מגמות, הזדמנויות ואתגרים בתחום היישומים ל-2020 שישנו את המשחק ואת הכללים
מאת: ארן אראל, 12.1.20, 15:58
 
על חדשנות כאוטית כמנוע עסקי, העלייה של יצירת ערך עסקי אפליקטיבי, המשך התחזקות עולמות ה-DevOps, אימוץ עננים היברידיים, אתגרי הגנת האפליקציות ומיקוד בשכבת ה-API. נראה חברות העוסקות בעולמות אבטחת המידע משנות את מיקוד קבוצות ה-R&D שלהן ואת אסטרטגיית ה-M&A שלהן. כל מה שעומד בפני הארגונים בשנה הקרובה.
 
שנת 2019 הציגה מערבולת של חדשנות וטכנולוגיות משבשות לצד שפע של אתגרים. נוף האיומים השתנה, כצפוי, עם הופעת איומים בלתי ניתנים לחיזוי, פריסות של יישומים בסביבות מרובות עננים הפכו לנפוצות, ומתודולוגיות DevOps החלו להשפיע על התוכניות העסקיות. השאלה הגדולה כעת היא - מה יקרה בשנה הקרובה? אילו מגמות בתחום היישומים ישנו שוב את המשחק ואת הכללים?
 
חדשנות כאוטית כמנוע עסקי
ב-2020 ארגונים רבים יעברו מהשמעת סיסמאות שאפתניות - לקבלת שינוי מהותי. באופן בלתי נמנע, מנהלים יהיו מעורבים יותר בקבלת החלטות על יישומים, שנועדו לבדל או לספק חוויית לקוח ייחודית. יותר ויותר חברות מבינות, שיישומים בעידן הנוכחי יוצרים חלק ניכר מהערך העסקי שלהן. כתוצאה, תתבצענה השקעות משמעותיות באפשור "חדשנות כאוטית", באפשרות לצוותי הפיתוח להתקדם, ללא מכשולים, בקצב מהיר הרבה יותר מבעבר.
 
ניתן לצפות, שבשנה הקרובה יפציע דור חדש של יישומים, שתומכים בהרחבת המודלים הדיגיטליים של העסק. דור זה יכלול שימוש טוב יותר של תשתיות מבוססות ענן והנעה לאוטומציה באמצעות פיתוח תוכנה. בהמשך, בינה מלאכותית תסייע במאמצי הטרנספורמציה הדיגיטלית, ביחוד כאשר הם ימנפו יכולות מתקדמות יותר בפלטפורמות יישומים, טלמטריה, ניתוח נתונים וטכנולוגיות ML/AI.
 
העלייה של יצירת ערך עסקי אפליקטיבי (Application Capital)
יישומים משמשים כיום כבסיס העיקרי לפיתוח ואספקת מוצרים ושירותים בחברות. הם הפכו לנכסים החשובים ביותר של ארגונים מודרניים. עם זאת, רוב הארגונים עדיין לא יודעים בוודאות כמה יישומים יש להם, היכן הם פועלים או אם הם בסכנה. זה משהו שאנו, כחברה טכנולוגית, חייבים לשנות.
 
כדי לנהל את נכסי היישומים ביעילות, חשוב לקבוע אסטרטגיה רחבה של החברה, שמגדירה מדיניות ומבטיחה ציות למדיניות הזו. הדבר כולל התייחסות לאופן בו יישומים נבנים, נרכשים, מוטמעים, מנוהלים, מאובטחים ופרוסים.
 
ממעוף הציפור, ישנם כמה צעדים ברורים, שצריכים להתקיים: בניית מלאי של יישומים (כולל המיקום ממנו רץ היישום), הערכת סיכוני הסייבר, הגדרת קטגוריות, זיהוי שירותי היישומים הנחוצים לפעילויות ספציפיות, הגדרת היקף הפריסה והבהרת תפקידים ואחריות. לאורך כל הדרך, המטרה העיקרית של אסטרטגיית יישומים חייבת להיות שיפור ואבטחה של כלל היכולות הדיגיטליות, אפילו כאשר טווח ההשפעה שלהן משתנה ומתרחב.
 
המשך התחזקות עולמות ה- DevOps
המתודולוגיות והכלים הנלווים של DevOps זכו לפרסום רב השנה. 2020 תעסוק ביצירת התרבות הנכונה, בשילוב הנכון של התיאוריה עם שיטות העבודה המומלצות תוך שיפור היכולות התפעוליות, מה שיוביל ליצירת רמות גבוהות יותר של פרודוקטיביות.
 
אימוץ התרבות הארגונית אינו עניין אופציונלי. מבנה הצוות בלבד משנה דרמטית את אופן העבודה, כאשר צוותים מסורתיים לעיתים לא מתקדמים באותו קצב של עמיתיהם, שהטמיעו קונספטים מעולמות ה-DevOps. כתוצאה מכך, נראה יותר צוותים בעלי מבנה שיתופי והסכמה לגבי מדדי המפתח ולגבי הכלים הנכונים להתמקדות במה שהעסק דורש: מהירות, גמישות והסרת צווארי בקבוק לצוותי הפיתוח.
 
לצוותי DevOps יש קדימות של עשור בניווט והתגברות על מכשולים מסוגים רבים בעולמות האינטגרציה. צוותים הפועלים בשיתוף פעולה יכולים לנפץ את הסטטוס קוו ע"י קידום סטנדרטיזציה של כלים ממסירה ועד להטמעה (כמו Jenkins ו-GitHub/GitLab). תהליך ה-DevOps לא אמור - ולא יכול - להסתיים במסירה. המשמעות היא, שפונקציות הפריסה וההטמעה חייבות להיות אוטומטיות. דבר זה לא יקרה ללא שינויים תרבותיים פנים ארגוניים, וללא יצירת שיתופי הפעולה הנכונים בתוך הארגון.
 
אימוץ עננים היברידיים
ההתנגשות באימוץ SaaS עם IaaS גרמה לספקולציה, שהענן יביא לקניבליזציה במערכות המידע. מומחים רבים הזהירו, שהדאטה סנטר ייעלם. השמועות היו מוגזמות. מרכזי נתונים עדיין נבנים וגדלים ברחבי העולם. במקביל, אנו רואים לא מעט עומסי עבודה אפליקטיביים היוצאים לכיוון הענן, תופעה המתרחבת גם בארגונים מסורתיים יותר.
 
הצפי הוא, שכלי עבודה, שמאפשרים ניהול עומסים אפליקטיביים על גבי תשתיות שונות (ענן ו-On premise), יהפכו לנפוצים הרבה יותר בשנים הקרובות. בנוסף, תהיה התמקדות בכלים המאפשרים לבנות מדיניות אבטחת מידע אחידה, ללא קשר למיקומו של היישום.
 
הזדמנויות נוספות כוללות שיפור הזמינות של כלי תפעול בסביבה מרובת עננים ודחיפה לעבר ארכיטקטורות הנשענות על טכנולוגיות של Containers ללא קשר למיקום ממנו ירוץ.
 
אתגרי הגנת האפליקציות
על פי גוף המחקר הפנימי של F5 - F5 Labs, שפת התכנות PHP, ששימשה לפחות 80% מהאתרים מאז 2013, תמשיך להיות יעד אטרקטיבי להאקרים. מודעות למצב היא קריטית כדי להפחית את עוצמת האיומים. עסקים מבינים גם, כי שיישומים הם יותר מסתם קוד. עליהם לשים לב לכל מה שגורם להם לפעול, כולל ארכיטקטורה, התקנים נלווים הניתנים לחיבור וכמובן המשתמשים עצמם.
 
ניתוח Labs F5 של נתוני הפריצה ל-2019 מאשר את הצורך בתוכניות אבטחה מקיפות מבוססות סיכון במקום רשימות סיכונים ארכאיות. ארגונים צריכים להפעיל בקרות מתאימות כדי להתמודד עם האיומים העומדים בפניהם.
 
כתמיד, הענף ישלב בהדרגה סיכונים חדשים במודלים העסקיים. לדוגמה, מחשוב ענן עבר בהדרגה מסיכון מהותי לאבן יסוד בתשתית המודרנית. הסיכונים הקשורים לענן הופחתו או שונו לסיכון חוזי בצורה של הסכמים וביקורות ברמת השירות. כ"כ, כלים, השכולים לעזור בכתיבה ופריסה של מדיניות אחידה לאורך הסביבות השונות, הופכים בהדרגה לקריטיים (ככל שהארגון פועל בצורה מבוזרת יותר, כך כלים אלה הופכים לנחוצים יותר).
 
מיקוד בשכבת ה-API
ממשקי תכנות יישומים Application programming Interfaces (API) יכולים לשנות מודלים עסקיים ולייצר הכנסה ישירה, ויש לא מעט גופים זדוניים המנצלים את זה. יותר מתמיד, ארגונים צריכים להתמקד בשכבת ה-API, במיוחד מבחינת אבטחת הגישה לפונקציות העסקיות, שהם מייצגים.
 
אחד הנושאים החשובים ביותר הוא הרשאות רחבות מדי. כלומר, תקיפות דרך ממשקי ה-API יכולות לספק לפושעי הסייבר גישה רחבה מדי ליישומים הקריטיים. קריאות API מועדות גם למלכודות הרגילות של בקשות ברשת כגון injections, credential brute force, parameter tampering, session snooping ועוד.
 
נראות היא עוד בעיה מרכזית. לארגונים מכל הסוגים, כולל ספקי IT, יש ניסיון גרוע במיוחד בשמירה על מודעות ל-API.
 
ניתן ליישם אבטחת API ישירות ביישום או, אפילו יותר טוב, ב-Gateway API. ה-API Gateway מגן טוב יותר על ממשקי ה-API עם יכולות כמו rate limiting והרשאות (למניעת התקפות מניעת שירות). הרשאות מצמצמות את הגישה לממשקים ע"י מתן גישה לקריאות API ספציפיות ללקוחות מסוימים בלבד, שמזוהים בד"כ באמצעות התקני זיהוי או מפתחות API.
 
API Gateway יכול גם להגביל את שיטות ה-HTTP ולרשום שימוש לרעה בשיטות אחרות. כך, שארגונים יהיו מודעים לניסיונות התקפה.
 
בהתאם למגמות אלו, נראה חברות העוסקות בעולמות אבטחת המידע משנות את מיקוד קבוצות ה-R&D שלהן ואת אסטרטגיית ה-M&A שלהן כדי להתאים את הפורטפוליו שלהן לכיוונים אליו העולם הטכנולוגי צועד בצעדי ענק. אין ספק שיהיה מרתק.
 
מאת: ארן אראל, ינואר 2020.
מנהל פעילות ישראל, יון וקפריסיןF5 Networks