この文章は Salesforce 機械翻訳システムを使用して翻訳されました。詳細はこちらをご参照ください。

セキュリティポリシーの要件

要件: AppExchange にソリューションを掲載する前に、自社のセキュリティへの取り組みを示すセキュリティプログラムが必要です。また、顧客がソリューションの品質を評価できるようにするため、プログラムの情報を顧客と共有する必要があります。

推奨: プログラムには、次の項目を含めることをお勧めします。

セキュリティエキスパートの指定

開発のすべてのフェーズでセキュリティの考慮事項を取り入れれば、ソリューションをセキュリティ脅威から保護しやすくなります。ソリューションがセキュリティガイドラインに確実に従うようにする最良の方法の 1 つは、開発チームにセキュリティエキスパートを指定することです。そして、設計、実装、テストといった開発のすべてのフェーズで開発チーム全体がセキュリティエキスパートと連携します。セキュリティに関する検討を開発の最終フェーズまで後回しにしていると、コーディング中知らぬ間にセキュリティ違反を伝搬させてしまう可能性が高まります。定期的なコラボレーションにより、セキュリティ違反を不要にため込むことがなくなり、AppExchange セキュリティレビュー申請に合格するための準備に手間取ることがなくなります。

セキュリティポリシーの実装

ユーザーデータなどの顧客の資産を自社がどのように保護するかを詳しく説明した、企業のセキュリティポリシーを作成します。ソリューションをエンドツーエンドで保護するために実行できる活動を顧客に知らせます。

サービスおよびアーティファクトの列挙

Web ソリューション、モバイルソリューション、Web サービス、API、SDK など、ソリューションに含まれるサービスやアーティファクトを列挙します。

サードパーティライブラリの在庫

ソリューションが正常に機能するために必要なサードパーティのライブラリやバージョンの在庫を保持します。

アーキテクチャの図の作成

データタッチポイント、情報フロー、認証、承認などのセキュリティコントロールを表示するアーキテクチャ図を用意します。

リスト認定

該当するすべての認定レポートを共有します。たとえば、次のものがあります。

HIPAA: 医療保険の相互運用性と説明責任に関する法律 (Health Insurance Portability and Accountability Act)
PCI DSS: クレジットカード業界のデータセキュリティ標準 (Payment Card Industry Data Security Standards)
SOC 2: 顧客データの管理に関する SOC 2 (System and Organization Controls 2) 基準
ISO27001: 情報セキュリティ管理

サードパーティ監査の実施

独立したサードパーティにセキュリティ監査を実施してもらいます。監査の概要を顧客と共有します。

セキュリティ保証活動の文書化

企業レベルのセキュリティ保証活動を文書化します。たとえば、次のようなものです。

ソフトウェア開発ライフサイクル (SDLC) の手法
脆弱性管理
サービスレベル契約 (SLA) の改善
サプライヤーおよび連動関係のセキュリティプログラム
セキュリティに関する意識向上トレーニング
セキュリティ違反への対応手順

機密データの列挙

ソリューションで処理または保存される支払手段データ、個人データ、医療データなどの機密データをすべて列挙します。

データストレージの場所およびプロバイダーの開示

個人識別データや医療データなどの規制対象データをソリューションで保存または処理する場合は、データストレージの場所のリストを開示します。国とプロバイダー (Amazon Web Services (AWS)、Azure、Google Cloud Platform (GCP) など) を明確にします。

サードパーティデータ共有の確認

顧客データを共有するサードパーティサプライヤーのリストを用意します。

連絡先情報の共有

連絡先情報を公開します。これにより、顧客は、簡単にサポートを受けたり、セキュリティインシデントを報告したりできるようになります。

ISVforce ガイド