Trust - säännöstenmukaisuus ja auditointikuvio
Lue lisää Well-Architected Trust -ominaisuudesta → Yhteensopivuus ja säännösten noudattaminen
Kuvio
| Mistä etsiä | Miltä hyvä näyttää |
|---|---|
| Infrastruktuurin vaatimustenmukaisuus | ✅ Hyödynnä Salesforce Platform -sertifikaatteja (SOC 2 Type II, ISO 27001, FedRAMP Government Cloud -tuotteille, HIPAA, PCI DSS), jotka ovat saatavilla osoitteesta Trust.salesforce.com ja compliance.salesforce.com, todistaaksesi infrastruktuurin ja jaettujen palveluiden vaatimustenmukaisuuden. |
| Mukautettujen ratkaisujen vaatimustenmukaisuus | ✅ Suunnittele mukautettuja objekteja, Apex, integraatioita ja kokoonpanoja ylläpitääksesi vaatimustenmukaisuutta, jota sovellusalustan sertifikaatit tarjoavat. |
| Mukautettujen ratkaisujen vaatimustenmukaisuus | ✅ Asiakirjojen arkkitehtuurin vaatimustenmukaisuuden ohjaimet. |
| Vastuun rajat | ✅ Asiakirjan selkeä raja: Salesforce tarjoaa yhteensopivan infrastruktuurin (fyysinen, verkko, sovellusalustan suojaus, usean vuokralaisen eristys); arkkitehtit suunnittelevat yhteensopivia ratkaisuja (datan luokittelu, käyttöoikeuksien hallinta, salauskokoonpano, turvallinen koodaus, datan käsittelyn vaatimustenmukaisuus). |
| Vaatimustenmukaisuusdokumentaatio | ✅ Ylläpidä arkkitehtuurin dokumentaatiota, joka näyttää, miten mukautetut toteutukset täyttävät lakisääteiset vaatimukset, kartoitettu sovellusalustan sertifikaatteihin. |
| Vaatimustenmukaisuusdokumentaatio | ✅ Luo yhteensopivuusmatriisien linkityssäännöksiä → sovellusalustan ohjaimet → mukautettuja ohjaimia. |
Anti-Mallit
| Mistä etsiä | Miltä huono näyttää |
|---|---|
| Infrastruktuurin vaatimustenmukaisuus | ⚡️ Oletetaan, että sovellusalustan sertifikaatit tarkoittavat, ettet ole vastuussa vaatimustenmukaisuudesta. |
| Infrastruktuurin vaatimustenmukaisuus | ⚡️ Mukautettujen ratkaisujen käyttöoikeuksien, salauksen tai datan käsittelyn vaatimustenmukaisuuden toteuttaminen epäonnistui. |
| Infrastruktuurin vaatimustenmukaisuus | ⚡️ Sovellusalustan sertifikaatit vähentävät vaatimustenmukaisuuden taakkaa, mutta eivät poista arkkitehtuurista vastuuta. |
| Vastuun rajat | ⚡️ Älä ymmärrä selkeästi, mistä Salesforcen vastuut päättyvät ja mistä asiakkaan vastuut alkavat. |
| Vastuun rajat | ⚡️ Syytä sovellusalusta mukautettujen toteutusten vaatimustenmukaisuuden puutteisiin. |
| Vaatimustenmukaisuusdokumentaatio | ⚡️ Ei ole dokumentoituja kartoituksia lakisääteisten vaatimusten ja käyttöönotettujen asetusten välillä. |
| Vaatimustenmukaisuusdokumentaatio | ⚡️ Keskustele kerätäksesi todisteita tarkastuksen aikana. |
Kuvio
| Mistä etsiä | Miltä hyvä näyttää |
|---|---|
| Terveydenhuolto (HIPAA) | ✅ Ota Shield Platform Encryption käyttöön kaikille kentille, jotka sisältävät suojattuja terveystietoja (PHI). |
| Terveydenhuolto (HIPAA) | ✅ Toteuta kenttien kirjausketju säilyttämällä HIPAA:n tietueiden säilyttämistä koskevat vaatimukset (vahvista tämänhetkinen ajanjakso säännösten mukaisesti). |
| Terveydenhuolto (HIPAA) | ✅ PHI-arvot tallennetaan ja käsitellään vain Salesforce-palveluissa, jotka kuuluvat suoritetun liiketoimintaan liittyvän sopimuksen (BAA) piiriin; ratkaisusuunnitelmat ja PHI-datakulut vahvistetaan BAA:n vaikutusalueen mukaisesti. |
| Terveydenhuolto (HIPAA) | ✅ Määritä Event Monitoring havaitaksesi valtuuttamattomia PHI-käyttöoikeuskuvioita. |
| Terveydenhuolto (HIPAA) | ✅ Teknisten suojatoimenpiteiden toteuttaminen: käyttöoikeuksien ohjaimet, kirjauslokit, siirron suojaus (TLS 1.2+, sertifikaatteihin perustuva yhteinen todennus PHI-integraatioille). |
| Financial Services (SOX, DORA, PCI DSS) | ✅ Käytä tehtävien erottamista käyttöoikeusjoukkojen suunnittelulla estääksesi yksittäisiä käyttäjiä luomasta ja hyväksymästä finanssitransaktioita. |
| Financial Services (SOX, DORA, PCI DSS) | ✅ Ylläpidä muutosten kirjausketjuja määrityslokin ja mukautetun muutoslokin avulla. |
| Financial Services (SOX, DORA, PCI DSS) | ✅ Vältä tallentamasta kaikkia ensisijaisia tilinumeroita (PAN) Salesforceen — tokenisoi kortin omistajan tiedot maksun käsittelijöiden kautta PCI DSS:n vaikutusalueen vähentämiseksi. Jos PAN täytyy tallentaa, käytä PCI DSS -ohjaimissa salattuja mukautettuja kenttiä. |
| Financial Services (SOX, DORA, PCI DSS) | ✅ Suunnittele transaktioiden valvonta petosten havaitsemiseen. |
| Financial Services (SOX, DORA, PCI DSS) | ✅ DORA vaatii toiminnallista kestävyyttä, mukaan lukien vahinkotapahtumien vastaus ja kolmansien osapuolten riskien hallinta. |
| Yksityisyyssäännöt (GDPR, CCPA, LGPD) | ✅ Suunnittele GDPR- ja LGPD-säännöksille suostumusten hallinta kerätäksesi tarkkoja, käyttötarkoitukseen liittyviä suostumuksia (markkinointi, analyysit, personalisointi); CCPA/CPRA-säännöksille tarjoa tilausten peruutusmekanismeja henkilötietojen myymiseen tai jakamiseen. |
| Yksityisyyssäännöt (GDPR, CCPA, LGPD) | ✅ Laadi datan aiheiden oikeuksien työnkulkuja (käyttöoikeus, korjaus, poistaminen, siirrettävyys), jotka suorittavat käyttöönottosi sääntelyjoukot vastausikkunassa. |
| Yksityisyyssäännöt (GDPR, CCPA, LGPD) | ✅ Ota käyttöön datan säilytysautomaatio, joka tyhjentää tiedot, kun suostumus vanhenee tai lakisääteinen peruste päättyy. |
| Yksityisyyssäännöt (GDPR, CCPA, LGPD) | ✅ Jokaisen tietojen käsittelytoiminnon asiakirjan lakisääteinen peruste. |
| Yksityisyyssäännöt (GDPR, CCPA, LGPD) | GDPR vaatii dokumentoitua perustelua, datakulkujen kartoituksia ja yksityisyyden vaikutusten arviointeja. |
| Hallitus (FedRAMP) | ✅ Käytä Salesforce Government Cloudia hallittaville töille. |
| Hallitus (FedRAMP) | ✅ Toteuta NIST 800-53-ohjaimet, jotka on kartoitettu Salesforce-kokoonpanoon. |
| Hallitus (FedRAMP) | ✅ Ota jatkuva valvonta käyttöön, kun Event Monitoring reititetään hallituksen SIEM-infrastruktuuriin. |
| Hallitus (FedRAMP) | ✅ FedRAMP vaatii jatkuvaa valtuutusta jatkuvan valvonnan kautta, eikä vain alustavaa sertifikaattia. |
| Monivaltuutus | ✅ Kartoita datan residenssin vaatimukset Hyperforcen alueelliseen käyttöönottoon. |
| Monivaltuutus | ✅ Käytä vakiosopimuslausekkeita tai velvoittavia yhtiösääntöjä kansainvälisille datan siirroille. |
| Monivaltuutus | ✅ Asiakirjojen datakulkujen kartat, jotka näyttävät alkuperän, kuljetuksen ja asuinpaikan. |
| Monivaltuutus | ✅ Harkitse usean organisaation arkkitehtuuria, kun ristiriitaisia asumisvaatimuksia ei voida täyttää yhdessä organisaatiossa. |
Anti-Mallit
| Mistä etsiä | Miltä huono näyttää |
|---|---|
| Terveydenhuolto (HIPAA) | ⚡️ Tallenna PHI-arvot salattuihin vakiokenttiin, jotka ovat riippuvaisia käytännöstä, jotta estät valtuuttamattoman käytön. |
| Terveydenhuolto (HIPAA) | ⚡️ Sinulla ei ole kenttätarkastusketjua tai tarkastussuunnitelmaa. |
| Terveydenhuolto (HIPAA) | ⚡️ Näytä PHI-arvot raporteissa, luettelonäkymissä tai Experience Cloudissa ilman asiaankuuluvia käyttöoikeuksia. |
| Terveydenhuolto (HIPAA) | ⚡️ Salli SMS-pohjainen MFA PHI-käyttöoikeudelle (haavoittuva SIM-vaihdolle). |
| Financial Services (SOX, PCI DSS) | ⚡️ Salli yksittäisten käyttäjien luoda ja hyväksyä finanssitransaktioita (ei tehtävien erottamista). |
| Financial Services (SOX, PCI DSS) | ⚡️ Tallenna täydet ensisijaiset tilinumerot (PAN) Salesforcen mukautettuihin vakiokenttiin ilman salausta tai PCI DSS -ohjaimia. |
| Financial Services (SOX, PCI DSS) | ⚡️ Älä valvo transaktioita petosten havaitsemista varten. |
| Financial Services (SOX, PCI DSS) | ⚡️ Sinulla ei ole asiakirjoitettua muutostarkastusketjua finanssijärjestelmän muutoksille. |
| Yksityisyyssäännöt (GDPR, CCPA) | ⚡️ Käsittele suostumuksia binäärinä kyllä/ei, eikä tarkempana käyttötarkoituksiin perustuvana seurantana. |
| Yksityisyyssäännöt (GDPR, CCPA) | ⚡️ Käsittele datan aiheiden pyyntöjä manuaalisesti lakitiimin kautta kuukausien kuluessa, jolloin käyttöönottoon liittyvät sääntelyjoukot eivät näy vastausikkunassa. |
| Yksityisyyssäännöt (GDPR, CCPA) | ⚡️ Sinulla ei ole dokumentoitua lakisääteistä perusteita tietojen käsittelytoimille. |
| Yksityisyyssäännöt (GDPR, CCPA) | ⚡️ Kerää tietoja vain tapauksille ilman rajoitusta asiakirjoitetulle käyttötarkoitukselle. |
| Hallitus (FedRAMP) | ⚡️ Käytä vakiomuotoisia Salesforce-organisaatioita valtion töille, jotka vaativat FedRAMP-yhteensopivuuden. |
| Hallitus (FedRAMP) | ⚡️ Ei jatkuvaa valvontaa tai NIST 800-53 -ohjainkartoitusta. |
| Monivaltuutus | ⚡️ Sinulla ei ole datakulkujen kartoitusta, joka näyttää missä tiedot siirretään ja missä ne sijaitsevat. |
| Monivaltuutus | ⚡️ Oletetaan, että yksi globaali organisaatio täyttää kaikki paikallisten tietojen vaatimukset. |
| Monivaltuutus | ⚡️ Sinulla ei ole kansainvälisten tietojen siirtojen lakisääteistä perustetta. |
Kuvio
| Mistä etsiä | Miltä hyvä näyttää |
|---|---|
| Tietoturvan terveystarkastus | ✅ Suorita neljännesvuosittaisia arviointeja, jotka vertaavat organisaation kokoonpanoa Salesforcen tietoturvan perustasoihin. |
| Tietoturvan terveystarkastus | ✅ Pidä pisteet 80 % tai korkeammalla (Erittäin hyvä tai Erinomainen bändi). |
| Tietoturvan terveystarkastus | ✅ Asiakirjan poikkeukset liiketoiminnan perusteluilla ja korvaavilla asetuksilla, jotka ovat perustason alapuolella. |
| Tietoturvan terveystarkastus | ✅ Terveystarkastus tunnistaa, miten kokoonpano heikkenee tietoturvan suositelluista käytännöistä. |
| Tapahtumien valvonta | ✅ Ota Event Monitoring käyttöön sieppaamaan yksityiskohtaisia lokeja käyttäjien toiminnoista, API-kutsuista, todennustapahtumista ja datan käyttöoikeuskuvioista. |
| Tapahtumien valvonta | ✅ Reititä tapahtumalokitiedostoja ulkoiseen SIEM-järjestelmään säilyttääksesi ne pitkällä aikavälillä, jos ne ylittävät natiiviset säilytyrajoitukset. |
| Tapahtumien valvonta | ✅ Vaatimustenmukaisuus vaatii usein monivuotisen lokin säilyttämisen. Vahvista vähimmäiskesto käyttöönottosi säännösten mukaisesti. |
| Transaktioiden suojaus | ✅ Käytä transaktioiden suojauskäytäntöjä, jotka arvioivat tapahtumia reaaliajassa ja jotka voivat estää, vaatia MFA-korjausta tai ilmoittaa käytännön rikkomuksista. |
| Transaktioiden suojaus | ✅ Käytä ennaltaehkäiseviin asetuksiin, jotka estävät vaatimustenmukaisuuksien rikkomukset ennen niiden tapahtumista (esimerkiksi estää joukkodatan vientiä, joka ylittää normaalikuviot, vaatii vaiheittaisen todennuksen kenttien luottamuksellisille käyttöoikeuksille). |
| Automatisoitu vaatimustenmukaisuuden vahvistus | ✅ Käytä CI/CD-käyttöönottoputkissa vaatimustenmukaisuuden tarkistuksia varmistaaksesi, että käyttöönotot eivät heikennä käyttöoikeusmalleja, poista tarkastusasetuksia käytöstä tai tuo käyttöön yhteensopimattomia kokoonpanoja. |
| Automatisoitu vaatimustenmukaisuuden vahvistus | ✅ Keskeytä käyttöönotot, jotka epäonnistuvat vaatimustenmukaisuuden vahvistuksessa — vaatimustenmukaisuuden vahvistuksen tulisi olla käyttöönottoportaali, ei käyttöönoton jälkeinen havainto. |
| Jatkuva tarkastuksen valmius | ✅ Suunnittelu jatkuvalle tarkastuksen valmiudelle aikakatkaisun sijaan. |
| Jatkuva tarkastuksen valmius | ✅ Vaatimustenmukaisuus on jatkuva toimintatila, joka vaatii jatkuvaa todisteiden luomista, eikä vuosittaisia sertifikaattien vääristymiä. |
Anti-Mallit
| Mistä etsiä | Miltä huono näyttää |
|---|---|
| Tietoturvan terveystarkastus | ⚡️ Suorita terveystarkastus vain, kun tarkastajat pyytävät sitä. |
| Tietoturvan terveystarkastus | ⚡️ Salli pistemäärien laskea alle 80 % ilman tutkimusta. |
| Tietoturvan terveystarkastus | ⚡️ Ei ole dokumentoituja poikkeuksia perustasoa alempia asetuksia varten. |
| Tietoturvan terveystarkastus | ⚡️ Älä koskaan korjaa tunnistettuja riskejä. |
| Tapahtumien valvonta | ⚡️ Luota natiivisiin säilytyrajoituksiin vaatimustenmukaisuuden todisteille, kun säännökset vaativat usean vuoden säilyttämistä. |
| Tapahtumien valvonta | ⚡️ Ei ulkoista SIEM-reititystä. |
| Tapahtumien valvonta | ⚡️ Salli natiivin Event Monitoring -ominaisuuden säilytys vanhentua, jolloin tilintarkastuksen todisteet menetetään. |
| Transaktioiden suojaus | ⚡️ Älä käytä reaaliaikaisia ennakoivia asetuksia. |
| Transaktioiden suojaus | ⚡️ Luota vain vahinkotapahtuman jälkeiseen tutkimukseen sen sijaan, että estäisit käytäntöjen rikkomukset ennen niiden tapahtumista. |
| Automatisoitu vaatimustenmukaisuuden vahvistus | ⚡️ Käyttöönottoputkissa ei ole vaatimustenmukaisuustarkistuksia. |
| Automatisoitu vaatimustenmukaisuuden vahvistus | ⚡️ Havaitse vaatimustenmukaisuuden rikkomukset tuotantoympäristössä käyttöönoton jälkeen. |
| Automatisoitu vaatimustenmukaisuuden vahvistus | ⚡️ Salli käyttöönotot, jotka heikentävät tietoturvaa ilman tarkistusta. |
| Jatkuva tarkastuksen valmius | ⚡️ Käsittele vaatimustenmukaisuutta vuosittaisena tapahtumana, joka vaatii kuukausia tarkastusten valmisteluun. |
| Jatkuva tarkastuksen valmius | ⚡️ Älä luo jatkuvaa todistetta. |
| Jatkuva tarkastuksen valmius | ⚡️ Löydä aukkoja tarkastuksen aikana, kun niiden korjaaminen on liian myöhäistä. |
Kuvio
| Mistä etsiä | Miltä hyvä näyttää |
|---|---|
| Määritysloki | ✅ Valvo hallintakokoonpanojen muutoksia 180 päivän säilyttämisellä (sisältyy kaikkiin versioihin). |
| Määritysloki | ✅ Tarkasta valtuuttamattomat muutokset säännöllisesti. |
| Määritysloki | ✅ Käytä määritysten hallinta-asetusten vaatimustenmukaisuuden todistuksessa. |
| Kenttien kirjausketju | ✅ Ota käyttöön rajoitetuille ja luottamuksellisille kentille, jotka vaativat tietueiden säilyttämistä lakisääteisesti. |
| Kenttien kirjausketju | ✅ Määritä säilytys noudattaaksesi vaatimuksia (tukee määrittämättömiä säilytysaikoja); vahvista vaadittu ajanjakso käyttöönottosi säännösten mukaisesti. |
| Kenttien kirjausketju | ✅ Vaatii kilven. |
| Event Monitoringin pitkäaikainen säilytys | ✅ Reititä Event Monitoring -lokit ulkoiseen SIEM-järjestelmään säilyttääksesi ne natiivisten säilytyrajoitusten ulkopuolella. |
| Event Monitoringin pitkäaikainen säilytys | ✅ Vaaditaan vaatimustenmukaisuuden todistamiseksi, kun säännökset vaativat lokien monivuotista säilyttämistä. |
| Event Monitoringin pitkäaikainen säilytys | ✅ Määritä korrelaatio Enterprise Security Telemetry -ominaisuudella järjestelmien välistä tutkimista varten. |
| Transaktioiden suojaus | ✅ Käytä käyttäjien toimintojen reaaliaikaista käytäntöön perustuvaa arviointia (ei säilytystä, tapahtumien käynnistimet). |
| Transaktioiden suojaus | ✅ Käytä ennakoivissa asetuksissa, jotka vaativat välittömän vastauksen (esimerkiksi estää kiellettyjä toimintoja, vaatii vaiheittaisen todennuksen, käynnistää vahinkotapahtumien vastausten työnkulkuja). |
| Transaktioiden suojaus | ✅ Vaatii Shield-lisenssin. |
| Mukautettujen sovellusten kirjaaminen lokiin | ✅ Ota käyttöön mukautettu Apex tietoturvaan liittyville sovellustapahtumille, joita sovellusalustan kirjausketjut eivät kerää: liiketoimintalogiikan valtuutuspäätökset, epäilyttävät syöttökuviot, nopeusrajoitukset, mukautetut todennustapahtumat. |
| Lokien yhtenäisyys | ✅ Reititä kirjauslokit muuttumattomaan ulkoiseen tallennustilaan, jota hyökkääjät eivät voi muokata edes Salesforcen hallintaoikeudella. |
| Lokien yhtenäisyys | ✅ Oikeuslääketieteellisten todisteiden on oltava väärinkäytön osoittavia tutkinnan ja mahdollisen oikeudenkäynnin tueksi. |
Anti-Mallit
| Mistä etsiä | Miltä huono näyttää |
|---|---|
| Määritysloki | ⚡️ Älä koskaan tarkasta määritysten kirjausketjua valtuuttamattomien hallintamuutosten varalta. |
| Määritysloki | ⚡️ Löydät pahantahtoisen kokoonpanon muutokset kuukausia sen jälkeen, kun todisteet ovat vanhentuneet (180 päivän säilytys). |
| Kenttien kirjausketju | ⚡️ Rajoitettujen tietojen kenttien kirjausketju ei ole tietueiden säilyttämisen alainen. |
| Kenttien kirjausketju | ⚡️ Määritä säilytysaika lyhyemmäksi kuin mitä sääntely vaatii käyttöönotollesi. |
| Event Monitoringin pitkäaikainen säilytys | ⚡️ Luota vain Salesforcen natiivisiin säilytysaikoihin vaatimustenmukaisuuden todistamiseksi. |
| Event Monitoringin pitkäaikainen säilytys | ⚡️ Löydä aukkoja tarkastuksen valmistelussa, kun lokit ovat jo vanhentuneet. |
| Event Monitoringin pitkäaikainen säilytys | ⚡️ Ei korrelaatiota Enterprise Security Telemetry -ominaisuuden kanssa järjestelmien välistä tutkimista varten. |
| Transaktioiden suojaus | ⚡️ Sinulla ei ole reaaliaikaista käytännön arviointia riskialttiille toiminnoille. |
| Transaktioiden suojaus | ⚡️ Löydät käytäntöjen rikkomuksia vain lokien manuaalisen tarkastuksen päivien tai viikkojen jälkeen. |
| Mukautettujen sovellusten kirjaaminen lokiin | ⚡️ Älä kirjaa lokiin mukautettujen liiketoimintalogiikan valtuutusten päätöksiä tai tietoturvaan liittyviä sovellustapahtumia. |
| Mukautettujen sovellusten kirjaaminen lokiin | ⚡️ Valtuutusvirheitä tai epäilyttäviä kuvioita ei voi tutkia, koska todisteita ei ole. |
| Lokien yhtenäisyys | ⚡️ Tallenna kirjauslokit vain Salesforceen, josta pääkäyttäjät voivat muokata niitä tai poistaa niitä. |
| Lokien yhtenäisyys | ⚡️ Älä käytä muuttumattomia ulkoisia kopioita oikeudellista säilyttämistä varten. |
| Lokien yhtenäisyys | ⚡️ Lakisääteisten menettelyiden säilytysketju. |
Kuvio
| Mistä etsiä | Miltä hyvä näyttää |
|---|---|
| Hyperforcen alueellinen käyttöönotto | ✅ Valitse asiaankuuluvat Hyperforce organisaation provisioinnin aikana noudattaaksesi datan residenssin vaatimuksia. |
| Hyperforcen alueellinen käyttöönotto | ✅ Hyperforce tarjoaa alueellisia käyttöönottovaihtoehtoja, jotka sallivat datan asuinpaikan vaatimustenmukaisuuden säännöille, jotka vaativat, että tiedot säilyvät tiettyjen maantieteellisten rajojen sisällä. |
| Datakulkujen kartoitus | ✅ Asiakirjojen datakulkujen kartat, jotka näyttävät, mistä data on peräisin, missä se siirretään (integraation välitysohjelmisto, ulkoiset palvelut) ja missä se sijaitsee (tallennusalueet). |
| Datakulkujen kartoitus | ✅ Vaaditaan GDPR:n 30 artiklan tietueille, jotka koskevat tietojen käsittelytoimintoja. |
| Kansainväliset siirrot | ✅ Käytä vakiomuotoisia sopimuslausekkeita tai velvoittavia yrityssääntöjä kansainvälisille datan siirroille, kun GDPR ja samankaltaiset säännökset sitä vaativat. |
| Kansainväliset siirrot | ✅ Jokaisen rajat ylittävän siirron asiakirjan lakisääteinen peruste. |
| Useita organisaatioita ristiriitaisille vaatimuksille | ✅ Ota huomioon usean organisaation arkkitehtuuri, kun käytät useita lainkäyttöalueita, joissa on ristiriitaisia oleskelujaksoja, joita ei voida täyttää yhdessä organisaatiossa Hyperforce avulla. |
| Useita organisaatioita ristiriitaisille vaatimuksille | ✅ Vaihtoehto: multi-organisaatio tarjoaa vahvimman datan eristämisen, mutta monimutkaistaa toiminnan, lisenssien kustannukset ja integrointivaatimukset. |
| Usean organisaation hallinta | ✅ Jos käytät usean organisaation arkkitehtuuria, ylläpidä yhdenmukaisia tietoturvan perustasoja eri organisaatioissa käyttämällä jaettuja kokoonpano koodina -säiliöitä, organisaatioiden välistä valvontaa ja yhtenäistettyä henkilöllisyyden hallintaa. |
| Usean organisaation hallinta | ✅ Useat organisaatiot tarjoavat vahvimman eristyksen, mutta kertovat hallinta-alueen. |
Anti-Mallit
| Mistä etsiä | Miltä huono näyttää |
|---|---|
| Hyperforcen alueellinen käyttöönotto | ⚡️ Valitse globaalille organisaatiolle oletusarvoinen Yhdysvaltojen alue arvioimatta datan sijaintivaatimuksia. |
| Hyperforcen alueellinen käyttöönotto | ⚡️ Rikkoa GDPR:n, LGPD:n tai alueellisten tietojen suvereniteettisääntöjen säännöksiä valitsemalla sopimaton alue. |
| Datakulkujen kartoitus | ⚡️ Ei ole dokumentoituja datakulkukarttoja. |
| Datakulkujen kartoitus | ⚡️ Ei voi vastata tarkastajiin kysymyksiin siitä, missä tietoja siirretään tai missä ne sijaitsevat. |
| Datakulkujen kartoitus | ⚡️ Sinulla ei ole GDPR:n 30 artiklan tietueita käsittelytoiminnoista. |
| Kansainväliset siirrot | ⚡️ Siirrä tietoja kansainvälisesti ilman vakiosopimuslausekkeita, velvoittavia yrityssääntöjä tai dokumentoitua lakisääteistä perustaa. |
| Kansainväliset siirrot | ⚡️ Rikkoa GDPR:n siirron rajoitukset. |
| Useita organisaatioita ristiriitaisille vaatimuksille | ⚡️ Pakottaa ristiriitaiset datan residenssien vaatimukset yhteen organisaatioon, joka aiheuttaa vaatimustenmukaisuuden rikkomuksia. |
| Useita organisaatioita ristiriitaisille vaatimuksille | Voit myös toteuttaa usean organisaation arkkitehtuurin, kun yksi organisaatio Hyperforcen alueellisella käyttöönotolla täyttää vaatimukset (tarpeeton monimutkaisuus). |
| Usean organisaation hallinta | ⚡️ Ei ole yhdenmukaisia tietoturvan perustasoja usean organisaation ympäristössä. |
| Usean organisaation hallinta | ⚡️ Jokainen organisaatio käyttää tietoturvaa eri tavalla. |
| Usean organisaation hallinta | ⚡️ Ei voi osoittaa yhdenmukaista vaatimustenmukaisuutta koko organisaatiossa. |
Kuvio
| Mistä etsiä | Miltä hyvä näyttää |
|---|---|
| Tietoturvan terveystarkastus neljännesvuosittain | ✅ Suorita terveystarkastus neljännesvuosittain vertaamalla organisaation kokoonpanoa Salesforcen tietoturvan perustasoon (salasanakäytännöt, istuntoasetukset, verkko-oikeudet, ominaisuuskokoonpanot). |
| Tietoturvan terveystarkastus neljännesvuosittain | ✅ Tavoitepisteet 80 % tai enemmän (Erittäin hyvä tai Erinomainen bändi). |
| Tietoturvan terveystarkastus neljännesvuosittain | ✅ Asiakirjan poikkeukset liiketoiminnan perusteluilla ja korvaavilla asetuksilla, joita säilytetään perustason alapuolella. |
| Event Monitoring -analyysi | ✅ Suunnittele mittaristoja, jotka paljastavat tutkimista vaativia toimintokuvioita: epätavalliset datan käyttöoikeudet, poissaolot, API-kulutuksen poikkeavuudet. |
| Event Monitoring -analyysi | ✅ Toimintatavan analyysit havaitsevat uhkia, joita allekirjoituksiin perustuva havaitseminen ei näe. |
| Automatisoitu drift-havainto | ✅ Käytä automatisoituja vaatimustenmukaisuustestejä myyntiputkeissa, jotka havaitsevat kokoonpanon heikentymisen hyväksytyistä perustasoista. |
| Automatisoitu drift-havainto | ✅ Hälytys, kun kokoonpanot eroavat suojausstandardeista. |
| Jatkuva asennon valvonta | ✅ Tietoturva heikkenee ilman aktiivista hallintaa, kun kokoonpanot heikkenevät, käyttöoikeudet kerääntyvät ja uusia haavoittuvuuksia ilmestyy. |
| Jatkuva asennon valvonta | ✅ Suunniteltu jatkuvaan valvontaan, ei ajankohtaiseen arviointiin. |
Anti-Mallit
| Mistä etsiä | Miltä huono näyttää |
|---|---|
| Tietoturvan terveystarkastus neljännesvuosittain | ⚡️ Suorita terveystarkastus vain, kun tarkastajat pyytävät sitä. |
| Tietoturvan terveystarkastus neljännesvuosittain | ⚡️ Salli pisteiden laskea alle 80 % ilman korjausta. |
| Tietoturvan terveystarkastus neljännesvuosittain | ⚡️ Älä seuraa asennon trendejä pitkältä aikaväliltä. |
| Event Monitoring -analyysi | ⚡️ Ota Event Monitoring käyttöön, mutta älä käytä mittaristoja, hälytyksiä tai poikkeavuuksien tutkimista. |
| Event Monitoring -analyysi | ⚡️ Käsittele tarkastuslokeja vaatimustenmukaisuuden valintaruutuina suojauksen telemetrian sijaan. |
| Automatisoitu drift-havainto | ⚡️ Älä automaattisesti havaitse kokoonpanon heikentymistä hyväksytyistä perustasoista. |
| Automatisoitu drift-havainto | ⚡️ Näet kokoonpanon heikentymisen vain manuaalisissa tarkastuksissa kuukausia muutoksen jälkeen. |
| Jatkuva asennon valvonta | ⚡️ Käsittele tietoturvaa ajankohtaisena sertifikaattina jatkuvan toiminta-tilan sijaan. |
| Jatkuva asennon valvonta | ⚡️ Valmistaudu vuosittaisiin auditointeihin, koska jatkuvaa valvontaa ei ole. |
Kuvio
| Mistä etsiä | Miltä hyvä näyttää |
|---|---|
| Suojaustarkastuksen ajoitus | ✅ Integroi tietoturvatarkastus arkkitehtuurin tarkastuslautakuntaan (ARB) ehdotusvaiheessa ennen merkittävää rakennusinvestointia. |
| Suojaustarkastuksen ajoitus | ✅ Suojaustarkastus kehityksen lopussa on liian myöhäistä vaikuttaakseen perussuunnittelupäätöihin. |
| Arkkitehtuurin päätöstyötietueet | ✅ Asiakirjojen tietoturva-arkkitehtuurin päätökset ADR-järjestelmissä, jotka sieppaavat tietoturvavavavaatimukset, arvioidut vaihtoehdot, hyväksytyt kompromissit, jäännösriskit, korvaavat ohjaimet, valvontamenetelmä. |
| Arkkitehtuurin päätöstyötietueet | ✅ ADR:t tarjoavat tilintarkastuksen todisteita, mahdollistavat Knowledge siirron ja tukevat arkkitehtuurin kehitystä dokumentoimalla, miksi päätöksiä tehtiin. |
Anti-Mallit
| Mistä etsiä | Miltä huono näyttää |
|---|---|
| Suojaustarkastuksen ajoitus | ⚡️ Suorita tietoturvatarkistus vasta, kun kehitys on valmis. |
| Suojaustarkastuksen ajoitus | ⚡️ Löydä tärkeitä tietoturvavirheitä, jotka vaativat uudelleenarkkitehtuuria, kun rakennus on lähes valmis. |
| Suojaustarkastuksen ajoitus | ⚡️ Tietoturvasta tulee kalliita ajatuksia. |
| Arkkitehtuurin päätöstyötietueet | ⚡️ Sinulla ei ole tietoturva-arkkitehtuurin päätösten dokumentaatiota. |
| Arkkitehtuurin päätöstyötietueet | ⚡️ Ei voi selittää, miksi jotkin ohjaimet valittiin, mitkä vaihtoehdot arvioitiin ja mitkä jäännösriskit hyväksyttiin. |
| Arkkitehtuurin päätöstyötietueet | ⚡️ Puuttuvat tilintarkastuksen todisteet ja Knowledge. |
Kuvio
| Mistä etsiä | Miltä hyvä näyttää |
|---|---|
| Ennen käyttöönottoa tehdyn suojauksen arviointi | ✅ Tarkasta AppExchange Security Review -tila (vaikutusalue, edellinen tarkastuspäivä — tietoturvatarkastukset vanhenevat), arvioi käyttöoikeusvaatimukset (tarvitseeko paketti enemmän käyttöoikeuksia kuin mitä toiminto oikeuttaa?), arvioi datan käsittelykäytännöt (missä tiedot kulkevat, mitä ulkoisesti säilytetään, mitä tietoja lähetetään kolmansien osapuolten palveluihin?), tarkasta toimittajien vahinkotapahtumien vastausominaisuudet ja ilmoitustoimenpiteet, ymmärrä poistumistoimenpiteet ja datan siirrettävyys. |
| AppExchange tarkastus | ✅ Paketit, jotka pyytävät kaikkien tietojen muokkausoikeutta, kaikkien tietojen tarkasteluoikeutta tai luottamuksellisia käyttöoikeuksia, vaativat erityistä tarkastusta. |
| AppExchange tarkastus | ✅ Asiakirjan liiketoiminnan perustelut korotetuille käyttöoikeuksille. |
| AppExchange tarkastus | ✅ Arvioi, tarvitseeko paketin toiminnot todellakin vaikutusalueen. |
| Kolmannen osapuolen inventaario | ✅ Ylläpidä kolmansien osapuolten sidonnaisuuksien (AppExchange, integroidun palvelun, välitysohjelmiston) inventaarioa, joka sisältää riskiluokitukset, dokumentoidut riskien hyväksymispäätökset ja säännölliset tarkastukset. |
| Suojausneuvojien valvonta | ✅ Tilaa asennettujen pakettien ja integroidun palvelun suojausohjeet. |
| Suojausneuvojien valvonta | ✅ Valvo uusia haavoittuvuuksia, korjausta vaativia versioiden päivityksiä ja ympäristöäsi vaikuttavia toimittajien tietoturvahyökkäyksiä. |
| Jatkuva valvonta | ✅ Valvo pakettien toimintatapaa Event Monitoringin avulla odottamattomien datan käyttöoikeuskuvioiden tai API-kutsujen poikkeavuuksien varalta asennuksen jälkeen. |
| Jatkuva valvonta | ✅ Paketit käyttävät korkeampia käyttöoikeuksia ja vaativat jatkuvaa tietoturvan valvontaa. |
Anti-Mallit
| Mistä etsiä | Miltä huono näyttää |
|---|---|
| Ennen käyttöönottoa tehdyn suojauksen arviointi | ⚡️ Asenna AppExchange vain ominaisuuksien perusteella arvioimatta käyttöoikeuksien vaikutusaluetta, datan käyttöoikeuskuvioita, toimittajien suojauskäytäntöjä tai poistumistoimenpiteitä. |
| Ennen käyttöönottoa tehdyn suojauksen arviointi | ⚡️ Hyväksy paketteja, joilla on liikaa käyttöoikeuksia ilman tarkistuksia. |
| AppExchange tarkastus | ⚡️ Myönnä paketteja, jotka pyytävät kaikkien tietojen muokkaamista tai kaikkien tietojen tarkastelua ilman, että kyseenalaistaisit, vaativatko ominaisuudet todellakin kyseisen vaikutusalueen. |
| AppExchange tarkastus | ⚡️ Sinulla ei ole asiakirjoitettuja liiketoimintaperusteita korotetuille käyttöoikeuksille. |
| Kolmannen osapuolen inventaario | ⚡️ Sinulla ei ole kolmansien osapuolten sidonnaisuuksien inventaariota. |
| Kolmannen osapuolen inventaario | ⚡️ Ei voi vastata kolmansien osapuolten tietojen käyttöoikeuksia koskeviin kysymyksiin. |
| Kolmannen osapuolen inventaario | ⚡️ Sinulla ei ole asennettujen pakettien riskien luokittelua tai tarkastusaikataulua. |
| Suojausneuvojien valvonta | ⚡️ Älä koskaan tarkasta, vaikuttavatko asennetut paketit tai integroidut palvelut tietoturvaviesteihin. |
| Suojausneuvojien valvonta | ⚡️ Olkaa haavoittuvainen tunnetuille hyödykkeille kuukausia tai vuosia sen julkaisemisen jälkeen. |
| Jatkuva valvonta | ⚡️ Asenna paketteja äläkä koskaan valvo niiden toimintatapaa. |
| Jatkuva valvonta | ⚡️ Ei voi havaita, onko paketti vaarantunut tai alkaa käyttää alkuperäisen vaikutusalueen ulkopuolista dataa. |
| Jatkuva valvonta | ⚡️ Ei ole tapahtumien valvontaa paketin API-toiminnoille. |