Sikker - øktsikkerhet
Finn ut mer om Well-Architected Trusted → Secure → Session Security → Device Access
| Hvor skal du se? Produktområde | Sted | Hvordan ser godt ut? Mønster |
|---|---|
| Plattform | Dokumentasjon | ✅ Sikkerhetspersoner er tydelig tilordnet til riktige enhetsbruk og -policyer |
| Plattform | Dokumentasjon | ✅ Enhetspolicyer er tydelige og oppdagbare |
| Plattform | Organisasjon | ✅ Konfigurasjon av Salesforce-tilkoblet mobilapp krever PIN/passordåpning etter inaktivitet |
| Plattform | Organisasjon | ✅ Hvis forretningsbehov krever streng kontroll over brukere som har tilgang til Salesforce-mobil, aktiveres API-tilgangskontroll, og tillatelsessett tildeles til alle brukere av Salesforce-mobilapper |
Finn ut mer om Well-Architected Trusted → Secure → Session Security → Session Management
| Hvor skal du se? Produktområde | Sted | Hvordan ser godt ut? Mønster |
|---|---|
| Plattform | Apex | ✅ Hvis det finnes tilpassede påloggingsflyter, bruker all relatert tilpasset kode de riktige SessionManagement-metodene til å tildele øktnivåsikkerhet |
| Plattform | Aura | ✅ Hvis det finnes tilpassede påloggingsflyter, bruker du en Apex-kontroller med de nødvendige SessionManagement til å tildele øktnivåsikkerhet |
| Plattform | Utformingsstandarder | ✅ Sikkerhetspersonligheter viser tydelig godkjente økttyper og tidsavbrudd/varighet-innstillinger for hver personlighet |
| Plattform | Utformingsstandarder | ✅ Standarder defineres for aktiviteter som krever øktnivåsikkerhet |
| Plattform | Utformingsstandarder | ✅ Standarder defineres for aktiviteter som krever at forhøyede tillatelser tildeles |
| Plattform | Utformingsstandarder | ✅ Omfang og policyer for tokenbehandling for tilkoblede apper er tydelige og oppdagbare |
| Plattform | Dokumentasjon | ✅ Omfang og policyer for tokenbehandling for tilkoblede apper er tydelige og oppdagbare |
| Plattform | Dokumentasjon | ✅ Påloggingstider er angitt (eller identifisert som ikke nødvendig) |
| Plattform | Lightning Web Components (LWC) | ✅ Hvis det finnes tilpassede påloggingsflyter, bruker du en Apex-kontroller med de nødvendige SessionManagement til å tildele øktnivåsikkerhet |
| Plattform | Organisasjon | ✅ Hvis brukere får tilgang til Salesforce fra bak en brannmur, bruker brannmuren en tillatelsesliste med nødvendige domener i stedet for IP-adresser til å sikre kommunikasjon til/fra Salesforce |
| Plattform | Organisasjon | ✅ Inaktive tidsavbruddsintervaller for økter overskrider ikke standardintervallet (2 timer) |
| Plattform | Organisasjon | ✅ Alle følgende innstillinger er aktivert: -Klikkjack-beskyttelse for Oppsett-sider -Klikkjack-beskyttelse for ikke-oppsett-Salesforce-sider -CSRF-beskyttelse -XSS-beskyttelse -Aktiver beskyttelse mot innholdssniffing -Referrer-URL-beskyttelse -Advar brukere før de omdirigeres utenfor Salesforce |
| Plattform | Organisasjon | ✅ Øktrevisjoner viser at brukere bare får tilgang til Salesforce via forventede økttyper |
| Plattform | Organisasjon | ✅ Det er et tydelig, aktivt tillatelsessett for bare API-brukertilgang (med tillatelsen Bare API angitt til TRUE), og alle integrasjons- og automatiserte brukere tildeles |
Finn ut mer om Well-Architected Trusted → Secure → Session Security → Threat Detection & Response
| Hvor skal du se? Produktområde | Sted | Hvordan ser godt ut? Mønster |
|---|---|
| Einstein | Agenter | ✅ Agenthendelseslogger inkluderer samtaledata Aktiver innstillingen for forbedrede hendelseslogger med mindre det er en viktig årsak til at samtaledata skal maskeres |
| Einstein | Einstein Trust | ✅ Generative AI-funksjoner blir regelmessig kontrollert Einstein Generative AI-revisjonsdata er aktivert fra oppsettsiden Einstein Feedback. Generative AI-samtaler, inkludert ledeteksten og dens svar, revideres regelmessig og gjennomgås |
| Plattform | Firma | ✅ Revisjonsdata er tilgjengelig i rapporter som forretningsinteressenter kan forstå og få tilgang til |
| Plattform | Firma | ✅ Regelmessige gjennomganger av revisjonshistorikk og rapporter skjer |
| Plattform | Dokumentasjon | ✅ Alle automatiserte svar dokumenteres tydelig |
| Plattform | Dokumentasjon | ✅ Trinnene for å se gjennom logger som er tilgjengelig i Salesforce, er dokumentert |
| Plattform | Dokumentasjon | ✅ Revisjonsnivåer er angitt for alle objekter i datamodellen |
| Plattform | Dokumentasjon | ✅ Sikkerhetspolicyer inneholder en liste over hendelser som skal utløse et svar, sammen med den riktige svartypen |
| Plattform | Organisasjon | ✅ Automatiseringer er på plass for å svare på trusler ved å deaktivere brukerkontoer eller blokkere tilgang til ressurser i sanntid hvis unormal bruk oppdages |
| Plattform | Organisasjon | ✅ Varsler og varsler er konfigurert til å varsle riktige brukere om unormal aktivitet |
| Plattform | Organisasjon | ✅ Felthistorikksporing er aktivert for alle felt som inneholder private eller sensitive data |
Finn ut mer om Well-Architected Trusted → Secure → Session Security → Device Access
| Hvor skal du se? Produktområde | Sted | Hva bør unngås? Anti-mønster |
|---|---|
| Plattform | Dokumentasjon | ⚡️ Sikkerhetspolicyer finnes ikke eller inneholder ikke informasjon om enhetstilgang |
| Plattform | Organisasjon | ⚡️ Den tilkoblede Salesforce-mobilappen er ikke konfigurert til å kreve PIN-kode/passordåpning for inaktivitet |
| Plattform | Organisasjon | ⚡️ Forretningsbehov krever streng kontroll over brukere som har tilgang til Salesforce-mobil, men API-tilgangskontroll er ikke aktivert eller tillatelsessett brukes ikke til å kontrollere tilgang til Salesforce-mobilapper |
Finn ut mer om Well-Architected Trusted → Secure → Session Security → Session Management
| Hvor skal du se? Produktområde | Sted | Hva bør unngås? Anti-mønster |
|---|---|
| Plattform | Apex | ⚡️ Hvis det finnes tilpassede påloggingsflyter, er det ingen logikk for å tildele øktnivåsikkerhet |
| Plattform | Aura | ⚡️ Hvis det finnes tilpassede påloggingsflyter, er det ingen logikk for å tildele øktnivåsikkerhet |
| Plattform | Utformingsstandarder | ⚡️ Standarder er ikke definert for aktiviteter som krever øktnivåsikkerhet |
| Plattform | Utformingsstandarder | ⚡️ Standarder er ikke definert for aktiviteter som krever at forhøyede tillatelser tildeles |
| Plattform | Utformingsstandarder | ⚡️ Sikkerhetspolicyer inneholder ikke informasjon om tilkoblede appomfang eller tokenbehandling |
| Plattform | Utformingsstandarder | ⚡️ Sikkerhetspersoner finnes ikke eller mangler informasjon om økttyper og tidsavbrudd/varighet-innstillinger |
| Plattform | Dokumentasjon | ⚡️ Omfang og policyer for tokenbehandling for tilkoblede apper er ikke dokumentert |
| Plattform | Lightning Web Components (LWC) | ⚡️ Hvis det finnes tilpassede påloggingsflyter, er det ingen logikk for å tildele øktnivåsikkerhet |
| Plattform | Organisasjon | ⚡️ Det er ingen definisjoner av hvilke økttyper brukere skal ha |
| Plattform | Organisasjon | ⚡️ Bare API-tillatelser er uklare eller mangler fra integrasjons- og automatiserte brukere |
| Plattform | Organisasjon | ⚡️ Det er ingen regelmessig øktrevisjon |
| Plattform | Organisasjon | ⚡️ Hvis brukere får tilgang til Salesforce fra bak en brannmur, bruker brannmuren hardkodede IP-adresser til å sikre kommunikasjon til/fra Salesforce |
| Plattform | Organisasjon | ⚡️ Inaktive tidsavbruddsintervaller for økter overskrider standardverdien (2 timer) |
| Plattform | Organisasjon | ⚡️ En av følgende innstillinger er deaktivert: -Klikkjack-beskyttelse for Oppsett-sider -Klikkjack-beskyttelse for ikke-oppsett-Salesforce-sider -CSRF-beskyttelse -XSS-beskyttelse -Aktiver beskyttelse mot innholdssniffing -Referrer-URL-beskyttelse -Advar brukere før de omdirigeres utenfor Salesforce |
Finn ut mer om Well-Architected Trusted → Secure → Session Security → Threat Detection & Response
| Hvor skal du se? Produktområde | Sted | Hva bør unngås? Anti-mønster |
|---|---|
| Einstein | Organisasjon | ⚡️ Generative AI-funksjoner blir ikke revidert Generative AI-samtaler, inkludert ledeteksten og svaret, blir ikke regelmessig revidert og gjennomgått |
| Plattform | Firma | ⚡️ Revisjonsdata er tilgjengelig bare via loggfiler som krever emneekspertise for å få tilgang til og tolke |
| Plattform | Firma | ⚡️ Det finnes ingen prosesser for å se gjennom revisjonsinformasjon |
| Plattform | Dokumentasjon | ⚡️ Sikkerhetspolicyer finnes ikke eller inkluderer ikke informasjon om trusseldeteksjon og varsel |
| Plattform | Dokumentasjon | ⚡️ Dokumentasjon for automatiske svar finnes ikke eller er uklar |
| Plattform | Organisasjon | ⚡️ Det er ingen automatiseringer på plass for å svare på trusler |
| Plattform | Organisasjon | ⚡️ Varsler og varsler er ikke konfigurert til å varsle riktige brukere om avvikende aktivitet, eller det finnes enkelte varsler og varsler relatert til avvikende aktivitet, men de er ad hoc |
| Plattform | Organisasjon | ⚡️ Felthistorikksporing er ikke konsekvent aktivert for felt som inneholder private eller sensitive data |