Trust — パターン

Trustの柱は、セキュリティ、コンプライアンス、データ保護、IDおよびアクセス管理、インシデント対応、あなたとSalesforce間の共有責任に焦点を当てています。これらのパターンによって、柱の設計原則が具体的でレビュー可能なプラクティスに変換されます。ソリューションで何を探すか、外観は良いか、およびそれを台無しにするアンチパターンです。

これらのパターンにより、Trustピラーの設計原則が実践されます。それぞれの背後にある完全なガイダンスについては、Trustピラーと共にお読みください。

  • Apply Zero Trust across all layers (すべてのレイヤーでゼロトラストを適用) — すべてのアクセス要求を、ネットワークの場所や発生源で信頼するのではなく、明示的に検証します。
  • デフォルトで最小権限を付与 — 最も制限の厳しいアクセスから開始し、文書化したビジネスニーズに基づいて慎重に拡張します。
  • 多層防御を実装 — 予防、探偵、応答型の制御を階層化して、1つの障害によってシステムが侵害されないようにします。
  • セキュリティを設計で統合 — 構築を開始する前に、脅威モデリングとセキュリティ要件をすべてのアーキテクチャ フェーズに組み込みます。
  • セキュリティの自動化 — CI/CDパイプライン、コードとしての設定、プラットフォームのデフォルトにセキュリティ制御を組み込みます。
  • プライバシーの設計 — データの最小化、目的の制限、同意管理、データ主体の権利のワークフロー向けに設計します。
  • トレーサビリティ設計 — 改ざんされにくい保存済みの監査証跡を使用して、すべての結果アクションを帰結および再構築可能にします。
  • インシデント対応設計 — テストした検出、リアルタイム介入、リカバリ、および対応手順の設計を行います。

各カテゴリは、パターン (外観) とアンチパターン (回避すべきパターン) のペアになっており、ソリューション領域を領域別に確認できます。必要なTrust結果から開始します。

  • 誰が何にアクセスできるかを確立する認証、承認、MFA、OAuth、セッション管理に ID およびアクセス管理を使用します。
  • 機密データの保護****データ保護とプライバシーを使用して、暗号化、項目レベル セキュリティ、データ レジデンシー、プライバシー制御を行います。
  • 規制義務の遵守監査履歴、認定、ガバナンスには、コンプライアンスと規制を使用します。
  • 脅威の検出と対応セキュリティ監視、イベント検出、および対応には、インシデント対応とセキュリティ操作を使用します。
  • パイプラインにセキュリティを組み込みますか?[Secure Development Lifecycle]を使用して、シフトなしのセキュリティ、OWASP Top 10の防御、セキュリティ テストを行います。
  • 誰がどのコントロールを所有しているかを明確にする****共有責任を使用して、プラットフォーム機能と実装間でセキュリティの職務を分担します。
  • 本番環境でのエージェントの操作****エージェント型パターンを使用して、プロンプトインジェクション防御、モデル監視、エージェント間の安全な通信を行います。

Trust 固有のエージェント システムのパターン。プロンプト インジェクション防御、モデル モニタリング、エージェント間のセキュアな通信などがあります。

規制コンプライアンス、監査履歴、認定、ガバナンスのパターン。

データ暗号化、項目レベルセキュリティ、データレジデンシー、プライバシー制御のパターン。

認証、承認、MFA、OAuth、セッション管理のパターン。

セキュリティ監視、イベント検出、インシデント対応、セキュリティ操作のパターン。

シフト左のセキュリティ、OWASP Top 10 の防御、安全なパイプライン設計、セキュリティテストのパターン。

プラットフォーム機能とアーキテクト実装間のセキュリティ責任を明確にするパターン。