Trust - Conformité réglementaire et modèles d’audit
En savoir plus sur Well-Architected Trust → Conformité et adhésion réglementaire
Modèles
| Où chercher | À quoi ressemble le bien |
|---|---|
| Conformité de l’infrastructure | ✅ Exploitez les certifications de plate-forme Salesforce (SOC 2 Type II, ISO 27001, FedRAMP pour les offres Government Cloud, HIPAA, PCI DSS) disponibles sur Trust.salesforce.com et compliance.salesforce.com pour les preuves de conformité de l’infrastructure et des services partagés. |
| Conformité des solutions personnalisées | ✅ Concevez des objets personnalisés, un code Apex, des intégrations et des configurations pour maintenir le dispositif de conformité que les certifications de plate-forme fournissent. |
| Conformité des solutions personnalisées | ✅ Documenter les contrôles de conformité architecturale. |
| Limites de responsabilité | ✅ Document clairement délimité: Salesforce fournit une infrastructure conforme (physique, réseau, sécurité de la plate-forme, isolation multilocataire); les architectes conçoivent des solutions conformes (classification des données, contrôles d’accès, configuration du cryptage, codage sécurisé, conformité du traitement des données). |
| Documentation de conformité | ✅ Gérer la documentation d’architecture montrant comment les implémentations personnalisées satisfont aux exigences réglementaires, mappées avec des certifications de plate-forme. |
| Documentation de conformité | ✅ Créer une matrice de conformité reliant les réglementations → les contrôles de plate-forme → les contrôles personnalisés. |
Anti-modèles
| Où chercher | À quoi ressemble mal |
|---|---|
| Conformité de l’infrastructure | ⚠️ Supposons que les certifications de plate-forme signifient que vous n’avez aucune responsabilité en matière de conformité. |
| Conformité de l’infrastructure | ⚠️ Ne pas mettre en œuvre les contrôles d’accès appropriés, le cryptage ou la conformité du traitement des données pour les solutions personnalisées. |
| Conformité de l’infrastructure | ⚠️ Les certifications de plate-forme réduisent la charge de conformité, mais n’éliminent pas la responsabilité architecturale. |
| Limites de responsabilité | ⚠️ Avoir une compréhension imprécise de l’endroit où la responsabilité Salesforce s’arrête et où la responsabilité client commence. |
| Limites de responsabilité | ⚠️ Mettre en cause la plate-forme pour les écarts de conformité dans les implémentations personnalisées. |
| Documentation de conformité | ⚠️ Ne pas avoir de mappage documenté entre les exigences réglementaires et les contrôles mis en œuvre. |
| Documentation de conformité | ⚠️ Se brouiller pour recueillir des preuves pendant la découverte de l’audit. |
Modèles
| Où chercher | À quoi ressemble le bien |
|---|---|
| Soins de santé (HIPAA) | ✅ Activez Shield Platform Encryption pour tous les champs contenant des informations de santé protégées (PHI). |
| Soins de santé (HIPAA) | ✅ Mettre en œuvre le Journal d’audit des champs avec une rétention conforme à l’exigence de tenue de dossiers de l’AIPHA (confirmer la période actuelle par rapport au règlement applicable). |
| Soins de santé (HIPAA) | ✅ Le PHI est stocké et traité uniquement dans les services Salesforce couverts par le Business Associate Agreement (BAA) exécuté ; les conceptions de solutions et les flux de données PHI sont validés par rapport à la portée du BAA. |
| Soins de santé (HIPAA) | ✅ Configurez la Surveillance des événements pour détecter les modèles d’accès PHI non autorisés. |
| Soins de santé (HIPAA) | ✅ Mettre en œuvre des garanties techniques: contrôles d’accès, consignation des audits, sécurité de la transmission (TLS 1.2+, authentification mutuelle basée sur le certificat pour les intégrations PHI). |
| Services financiers (SOX, DORA, PCI DSS) | ✅ Mettre en œuvre la séparation des tâches en concevant des ensembles d’autorisations empêchant les utilisateurs uniques de créer et d’approuver des transactions financières. |
| Services financiers (SOX, DORA, PCI DSS) | ✅ Gérez les parcours d’audit des modifications via le Journal d’audit de configuration et la consignation des modifications personnalisée. |
| Services financiers (SOX, DORA, PCI DSS) | ✅ Évitez de stocker des numéros de compte principaux (PAN) complets dans Salesforce : jetonisez les données des détenteurs de carte à l’aide de processeurs de paiement pour la réduction de l’étendue PCI DSS ; où PAN doit être stocké, utilisez des champs personnalisés cryptés sous les contrôles PCI DSS. |
| Services financiers (SOX, DORA, PCI DSS) | ✅ Concevoir la surveillance des transactions pour les modèles de détection de fraude. |
| Services financiers (SOX, DORA, PCI DSS) | ✅ DORA nécessite une résilience opérationnelle, y compris la réponse aux incidents et la gestion des risques par des tiers. |
| Règlement sur la protection de la vie privée (RGPD, CCPA, LGPD) | ✅ Pour le RGPD et LGPD, concevoir une gestion du consentement capturant un consentement granulaire et spécifique à un objectif (marketing, analytiques, personnalisation); pour l’ACPP/CPRA, fournir des mécanismes de désabonnement pour la vente ou le partage de renseignements personnels. |
| Règlement sur la protection de la vie privée (RGPD, CCPA, LGPD) | Élaborez des workflows de droits de la personne concernée (accès, rectification, effacement, portabilité) qui complètent dans la fenêtre de réponse les ensembles de réglementations régissant votre déploiement. |
| Règlement sur la protection de la vie privée (RGPD, CCPA, LGPD) | ✅ Implémentez une automatisation de la rétention des données qui purge les données lorsque le consentement expire ou lorsque la base légale prend fin. |
| Règlement sur la protection de la vie privée (RGPD, CCPA, LGPD) | ✅ Documenter la base légale de chaque activité de traitement des données. |
| Règlement sur la protection de la vie privée (RGPD, CCPA, LGPD) | ✅ Le RGPD nécessite une justification documentée, un mappage des flux de données, des évaluations d’impact sur la vie privée. |
| Gouvernement (FedRAMP) | ✅ Utilisez Salesforce Government Cloud pour les charges de travail gouvernementales réglementées. |
| Gouvernement (FedRAMP) | ✅ Implémentez des contrôles NIST 800-53 mappés avec la configuration de Salesforce. |
| Gouvernement (FedRAMP) | ✅ Activez la surveillance continue avec la Surveillance des événements acheminée vers l’infrastructure SIEM gouvernementale. |
| Gouvernement (FedRAMP) | ✅ FedRAMP nécessite une autorisation continue par le biais d’une surveillance continue, pas seulement une certification initiale. |
| Multi-juridictions | ✅ Mappez les exigences de résidence des données avec le déploiement régional Hyperforce. |
| Multi-juridictions | ✅ Implémenter des clauses contractuelles standard ou des règles d’entreprise contraignantes pour les transferts de données internationaux. |
| Multi-juridictions | ✅ Cartes de flux de données de document montrant l’origine, le transit et les emplacements de résidence. |
| Multi-juridictions | ✅ Tenez compte de l’architecture multi-organisations lorsque des exigences de résidence conflictuelles ne peuvent pas être remplies dans une seule organisation. |
Anti-modèles
| Où chercher | À quoi ressemble mal |
|---|---|
| Soins de santé (HIPAA) | ⚠️ Stocker le PHI dans des champs cryptés standard en s’appuyant sur une stratégie pour empêcher tout accès non autorisé. |
| Soins de santé (HIPAA) | ⚠️ Ne pas avoir de Journal d’audit des champs ou de plan de rétention des audits. |
| Soins de santé (HIPAA) | ⚠️ Exposer PHI dans des rapports, des vues de liste ou Experience Cloud sans contrôles d’accès appropriés. |
| Soins de santé (HIPAA) | ⚠️ Autorisez la MFA par SMS pour l’accès PHI (vulnérable au permutation SIM). |
| Services financiers (SOX, PCI DSS) | ⚠️ Autoriser les utilisateurs uniques à créer et à approuver des transactions financières (pas de séparation des tâches). |
| Services financiers (SOX, PCI DSS) | ⚠️ Stockez les numéros de compte principal (PAN) complets dans des champs personnalisés Salesforce standard sans cryptage ni contrôles PCI DSS. |
| Services financiers (SOX, PCI DSS) | ⚠️ Ne pas avoir de surveillance des transactions pour la détection des fraudes. |
| Services financiers (SOX, PCI DSS) | ⚠️ Ne pas avoir de piste d’audit des modifications du système financier documentée. |
| Règlement sur la protection des renseignements personnels (RGPD, APC) | ⚠️ Traiter le consentement comme un oui/non binaire plutôt que comme un suivi granulaire par objet. |
| Règlement sur la protection des renseignements personnels (RGPD, APC) | ⚠️ Gérez manuellement les demandes de la personne concernée à travers l’équipe juridique prenant des mois, manquant la fenêtre de réponse des ensembles de réglementations régissant votre déploiement. |
| Règlement sur la protection des renseignements personnels (RGPD, APC) | ⚠️ Ne pas avoir de base légale documentée pour les activités de traitement des données. |
| Règlement sur la protection des renseignements personnels (RGPD, APC) | ⚠️ Recueillez des données « au cas où » sans limitation d’objet documentée. |
| Gouvernement (FedRAMP) | ⚠️ Utilisez des organisations Salesforce standard pour les charges de travail gouvernementales qui nécessitent la conformité FedRAMP. |
| Gouvernement (FedRAMP) | ⚠️ Ne pas avoir de surveillance continue ou de mappage de contrôle NIST 800-53. |
| Multi-juridictions | ⚠️ Ne pas avoir de mappage de flux de données montrant où les données transitent et résident. |
| Multi-juridictions | ⚠️ Supposons que l’organisation globale unique remplit toutes les exigences de résidence des données régionales. |
| Multi-juridictions | ⚠️ Ne pas avoir de documentation de base juridique pour les transferts de données internationaux. |
Modèles
| Où chercher | À quoi ressemble le bien |
|---|---|
| Contrôle d’intégrité de sécurité | ✅ Exécutez des évaluations trimestrielles en comparant la configuration de l’organisation aux normes de sécurité de Salesforce. |
| Contrôle d’intégrité de sécurité | ✅ Maintenir des scores de 80 % ou plus (Très bon ou Excellent groupe). |
| Contrôle d’intégrité de sécurité | ✅ Documentez les exceptions avec une justification métier et des contrôles compensatoires pour les paramètres inférieurs à la référence. |
| Contrôle d’intégrité de sécurité | ✅ Le contrôle d’intégrité identifie les écarts de configuration par rapport aux meilleures pratiques de sécurité. |
| Surveillance des événements | ✅ Activez la Surveillance des événements pour capturer des journaux détaillés sur l’activité des utilisateurs, les appels d’API, les événements d’authentification, les modèles d’accès aux données. |
| Surveillance des événements | ✅ Acheminer les fichiers journaux d’événements vers SIEM externe pour une rétention à long terme dépassant les limites de rétention native. |
| Surveillance des événements | ✅ La conformité nécessite souvent une rétention du journal sur plusieurs années. Confirmez la période minimale par rapport à la réglementation en vigueur pour votre déploiement. |
| Sécurité des transactions | ✅ Implémentez des stratégies de sécurité des transactions qui évaluent les événements en temps réel et peuvent bloquer, demander une intensification de la MFA ou notifier des infractions aux politiques. |
| Sécurité des transactions | ✅ Utiliser pour des contrôles préventifs qui arrêtent les infractions à la conformité avant qu’elles ne se produisent (par exemple, bloquer l’exportation de données en masse dépassant les schémas normaux, demander une authentification renforcée pour l’accès aux champs confidentiels). |
| Validation de la conformité automatisée | ✅ Implémentez des contrôles de conformité dans les pipelines de déploiement de CI/CD pour vérifier que les déploiements n’affaiblissent pas les modèles d’autorisation, ne désactivent pas les paramètres d’audit ou n’introduisent pas de configurations non conformes. |
| Validation de la conformité automatisée | ✅ Rupture des déploiements qui échouent à la validation de la conformité : la validation de la conformité doit être une porte de déploiement, pas une découverte postérieure au déploiement. |
| Préparation continue à l’audit | ✅ Concevoir pour la préparation continue à l’audit plutôt que la préparation ponctuelle de l’audit. |
| Préparation continue à l’audit | ✅ La conformité est un état opérationnel continu nécessitant une production continue de preuves, pas des brouillons de certification annuels. |
Anti-modèles
| Où chercher | À quoi ressemble mal |
|---|---|
| Contrôle d’intégrité de sécurité | ⚠️ Exécutez le Contrôle d’intégrité uniquement lorsque les auditeurs le demandent. |
| Contrôle d’intégrité de sécurité | ⚠️ Laisser les scores dériver en dessous de 80% sans enquête. |
| Contrôle d’intégrité de sécurité | ⚠️ Ne pas avoir d’exception documentée pour les paramètres inférieurs à la référence. |
| Contrôle d’intégrité de sécurité | ⚠️ Ne jamais remédier aux risques identifiés. |
| Surveillance des événements | ⚠️ S’appuyer sur des limites de rétention natives pour les preuves de conformité lorsque la réglementation exige une rétention pluriannuelle. |
| Surveillance des événements | ⚠️ Ne pas avoir d’acheminement SIEM externe. |
| Surveillance des événements | ⚠️ Autorisez l’expiration de la rétention native de Surveillance des événements, en perdant les preuves d’audit. |
| Sécurité des transactions | ⚠️ Ne pas avoir de contrôles préventifs en temps réel. |
| Sécurité des transactions | ⚠️ S’appuyer uniquement sur une enquête postérieure à l’incident plutôt que de bloquer les infractions aux politiques avant qu’elles ne se produisent. |
| Validation de la conformité automatisée | ⚠️ Ne pas avoir de contrôle de conformité dans les pipelines de déploiement. |
| Validation de la conformité automatisée | ⚠️ Découvrir les infractions de conformité en production après le déploiement. |
| Validation de la conformité automatisée | ⚠️ Autorisez les déploiements qui affaiblissent le dispositif de sécurité sans examen. |
| Préparation continue à l’audit | ⚠️ Traiter la conformité comme un événement annuel nécessitant des mois de préparation d’audit brouillon. |
| Préparation continue à l’audit | ⚠️ Ne pas avoir de génération de preuves continue. |
| Préparation continue à l’audit | ⚠️ Découvrir les écarts pendant l’audit lorsqu’il est trop tard pour y remédier. |
Modèles
| Où chercher | À quoi ressemble le bien |
|---|---|
| Journal d’audit de configuration | ✅ Surveillez les changements de configuration administrative avec la rétention de 180 jours (incluse dans toutes les éditions). |
| Journal d’audit de configuration | ✅ Vérifiez régulièrement les modifications non autorisées. |
| Journal d’audit de configuration | ✅ Utiliser pour la preuve de conformité des contrôles de gestion de configuration. |
| Journal d’audit des champs | ✅ Activez les champs Restreint et Confidentiel qui nécessitent la tenue de registres réglementaires. |
| Journal d’audit des champs | ✅ Configurez la rétention pour satisfaire aux exigences de conformité (prend en charge la rétention indéfinie) ; vérifiez la période requise par rapport au règlement régissant votre déploiement. |
| Journal d’audit des champs | ✅ Nécessite Shield. |
| Conservation à long terme de la Surveillance des événements | ✅ Acheminer les journaux de Surveillance des événements vers SIEM externe pour la rétention au-delà des limites de rétention natives. |
| Conservation à long terme de la Surveillance des événements | ✅ Obligatoire pour les preuves de conformité lorsque la réglementation impose la conservation des journaux sur plusieurs années. |
| Conservation à long terme de la Surveillance des événements | ✅ Configurez la corrélation avec la télémétrie de sécurité d’entreprise pour l’investigation inter-systèmes. |
| Sécurité des transactions | ✅ Implémenter l’évaluation en temps réel basée sur la stratégie des actions utilisateur (pas de rétention, déclencheurs sur les événements). |
| Sécurité des transactions | ✅ Utiliser pour des contrôles préventifs nécessitant une réponse immédiate (par exemple, bloquer les actions interdites, demander une authentification renforcée, déclencher des workflows de réponse à un incident). |
| Sécurité des transactions | ✅ Nécessite une licence Shield. |
| Consignation d’application personnalisée | ✅ Implémenter une consignation Apex personnalisée pour les événements d’application pertinents pour la sécurité qui ne sont pas capturés par les pistes d’audit de plate-forme: décisions d’autorisation de logique métier, modèles d’entrée suspects, application de limitations de taux, événements d’authentification personnalisés. |
| Intégrité du journal | ✅ Acheminez les journaux d’audit vers un stockage externe immuable que les assaillants ne peuvent pas modifier, même avec un accès Salesforce administratif. |
| Intégrité du journal | ✅ Les preuves médico-légales doivent être inviolables pour étayer l’enquête et les poursuites judiciaires éventuelles. |
Anti-modèles
| Où chercher | À quoi ressemble mal |
|---|---|
| Journal d’audit de configuration | ⚠️ Ne consultez jamais le Journal d’audit de configuration pour détecter les modifications administratives non autorisées. |
| Journal d’audit de configuration | ⚠️ Découvrir les changements de configuration malveillants des mois après l’apparition lorsque les preuves ont expiré (180 jours de rétention). |
| Journal d’audit des champs | ⚠️ Ne pas avoir de piste d’audit de champ pour les données restreintes soumises à la tenue de registres réglementaires. |
| Journal d’audit des champs | ⚠️ Configurez une rétention inférieure à la période requise par le règlement applicable pour votre déploiement. |
| Conservation à long terme de la Surveillance des événements | ⚠️ S’appuyer uniquement sur des fenêtres de rétention Salesforce natives pour les preuves de conformité. |
| Conservation à long terme de la Surveillance des événements | ⚠️ Découvrir les écarts pendant la préparation de l’audit lorsque les journaux ont déjà expiré. |
| Conservation à long terme de la Surveillance des événements | ⚠️ Ne pas avoir de corrélation avec la télémétrie de sécurité d’entreprise pour l’investigation inter-systèmes. |
| Sécurité des transactions | ⚠️ Ne pas avoir d’évaluation politique en temps réel pour les actions à haut risque. |
| Sécurité des transactions | ⚠️ Découvrir les infractions à la politique uniquement en examinant manuellement le journal des jours ou des semaines après l’occurrence. |
| Consignation d’application personnalisée | ⚠️ Ne pas consigner les décisions d’autorisation de logique métier personnalisées ou les événements d’application relatifs à la sécurité. |
| Consignation d’application personnalisée | ⚠️ Impossible d’enquêter sur les échecs d’autorisation ou les schémas suspects car aucune preuve n’existe. |
| Intégrité du journal | ⚠️ Stocker les journaux d’audit uniquement dans Salesforce où les administrateurs peuvent les modifier ou les supprimer. |
| Intégrité du journal | ⚠️ Ne pas avoir de copies externes immuables pour la conservation judiciaire. |
| Intégrité du journal | ⚠️ Perdre la chaîne de possession des procédures judiciaires. |
Modèles
| Où chercher | À quoi ressemble le bien |
|---|---|
| Déploiement régional Hyperforce | ✅ Sélectionnez les régions Hyperforce appropriées pendant le provisionnement de l’organisation pour respecter la conformité de résidence des données. |
| Déploiement régional Hyperforce | ✅ Hyperforce fournit des options de déploiement régional permettant la conformité de la résidence des données pour les réglementations exigeant que les données restent à l’intérieur de frontières géographiques spécifiques. |
| Mappage de flux de données | ✅ Cartes de flux de données de document montrant où les données proviennent, transitent (intergiciel d’intégration, services externes) et résident (régions de stockage). |
| Mappage de flux de données | ✅ Obligatoire pour les enregistrements d’activités de traitement de l’article 30 du RGPD. |
| Transferts internationaux | ✅ Mettre en œuvre des clauses contractuelles standard ou des règles d’entreprise contraignantes pour les transferts de données internationaux lorsque requis par le RGPD et les réglementations similaires. |
| Transferts internationaux | ✅ Documenter la base juridique de chaque transfert transfrontalier. |
| Multi-organisations pour exigences conflictuelles | ✅ Tenez compte de l’architecture multi-organisations lorsque vous opérez dans plusieurs juridictions avec des exigences de résidence conflictuelles qui ne peuvent pas être remplies au sein d’une seule organisation avec le déploiement régional Hyperforce. |
| Multi-organisations pour exigences conflictuelles | ✅ compromis: multi-organisations offre la plus forte isolation des données mais multiplie la complexité opérationnelle, les coûts de licence, les exigences d’intégration. |
| Gouvernance multi-organisations | ✅ Pour des architectures multi-organisations, maintenez des niveaux de sécurité de base cohérents entre les organisations grâce à des référentiels configuration-as-code partagés, à la surveillance inter-organisations et à la gestion unifiée des identités. |
| Gouvernance multi-organisations | ✅ Le multi-organisation offre l’isolement le plus fort, mais multiplie la surface de gouvernance. |
Anti-modèles
| Où chercher | À quoi ressemble mal |
|---|---|
| Déploiement régional Hyperforce | ⚠️ Sélectionnez la région des États-Unis par défaut pour l’organisation globale sans évaluer les exigences de résidence des données. |
| Déploiement régional Hyperforce | ⚠️ Enfreindre le RGPD, LGPD ou les lois régionales sur la souveraineté des données en sélectionnant une région inappropriée. |
| Mappage de flux de données | ⚠️ Ne pas avoir de cartes de flux de données documentées. |
| Mappage de flux de données | ⚠️ Impossible de répondre aux questions de l’auditeur sur l’endroit où les données transitent ou résident. |
| Mappage de flux de données | ⚠️ Ne pas avoir d’enregistrements d’activités de traitement de l’article 30 du RGPD. |
| Transferts internationaux | ⚠️ Transférer des données à l’international sans clauses contractuelles standard, règles d’entreprise contraignantes ou base juridique documentée. |
| Transferts internationaux | ⚠️ Violer les restrictions de transfert du RGPD. |
| Multi-organisations pour exigences conflictuelles | ⚠️ Forcer les exigences de résidence des données en conflit dans une seule organisation entraînant des infractions à la conformité. |
| Multi-organisations pour exigences conflictuelles | ⚠️ Alternativement, implémentez une architecture multi-organisations lorsque l’organisation unique avec déploiement régional Hyperforce répondrait aux exigences (complexité inutile). |
| Gouvernance multi-organisations | ⚠️ Avoir des niveaux de sécurité de référence incohérents entre les environnements multi-organisations. |
| Gouvernance multi-organisations | ⚠️ Chaque organisation implémente la sécurité différemment. |
| Gouvernance multi-organisations | ⚠️ Impossible de démontrer une posture de conformité cohérente dans l’ensemble de l’organisation. |
Modèles
| Où chercher | À quoi ressemble le bien |
|---|---|
| Contrôle d’intégrité de sécurité trimestriel | ✅ Exécutez le Contrôle d’intégrité trimestriel en comparant la configuration de l’organisation aux normes de sécurité de Salesforce (stratégies de mot de passe, paramètres de session, accès réseau, configurations de fonctionnalités). |
| Contrôle d’intégrité de sécurité trimestriel | ✅ Scores cibles de 80 % ou plus (Très bonne ou Excellente bande). |
| Contrôle d’intégrité de sécurité trimestriel | ✅ Documentez les exceptions avec une justification métier et des contrôles compensatoires pour les paramètres maintenus en dessous de la référence. |
| Analyses de la surveillance des événements | ✅ Concevoir des tableaux de bord révélant des modèles comportementaux nécessitant une investigation : volumes d’accès aux données inhabituels, activité administrative hors des heures de bureau, anomalies de consommation d’API. |
| Analyses de la surveillance des événements | ✅ Les analytiques comportementales détectent les menaces que la détection basée sur la signature ignore. |
| Détection automatisée des dérives | ✅ Implémentez des tests de conformité automatisés dans les pipelines pour détecter les écarts de configuration par rapport aux normes approuvées. |
| Détection automatisée des dérives | ✅ Alerte lorsque les configurations diffèrent des normes de sécurité. |
| Surveillance continue de la posture | ✅ Le dispositif de sécurité se dégrade sans gestion active à mesure que les configurations dérivent, que les autorisations s’accumulent, que de nouvelles vulnérabilités apparaissent. |
| Surveillance continue de la posture | ✅ Conception pour la surveillance continue, pas l’évaluation ponctuelle. |
Anti-modèles
| Où chercher | À quoi ressemble mal |
|---|---|
| Contrôle d’intégrité de sécurité trimestriel | ⚠️ Exécutez le Contrôle d’intégrité uniquement lorsque les auditeurs le demandent. |
| Contrôle d’intégrité de sécurité trimestriel | ⚠️ Laisser les scores dériver en dessous de 80 % sans remédiation. |
| Contrôle d’intégrité de sécurité trimestriel | ⚠️ Ne pas suivre les tendances de posture au fil du temps. |
| Analyses de la surveillance des événements | ⚠️ Avoir la Surveillance des événements activée mais pas de tableaux de bord, pas d’alerte, pas d’investigation des anomalies. |
| Analyses de la surveillance des événements | ⚠️ Traiter les journaux d’audit comme une case à cocher de conformité plutôt que comme une télémétrie de sécurité. |
| Détection automatisée des dérives | ⚠️ Ne pas détecter automatiquement les écarts de configuration par rapport aux valeurs de référence approuvées. |
| Détection automatisée des dérives | ⚠️ Découvrir l’affaiblissement de la configuration uniquement lors d’audits manuels des mois après le changement. |
| Surveillance continue de la posture | ⚠️ Traiter la sécurité comme une certification ponctuelle plutôt que comme un état opérationnel continu. |
| Surveillance continue de la posture | ⚠️ Dépêchez-vous pour préparer les audits annuels, car la surveillance continue n’existe pas. |
Modèles
| Où chercher | À quoi ressemble le bien |
|---|---|
| Calendrier de contrôle de sécurité | ✅ Intégrer le contrôle de sécurité dans le Comité d’examen de l’architecture (ARB) à la phase de proposition, avant un investissement important dans la construction. |
| Calendrier de contrôle de sécurité | ✅ Le contrôle de sécurité à la fin du développement est trop tard pour influencer les décisions fondamentales de conception. |
| Enregistrements de décision d’architecture | ✅ Documenter les décisions de l’architecture de sécurité dans les ADR en capturant les exigences de sécurité, les alternatives évaluées, les compromis acceptés, les risques résiduels, les contrôles compensatoires, l’approche de surveillance. |
| Enregistrements de décision d’architecture | ✅ Les ADR fournissent des preuves d’audit, permettent le transfert Knowledge, soutiennent l”évolution architecturale en documentant les raisons pour lesquelles les décisions ont été prises. |
Anti-modèles
| Où chercher | À quoi ressemble mal |
|---|---|
| Calendrier de contrôle de sécurité | ⚠️ Effectuer un contrôle de sécurité uniquement lorsque le développement est terminé. |
| Calendrier de contrôle de sécurité | ⚠️ Découvrir les failles de sécurité fondamentales qui nécessitent une réarchitecture lorsque la construction est pratiquement terminée. |
| Calendrier de contrôle de sécurité | ⚠️ La sécurité devient chère après coup. |
| Enregistrements de décision d’architecture | ⚠️ Ne pas avoir de documentation sur les décisions de l’architecture de sécurité. |
| Enregistrements de décision d’architecture | ⚠️ Ne peut expliquer pourquoi certains contrôles ont été choisis, quelles alternatives ont été évaluées, quels risques résiduels ont été acceptés. |
| Enregistrements de décision d’architecture | ⚠️ Manque de preuves d’audit et transfert Knowledge. |
Modèles
| Où chercher | À quoi ressemble le bien |
|---|---|
| Évaluation de la sécurité avant adoption | ✅ Examiner le statut AppExchange Security Review (étendue, date du dernier examen - les examens de sécurité expirent), évaluer les exigences d’autorisation (le package a-t-il besoin de plus d’accès que la fonction ne le justifie ?), évaluer les pratiques de traitement des données (où les données circulent-elles, quelles sont conservées en externe, les données envoyées à des services tiers ?), examiner les capacités de réponse aux incidents fournisseurs et les procédures de notification, comprendre les procédures de sortie et la portabilité des données. |
| Examen des autorisations AppExchange | ✅ Les packages qui demandent des autorisations Modifier toutes les données, Afficher toutes les données ou confidentielles nécessitent un examen supplémentaire. |
| Examen des autorisations AppExchange | ✅ Documenter la justification métier des autorisations élevées. |
| Examen des autorisations AppExchange | ✅ Évaluer si la fonctionnalité du package nécessite réellement une étendue accordée. |
| Inventaire tiers | ✅ Tenir à jour l’inventaire des dépendances tierces (packages AppExchange, services intégrés, middleware) avec des cotes de risque, des décisions d’acceptation des risques documentées, une cadence d’examen périodique. |
| Surveillance des avis de sécurité | ✅ Abonnez-vous aux avis de sécurité pour les packages installés et les services intégrés. |
| Surveillance des avis de sécurité | ✅ Surveillez les nouvelles vulnérabilités, les mises à jour de version nécessitant un correctif, les incidents de sécurité des fournisseurs affectant votre environnement. |
| Surveillance continue | ✅ Surveillez le comportement du package via la Surveillance des événements pour détecter des modèles d’accès aux données inattendus ou des anomalies d’appel d’API après l’installation. |
| Surveillance continue | ✅ Les packages sont exécutés avec des privilèges élevés et nécessitent une surveillance de sécurité continue. |
Anti-modèles
| Où chercher | À quoi ressemble mal |
|---|---|
| Évaluation de la sécurité avant adoption | ⚠️ Installer des packages AppExchange basés uniquement sur la fonctionnalité sans évaluer la portée des autorisations, les modèles d’accès aux données, les pratiques de sécurité des fournisseurs, les procédures de sortie. |
| Évaluation de la sécurité avant adoption | ⚠️ Acceptez les packages avec des autorisations excessives sans examen. |
| Examen des autorisations AppExchange | ⚠️ Accorder des packages demandant Modifier toutes les données ou Afficher toutes les données sans se demander si la fonctionnalité nécessite réellement cette étendue. |
| Examen des autorisations AppExchange | ⚠️ Ne pas avoir de justification métier documentée pour des autorisations élevées. |
| Inventaire tiers | ⚠️ Ne pas avoir d’inventaire des dépendances tierces. |
| Inventaire tiers | ⚠️ Impossible de répondre aux questions des auditeurs sur l’accès aux données tierces. |
| Inventaire tiers | ⚠️ Ne pas avoir de cote de risque ou de planification de révision pour les packages installés. |
| Surveillance des avis de sécurité | ⚠️ Ne surveillez jamais les avis de sécurité qui affectent les packages installés ou les services intégrés. |
| Surveillance des avis de sécurité | ⚠️ Rester vulnérable aux exploits connus des mois ou des années après la divulgation. |
| Surveillance continue | ⚠️ Installez des packages et ne surveillez jamais leur comportement. |
| Surveillance continue | ⚠️ Impossible de détecter si le package est compromis ou commence à accéder aux données au-delà du périmètre d’origine. |
| Surveillance continue | ⚠️ Ne pas avoir de Surveillance des événements pour l’activité d’API du package. |