Trust - Patrones de auditoría y cumplimiento normativo
Obtenga más información acerca de Well-Architected Confideicomiso → Cumplimiento y cumplimiento normativo
Patrones
| Dónde buscar | Qué aspecto tiene |
|---|---|
| Cumplimiento de infraestructura | ✅ Aproveche las certificaciones de la plataforma Salesforce (SOC 2 Type II, ISO 27001, FedRAMP para ofertas de Government Cloud, HIPAA, PCI DSS) disponibles en Trust.salesforce.com y compliance.salesforce.com para pruebas de cumplimiento de infraestructura y servicios compartidos. |
| Cumplimiento de soluciones personalizadas | ✅ Diseñe objetos personalizados, código Apex, integraciones y configuraciones para mantener la postura de cumplimiento que proporcionan las certificaciones de plataforma. |
| Cumplimiento de soluciones personalizadas | ✅ Documente controles de cumplimiento arquitectónico. |
| Límites de responsabilidad | ✅ Delineación clara de documento: Salesforce proporciona infraestructura compatible (física, de red, de seguridad de plataforma, aislamiento de múltiples arrendatarios); los arquitectos diseñan soluciones compatibles (clasificación de datos, controles de acceso, configuración de cifrado, codificación segura, cumplimiento de procesamiento de datos). |
| Documentación de cumplimiento | ✅ Mantenga la documentación de arquitectura mostrando cómo las implementaciones personalizadas satisfacen los requisitos normativos, asignadas a certificaciones de plataforma. |
| Documentación de cumplimiento | ✅ Cree regulaciones de vinculación de matriz de cumplimiento → controles de plataforma → controles personalizados. |
Antipatrones
| Dónde buscar | Aspecto negativo |
|---|---|
| Cumplimiento de infraestructura | ⚠️ Suponga que las certificaciones de plataforma significan que no tiene responsabilidades de cumplimiento. |
| Cumplimiento de infraestructura | ⚠️ Falla en la implementación de controles de acceso, cifrado o cumplimiento de procesamiento de datos apropiados para soluciones personalizadas. |
| Cumplimiento de infraestructura | ⚠️ Las certificaciones de plataforma reducen la carga de cumplimiento pero no eliminan la responsabilidad arquitectónica. |
| Límites de responsabilidad | ⚠️ Tenga una comprensión poco clara de dónde finaliza la responsabilidad de Salesforce y dónde comienza la responsabilidad del cliente. |
| Límites de responsabilidad | ⚠️ Culpe a la plataforma de brechas de cumplimiento en implementaciones personalizadas. |
| Documentación de cumplimiento | ⚠️ No tener ninguna asignación documentada entre requisitos reguladores y controles implementados. |
| Documentación de cumplimiento | ⚠️ Codifique para recopilar pruebas durante el descubrimiento de auditorías. |
Patrones
| Dónde buscar | Qué aspecto tiene |
|---|---|
| Atención sanitaria (HIPAA) | ✅ Active Shield Platform Encryption para todos los campos que contienen información sanitaria protegida (PHI). |
| Atención sanitaria (HIPAA) | ✅ Implemente Seguimiento de auditoría de campo con retención cumpliendo el requisito de mantenimiento de registros de HIPAA (confirme el periodo actual con la regulación vigente). |
| Atención sanitaria (HIPAA) | ✅ La PHI se almacena y se procesa únicamente en servicios de Salesforce cubiertos por el Acuerdo de asociado de negocio (BAA) ejecutado; los diseños de soluciones y los flujos de datos de PHI se validan en el ámbito de la BAA. |
| Atención sanitaria (HIPAA) | ✅ Configure Monitoreo de eventos para detectar patrones de acceso de PHI no autorizados. |
| Atención sanitaria (HIPAA) | ✅ Implemente salvaguardas técnicas: controles de acceso, registro de auditoría, seguridad de transmisión (TLS 1.2+, autenticación mutua basada en certificado para integraciones de PHI). |
| Servicios financieros (SOX, DORA, PCI DSS) | ✅ Implemente la segregación de funciones a través del diseño de conjuntos de permisos evitando que los usuarios únicos creen y aprueben transacciones financieras. |
| Servicios financieros (SOX, DORA, PCI DSS) | ✅ Mantenga seguimientos de auditoría de cambios a través de Configuración de seguimiento de auditoría y registro de cambios personalizado. |
| Servicios financieros (SOX, DORA, PCI DSS) | ✅ Evite almacenar números de cuenta principales completos (PAN) en Salesforce: tokenice datos de titulares de tarjetas a través de procesadores de pago para la reducción del ámbito de PCI DSS; donde se debe almacenar PAN, utilice Campos personalizados cifrados bajo controles de PCI DSS. |
| Servicios financieros (SOX, DORA, PCI DSS) | ✅ Diseñe el monitoreo de transacciones para patrones de detección de fraude. |
| Servicios financieros (SOX, DORA, PCI DSS) | ✅ DORA requiere resiliencia operativa incluyendo respuesta ante incidentes y gestión de riesgos externa. |
| Normas de privacidad (RGPD, CCPA, LGPD) | ✅ Para el RGPD y LGPD, diseñe la gestión del consentimiento capturando el consentimiento de suscripción granular y específico del propósito (marketing, análisis, personalización); para CCPA/CPRA, proporcione mecanismos de anulación de suscripción para la venta o el uso compartido de información personal. |
| Normas de privacidad (RGPD, CCPA, LGPD) | ✅ Cree flujos de trabajo de derechos de titulares de datos (acceso, rectificación, borrado, portabilidad) que completen en el plazo de respuesta los conjuntos de normativa vigente para su implementación. |
| Normas de privacidad (RGPD, CCPA, LGPD) | ✅ Implemente la automatización de retención de datos que purga datos cuando caduca el consentimiento o finaliza la base legal. |
| Normas de privacidad (RGPD, CCPA, LGPD) | ✅ Documente la base legal para cada actividad de procesamiento de datos. |
| Normas de privacidad (RGPD, CCPA, LGPD) | ✅ El RGPD requiere justificación documentada, asignación de flujos de datos, evaluaciones de impacto de privacidad. |
| Gobierno (FedRAMP) | ✅ Utilice Salesforce Government Cloud para cargas de trabajo gubernamentales reguladas. |
| Gobierno (FedRAMP) | ✅ Implemente controles NIST 800-53 asignados a la configuración de Salesforce. |
| Gobierno (FedRAMP) | ✅ Active el monitoreo continuo con Monitoreo de eventos enrutado a infraestructura SIEM gubernamental. |
| Gobierno (FedRAMP) | ✅ FedRAMP requiere autorización continua a través de monitoreo continuo, no solo certificación inicial. |
| Jurisdicción múltiple | ✅ Asigne requisitos de residencia de datos a la implementación regional Hyperforce. |
| Jurisdicción múltiple | ✅ Implemente cláusulas contractuales estándar o reglas corporativas vinculantes para transferencias de datos internacionales. |
| Jurisdicción múltiple | ✅ Mapas de flujo de datos de documentos que muestran ubicaciones de origen, tránsito y residencia. |
| Jurisdicción múltiple | ✅ Tenga en cuenta la arquitectura de múltiples organizaciones cuando no se pueden cumplir requisitos de residencia en conflicto en una única organización. |
Antipatrones
| Dónde buscar | Aspecto negativo |
|---|---|
| Atención sanitaria (HIPAA) | ⚠️ Almacene PHI en campos cifrados estándar basándose en políticas para evitar accesos no autorizados. |
| Atención sanitaria (HIPAA) | ⚠️ No tener seguimiento de auditoría de campo o plan de retención de auditoría. |
| Atención sanitaria (HIPAA) | ⚠️ Exponer PHI en reportes, vistas de lista o Experience Cloud sin controles de acceso apropiados. |
| Atención sanitaria (HIPAA) | ⚠️ Permitir MFA basada en SMS para acceso de PHI (vulnerable al intercambio de SIM). |
| Servicios financieros (SOX, PCI DSS) | ⚠️ Permita a los usuarios individuales crear y aprobar transacciones financieras (sin segregación de funciones). |
| Servicios financieros (SOX, PCI DSS) | ⚠️ Almacene números de cuenta principales completos (PAN) en campos personalizados estándar de Salesforce sin cifrado ni controles DSS de PCI. |
| Servicios financieros (SOX, PCI DSS) | ⚠️ No tener monitoreo de transacciones para la detección de fraude. |
| Servicios financieros (SOX, PCI DSS) | ⚠️ No tener un seguimiento de auditoría de cambios documentado para modificaciones del sistema financiero. |
| Normas de privacidad (RGPD, CCPA) | ⚠️ Trate el consentimiento como binario sí/no en vez de seguimiento granular por propósito. |
| Normas de privacidad (RGPD, CCPA) | ⚠️ Gestione solicitudes de titulares de datos manualmente a través del equipo legal tardando meses, faltando el plazo de respuesta que la normativa vigente establece para su implementación. |
| Normas de privacidad (RGPD, CCPA) | ⚠️ No tener base legal documentada para actividades de procesamiento de datos. |
| Normas de privacidad (RGPD, CCPA) | ⚠️ Recopile datos “por si acaso” sin limitación de propósito documentada. |
| Gobierno (FedRAMP) | ⚠️ Utilice organizaciones estándar de Salesforce para cargas de trabajo gubernamentales que requieren el cumplimiento de FedRAMP. |
| Gobierno (FedRAMP) | ⚠️ No tener monitoreo continuo o asignación de control NIST 800-53. |
| Jurisdicción múltiple | ⚠️ No tener asignación de flujo de datos mostrando dónde transitan y residen los datos. |
| Jurisdicción múltiple | ⚠️ Supongamos que la organización global única cumple todos los requisitos de residencia de datos regionales. |
| Jurisdicción múltiple | ⚠️ No tener documentación de base legal para transferencias de datos internacionales. |
Patrones
| Dónde buscar | Qué aspecto tiene |
|---|---|
| Comprobación del estado de seguridad | ✅ Ejecute evaluaciones trimestrales comparando la configuración de la organización con las líneas base de seguridad de Salesforce. |
| Comprobación del estado de seguridad | ✅ Mantener puntuajes del 80% o superiores (Banda Muy buena o Excelente). |
| Comprobación del estado de seguridad | ✅ Documente excepciones con justificación de negocio y controles de compensación para parámetros por debajo de la línea base. |
| Comprobación del estado de seguridad | ✅ Comprobación de estado identifica la desviación de configuración de mejores prácticas de seguridad. |
| Monitoreo de eventos | ✅ Active Monitoreo de eventos para capturar registros detallados para actividad de usuario, llamadas de API, eventos de autenticación, patrones de acceso a datos. |
| Monitoreo de eventos | ✅ Enrute archivos de registro de eventos a SIEM externo para una retención a largo plazo que supere los límites de retención nativos. |
| Monitoreo de eventos | ✅ El cumplimiento a menudo requiere la retención de registros de varios años; confirme el periodo mínimo con respecto a la regulación vigente para su implementación. |
| Seguridad de transacciones | ✅ Implemente políticas de Seguridad de transacciones que evalúan eventos en tiempo real y pueden bloquear, requerir un aumento de MFA o notificar sobre infracciones de políticas. |
| Seguridad de transacciones | ✅ Utilizar para controles preventivos que detienen las infracciones de cumplimiento antes de que se produzcan (por ejemplo, bloquear la exportación masiva de datos que superan los patrones normales, requerir una autenticación escalonada para el acceso a campos confidenciales). |
| Validación de cumplimiento automatizada | ✅ Implemente comprobaciones de cumplimiento en oportunidades en curso de implementación de CI/CD validando que las implementaciones no debilitan modelos de permisos, desactivan parámetros de auditoría o introducen configuraciones no conformes. |
| Validación de cumplimiento automatizada | ✅ Descanse las implementaciones que no superan la validación de cumplimiento: la validación de cumplimiento debe ser una puerta de implementación, no un descubrimiento posterior a la implementación. |
| Preparación de auditoría continua | ✅ Diseño para preparación de auditoría continua en vez de preparación de auditoría puntual. |
| Preparación de auditoría continua | ✅ El cumplimiento es un estado operativo continuo que requiere generación de pruebas continua, no aleatorizaciones de certificación anuales. |
Antipatrones
| Dónde buscar | Aspecto negativo |
|---|---|
| Comprobación del estado de seguridad | ⚠️ Ejecute Comprobación de estado solo cuando los auditores lo soliciten. |
| Comprobación del estado de seguridad | ⚠️ Permita que los puntuajes se desvíen por debajo del 80% sin investigación. |
| Comprobación del estado de seguridad | ⚠️ No tiene excepciones documentadas para parámetros por debajo de la línea base. |
| Comprobación del estado de seguridad | ⚠️ Nunca remedie los riesgos identificados. |
| Monitoreo de eventos | ⚠️ Confíe en límites de retención nativos para pruebas de cumplimiento cuando las leyes requieren retención de varios años. |
| Monitoreo de eventos | ⚠️ No tiene enrutamiento SIEM externo. |
| Monitoreo de eventos | ⚠️ Permita que caduque la retención de Monitoreo de eventos nativa, perdiendo pruebas de auditoría. |
| Seguridad de transacciones | ⚠️ No tener controles preventivos en tiempo real. |
| Seguridad de transacciones | ⚠️ Confíe únicamente en la investigación posterior al incidente en vez de bloquear infracciones de políticas antes de que se produzcan. |
| Validación de cumplimiento automatizada | ⚠️ No tener comprobaciones de cumplimiento en oportunidades en curso de implementación. |
| Validación de cumplimiento automatizada | ⚠️ Descubra infracciones de cumplimiento en producción tras la implementación. |
| Validación de cumplimiento automatizada | ⚠️ Permita implementaciones que debilitan la postura de seguridad sin revisión. |
| Preparación de auditoría continua | ⚠️ Trate el cumplimiento como un evento anual que requiere meses de aleatorización de preparación de auditoría. |
| Preparación de auditoría continua | ⚠️ No tener generación de pruebas continua. |
| Preparación de auditoría continua | ⚠️ Descubra brechas durante la auditoría cuando es demasiado tarde para remediarlas. |
Patrones
| Dónde buscar | Qué aspecto tiene |
|---|---|
| Configuración del seguimiento de auditoría | ✅ Monitoree los cambios de configuración administrativa con retención de 180 días (incluida en todas las ediciones). |
| Configuración del seguimiento de auditoría | ✅ Revise regularmente cambios no autorizados. |
| Configuración del seguimiento de auditoría | ✅ Utilizar para pruebas de cumplimiento de controles de gestión de configuración. |
| Seguimiento de auditoría de campo | ✅ Active para campos Restringido y Confidencial que requieren mantenimiento de registros reguladores. |
| Seguimiento de auditoría de campo | ✅ Configure la retención para cumplir los requisitos de cumplimiento (admite la retención indefinida); confirme el periodo requerido en la regulación vigente para su implementación. |
| Seguimiento de auditoría de campo | ✅ Requiere Shield. |
| Retención a largo plazo de Monitoreo de eventos | ✅ Enrute registros de Monitoreo de eventos a SIEM externo para su retención más allá de los límites de retención nativos. |
| Retención a largo plazo de Monitoreo de eventos | ✅ Obligatorio para pruebas de cumplimiento cuando las leyes exigen la retención de registros de varios años. |
| Retención a largo plazo de Monitoreo de eventos | ✅ Configure la correlación con la telemetría de seguridad de compañía para la investigación entre sistemas. |
| Seguridad de transacciones | ✅ Implemente la evaluación basada en políticas en tiempo real de acciones de usuario (sin retención, desencadenadores en eventos). |
| Seguridad de transacciones | ✅ Utilizar para controles preventivos que requieren respuesta inmediata (por ejemplo, bloquear acciones prohibidas, requerir autenticación de pasos, desencadenar flujos de trabajo de respuesta ante incidentes). |
| Seguridad de transacciones | ✅ Requiere licencia Shield. |
| Registro de aplicación personalizado | ✅ Implemente el registro Apex personalizado para eventos de aplicación relevantes para la seguridad no capturados por seguimientos de auditoría de plataforma: decisiones de autorización de lógica de negocio, patrones de entrada sospechosos, aplicación de limitación de frecuencia, eventos de autenticación personalizados. |
| Integridad de registro | ✅ Enrute registros de auditoría a almacenamiento externo inmutable que los atacantes no pueden modificar incluso con acceso administrativo a Salesforce. |
| Integridad de registro | ✅ Las pruebas forenses deben ser inviolables para apoyar la investigación y posibles procedimientos legales. |
Antipatrones
| Dónde buscar | Aspecto negativo |
|---|---|
| Configuración del seguimiento de auditoría | ⚠️ Nunca revise Configuración Seguimiento de auditoría para cambios administrativos no autorizados. |
| Configuración del seguimiento de auditoría | ⚠️ Descubra cambios de configuración malintencionados meses después de la aparición cuando caduque la evidencia (retención de 180 días). |
| Seguimiento de auditoría de campo | ⚠️ No tener seguimiento de auditoría de campo para datos restringidos sujetos a mantenimiento de registros normativos. |
| Seguimiento de auditoría de campo | ⚠️ Configure la retención más corta que el periodo que requiere la regulación vigente para su implementación. |
| Retención a largo plazo de Monitoreo de eventos | ⚠️ Confíe únicamente en los plazos de retención nativos de Salesforce para obtener pruebas de cumplimiento. |
| Retención a largo plazo de Monitoreo de eventos | ⚠️ Descubra brechas durante la preparación de la auditoría cuando los registros ya caducaron. |
| Retención a largo plazo de Monitoreo de eventos | ⚠️ No tiene correlación con la telemetría de seguridad de compañía para la investigación entre sistemas. |
| Seguridad de transacciones | ⚠️ No tiene evaluación de políticas en tiempo real para acciones de alto riesgo. |
| Seguridad de transacciones | ⚠️ Descubra infracciones de políticas solo a través de la revisión manual de registros días o semanas después de la aparición. |
| Registro de aplicación personalizado | ⚠️ No tenga que registrar decisiones de autorización de lógica de negocio personalizadas o eventos de aplicación relevantes para la seguridad. |
| Registro de aplicación personalizado | ⚠️ No se pueden investigar fallos de autorización o patrones sospechosos porque no existen pruebas. |
| Integridad de registro | ⚠️ Almacene registros de auditoría solo en Salesforce donde los administradores pueden modificarlos o eliminarlos. |
| Integridad de registro | ⚠️ No tener copias externas inmutables para la conservación forense. |
| Integridad de registro | ⚠️ Perder la cadena de custodia para procesos legales. |
Patrones
| Dónde buscar | Qué aspecto tiene |
|---|---|
| Implementación regional Hyperforce | ✅ Seleccione regiones Hyperforce apropiadas durante el aprovisionamiento de la organización para cumplir con el cumplimiento de residencia de datos. |
| Implementación regional Hyperforce | ✅ Hyperforce proporciona opciones de implementación regionales que permiten el cumplimiento de la residencia de datos para regulaciones que requieren que los datos permanezcan dentro de límites geográficos específicos. |
| Asignación de flujos de datos | ✅ Documente mapas de flujo de datos mostrando dónde se originan los datos, por dónde transitan (mediaware de integración, servicios externos) y dónde residen (regiones de almacenamiento). |
| Asignación de flujos de datos | ✅ Obligatorio para registros de actividades de procesamiento del artículo 30 del RGPD. |
| Transferencias internacionales | ✅ Implemente cláusulas contractuales estándar o reglas corporativas vinculantes para transferencias de datos internacionales donde lo requiera el RGPD y leyes similares. |
| Transferencias internacionales | ✅ Base legal de documento para cada transferencia transfronteriza. |
| Múltiples organizaciones para requisitos en conflicto | ✅ Tenga en cuenta la arquitectura de múltiples organizaciones cuando opere en múltiples jurisdicciones con requisitos de residencia en conflicto que no se pueden cumplir en una única organización con la implementación regional Hyperforce. |
| Múltiples organizaciones para requisitos en conflicto | ✅ Compensación: multiorganización proporciona un aislamiento de datos más sólido pero multiplica la complejidad operativa, los costos de licencia y los requisitos de integración. |
| Gobernanza de múltiples organizaciones | ✅ Para arquitecturas de múltiples organizaciones, mantenga líneas base de seguridad coherentes entre organizaciones a través de repositorios de configuración como código compartidos, monitoreo entre organizaciones y gestión de identidad unificada. |
| Gobernanza de múltiples organizaciones | ✅ Multiorganización proporciona aislamiento más sólido pero multiplica el área de superficie de regulación. |
Antipatrones
| Dónde buscar | Aspecto negativo |
|---|---|
| Implementación regional Hyperforce | ⚠️ Seleccione la región predeterminada de EE.UU. para la organización global sin evaluar los requisitos de residencia de datos. |
| Implementación regional Hyperforce | ⚠️ Infringir las leyes de soberanía de datos regionales, LGPD o GDPR a través de una selección de región inapropiada. |
| Asignación de flujos de datos | ⚠️ No tener mapas de flujo de datos documentados. |
| Asignación de flujos de datos | ⚠️ No puede responder a preguntas de auditor acerca de dónde transitan o residen los datos. |
| Asignación de flujos de datos | ⚠️ No tener registros de actividades de procesamiento del artículo 30 del RGPD. |
| Transferencias internacionales | ⚠️ Transfiera datos internacionalmente sin cláusulas contractuales estándar, reglas corporativas vinculantes o base legal documentada. |
| Transferencias internacionales | ⚠️ Infringir las restricciones de transferencia del RGPD. |
| Múltiples organizaciones para requisitos en conflicto | ⚠️ Fuerce requisitos de residencia de datos en conflicto en una única organización causando infracciones de cumplimiento. |
| Múltiples organizaciones para requisitos en conflicto | ⚠️ De manera alternativa, implemente arquitectura de múltiples organizaciones cuando una única organización con implementación regional Hyperforce cumpla los requisitos (complejidad innecesaria). |
| Gobernanza de múltiples organizaciones | ⚠️ Tener líneas base de seguridad incoherentes entre entornos de múltiples organizaciones. |
| Gobernanza de múltiples organizaciones | ⚠️ Cada organización implementa la seguridad de forma diferente. |
| Gobernanza de múltiples organizaciones | ⚠️ No puede demostrar una postura de cumplimiento coherente en toda la organización. |
Patrones
| Dónde buscar | Qué aspecto tiene |
|---|---|
| Comprobación del estado de seguridad trimestral | ✅ Ejecute Comprobación de estado trimestralmente comparando la configuración de la organización con las líneas base de seguridad de Salesforce (políticas de contraseña, configuración de sesión, acceso a la red, configuraciones de funciones). |
| Comprobación del estado de seguridad trimestral | ✅ Puntuajes objetivo del 80% o más (Banda Muy buena o Excelente). |
| Comprobación del estado de seguridad trimestral | ✅ Documente excepciones con controles de compensación y justificación de negocio para parámetros mantenidos por debajo de la línea base. |
| Análisis de Monitoreo de eventos | ✅ Diseñe tableros que revelan patrones de comportamiento que requieren investigación: volúmenes de acceso a datos inusuales, actividad administrativa fuera de horario, anomalías de consumo de API. |
| Análisis de Monitoreo de eventos | ✅ Los análisis de comportamiento detectan amenazas que la detección basada en firmas pierde. |
| Detección de deriva automatizada | ✅ Implemente pruebas de cumplimiento automatizadas en oportunidades en curso detectando desviación de configuración desde líneas base aprobadas. |
| Detección de deriva automatizada | ✅ Alerta cuando las configuraciones difieren de los estándares de seguridad. |
| Monitoreo de postura continuo | ✅ La postura de seguridad se degrada sin gestión activa a medida que las configuraciones se desvían, los permisos se acumulan y surgen nuevas vulnerabilidades. |
| Monitoreo de postura continuo | ✅ Diseño para monitoreo continuo, no evaluación de punto en el tiempo. |
Antipatrones
| Dónde buscar | Aspecto negativo |
|---|---|
| Comprobación del estado de seguridad trimestral | ⚠️ Ejecute Comprobación de estado solo cuando los auditores lo soliciten. |
| Comprobación del estado de seguridad trimestral | ⚠️ Permita que los puntuajes se desvíen por debajo del 80% sin remediación. |
| Comprobación del estado de seguridad trimestral | ⚠️ No tener seguimiento de tendencias de postura a lo largo del tiempo. |
| Análisis de Monitoreo de eventos | ⚠️ Tener Monitoreo de eventos activado pero sin tableros, sin alertas, sin investigación de anomalías. |
| Análisis de Monitoreo de eventos | ⚠️ Trate los registros de auditoría como casillas de verificación de cumplimiento en vez de telemetría de seguridad. |
| Detección de deriva automatizada | ⚠️ No tiene detección automatizada de desviación de configuración desde líneas base aprobadas. |
| Detección de deriva automatizada | ⚠️ Descubra el debilitamiento de la configuración solo durante auditorías manuales meses después del cambio. |
| Monitoreo de postura continuo | ⚠️ Trate la seguridad como certificación de punto en el tiempo en vez de estado operativo continuo. |
| Monitoreo de postura continuo | ⚠️ Esfuércese por prepararse para auditorías anuales porque no existe monitoreo continuo. |
Patrones
| Dónde buscar | Qué aspecto tiene |
|---|---|
| Cronología de revisión de seguridad | ✅ Integre la revisión de seguridad en Architecture Review Board (ARB) en la fase de propuesta, antes de una inversión de construcción significativa. |
| Cronología de revisión de seguridad | ✅ La revisión de seguridad al final del desarrollo es demasiado tarde para influir en las decisiones de diseño fundamentales. |
| Registros de decisiones de arquitectura | ✅ Documente decisiones de arquitectura de seguridad en ADR capturando requisitos de seguridad, alternativas evaluadas, compensaciones aceptadas, riesgos residuales, controles de compensación, enfoque de monitoreo. |
| Registros de decisiones de arquitectura | ✅ Las ADR proporcionan pruebas de auditoría, permiten la transferencia Knowledge, apoyan la evolución arquitectónica documentando por qué se tomaron decisiones. |
Antipatrones
| Dónde buscar | Aspecto negativo |
|---|---|
| Cronología de revisión de seguridad | ⚠️ Realice una revisión de seguridad solo después de completar el desarrollo. |
| Cronología de revisión de seguridad | ⚠️ Descubra fallos de seguridad fundamentales que requieren rearquitectura cuando la construcción está sustancialmente completa. |
| Cronología de revisión de seguridad | ⚠️ La seguridad se convierte en un pensamiento posterior costoso. |
| Registros de decisiones de arquitectura | ⚠️ No tener documentación de decisiones de arquitectura de seguridad. |
| Registros de decisiones de arquitectura | ⚠️ No puede explicar por qué se eligieron ciertos controles, qué alternativas se evaluaron, qué riesgos residuales se aceptaron. |
| Registros de decisiones de arquitectura | ⚠️ Carecer de evidencia de auditoría y transferencia Knowledge. |
Patrones
| Dónde buscar | Qué aspecto tiene |
|---|---|
| Evaluación de seguridad previa a la adopción | ✅ Revise el estado de AppExchange Security Review (ámbito, fecha de última revisión: las revisiones de seguridad caducan), evalúe los requisitos de permisos (¿necesita el paquete más acceso del que justifica la función?), evalúe las prácticas de tratamiento de datos (¿dónde fluyen los datos, qué se conserva de forma externa, datos enviados a servicios externos?), revise las funciones de respuesta ante incidentes de proveedores y los procedimientos de notificación, comprenda los procedimientos de salida y la portabilidad de datos. |
| Escrutinio de permisos AppExchange | ✅ Los paquetes que solicitan permisos Modificar todos los datos, Ver todos los datos o confidenciales requieren un escrutinio adicional. |
| Escrutinio de permisos AppExchange | ✅ Documente la justificación de negocio para permisos elevados. |
| Escrutinio de permisos AppExchange | ✅ Evalúe si la funcionalidad del paquete requiere realmente el ámbito otorgado. |
| Inventario externo | ✅ Mantener el inventario de dependencias externas (paquetes AppExchange, servicios integrados, middleware) con puntuajes de riesgo, decisiones de aceptación de riesgo documentadas, cadencia de revisión periódica. |
| Monitoreo de asesoramiento de seguridad | ✅ Suscríbase a avisos de seguridad para paquetes instalados y servicios integrados. |
| Monitoreo de asesoramiento de seguridad | ✅ Monitoree nuevas vulnerabilidades, actualizaciones de versión que requieren parches, incidentes de seguridad de proveedores que afectan a su entorno. |
| Monitoreo continuo | ✅ Monitoree el comportamiento de paquetes a través de Monitoreo de eventos para patrones de acceso a datos inesperados o anomalías de llamadas de API tras la instalación. |
| Monitoreo continuo | ✅ Los paquetes se ejecutan con privilegios elevados y requieren monitoreo de seguridad continuo. |
Antipatrones
| Dónde buscar | Aspecto negativo |
|---|---|
| Evaluación de seguridad previa a la adopción | ⚠️ Instale paquetes AppExchange basándose únicamente en funciones sin evaluar el ámbito de permisos, los patrones de acceso a datos, las prácticas de seguridad de proveedores, los procedimientos de salida. |
| Evaluación de seguridad previa a la adopción | ⚠️ Acepte paquetes con permisos excesivos sin escrutinio. |
| Escrutinio de permisos AppExchange | ⚠️ Otorgue paquetes solicitando Modificar todos los datos o Ver todos los datos sin cuestionar si la funcionalidad requiere realmente ese ámbito. |
| Escrutinio de permisos AppExchange | ⚠️ No tener justificación de negocio documentada para permisos elevados. |
| Inventario externo | ⚠️ No tener inventario de dependencias externas. |
| Inventario externo | ⚠️ No se pueden responder preguntas de auditor acerca del acceso a datos externos. |
| Inventario externo | ⚠️ No tener puntuajes de riesgo o programar revisiones para paquetes instalados. |
| Monitoreo de asesoramiento de seguridad | ⚠️ Nunca monitoree advertencias de seguridad que afecten a paquetes instalados o servicios integrados. |
| Monitoreo de asesoramiento de seguridad | ⚠️ Permanecer vulnerable a exploits conocidos meses o años después de la revelación. |
| Monitoreo continuo | ⚠️ Instale paquetes y nunca monitoree su comportamiento. |
| Monitoreo continuo | ⚠️ No se puede detectar si el paquete está comprometido o comienza a acceder a datos más allá del ámbito original. |
| Monitoreo continuo | ⚠️ No tener monitoreo de eventos para la actividad de API de paquetes. |