セキュリティレビューの申請に必要なデータ

セキュリティレビューでは、製品セキュリティチームがソリューションの必須部分と省略可能部分をテストします。通常、テスト範囲を判断するために、データをフォローする手法が用いられます。ユーザーがアクセスする部分すべてが対象となります。たとえば、ソリューションを使用するために、お客様である Salesforce ユーザーがあなたの会社の Web サイトでアカウントを作成しなければならない、またはデータがサードパーティのサーバーに同期されるとします。Salesforce のレビューチームはこれらの部分をテストし、Salesforce ログイン情報とデータが安全に転送されることを確認します。

ソリューションの一部を含めるかどうかが明確でない場合は、ひとまず含めてください。レビューチームは範囲外の部分はテストしませんが、必須の部分が省かれていればレビューが遅れます。

当社では、ソリューションが企業のセキュリティ標準を満たしていることを確かめるときに、精査が実施されていることを確認したいと考えています。セキュリティスキャンレポートと、テスト結果に表示された偽陽性の説明を含めてください。

また、詳細なソリューションユーザードキュメントと貴社の情報セキュリティポリシーも提出してください。広範囲にわたるドキュメントの提供は、小規模または新規の会社にとっては実用的ではないため、提出されたドキュメントのレビューでは、会社の規模と成熟度を考慮しています。

ソリューションに合わせてカスタマイズされたチェックリストを生成するには、Salesforce パートナーコミュニティのセキュリティレビュー申請要件チェックリストビルダーを使用してください。以下は、Lightning コンポーネントのチェックリストです。

次の表は、アーキテクチャの範囲に基づいて申請するデータをまとめたものです。

モバイルアプリケーション

モバイルアプリケーションのテストの場合は、配布予定のすべてのプラットフォーム向けのアプリケーションを提供します。iOS の場合は、テストリリース、個別リリースに対応します。その他のプラットフォームでは、ファイルのアプリケーションに対応します (Android パッケージング (.apk) ファイルなど)。

拡張パッケージ

拡張パッケージには、ソリューションのアドオンであるパッケージと、2 つのソリューションの機能を統合するパッケージがあります。拡張パッケージを AppExchange に公開する前に、そのパッケージと拡張するソリューションがセキュリティレビューに合格する必要があります。

拡張パッケージが、セキュリティレビューに合格している基本ソリューションのアドオンである (または統合される) 場合、拡張パッケージのみのレビューを申請します。ただし、基本ソリューションがセキュリティレビューに合格していない場合は、拡張パッケージとソリューションのレビューを申請してください。

拡張パッケージのセキュリティレビュー申請要件は、類似のアーキテクチャを持つソリューションの場合と同じです。たとえば、拡張パッケージで外部コールアウトが使用される場合は、そのコールアウトを使用するパッケージの Web スキャン結果を個々に添付します。

製品セキュリティチームがソリューション全体をレビューします。セキュリティレビューを申請する完全なソリューションを Developer Edition 組織にインストールします。拡張パッケージを含めます。また、パッケージが拡張または統合するソリューションの基本パッケージと連動パッケージもすべてインストールします。これは、基本ソリューションがセキュリティレビューにすでに合格していてもいなくても必須です。

Salesforce セキュリティチームによってすべての拡張パッケージがレビューされることが重要です。パッケージのサイズが小さくても、セキュリティに脆弱性をもたらす可能性があります。