Salesforce セキュリティガイド
jフィッシングおよび不正ソフトウェア
Salesforce 実装に関連して疑わしい情報が表示された場合、社内の IT チームやセキュリティチームだけでなく、security@salesforce.com 宛にもお知らせください。信頼には何よりも透明性が必要です。そのため、Salesforce では http://trust.salesforce.com にシステムパフォーマンスやセキュリティに関する情報をリアルタイムで掲載しています。セキュリティ固有の情報については、http://trust.salesforce.com/security を参照してください。このサイトでは、システムパフォーマンス、現在および最近のフィッシングや不正ソフトウェアに対する警告、組織のセキュリティに関するベストプラクティスのヒントなどに関する実データが提供されています。
Trust サイトの [セキュリティ] セクションには、会社のデータを保護するための有効な情報が記載されています。セキュリティに関するベストプラクティスに加えて、このサイトではフィッシングの認識及び報告方法に関する情報や、Salesforce 利用者に影響を及ぼす可能性がある現在の不正ソフトウェアキャンペーンに関する情報を提供しています。
- フィッシングとは、信頼できる人物やエンティティになりすますことによって、ユーザ名、パスワード、クレジットカードの詳細情報など、重要な情報を取得しようとするソーシャルエンジニアリング技法です。フィッシングは、メール、テキストメッセージング、音声通話、その他の方法で行われます。フィッシャーは、攻撃対象がリンクをクリックして貴重な情報を入力したり、不正ソフトウェアを攻撃対象のデバイスにダウンロードさせるために添付ファイルを開封するよう誘導する場合がよくあります。Salesforce コミュニティが大きくなるにつれて、コミュニティはフィッシャーにとって格段に目立つ標的となります。Salesforce スタッフからログイン情報を尋ねるようなメールや電話を行うことはありませんので、ログイン情報は誰にも公開しないでください。Salesforce インスタンスに関する疑わしい活動やメールがある場合は、直接 security@salesforce.com の Salesforce セキュリティチーム宛に報告してください。
- 不正ソフトウェアは、所有者の同意なく、コンピュータシステムに進入したり、損害を与えるように設計されたソフトウェアです。不正ソフトウェアは、さまざまな形式の悪意がある、または侵略的なソフトウェアを表す一般的な用語で、コンピュータウィルス、ランサムウェア、スパイウェアも含まれます。最新のセキュリティアドバイザリのリストは、https://trust.salesforce.com/en/security/security-advisories を参照してください。
フィッシングおよび不正ソフトウェアへの Salesforce の対策
セキュリティはお客様の成功の基本であるため、Salesforce では今後もエコシステムを保護するために最善の実例やセキュリティ技術を実装していきます。最新かつ実行中の活動は次のとおりです。
- 影響を受けたお客様に対する積極的なアラートを有効にするログの活発な監視や分析。
- 主要なセキュリティベンダや有効なセキュリティツールに関する専門家との連携。
- Salesforce 従業員の継続的なセキュリティ教育およびエンゲージメント活動。
- セキュリティを念頭に置いた商品開発プロセスの作成。
- trust.salesforce.com/security 及びその他の継続的な活動を通じたお客様やパートナーとのセキュリティに関するベストプラクティスの積極的な共有。
Salesforce の推奨事項
Salesforce はカスタマーセキュリティの効果的なパートナーとして、サービスソフトウェアの基準を設定しています。当社の取り組みに加え、お客様もセキュリティ向上のために次の変更を行うことをお勧めします。
- 多要素認証 (MFA) を実装して、ネットワークへのアクセスを制限する。詳細は、「多要素認証」を参照してください。
- IP 範囲の制限を有効化するよう Salesforce の実装を変更する。こうした制限により、ユーザが会社のネットワークまたは VPN からのみ Salesforce にアクセス��きるようにします。詳細は、「ユーザが Salesforce にログインできる範囲と時間帯の制限」を参照してください。
- セッションセキュリティ制限を設定して、なりすましを難しくする。詳細は、「セッションセキュリティ設定の変更」を参照してください。
- フィッシングから保護するため、疑わしいメールを開かないように、慎重になるよう教育する。
- 主要ベンダのセキュリティソリューションを使用して、スパムのフィルタリングや不正ソフトウェア保護を展開する。
- 組織内にセキュリティ担当者を指定し、Salesforce がより効率的に連絡できるようにする。詳細は、Salesforce の担当者までお問い合わせください。
- トランザクションセキュリティを使用してイベントを監視し、適切な措置を講じる。詳細は、「従来のトランザクションセキュリティポリシー」を参照してください。
Salesforce には、セキュリティ問題に対応する Security Incident Response Team があります。セキュリティ障害または脆弱性を Salesforce に報告するには、security@salesforce.com に連絡してください。問題について詳細に説明していただければ、チームが適切に対応いたします。