セキュアなソリューションの作成

セキュリティエキスパートの指定

開発のすべてのフェーズでセキュリティの考慮事項を取り入れれば、ソリューションをセキュリティ脅威から保護しやすくなります。ソリューションがセキュリティガイドラインに確実に従うようにする最良の方法の 1 つは、開発チームにセキュリティエキスパートを指定することです。

そして、設計、実装、テストといった開発のすべてのフェーズで開発チーム全体がセキュリティエキスパートと連携します。チームがセキュリティの考慮を開発の最終フェーズまで後回しにすると、コーディング中に知らぬ間にセキュリティ違反を伝搬させてしまう可能性が高まります。

埋め込んでしまったセキュリティ違反の数や複雑さを不必要にため込むことは望ましくありません。そのような状況になると、AppExchange セキュリティレビュー申請を成功させる��めの準備が遅れます。

セキュアな Web アプリケーションの開発方法の学習

AppExchange ソリューションのセキュアなコードを開発するための基本は、Trailhead の「セキュアな Web アプリケーションの開発」トレイルで学習できます。Salesforce Platform でソリューションを開発するときに発生する可能性が高いセキュリティ違反を識別、防止、修復する方法を確認します。

「セキュアな Web アプリケーションの開発」トレイルでは、Lightning プラットフォームアーキテクチャで作成されたソリューションの保護に重点が置かれています。このトレイルでは、セキュアなコードを作成する方法についてのハンズオントレーニングを受けることができます。

「データ漏洩の防止」モジュールには特に注意を払ってください。このモジュールで詳しく説明されている違反は、特に一般的なセキュリティ違反です。

AppExchange セキュリティ要件の確認

「AppExchange Security Requirements Checklist (AppExchange セキュリティ要件チェックリスト)」は、ソリューションのセキュリティを評価するための最も包括的な情報リソースです。技術的なセキュリティ要件の基準を理解するには、ソリューションの開発時にこのチェックリストを確認し、自分のコードに適用されるセキュリティ要件を特定します。

必ず、「AppExchange Security Requirements Checklist (AppExchange セキュリティ要件チェックリスト)」ドキュメント全体に目を通してください。ソリューションに適用される要件は、さまざまなセクションに広がっている可能性があります。ただし、「Best Practices for Security (セキュリティのベストプラクティス)」セクションはすべてのソリューションに適用されます。

オープン Web アプリケーションセキュリティプロジェクト (OWASP) のガイダンスに従う

オープン Web アプリケーションセキュリティプロジェクト (OWASP) の Web サイトでは、Web アプリケーションのセキュリティリスクに関する包括的な情報が提供されていて、セキュリティ上の問題のテスト、防止、解決のための詳細なガイダンスもあります。OWASP Web サイトの主要なリソースについてよく理解しておきましょう。

ソリューションの保護のために、まずは「OWASP Top Ten Project (OWASP トップ 10 プロジェクト)」を参照することをお勧めします。OWASP サイトのこのセクションは、Web アプリケーションで発生する上位 10 種類の顕著なセキュリティリスクについてのドキュメントです。このガイドラインは、特に Salesforce Platform でホストされていない Web アプリケーションや Web サービスに関連しています。

「OWASP Secure Coding Practices Quick Reference (OWASP 安全コーディングプラクティスクイックリファレンス)」にできるだけ厳密に準拠した開発手法やセキュリティガイドラインに従うようにしましょう。