この文章は Salesforce 機械翻訳システムを使用して翻訳されました。詳細はこちらをご参照ください。

AppExchange セキュリティレビューの合格

Salesforce にとって、お客様の信頼は何よりも大切です。信頼を得るためにはセキュリティが欠かせません。AppExchange でソリューションを配布するには、包括的なセキュリティレビューに合格している必要があります。セキュリティレビューに向けて準備を整え、合格する方法について説明します。

AppExchange セキュリティレビュー
AppExchange でソリューションを公開する前に、ソリューションがセキュリティレビューに合格する必要があります。AppExchange セキュリティレビューでは、顧客データをどの程度保護できるかなど、ソリューションのセキュリティ体制をテストします。
AppExchange セキュリティレビューのしくみ
AppExchange セキュリティレビューを開始する前に、独自のテストを実行し、Salesforce が行うソリューションのセキュリティ評価に役立つ補足資料を収集します。レビューでは、Salesforce の製品セキュリティチームがソリューションのセキュリティ脆弱性を探します。チームが脆弱性を特定した場合は、パートナーはパーソナライズされた技術指標にアクセスして、特定された脆弱性に対応できます。
Partner Security Portal
Partner Security Portal は、セキュリティレビューに関するニーズの中央ハブです。このポータルは、自動セキュリティスキャンツールの Source Code Scanner (Checkmarx) と Chimera をホストしています。これらのツールを使用すれば、ソリューションのセキュリティ脆弱性を識別できます。また、このポータルでは AppExchange セキュリティエンジニアやセキュリティレビュー業務チームメンバーとのオフィスアワーを予約することもできます。オフィスアワーは、セキュリティレビュープロセスに関する質問をしたり、セキュリティ脆弱性があるコードを修正する方法について議論できるフォーラムです。
ソリューション全体のテスト
手動テストおよび自動セキュリティスキャナツールを使用して、ソリューションの全範囲をテストします。セキュリティスキャンを実行するときには、Salesforce Platform と独立して動作する外部エンドポイントをすべて含めます。セキュリティ違反の偽陽性を記録し、Salesforce のセキュリティガイドラインを満たさないコードをすべて修正します。
偽陽性
AppExchange セキュリティレビュープロセスを進めると、偽陽性の問題がソリューションで発生する可能性があります。偽陽性が発生するのは、セキュリティスキャンツールまたはコードレビュー担当者が、一見セキュリティ脆弱性があるように見えるが実際にはないコード行にフラグを設定した場合です。つまり、実際にはフラグ設定された脆弱性が存在しない、悪用できない、または有効な使用事例や機能をサポートするために必要ないにもかかわらず、フラグ設定されている場合です。
セキュリティレビューリソース
次のリソースは、AppExchange セキュリティレビューに向けて準備する上で役立ちます。

ISVforce ガイド

AppExchange セキュリティレビューの合格