共有責任モデル - パターン

Well-Architected Trustの詳細 → Shared Responsibility Model

パターン

参照すべき場所外観
プラットフォーム | セキュリティ✅アーキテクチャ設計では、物理データセンターのセキュリティ、監視、環境の保護はSalesforce(またはHyperforce向けAWS)が処理することを前提としています。
プラットフォーム | セキュリティ✅ ネットワークセキュリティ設計では、プラットフォームが提供する DDoS 軽減および侵入検知システムを重複投資なしで活用
プラットフォーム | セキュリティ✅ 転送中および保存中のすべてのトラフィック暗号化 (TLS 1.2+) はプラットフォームインフラストラクチャによって提供されます。
プラットフォーム | セキュリティ✅ プラットフォームの強化、脆弱性管理、パッチリリースは Salesforce の責任であり、アーキテクトはスケジュールされたメンテナンス期間に基づいて計画します。
プラットフォーム | セキュリティ✅ マルチテナントセキュリティとテナント分離アーキテクチャにより、データ分離がプラットフォームによって保証されます。
プラットフォーム | コンプライアンス✅ プラットフォーム コンプライアンス認定(SOC 1/2/3、ISO 27001/27017/27018、Government Cloud製品向けFedRAMP、HIPAA、PCI DSS、GDPR)は、Trust.salesforce.comおよびCompliance.salesforce.comで入手できます。
プラットフォーム | セキュリティ✅プラットフォーム暗号化サービスとバックアップ インフラストラクチャは、アーキテクトが実装責任なしで活用するプラットフォーム管理機能です。

アンチパターン

参照すべき場所どんな悪い感じか
プラットフォーム | セキュリティ⚠️ アーキテクチャ設計には、カスタム物理的セキュリティ制御、ネットワーク境界防御、またはプラットフォームが提供する OS レベルの強化機能が含まれます。
プラットフォーム | セキュリティ⚠️ セキュリティは、既存の制御に関するTrust.salesforce.comドキュメントを参照せずに、保存時のプラットフォーム暗号化またはネットワーク セキュリティに関する質問を確認します。
プラットフォーム | コンプライアンス⚠️ コンプライアンス評価では、既存の SOC 2/ISO 認証を活用するのではなく、プラットフォームインフラストラクチャのセキュリティ管理を再評価します。
プラットフォーム | セキュリティ⚠️ アーキテクチャは、プラットフォームインフラストラクチャのパッチ適用またはマルチテナントの分離の管理を引き受けます。

パターン

参照すべき場所外観
プラットフォーム | ID✅ ID およびアクセス管理 (ロール、プロファイル、権限セット、MFA、SSO、最小権限) はアーキテクトが設計および設定します。
プラットフォーム | ID✅ ユーザーライフサイクル管理とアクセス権の再認定プロセスは、四半期レビューを文書化して実装されています。
プラットフォーム | データ✅ 分類、マスキング、オブジェクト/項目/レコードレベルセキュリティ、CRUD権限、共有ルールなどのデータガバナンスはアーキテクトの責任
プラットフォーム | インテグレーション✅ インテグレーションセキュリティ (OAuth 2.0、JWT 認証、指定ログイン情報、セキュアエンドポイント、外部システム検証) は、アーキテクトが設計および管理します。
プラットフォーム | セキュリティ✅ 監視および対応機能 (イベント監視、監査履歴、SIEM インテグレーション、インシデント対応手順) はアーキテクトが実装
プラットフォーム | 開発✅安全なカスタム コード(Apex、Lightning)、入力検証、インジェクション防止、安全な開発方法などのアプリケーション セキュリティは、アーキテクトと開発者の責任です。
プラットフォーム | コンプライアンス✅ ソリューションは、プライバシー/同意管理、データ保持ポリシー、規制要件に合わせたコンプライアンス設定を通じてコンプライアンス体制を維持します。

アンチパターン

参照すべき場所どんな悪い感じか
プラットフォーム | ID⚠️ ID およびアクセス管理は、ロール、プロファイル、権限セット、MFA 要件を設計せずに「プラットフォームセキュリティ」として扱われます。
プラットフォーム | データ⚠️ データガバナンスはプラットフォームが提供することが前提であり、データ分類、共有ルール、項目レベルセキュリティが設定されていない
プラットフォーム | インテグレーション⚠️ インテグレーションセキュリティは、OAuth、ログイン情報管理、エンドポイント検証を実装せずにネットワークレベルの制御に依存します。
プラットフォーム | セキュリティ⚠️ 監視とインシデント対応は Salesforce の責任として扱われ、イベント監視、SIEM インテグレーション、対応手順はありません。
プラットフォーム | 開発⚠️ カスタムコードセキュリティが検証されていない。インジェクションの脆弱性、CRUD/FLS 適用の欠如、安全でないパターンが蓄積されている
プラットフォーム | コンプライアンス⚠️ コンプライアンス設定が実装されていない。プラットフォーム認定を受けているにもかかわらず、ソリューションが規制要件に違反している

パターン

参照すべき場所外観
プラットフォーム | コンプライアンス✅ プラットフォーム認証 (SOC 2 Type II、ISO 27001、Government Cloud サービスの FedRAMP、HIPAA、PCI DSS、GDPR) は、インフラストラクチャの責任をカバーするものとしてコンプライアンスドキュメントで参照されます。
プラットフォーム | コンプライアンス✅監査準備では、プラットフォーム インフラストラクチャ制御にTrust.salesforce.comおよびCompliance.salesforce.comドキュメントを活用
プラットフォーム | コンプライアンス✅ コンプライアンスドキュメントには、プラットフォームで提供される認定と、アーキテクトが実装するカスタムソリューションの制御が明確に示されています。
プラットフォーム | アーキテクチャ✅ カスタム オブジェクト、Apexコード、インテグレーション、構成は、プラットフォームが提供するコンプライアンス体制を維持するように設計されています。
プラットフォーム | コンプライアンス✅ アーキテクチャドキュメントでは、プラットフォーム認定を活用しながらカスタムソリューションが規制要件をどのように満たしているかを明確に示します。
プラットフォーム | コンプライアンス✅ 地域の認定とコンプライアンス要件により、組織のプロビジョニング時にHyperforceリージョンが選択されます。

アンチパターン

参照すべき場所どんな悪い感じか
プラットフォーム | コンプライアンス⚠️ プラットフォーム認定は、すべてのコンプライアンス義務をカバーすることを前提としており、カスタムソリューションコントロールは実装されていません。
プラットフォーム | コンプライアンス⚠️ 既存の認証を参照するのではなく、プラットフォームインフラストラクチャ制御を再評価するための監査準備の試行
プラットフォーム | アーキテクチャ⚠️ プラットフォームに適切な認定があるにもかかわらず、カスタムコード、設定、インテグレーションがコンプライアンス要件に違反している
プラットフォーム | コンプライアンス⚠️ コンプライアンスドキュメントでは、プラットフォーム認定とアーキテクトが実装する統制が明確に区別されていない
プラットフォーム | コンプライアンス⚠️ アーキテクチャには、プラットフォーム認定を活用しながらカスタムソリューションでコンプライアンス体制を維持する方法の文書化された対応付けがない

パターン

参照すべき場所外観
プラットフォーム | セキュリティ✅ インシデント対応手順ドキュメントコラボレーション: Salesforce がプラットフォームの検出と対応を提供、アーキテクトがソリューションレベルの検出と対応を提供
プラットフォーム | セキュリティ✅ 脆弱性管理の責任を明確に文書化: Salesforce パッチプラットフォーム、アーキテクトによるカスタムコードとインストール済みパッケージのパッチ
プラットフォーム | セキュリティ✅ セキュリティ監視は、プラットフォームで生成されたイベント (イベント監視) とアーキテクトが設定した分析、アラート、応答ワークフローを組み合わせます。
プラットフォーム | アーキテクチャ✅ Trust Pillarのすべての設計原則、トピック セクション、チェックリスト項目は、Shared Responsibilityモデル内のアーキテクトの責任として扱われます。
プラットフォーム | セキュリティ✅ 設計上の決定では、プラットフォームが提供するコントロールとアーキテクトが設定したコントロールを区別して、共有責任モデルの境界を明示的に参照します。
プラットフォーム | アーキテクチャ✅ アーキテクチャ決定レコードは、セキュリティ制御、コンプライアンス要件、インシデント対応の責任境界を文書化します。
プラットフォーム | セキュリティ✅ セキュリティレビューでは、アーキテクトの責任 (設定、アクセス制御、カスタムコード) がプラットフォームで提供される基盤に適切に実装されていることを検証します。

アンチパターン

参照すべき場所どんな悪い感じか
プラットフォーム | セキュリティ⚠️ インシデント対応手順では、Salesforce がすべての側面を処理することを前提としており、ソリューションレベルの検出、対応、復旧機能が存在しない
プラットフォーム | セキュリティ⚠️ 脆弱性管理はカスタムコードには対応せず、プラットフォームパッチのみが考慮される
プラットフォーム | セキュリティ⚠️ セキュリティ監視は、アーキテクトが設定した分析または対応ワークフローを使用せずに、完全にプラットフォームネイティブのツールに依存します。
プラットフォーム | アーキテクチャ⚠️ 設計上の意思決定では共有責任モデルが参照されず、誰が何を担保するのかが混乱する
プラットフォーム | アーキテクチャ⚠️ Architecture Decision Records (アーキテクチャ決定レコード) では、責任境界が省略されています。セキュリティの前提条件は明示的ではなく暗黙的です。
プラットフォーム | セキュリティ⚠️ セキュリティレビューは、プラットフォーム認定によってアーキテクトのセキュリティ責任が排除されることを前提としています。

パターン

参照すべき場所外観
ヘルスケア | HIPAA✅ Shield Platform Encryptionは、PHI(保護された医療情報)が含まれるすべてのフィールドで有効
ヘルスケア | HIPAA✅ 項目監査履歴が HIPAA の PHI アクセス追跡の記録管理要件 (現在の期間を管理規制に照らして確認) を満たすように設定されている
ヘルスケア | HIPAA✅ イベントモニタリングは、セキュリティチームに転送されたアラートで不正な PHI アクセスパターンを検出するように設定されています。
ヘルスケア | HIPAA✅ HIPAA セキュリティルールで要求される技術的保護 (アクセス制御、監査ログ、送信セキュリティ) は、アーキテクト設定を介して実装されます。
財務 | SOX/PCI✅ 権限セット設計により、1 人のユーザーが金融取引を作成および承認できないように職務を分離
財務 | PCI DSS✅ 完全な主取引先番号 (PAN) は、可能な場合は Salesforce から除外され、範囲を削減するために支払プロセッサーを介してトークン化されます。PAN を保存する必要がある場合は、PCI DSS コントロールで暗号化されたカスタム項目を使用します。
プライバシー | GDPR/CCPA✅ 同意管理は、目的ごとの詳細な同意追跡と取り消しワークフローで実装されます。
プライバシー | GDPR/CCPA✅ データ主体の権利ワークフロー (アクセス、修正、消去、可搬性) は、リリースの規制セットを回答期間内に完了します。
プライバシー | GDPR/CCPA✅ データ保持の自動化により、同意の期限が切れるか保持期間が終了するとデータが消去されます。
政府機関 | FedRAMP✅ Salesforce Government Cloud は、FedRAMP コンプライアンスを必要とする規制対象の政府ワークロードに使用されます。
政府機関 | FedRAMP✅ NIST 800-53 コントロールは、該当する各コントロールの実装が文書化されている Salesforce 設定に対応付けられます。
政府機関 | FedRAMP✅ イベントモニタリングを使用した継続的な監視は、リアルタイムの脅威検知のために政府の SIEM インフラストラクチャに転送されます。

アンチパターン

参照すべき場所どんな悪い感じか
ヘルスケア | HIPAA⚠️ PHIはShield Platform EncryptionやField Audit Trailを使用せずに標準の暗号化フィールドに保存される
ヘルスケア | HIPAA⚠️ イベントモニタリングが不正な PHI アクセスを検出するように設定されていない。違反が検出されていない
財務 | SOX/PCI⚠️ 1 人のユーザーが金融取引の作成と承認の両方を実行でき、職務分掌は適用されない
財務 | PCI DSS⚠️ 完全な主取引先番号 (PAN) は、支払プロセッサーのトークン化や PCI DSS 準拠の暗号化ストレージを使用する代わりに、暗号化なしで Salesforce の標準項目に保存されます。
プライバシー | GDPR/CCPA⚠️ 同意管理が実装されておらず、詳細な同意や取り消し機能なしでデータが処理されている
プライバシー | GDPR/CCPA⚠️ データ主体の権利の要求は、規制の対応期間に合わせて調整された自動化ではなく、法務チームを介して手動で処理されます。
プライバシー | GDPR/CCPA⚠️ データの保持は手動。同意または保持期間の完了期限が切れてもデータは無期限に蓄積されます。
政府機関 | FedRAMP⚠️ 規制対象の政府ワークロードは Government Cloud ではなく商用 Salesforce インスタンスで実行される
政府機関 | FedRAMP⚠️ NIST 800-53 コントロールには、Salesforce 設定への文書化された対応付けがなく、コンプライアンスのギャップがある
政府機関 | FedRAMP⚠️ イベントモニタリングが政府の SIEM に転送されない。継続的なモニタリング要件を満たしていない。

パターン

参照すべき場所外観
プラットフォーム | セキュリティ✅ 重要なシステム権限 (「すべてのデータの参照」、「すべてのデータの編集」、「ユーザーの管理」) を持つユーザーは、権限が昇格した資産としてインベントリおよび追跡されます。
プラットフォーム | Shield イベント監視✅ イベント監視では、ログイン、レポートおよびデータのエクスポート、権限の変更、セキュリティ分析のための API コールを含むイベントログを取得します。
プラットフォーム | Shield イベント監視✅ イベントモニタリングログは、Salesforce 以外のセキュリティイベントとの相関関係のために外部 SIEM プラットフォームに転送されます。
インテグレーション | SIEM✅ SIEM 相関ルールにより、承認された変更期間外の権限の変更やベースラインを超える API 量異常などの権限のエスカレーションを検出
インテグレーション | SIEM✅ SIEM ダッシュボードでは、特権ユーザー権限の付与やデータのエクスポートなど、セキュリティ資産の変更を可視化できます。
プラットフォーム | ドキュメント✅ セキュリティアセットインベントリは、アセットカテゴリ (ユーザー、データ、インテグレーション、パッケージ、設定)、所有者、レビューケイデンスと共に文書化されます。

アンチパターン

参照すべき場所どんな悪い感じか
プラットフォーム | セキュリティ⚠️ セキュリティアセットインベントリは、作成直後に古くなったスプレッドシートで手動で管理されます。
プラットフォーム | セキュリティ⚠️ セキュリティ資産は、インシデント中にドキュメント化された照会可能なインベントリにアクセスすることなく、Tribal Knowledgeで追跡されます。
プラットフォーム | セキュリティ⚠️ セキュリティ監査は、監査間の継続的な監視がない年次コンプライアンスレビューでのみ行われます。
プラットフォーム | セキュリティ⚠️ セキュリティ資産インベントリは収集されますが、レビューされることはありません。休眠アカウント、孤立したインテグレーション、過剰な権限は無期限に保持されます。
プラットフォーム | セキュリティ⚠️ 公式インテグレーションユーザーは追跡されますが、ビジネスユニットはセキュリティレビューとログイン情報の循環ポリシーをスキップしてアドホック接続アプリケーションを作成します。
プラットフォーム | Shield イベント監視⚠️ イベント監視は有効になっているが、イベントは SIEM に転送されず、セキュリティイベントは相関関係のない Salesforce でサイロ化されたままになる
プラットフォーム | インテグレーション⚠️ シャドウ IT インテグレーションは在庫追跡をバイパスし、不正な API 活動によってデータが持ち出されるリスクが生じる