Trust - Patrones de cumplimiento normativo y auditoría
Obtenga más información acerca de Well-Architected Confideicomiso → Cumplimiento y cumplimiento normativo
Patrones
| Dónde buscar | Qué buen aspecto tiene |
|---|---|
| Cumplimiento de infraestructura | ✅ Aproveche las certificaciones de la plataforma Salesforce (SOC 2 Tipo II, ISO 27001, FedRAMP para ofertas de Government Cloud, HIPAA, PCI DSS) disponibles en Trust.salesforce.com y compliance.salesforce.com para pruebas de cumplimiento de infraestructura y servicios compartidos. |
| Cumplimiento de soluciones personalizadas | ✅ Diseñe objetos personalizados, código Apex, integraciones y configuraciones para mantener el estado de cumplimiento que proporcionan las certificaciones de plataforma. |
| Cumplimiento de soluciones personalizadas | ✅ Controles de cumplimiento arquitectónico de documentos. |
| Límites de responsabilidad | ✅ Delineación clara de documentos: Salesforce proporciona infraestructura compatible (física, de red, seguridad de plataforma, aislamiento de múltiples arrendatarios); los arquitectos diseñan soluciones compatibles (clasificación de datos, controles de acceso, configuración de cifrado, codificación segura, cumplimiento de procesamiento de datos). |
| Documentación de cumplimiento | ✅ Mantenga la documentación de arquitectura que muestra cómo las implementaciones personalizadas cumplen los requisitos normativos, asignadas a certificaciones de plataforma. |
| Documentación de cumplimiento | ✅ Cree reglamentos de vinculación matricial de cumplimiento → controles de plataforma → controles personalizados. |
Antipatrones
| Dónde buscar | Aspecto negativo |
|---|---|
| Cumplimiento de infraestructura | ⚠️ Asumir certificaciones de plataforma significa que no tiene responsabilidades de cumplimiento. |
| Cumplimiento de infraestructura | ⚠️ No se implementan controles de acceso, cifrado o cumplimiento de procesamiento de datos apropiados para soluciones personalizadas. |
| Cumplimiento de infraestructura | ⚠️ Las certificaciones de plataforma reducen la carga de cumplimiento pero no eliminan la responsabilidad arquitectónica. |
| Límites de responsabilidad | ⚠️ Tenga una comprensión poco clara de dónde finaliza la responsabilidad de Salesforce y comienza la responsabilidad del cliente. |
| Límites de responsabilidad | ⚠️ Culpe a la plataforma de brechas de cumplimiento en implementaciones personalizadas. |
| Documentación de cumplimiento | ⚠️ No tener ninguna asignación documentada entre requisitos normativos y controles implementados. |
| Documentación de cumplimiento | ⚠️ Codifique para recopilar pruebas durante el descubrimiento de auditorías. |
Patrones
| Dónde buscar | Qué buen aspecto tiene |
|---|---|
| Atención sanitaria (HIPAA) | ✅ Active Shield Platform Encryption para todos los campos que contienen información de salud protegida (PHI). |
| Atención sanitaria (HIPAA) | ✅ Implemente Seguimiento de auditoría de campo con retención que cumpla el requisito de mantenimiento de registros de HIPAA (confirme el periodo actual con la regulación vigente). |
| Atención sanitaria (HIPAA) | ✅ El PHI se almacena y se procesa únicamente en servicios de Salesforce cubiertos por el Acuerdo de socio comercial (BAA) ejecutado; los diseños de soluciones y los flujos de datos de PHI se validan en el ámbito de BAA. |
| Atención sanitaria (HIPAA) | ✅ Configure Supervisión de eventos para detectar patrones de acceso de PHI no autorizados. |
| Atención sanitaria (HIPAA) | ✅ Implementar protecciones técnicas: controles de acceso, registro de auditoría, seguridad de transmisión (TLS 1.2+, autenticación mutua basada en certificado para integraciones de PHI). |
| Servicios financieros (SOX, DORA, PCI DSS) | ✅ Implemente la separación de funciones a través del diseño de conjuntos de permisos evitando que los usuarios únicos creen y aprueben transacciones financieras. |
| Servicios financieros (SOX, DORA, PCI DSS) | ✅ Mantenga seguimientos de auditoría de cambios a través de Configuración Seguimiento de auditoría y registro de cambios personalizado. |
| Servicios financieros (SOX, DORA, PCI DSS) | ✅ Evite almacenar números de cuenta principales completos (PAN) en Salesforce: tokenice datos de titulares de tarjetas a través de procesadores de pago para la reducción del ámbito de PCI DSS; donde se debe almacenar PAN, utilice Campos personalizados cifrados bajo controles de PCI DSS. |
| Servicios financieros (SOX, DORA, PCI DSS) | ✅ Diseñe la supervisión de transacciones para patrones de detección de fraude. |
| Servicios financieros (SOX, DORA, PCI DSS) | ✅ DORA requiere resiliencia operativa incluyendo respuesta a incidentes y gestión de riesgos externa. |
| Normas de privacidad (RGPD, CCPA, LGPD) | ✅ Para el RGPD y LGPD, diseñe la gestión de consentimiento capturando el consentimiento de suscripción granular y específico del propósito (marketing, análisis, personalización); para CCPA/CPRA, proporcione mecanismos de anulación de suscripción para la venta o el uso compartido de información personal. |
| Normas de privacidad (RGPD, CCPA, LGPD) | ✅ Cree flujos de trabajo de derechos de titulares de datos (acceso, rectificación, borrado, portabilidad) que completen dentro del plazo de respuesta que establece la normativa vigente para su implementación. |
| Normas de privacidad (RGPD, CCPA, LGPD) | ✅ Implemente la automatización de retención de datos que purga datos cuando caduca el consentimiento o finaliza la base legal. |
| Normas de privacidad (RGPD, CCPA, LGPD) | ✅ Documentar base legal para cada actividad de procesamiento de datos. |
| Normas de privacidad (RGPD, CCPA, LGPD) | ✅ El RGPD requiere justificación documentada, asignación de flujos de datos, evaluaciones de impacto de privacidad. |
| Gobierno (FedRAMP) | ✅ Utilice Salesforce Government Cloud para cargas de trabajo gubernamentales reguladas. |
| Gobierno (FedRAMP) | ✅ Implemente controles NIST 800-53 asignados a la configuración de Salesforce. |
| Gobierno (FedRAMP) | ✅ Active la supervisión continua con Supervisión de eventos enrutada a infraestructura SIEM gubernamental. |
| Gobierno (FedRAMP) | ✅ FedRAMP requiere autorización continua a través de supervisión continua, no solo certificación inicial. |
| Jurisdicción múltiple | ✅ Asigne requisitos de residencia de datos a la implementación regional Hyperforce. |
| Jurisdicción múltiple | ✅ Implemente cláusulas contractuales estándar o reglas corporativas vinculantes para transferencias de datos internacionales. |
| Jurisdicción múltiple | ✅ Mapas de flujo de datos de documentos que muestran ubicaciones de origen, tránsito y residencia. |
| Jurisdicción múltiple | ✅ Considere la arquitectura de múltiples organizaciones cuando no se puedan cumplir requisitos de residencia en conflicto en una única organización. |
Antipatrones
| Dónde buscar | Aspecto negativo |
|---|---|
| Atención sanitaria (HIPAA) | ⚠️ Almacene PHI en campos cifrados estándar basándose en políticas para evitar accesos no autorizados. |
| Atención sanitaria (HIPAA) | ⚠️ No tener seguimiento de auditoría de campo o plan de retención de auditoría. |
| Atención sanitaria (HIPAA) | ⚠️ Exponer PHI en informes, vistas de lista o Experience Cloud sin controles de acceso apropiados. |
| Atención sanitaria (HIPAA) | ⚠️ Permitir MFA basada en SMS para acceso de PHI (vulnerable al intercambio de SIM). |
| Servicios financieros (SOX, PCI DSS) | ⚠️ Permita a los usuarios individuales crear y aprobar transacciones financieras (sin separación de funciones). |
| Servicios financieros (SOX, PCI DSS) | ⚠️ Almacene números de cuenta principales completos (PAN) en campos personalizados estándar de Salesforce sin cifrado o controles PCI DSS. |
| Servicios financieros (SOX, PCI DSS) | ⚠️ No tener supervisión de transacciones para la detección de fraude. |
| Servicios financieros (SOX, PCI DSS) | ⚠️ No tener un seguimiento de auditoría de cambios documentado para modificaciones del sistema financiero. |
| Normas de privacidad (RGPD, CCPA) | ⚠️ Trate el consentimiento como sí/no binario en vez de seguimiento granular por propósito. |
| Normas de privacidad (RGPD, CCPA) | ⚠️ Gestione las solicitudes de titulares de datos manualmente a través del equipo legal tardando meses, faltando el plazo de respuesta que el reglamento regulador establece para su implementación. |
| Normas de privacidad (RGPD, CCPA) | ⚠️ No tener base legal documentada para actividades de procesamiento de datos. |
| Normas de privacidad (RGPD, CCPA) | ⚠️ Recopile datos “por si acaso” sin limitación de propósito documentado. |
| Gobierno (FedRAMP) | ⚠️ Utilice organizaciones estándar de Salesforce para cargas de trabajo gubernamentales que requieren el cumplimiento de FedRAMP. |
| Gobierno (FedRAMP) | ⚠️ No tener supervisión continua o asignación de control NIST 800-53. |
| Jurisdicción múltiple | ⚠️ No tener asignación de flujos de datos mostrando dónde transitan y residen los datos. |
| Jurisdicción múltiple | ⚠️ Supongamos que la organización global única cumple todos los requisitos de residencia de datos regionales. |
| Jurisdicción múltiple | ⚠️ No tener documentación de base legal para transferencias de datos internacionales. |
Patrones
| Dónde buscar | Qué buen aspecto tiene |
|---|---|
| Comprobación del estado de seguridad | ✅ Ejecute evaluaciones trimestrales comparando la configuración de la organización con las líneas base de seguridad de Salesforce. |
| Comprobación del estado de seguridad | ✅ Mantener puntuaciones del 80% o superiores (Banda muy buena o excelente). |
| Comprobación del estado de seguridad | ✅ Documente excepciones con justificación comercial y controles de compensación para parámetros por debajo de la línea base. |
| Comprobación del estado de seguridad | ✅ Comprobación de estado identifica desviación de configuración de prácticas recomendadas de seguridad. |
| Supervisión de eventos | ✅ Active Supervisión de eventos para capturar registros detallados para actividad de usuario, llamadas de API, eventos de autenticación, patrones de acceso a datos. |
| Supervisión de eventos | ✅ Enrute archivos de registro de eventos a SIEM externo para una retención a largo plazo que supere los límites de retención nativos. |
| Supervisión de eventos | ✅ El cumplimiento a menudo requiere la retención de registros de varios años; confirme el periodo mínimo con respecto a la regulación vigente para su implementación. |
| Seguridad de transacciones | ✅ Implemente políticas de Seguridad de transacciones que evalúan eventos en tiempo real y pueden bloquear, requerir un paso adelante de MFA o notificar sobre infracciones de políticas. |
| Seguridad de transacciones | ✅ Utilizar para controles preventivos que detienen las infracciones de cumplimiento antes de que se produzcan (por ejemplo, bloquear la exportación masiva de datos que superan los patrones normales, requerir una autenticación escalonada para el acceso a campos confidenciales). |
| Validación de cumplimiento automatizada | ✅ Implemente comprobaciones de cumplimiento en oportunidades en curso de implementación de CI/CD validando que las implementaciones no debilitan modelos de permisos, desactivan parámetros de auditoría o introducen configuraciones no compatibles. |
| Validación de cumplimiento automatizada | ✅ Descanse las implementaciones que no superan la validación de cumplimiento: la validación de cumplimiento debe ser una puerta de implementación, no un descubrimiento posterior a la implementación. |
| Preparación de auditoría continua | ✅ Diseño para preparación de auditoría continua en vez de preparación de auditoría de punto en el tiempo. |
| Preparación de auditoría continua | ✅ El cumplimiento es un estado operativo continuo que requiere la generación continua de pruebas, no aleatorizaciones de certificación anuales. |
Antipatrones
| Dónde buscar | Aspecto negativo |
|---|---|
| Comprobación del estado de seguridad | ⚠️ Ejecute Comprobación de estado solo cuando los auditores lo soliciten. |
| Comprobación del estado de seguridad | ⚠️ Permita que las puntuaciones se desvíen por debajo del 80% sin investigación. |
| Comprobación del estado de seguridad | ⚠️ No tiene excepciones documentadas para parámetros por debajo de la línea base. |
| Comprobación del estado de seguridad | ⚠️ Nunca solucione los riesgos identificados. |
| Supervisión de eventos | ⚠️ Confíe en límites de retención nativos para evidencia de cumplimiento cuando las leyes requieren retención de varios años. |
| Supervisión de eventos | ⚠️ No tiene enrutamiento SIEM externo. |
| Supervisión de eventos | ⚠️ Permita que caduque la retención de Supervisión de eventos nativa, perdiendo evidencia de auditoría. |
| Seguridad de transacciones | ⚠️ No tener controles preventivos en tiempo real. |
| Seguridad de transacciones | ⚠️ Confíe únicamente en la investigación posterior al incidente en vez de bloquear infracciones de políticas antes de que se produzcan. |
| Validación de cumplimiento automatizada | ⚠️ No tener comprobaciones de cumplimiento en oportunidades en curso de implementación. |
| Validación de cumplimiento automatizada | ⚠️ Descubrir infracciones de cumplimiento en producción tras la implementación. |
| Validación de cumplimiento automatizada | ⚠️ Permita implementaciones que debilitan el estado de seguridad sin revisión. |
| Preparación de auditoría continua | ⚠️ Trate el cumplimiento como un evento anual que requiere meses de aleatorización de preparación de auditoría. |
| Preparación de auditoría continua | ⚠️ No tener generación de evidencia continua. |
| Preparación de auditoría continua | ⚠️ Descubrir brechas durante la auditoría cuando es demasiado tarde para solucionarlas. |
Patrones
| Dónde buscar | Qué buen aspecto tiene |
|---|---|
| Seguimiento de auditoría de configuración | ✅ Supervise cambios de configuración administrativa con retención de 180 días (incluida en todas las ediciones). |
| Seguimiento de auditoría de configuración | ✅ Revise regularmente si hay cambios no autorizados. |
| Seguimiento de auditoría de configuración | ✅ Utilizar para pruebas de cumplimiento de controles de gestión de configuración. |
| Seguimiento de auditoría de campo | ✅ Active para campos Restringido y Confidencial que requieren mantenimiento de registros reguladores. |
| Seguimiento de auditoría de campo | ✅ Configure la retención para cumplir los requisitos de cumplimiento (admite retención indefinida); confirme el periodo requerido en la regulación vigente para su implementación. |
| Seguimiento de auditoría de campo | ✅ Requiere escudo. |
| Retención a largo plazo de Supervisión de eventos | ✅ Enrute registros de Supervisión de eventos a SIEM externo para su retención más allá de los límites de retención nativos. |
| Retención a largo plazo de Supervisión de eventos | ✅ Obligatorio para pruebas de cumplimiento cuando las leyes exigen la retención de registros de varios años. |
| Retención a largo plazo de Supervisión de eventos | ✅ Configure la correlación con la telemetría de seguridad empresarial para la investigación entre sistemas. |
| Seguridad de transacciones | ✅ Implemente una evaluación basada en políticas en tiempo real de acciones de usuario (sin retención, desencadenadores en eventos). |
| Seguridad de transacciones | ✅ Utilizar para controles preventivos que requieren respuesta inmediata (por ejemplo, bloquear acciones prohibidas, requerir autenticación de pasos, desencadenar flujos de trabajo de respuesta a incidentes). |
| Seguridad de transacciones | ✅ Requiere licencia Shield. |
| Registro de aplicación personalizado | ✅ Implemente el registro Apex personalizado para eventos de aplicación relevantes para la seguridad no capturados por seguimientos de auditoría de plataforma: decisiones de autorización de lógica comercial, patrones de entrada sospechosos, aplicación limitante de velocidad, eventos de autenticación personalizados. |
| Integridad de registro | ✅ Enrute registros de auditoría a almacenamiento externo inmutable que los atacantes no pueden modificar incluso con acceso administrativo a Salesforce. |
| Integridad de registro | ✅ La evidencia forense debe ser inviolable para apoyar la investigación y posibles procedimientos legales. |
Antipatrones
| Dónde buscar | Aspecto negativo |
|---|---|
| Seguimiento de auditoría de configuración | ⚠️ Nunca revise Configuración Seguimiento de auditoría para cambios administrativos no autorizados. |
| Seguimiento de auditoría de configuración | ⚠️ Descubrir cambios de configuración maliciosos meses después de la aparición cuando la evidencia ha caducado (retención de 180 días). |
| Seguimiento de auditoría de campo | ⚠️ No tener seguimiento de auditoría de campo para datos restringidos sujetos a mantenimiento de registros reguladores. |
| Seguimiento de auditoría de campo | ⚠️ Configure la retención más corta que el periodo que requiere la regulación reguladora para su implementación. |
| Retención a largo plazo de Supervisión de eventos | ⚠️ Confíe únicamente en los plazos de retención nativos de Salesforce para obtener pruebas de cumplimiento. |
| Retención a largo plazo de Supervisión de eventos | ⚠️ Descubrir brechas durante la preparación de la auditoría cuando los registros ya caducaron. |
| Retención a largo plazo de Supervisión de eventos | ⚠️ No tienen correlación con la telemetría de seguridad empresarial para la investigación entre sistemas. |
| Seguridad de transacciones | ⚠️ No tener evaluación de políticas en tiempo real para acciones de alto riesgo. |
| Seguridad de transacciones | ⚠️ Descubrir infracciones de políticas solo a través de revisión de registro manual días o semanas después de la aparición. |
| Registro de aplicación personalizado | ⚠️ No tenga que registrar decisiones de autorización de lógica comercial personalizada o eventos de aplicación relevantes para la seguridad. |
| Registro de aplicación personalizado | ⚠️ No se pueden investigar fallos de autorización o patrones sospechosos porque no existe evidencia. |
| Integridad de registro | ⚠️ Almacene registros de auditoría solo en Salesforce donde los administradores pueden modificarlos o eliminarlos. |
| Integridad de registro | ⚠️ No tener copias externas inmutables para la preservación forense. |
| Integridad de registro | ⚠️ Perder la cadena de custodia por procedimientos legales. |
Patrones
| Dónde buscar | Qué buen aspecto tiene |
|---|---|
| Implementación regional Hyperforce | ✅ Seleccione regiones Hyperforce apropiadas durante el aprovisionamiento de la organización para cumplir con el cumplimiento de residencia de datos. |
| Implementación regional Hyperforce | ✅ Hyperforce proporciona opciones de implementación regional que permiten el cumplimiento de la residencia de datos para leyes que requieren que los datos permanezcan dentro de límites geográficos específicos. |
| Asignación de flujos de datos | ✅ Mapas de flujo de datos de documentos que muestran dónde se originan, transitan los datos (mediaware de integración, servicios externos) y residen (regiones de almacenamiento). |
| Asignación de flujos de datos | ✅ Obligatorio para registros de actividades de procesamiento del artículo 30 del RGPD. |
| Transferencias internacionales | ✅ Implementar cláusulas contractuales estándar o reglas corporativas vinculantes para transferencias internacionales de datos cuando lo requiera el RGPD y leyes similares. |
| Transferencias internacionales | ✅ Base legal de documentos para cada transferencia transfronteriza. |
| Múltiples organizaciones para requisitos en conflicto | ✅ Considere la arquitectura de múltiples organizaciones cuando opere entre múltiples jurisdicciones con requisitos de residencia en conflicto que no se pueden cumplir en una única organización con la implementación regional Hyperforce. |
| Múltiples organizaciones para requisitos en conflicto | ✅ Compensación: multiorganización proporciona un aislamiento de datos más sólido pero multiplica la complejidad operativa, los costes de licencia, los requisitos de integración. |
| Gobernanza de múltiples organizaciones | ✅ Para arquitecturas de múltiples organizaciones, mantenga líneas base de seguridad coherentes entre organizaciones a través de repositorios de configuración como código compartidos, supervisión entre organizaciones, gestión de identidad unificada. |
| Gobernanza de múltiples organizaciones | ✅ Multiorganización proporciona un aislamiento más sólido pero multiplica el área de superficie de regulación. |
Antipatrones
| Dónde buscar | Aspecto negativo |
|---|---|
| Implementación regional Hyperforce | ⚠️ Seleccione la región predeterminada de EE.UU. para la organización global sin evaluar los requisitos de residencia de datos. |
| Implementación regional Hyperforce | ⚠️ Infringir el RGPD, LGPD o leyes de soberanía de datos regionales a través de una selección de región inapropiada. |
| Asignación de flujos de datos | ⚠️ No tener mapas de flujo de datos documentados. |
| Asignación de flujos de datos | ⚠️ No puede responder a preguntas de auditor acerca de dónde transitan o residen los datos. |
| Asignación de flujos de datos | ⚠️ No tener registros del artículo 30 del RGPD de actividades de procesamiento. |
| Transferencias internacionales | ⚠️ Transferir datos a nivel internacional sin cláusulas contractuales estándar, reglas corporativas vinculantes o base legal documentada. |
| Transferencias internacionales | ⚠️ Infringir las restricciones de transferencia del RGPD. |
| Múltiples organizaciones para requisitos en conflicto | ⚠️ Forzar los requisitos de residencia de datos en conflicto en una única organización causando infracciones de cumplimiento. |
| Múltiples organizaciones para requisitos en conflicto | ⚠️ De manera alternativa, implemente arquitectura de múltiples organizaciones cuando una única organización con implementación regional Hyperforce cumpla los requisitos (complejidad innecesaria). |
| Gobernanza de múltiples organizaciones | ⚠️ Tener líneas base de seguridad incoherentes entre entornos de múltiples organizaciones. |
| Gobernanza de múltiples organizaciones | ⚠️ Cada organización implementa la seguridad de forma diferente. |
| Gobernanza de múltiples organizaciones | ⚠️ No se puede demostrar una postura de cumplimiento coherente en toda la organización. |
Patrones
| Dónde buscar | Qué buen aspecto tiene |
|---|---|
| Comprobación de estado de seguridad trimestral | ✅ Ejecute Comprobación de estado trimestralmente comparando la configuración de la organización con las líneas base de seguridad de Salesforce (políticas de contraseña, configuración de sesión, acceso a la red, configuraciones de funciones). |
| Comprobación de estado de seguridad trimestral | ✅ Puntuaciones objetivo del 80% o más (Banda muy buena o excelente). |
| Comprobación de estado de seguridad trimestral | ✅ Documente excepciones con justificación comercial y controles de compensación para parámetros mantenidos por debajo de la línea base. |
| Análisis de Supervisión de eventos | ✅ Diseñe paneles que revelan patrones de comportamiento que requieren investigación: volúmenes de acceso a datos inusuales, actividad administrativa fuera de horario, anomalías de consumo de API. |
| Análisis de Supervisión de eventos | ✅ Los análisis de comportamiento detectan amenazas que la detección basada en firmas pierde. |
| Detección de deriva automatizada | ✅ Implemente pruebas de cumplimiento automatizadas en oportunidades en curso detectando desviación de configuración desde líneas base aprobadas. |
| Detección de deriva automatizada | ✅ Alerta cuando las configuraciones difieren de los estándares de seguridad. |
| Supervisión de postura continua | ✅ La postura de seguridad se degrada sin gestión activa a medida que las configuraciones se desvían, los permisos se acumulan y surgen nuevas vulnerabilidades. |
| Supervisión de postura continua | ✅ Diseño para supervisión continua, no evaluación de punto en el tiempo. |
Antipatrones
| Dónde buscar | Aspecto negativo |
|---|---|
| Comprobación de estado de seguridad trimestral | ⚠️ Ejecute Comprobación de estado solo cuando los auditores lo soliciten. |
| Comprobación de estado de seguridad trimestral | ⚠️ Permita que las puntuaciones se desvíen por debajo del 80% sin solución. |
| Comprobación de estado de seguridad trimestral | ⚠️ No tener seguimiento de tendencias de postura a lo largo del tiempo. |
| Análisis de Supervisión de eventos | ⚠️ Tenga Supervisión de eventos activada pero sin paneles, sin alertas, sin investigación de anomalías. |
| Análisis de Supervisión de eventos | ⚠️ Trate los registros de auditoría como casilla de verificación de cumplimiento en vez de telemetría de seguridad. |
| Detección de deriva automatizada | ⚠️ No tiene detección automatizada de desviación de configuración desde líneas base aprobadas. |
| Detección de deriva automatizada | ⚠️ Descubra el debilitamiento de la configuración solo durante auditorías manuales meses después del cambio. |
| Supervisión de postura continua | ⚠️ Trate la seguridad como certificación de punto en el tiempo en vez de estado operativo continuo. |
| Supervisión de postura continua | ⚠️ Esfuércese por prepararse para auditorías anuales porque no existe supervisión continua. |
Patrones
| Dónde buscar | Qué buen aspecto tiene |
|---|---|
| Cronología de revisión de seguridad | ✅ Integre la revisión de seguridad en el Consejo de revisión de arquitectura (ARB) en la fase de propuesta, antes de una inversión de construcción significativa. |
| Cronología de revisión de seguridad | ✅ La revisión de seguridad al final del desarrollo es demasiado tarde para influir en las decisiones de diseño fundamentales. |
| Registros de decisiones de arquitectura | ✅ Documentar decisiones de arquitectura de seguridad en ADR capturando requisitos de seguridad, alternativas evaluadas, compensaciones aceptadas, riesgos residuales, controles de compensación, enfoque de supervisión. |
| Registros de decisiones de arquitectura | ✅ Los ADR proporcionan evidencia de auditoría, permiten transferir Knowledge, apoyan la evolución arquitectónica documentando por qué se tomaron decisiones. |
Antipatrones
| Dónde buscar | Aspecto negativo |
|---|---|
| Cronología de revisión de seguridad | ⚠️ Realice una revisión de seguridad solo después de completar el desarrollo. |
| Cronología de revisión de seguridad | ⚠️ Descubra fallos de seguridad fundamentales que requieren rearquitectura cuando la construcción está sustancialmente completa. |
| Cronología de revisión de seguridad | ⚠️ La seguridad se vuelve costosa. |
| Registros de decisiones de arquitectura | ⚠️ No tener documentación de decisiones de arquitectura de seguridad. |
| Registros de decisiones de arquitectura | ⚠️ No puede explicar por qué se eligieron ciertos controles, qué alternativas se evaluaron, qué riesgos residuales se aceptaron. |
| Registros de decisiones de arquitectura | ⚠️ Carecer de evidencia de auditoría y transferencia Knowledge. |
Patrones
| Dónde buscar | Qué buen aspecto tiene |
|---|---|
| Evaluación de seguridad previa a la adopción | ✅ Revisar el estado de AppExchange Security Review (ámbito, fecha de última revisión: las revisiones de seguridad caducan), evaluar los requisitos de permisos (¿necesita el paquete más acceso del que justifica la función?), evaluar las prácticas de gestión de datos (¿dónde fluyen los datos, qué se retiene de forma externa, los datos enviados a servicios externos?), revisar las funciones de respuesta ante incidentes de proveedores y los procedimientos de notificación, comprender los procedimientos de salida y la portabilidad de datos. |
| Escrutinio de permisos AppExchange | ✅ Los paquetes que solicitan Modificar todos los datos, Ver todos los datos o permisos confidenciales requieren un escrutinio adicional. |
| Escrutinio de permisos AppExchange | ✅ Documente la justificación comercial para permisos elevados. |
| Escrutinio de permisos AppExchange | ✅ Evalúe si la funcionalidad del paquete requiere realmente un ámbito otorgado. |
| Inventario externo | ✅ Mantener el inventario de dependencias externas (paquetes AppExchange, servicios integrados, middleware) con puntuaciones de riesgo, decisiones de aceptación de riesgo documentadas, cadencia de revisión periódica. |
| Supervisión de asesoramiento de seguridad | ✅ Suscríbase a avisos de seguridad para paquetes instalados y servicios integrados. |
| Supervisión de asesoramiento de seguridad | ✅ Supervise nuevas vulnerabilidades, actualizaciones de versión que requieren parches, incidentes de seguridad de proveedores que afectan a su entorno. |
| Supervisión continua | ✅ Supervise el comportamiento del paquete a través de Supervisión de eventos para patrones de acceso a datos inesperados o anomalías de llamadas de API tras la instalación. |
| Supervisión continua | ✅ Los paquetes se ejecutan con privilegios elevados y requieren supervisión de seguridad continua. |
Antipatrones
| Dónde buscar | Aspecto negativo |
|---|---|
| Evaluación de seguridad previa a la adopción | ⚠️ Instalar paquetes AppExchange basados únicamente en funciones sin evaluar el ámbito de permisos, patrones de acceso a datos, prácticas de seguridad de proveedores, procedimientos de salida. |
| Evaluación de seguridad previa a la adopción | ⚠️ Acepte paquetes con permisos excesivos sin escrutinio. |
| Escrutinio de permisos AppExchange | ⚠️ Otorgue paquetes solicitando Modificar todos los datos o Ver todos los datos sin cuestionar si la funcionalidad requiere realmente ese ámbito. |
| Escrutinio de permisos AppExchange | ⚠️ No tener justificación comercial documentada para permisos elevados. |
| Inventario externo | ⚠️ No tener inventario de dependencias externas. |
| Inventario externo | ⚠️ No puede responder a preguntas de auditor acerca del acceso a datos externos. |
| Inventario externo | ⚠️ No tener valoraciones de riesgo o programar revisiones para paquetes instalados. |
| Supervisión de asesoramiento de seguridad | ⚠️ Nunca supervise las advertencias de seguridad que afectan a paquetes instalados o servicios integrados. |
| Supervisión de asesoramiento de seguridad | ⚠️ Permanecer vulnerable a exploits conocidos meses o años después de la revelación. |
| Supervisión continua | ⚠️ Instale paquetes y nunca supervise su comportamiento. |
| Supervisión continua | ⚠️ No se puede detectar si el paquete está comprometido o comienza a acceder a datos más allá del ámbito original. |
| Supervisión continua | ⚠️ No tener Supervisión de eventos para la actividad de API de paquete. |