　「一般的なSaaSでは、管理しているデータをいきなり外部に公開できず、ワンクッション置いた作りになっていることが多い。一方で、ノーコードはある程度の柔軟性がある分、すぐに公開できてしまう場合もある」（西谷理事）

現場のリテラシーにも注意

　ノーコードを使うのは基本的にIT部門ではなく、事業部門や現場の人員であることも、セキュリティリスクになりやすい要因だ。

　「事業部門や現場の人はIT部門などに比べ、普段あまりセキュリティを意識していない人かもしれない。リスクを回避するには、そういう人にも自社のセキュリティポリシーなどを周知する必要がある。この辺りは通常のSaaSと同様かもしれない」（高橋理事）

「現場に任せたい」と「安全性」のバランスが重要に？

　2人によれば、一連のリスクを避け、より安全にノーコードを活用するには、導入段階から経営層が関与し、運用や現場での使い方を事前に決めておくべきという。

　例えば個人情報や決済情報を扱う場合と、工場における製品の生産数を扱う場合で、情報漏えいしたときのリスクの大きさは変わってくる。

　どちらの方がリスクが大きいかは会社によって異なるので、情報の重要性を把握しているCIO（最高情報責任者）やCISO（Chief Information Security Officer、最高情報セキュリティ責任者）が導入初期から関与し、どんな業務で活用するか、導入後はどんな運用にするかを決めておく必要がある。