Salesforceにおけるセキュリティポリシーとは？概要や注意点をご紹介

Salesforceのセキュリティについて

Salesforceには、データやアプリケーションを保護するためのセキュリティが組み込まれています。 これにより、ユーザは安全にSalesforceを使用できます。また、元から備わっているセキュリティのみならず独自のセキュリティスキームを実装できます。これにより、データの機密性に応じた組織毎の細やかな設定が可能です。 たとえば、システム管理者として[状態チェック]の機能を使用することでセキュリティ状態を確かめることが可能です。

Salesforceにおけるセキュリティポリシーの概要

Salesforceでは、セキュリティポリシーを組織別などで設定することが可能です。 下記にて、種類別にセキュリティポリシーを紹介していますので、参考にしながら必要なセキュリティポリシーが何なのかを理解しましょう。

コンテンツセキュリティポリシー

コンテンツセキュリティポリシー(CSP)は、Lightningコンポーネントフレームワークにてコンテンツに制約を適用します。 Lightningコンポーネントフレームワークは、単一ページでアプリケーションを開発するためのUIフレームワークです。 CSPにより、XSS攻撃や他のコードインジェクション攻撃から守ることが可能です。また、JavaScriptライブラリとリソースのHTTPS接続、そしてインラインJavaScriptへの制限が発生します。 もしCSP違反の場合、

Refused to load the script 'https://externaljs.docsample.com/externalLib.js'
because it violates the following Content Security Policy directive: ...

というメッセージがブラウザの開発者コンソールのログに残ります。

従来のトランザクションセキュリティポリシー

従来のトランザクションセキュリティポリシーでは通知、ブロック、多要素認証などのリアルタイムアクションを設定できます。 組織のトランザクションセキュリティを有効化すると、同時セッションの制限ポリシーとリードデータエクスポートポリシーが作成されます。使用可能なエディションは、Enterprise Edition、Unlimited Edition、および Developer Editionです。 ただし、従来のセキュリティポリシーはSummer ’20以降では使用できなくなる予定である点にご注意しましょう。 たとえば、従来のトランザクションセキュリティポリシーでユーザのデータエクスポートに制限を設けることで、不必要にデータが持ち出されてしまうことを防げます。

ゲストユーザーセキュリティポリシー

ゲストユーザーが誤って組織のデータにアクセスしないよう、Salesforceではゲストユーザー用のセキュリティポリシーの設定も用意されています。 ゲストユーザーセキュリティポリシーは設定が必要で、組織設定やサイトゲストユーザープロファイルの設定する必要があります。 Winter ‘21のリリース以降は、ゲストユーザーの共有設定とレコードアクセスの保護やゲストユーザーが作成した新しいレコードをデフォルトの所有者に割り当てるといったポリシーが有効になります。この変更は一度有効にされてしまうと無効にはできません。 たとえば、ゲストユーザーの「APIの有効化」権限を無効にしておくことでゲストユーザーからのAPIアクセスを制限できます。

拡張トランザクションセキュリティポリシー

拡張トランザクションセキュリティによって、ユーザアクティビティを監視及び制御するための適切なアクションが適用できます。 従来のトランザクションセキュリティと違い、条件ビルダー機能やApexのインターフェイスが更に拡張性のあるものになっています。 たとえば、従来のトランザクションセキュリティはApexコードでポリシーを作成しなければなりませんでしたが、拡張トランザクションセキュリティポリシーでは宣言型の条件ビルダーウィザードでもポリシーを作成できます。

パスワードポリシー

Salesforce組織のセキュリティを強化のため、パスワードポリシーを設定できます。 パスワードポリシーの使用可能なエディションはContact Manager Edition、Essentials Edition、Group Edition、Professional Edition、Enterprise Edition、Performance Edition、Unlimited Edition、Developer Edition、および Database.com Editionです。 新規組織の場合は、デフォルトのパスワード要件があります。 もしデフォルトのパスワード要件を変更したい場合、Personal Edition以外のエディションの場合は変更可能です。

セキュリティポリシーを理解して、Salesforceのセキュアな環境を維持しましょう

今回は、Salesforceに備わっているセキュリティやセキュリティポリシーについて紹介しました。 セキュリティやセキュリティポリシーはSalesforceを安全に利用するのに不可欠なものなので、この機会に理解して活用できるようにしておきましょう。]]>