Salesforce セキュリティガイド
jフィッシングおよび不正ソフトウェア
信頼には何よりも透明性が必要です。そのため、Salesforce では http://trust.salesforce.com の Trust サイトにシステムパフォーマンスやセキュリティに関する情報をリアルタイムで掲載しています。このサイトでは、システムパフォーマンス、現在および最近のフィッシングや不正ソフトウェアに対する警告、組織のセキュリティに関するベストプラクティスのヒントなどに関する実データが提供されています。
Trust サイトの [セキュリティ] タブには、会社のデータを保護するための有効な情報が記載されています。特に、フィッシングと不正ソフトウェアを警戒しています。
- フィッシングとは、ユーザ名、パスワード、クレジットカードの詳細情報など、電子通信で信頼できるエンティティとしてなりすますことによって、重要な情報を取得しようとするソーシャルエンジニアリング技法です。フィッシャーは、ユーザが URL や外観が正当な Web サイトとよく似た偽の Web サイトに入力するよう誘導する場合がよくあります。Salesforce コミュニティが大きくなるにつれて、コミュニティはフィッシャーにとって格段に目立つターゲットとなります。パスワードを尋ねるような、Salesforce スタッフからのメールや電話は行いませんので、パスワードを誰にも公開しないでください。http://trust.salesforce.com の [信頼] タブの [疑わしいメールを報告] リンクをクリックして、疑わしい活動について報告することができます。
- 不正ソフトウェアは、所有者の同意なく、コンピュータシステムに進入したり、損害を与えるように設計されたソフトウェアです。不正ソフトウェアは、さまざまな形式の、悪意があり、侵略的で、障害を与えるソフトウェアを表す一般的な用語で、コンピュータウィルスやスパイウェアも含まれます。
フィッシングおよび不正ソフトウェアへの Salesforce の対策
カスタマーセキュリティはお客様の成功事例の基本であるため、Salesforce では今後もこの領域の最善の実例や技術を実装していきます。最新かつ実行中の活動は次のとおりです。
- 影響を受けたお客様に対する積極的なアラートを有効にするログの活発な監視や分析。
- 主要なセキュリティベンダや特定の脅威に対する専門化との連携。
- 不正サイトを削除または無効化 (多くは検出から 1 時間以内) する迅速な処理の実行。
- Salesforce 内でのセキュリティ教育およびアクセスポリシーの強化。
- 当社のお客様そしてインフラストラクチャ内の展開のための新しい技術の評価および開発。
Salesforce の推奨事項
Salesforce はカスタマーセキュリティの効果的なパートナーとして、サービスソフトウェアの基準を設定しています。当社の努力に加え、お客様もセキュリティ向上のために次の変更を行うことをお勧めします。
- IP 範囲の制限を有効化するよう Salesforce の実装を変更する。これにより、ユーザが会社のネットワークまたは VPN からのみ Salesforce にアクセスできるようにします。詳細は、「ユーザが Salesforce にログインできる範囲と時間帯の制限」を参照してください。
- セッションセキュリティ制限を設定して、なりすましを難しくする。詳細は、「セッションセキュリティ設定の変更」を参照してください。
- フィッシングから保護するため、疑わしいメールを開かないように、慎重になるよう教育する。
- Symantec などの主要ベンダのセキュリティソリューションを使用して、スパムのフィルタリングや不正ソフトウェア保護を展開する。
- 組織内にセキュリティ担当者を指定し、Salesforce がより効率的に連絡できるようにする。詳細は、Salesforce の担当者までお問い合わせください。
- RSA トークンなどの 2 要素認証技術を使用して、ネットワークへのアクセスを制限する。詳細は、「2 要素認証」を参照してください。
- トランザクションセキュリティを使用してイベントを監視し、適切な措置を講じる。詳細は、「トランザクションセキュリティポリシー」を参照してください。
Salesforce には、セキュリティ問題に対応する Security Incident Response Team があります。セキュリティ障害または脆弱性を Salesforce に報告するには、security@salesforce.com に連絡してください。問題について詳細に説明していただければ、チームが適切に対応いたします。