Trust - Naleving van regelgeving en controlepatronen

Lees meer over Goed Architectuurde Trust → Naleving en naleving van regelgeving

Patronen

Waar te zoeken	Hoe goed eruitziet
Naleving van infrastructuur	✅ Maak gebruik van Salesforce-platformcertificeringen (SOC 2 Type II, ISO 27001, FedRAMP voor Government Cloud-aanbod, HIPAA, PCI DSS) die beschikbaar zijn op Trust.salesforce.com en compliance.salesforce.com voor nalevingsbewijzen voor infrastructuur en gedeelde services.
Naleving van aangepaste oplossingen	✅ Ontwerp aangepaste objecten, Apex code, integraties en configuraties om de nalevingsstatus te behouden die platformcertificeringen bieden.
Naleving van aangepaste oplossingen	✅ Document architectonische naleving controles.
Verantwoordelijkheidsgrenzen	✅ Document duidelijke afbakening: Salesforce biedt conforme infrastructuur (fysiek, netwerk, platformbeveiliging, isolatie voor meerdere belanghebbenden); architecten ontwerpen conforme oplossingen (gegevensclassificatie, toegangscontroles, encryptieconfiguratie, veilige codering, naleving van gegevensverwerking).
Nalevingsdocumentatie	✅ Onderhoud architectuurdocumentatie die toont hoe aangepaste implementaties voldoen aan wettelijke vereisten, toegewezen aan platformcertificeringen.
Nalevingsdocumentatie	✅ Maak nalevingsmatrix koppelen regelgeving → platform controles → aangepaste controles.

Anti-patronen

Waar te zoeken	Hoe slecht eruitziet
Naleving van infrastructuur	⚠️ Neem aan dat platformcertificeringen inhouden dat u geen nalevingsverantwoordelijkheden hebt.
Naleving van infrastructuur	⚠️ Het niet implementeren van de juiste toegangscontroles, encryptie of naleving van gegevensverwerking voor aangepaste oplossingen.
Naleving van infrastructuur	⚠️ Platformcertificeringen verminderen de nalevingslast, maar elimineren niet de architectonische verantwoordelijkheid.
Verantwoordelijkheidsgrenzen	⚠️ U hebt onduidelijk inzicht in waar Salesforce-verantwoordelijkheid eindigt en waar klantverantwoordelijkheid begint.
Verantwoordelijkheidsgrenzen	⚠️ Geef platform de schuld van nalevingshiaten in aangepaste implementaties.
Nalevingsdocumentatie	⚠️ Geen gedocumenteerde toewijzing hebben tussen wettelijke vereisten en geïmplementeerde controles.
Nalevingsdocumentatie	⚠️ Scramble om bewijsmateriaal tijdens controleontdekking te verzamelen.

Patronen

Waar te zoeken	Hoe goed eruitziet
Gezondheidszorg (HIPAA)	✅ Shield Platform Encryption inschakelen voor alle velden met beschermde gezondheidsgegevens (PHI).
Gezondheidszorg (HIPAA)	✅ Veldcontroletraject implementeren met behoud dat voldoet aan de vereiste voor het bijhouden van HIPAA (bevestig de huidige periode aan de hand van de regelgeving).
Gezondheidszorg (HIPAA)	✅ PHI wordt alleen opgeslagen en verwerkt voor Salesforce-services die onder de uitgevoerde Business Associate Agreement (BAA) vallen; oplossingsontwerpen en PHI-gegevensstromen worden gevalideerd op basis van het bereik van de BAA.
Gezondheidszorg (HIPAA)	✅ Configureer Event Monitoring om ongeautoriseerde PHI-toegangspatronen te detecteren.
Gezondheidszorg (HIPAA)	✅ Implementeren van technische waarborgen: toegangscontroles, audit logging, transmissiebeveiliging (TLS 1.2+, op certificaten gebaseerde wederzijdse auth. voor PHI-integraties).
Financiële dienstverlening (SOX, DORA, PCI DSS)	✅ Implementeer scheiding van taken door middel van het ontwerp van machtigingensets, waardoor afzonderlijke gebruikers geen financiële transacties kunnen maken en goedkeuren.
Financiële dienstverlening (SOX, DORA, PCI DSS)	✅ Onderhoud wijzigingscontroletrajecten via Set-up controletraject en aangepaste vastlegging van wijzigingen.
Financiële dienstverlening (SOX, DORA, PCI DSS)	✅ Vermijd het opslaan van volledige primaire accountnummers (PAN) in Salesforce—tokeniseer kaarthoudergegevens via betalingsprocessors voor PCI DSS-bereikvermindering; waar PAN moet worden opgeslagen, gebruikt u Versleutelde aangepaste velden onder PCI DSS-besturingselementen.
Financiële dienstverlening (SOX, DORA, PCI DSS)	✅ Ontwerp transactiebewaking voor fraudedetectiepatronen.
Financiële dienstverlening (SOX, DORA, PCI DSS)	✅ DORA vereist operationele veerkracht, inclusief incidentrespons en risicobeheer van derden.
Privacyregelgeving (AVG, CCPA, LGPD)	✅ Ontwerp voor AVG en LGPD instemmingsbeheer dat granulaire, doelspecifieke instemming voor aanmelding vastlegt (marketing, analyses, personalisering); voor CCPA/CPRA biedt het afmeldingsmechanismen voor de verkoop of het delen van persoonsgegevens.
Privacyregelgeving (AVG, CCPA, LGPD)	✅ Werkstromen voor de rechten van betrokkenen samenstellen (toegang, rectificatie, verwijdering, overdraagbaarheid) die binnen het reactietijdsbestek de regelgevingssets voor uw implementatie voltooien.
Privacyregelgeving (AVG, CCPA, LGPD)	✅ Automatisering van gegevensbewaring implementeren die gegevens opschoont wanneer instemming verloopt of de juridische basis eindigt.
Privacyregelgeving (AVG, CCPA, LGPD)	✅ Document wettelijke basis voor elke gegevensverwerkingsactiviteit.
Privacyregelgeving (AVG, CCPA, LGPD)	✅ AVG vereist gedocumenteerde rechtvaardiging, gegevensstroomtoewijzing, privacy-impactbeoordelingen.
Overheid (FedRAMP)	✅ Gebruik Salesforce Government Cloud voor gereguleerde overheidswerkbelasting.
Overheid (FedRAMP)	✅ Implementeer NIST 800-53-besturingselementen die zijn toegewezen aan Salesforce-configuratie.
Overheid (FedRAMP)	✅ Schakel continue bewaking in met Event Monitoring gerouteerd naar de SIEM-infrastructuur van de overheid.
Overheid (FedRAMP)	✅ FedRAMP vereist doorlopende autorisatie via continue bewaking, niet alleen initiële certificering.
Meerdere jurisdicties	✅ Wijs vereisten voor gegevensverblijf toe aan regionale implementatie van Hyperforce.
Meerdere jurisdicties	✅ Implementeren van standaard contractuele clausules of bindende bedrijfsregels voor internationale gegevensoverdrachten.
Meerdere jurisdicties	✅ Document gegevensstroomkaarten met herkomst, transit en woonplaats locaties.
Meerdere jurisdicties	✅ Overweeg architectuur voor meerdere organisaties wanneer niet binnen één organisatie kan worden voldaan aan conflicterende residentievereisten.

Anti-patronen

Waar te zoeken	Hoe slecht eruitziet
Gezondheidszorg (HIPAA)	⚠️ Sla PHI op in standaard versleutelde velden op basis van beleid om ongeoorloofde toegang te voorkomen.
Gezondheidszorg (HIPAA)	⚠️ Hebben geen Field Audit Trail of auditbewaarplan.
Gezondheidszorg (HIPAA)	⚠️ Maak PHI zichtbaar in rapporten, lijstweergaven of Experience Cloud zonder de juiste toegangselementen.
Gezondheidszorg (HIPAA)	⚠️ Sta op sms gebaseerde MFA toe voor PHI-toegang (kwetsbaar voor SIM-swapping).
Financiële dienstverlening (SOX, PCI DSS)	⚠️ Laat afzonderlijke gebruikers financiële transacties maken en goedkeuren (geen scheiding van taken).
Financiële dienstverlening (SOX, PCI DSS)	⚠️ Sla volledige primaire accountnummers (PAN) op in standaard aangepaste Salesforce-velden zonder encryptie of PCI DSS-besturingselementen.
Financiële dienstverlening (SOX, PCI DSS)	⚠️ Geen transactiebewaking hebben voor fraudedetectie.
Financiële dienstverlening (SOX, PCI DSS)	⚠️ Hebben geen gedocumenteerde wijziging audit trail voor wijzigingen van het financiële systeem.
Privacyregelgeving (AVG, CCPA)	⚠️ Behandel instemming als binair ja/nee in plaats van fijnmazig bijhouden per doel.
Privacyregelgeving (AVG, CCPA)	⚠️ Verwerk verzoeken van betrokkenen handmatig via het juridische team, waarbij het maanden duurt voordat het antwoordvenster ontbreekt dat de regelgeving voor uw implementatie bepaalt.
Privacyregelgeving (AVG, CCPA)	⚠️ Geen gedocumenteerde wettelijke basis hebben voor gegevensverwerkingsactiviteiten.
Privacyregelgeving (AVG, CCPA)	⚠️ Verzamel gegevens “just in case” zonder gedocumenteerde doelbeperking.
Overheid (FedRAMP)	⚠️ Gebruik standaard Salesforce-organisaties voor overheidswerkbelastingen die FedRAMP-naleving vereisen.
Overheid (FedRAMP)	⚠️ Hebben geen ononderbroken controle of NIST 800-53 controletoewijzing.
Meerdere jurisdicties	⚠️ Hebben geen gegevensstroomtoewijzing die toont waar gegevens worden doorgevoerd en zich bevinden.
Meerdere jurisdicties	⚠️ Stel dat één globale organisatie voldoet aan alle vereisten voor regionale gegevensresidency.
Meerdere jurisdicties	⚠️ Geen juridische basisdocumentatie hebben voor internationale gegevensoverdrachten.

Patronen

Waar te zoeken	Hoe goed eruitziet
Controle van beveiligingstoestand	✅ Voer driemaandelijkse beoordelingen uit waarbij organisatieconfiguratie wordt vergeleken met Salesforce-beveiligingsbaselines.
Controle van beveiligingstoestand	✅ Behoud scores van 80% of hoger (zeer goed of uitstekend band).
Controle van beveiligingstoestand	✅ Document uitzonderingen met zakelijke rechtvaardiging en compenserende controles voor instellingen onder baseline.
Controle van beveiligingstoestand	✅ Controle van toestand identificeert configuratieafwijking van best practices voor beveiliging.
Event Monitoring	✅ Schakel Event Monitoring in om gedetailleerde logboeken vast te leggen voor gebruikersactiviteit, API-aanroepen, authenticatie-events, gegevenstoegangspatronen.
Event Monitoring	✅ Route Event Log Files naar externe SIEM voor langdurige retentie die native bewaarlimieten overschrijdt.
Event Monitoring	✅ Naleving vereist vaak meerjarige logboekbewaring; controleer de minimale periode ten opzichte van de regelgeving voor uw implementatie.
Transactiebeveiliging	✅ Transactiebeveiligingsbeleid implementeren dat events in real-time evalueert en beleidsschendingen kan blokkeren, vereisen dat MFA wordt opgevoerd of dat er een kennisgeving wordt gedaan.
Transactiebeveiliging	✅ Gebruik voor preventieve controles die nalevingsschendingen stoppen voordat ze zich voordoen (bijvoorbeeld bulkgegevensexport blokkeren die normale patronen overschrijdt, vereist meer authenticatie voor gevoelige veldtoegang).
Geautomatiseerde nalevingsvalidatie	✅ Implementeer nalevingscontroles in CI / CD-implementatiepijplijnen die valideren dat implementaties geen machtigingsmodellen verzwakken, auditinstellingen uitschakelen of niet-conforme configuraties introduceren.
Geautomatiseerde nalevingsvalidatie	✅ Breek implementaties die nalevingsvalidatie mislukken—nalevingsvalidatie moet een implementatiepoort zijn, niet een ontdekking na de implementatie.
Doorlopende auditgereedheid	✅ Ontwerp voor continue auditgereedheid in plaats van punt-in-tijd auditvoorbereiding.
Doorlopende auditgereedheid	✅ Naleving is een continue operationele status die continue bewijsgeneratie vereist, niet jaarlijkse certificeringsverwisselingen.

Anti-patronen

Waar te zoeken	Hoe slecht eruitziet
Controle van beveiligingstoestand	⚠️ Voer de toestandcontrole alleen uit wanneer auditors hierom verzoeken.
Controle van beveiligingstoestand	⚠️ Laat scores zonder onderzoek onder de 80% uitkomen.
Controle van beveiligingstoestand	⚠️ Geen gedocumenteerde uitzonderingen hebben voor instellingen onder baseline.
Controle van beveiligingstoestand	⚠️ Herstel nooit geïdentificeerde risico’s.
Event Monitoring	⚠️ Vertrouw op native bewaarlimieten voor nalevingsbewijs wanneer regelgeving meerjarige bewaring vereist.
Event Monitoring	⚠️ Hebben geen externe SIEM-routering.
Event Monitoring	⚠️ Sta toe dat native Event Monitoring-bewaring verloopt, waardoor controle-informatie verloren gaat.
Transactiebeveiliging	⚠️ Hebben geen preventieve controles in real-time.
Transactiebeveiliging	⚠️ Vertrouw alleen op onderzoek na het incident in plaats van beleidsschendingen te blokkeren voordat ze plaatsvinden.
Geautomatiseerde nalevingsvalidatie	⚠️ Hebben geen nalevingscontroles in implementatiepijplijnen.
Geautomatiseerde nalevingsvalidatie	⚠️ Nalevingsschendingen in productie ontdekken na implementatie.
Geautomatiseerde nalevingsvalidatie	⚠️ Implementaties toestaan die de beveiligingspositie verzwakken zonder beoordeling.
Doorlopende auditgereedheid	⚠️ Behandel naleving als een jaarlijkse event die maanden van auditvoorbereiding vereist.
Doorlopende auditgereedheid	⚠️ Hebben geen continu genereren van bewijs.
Doorlopende auditgereedheid	⚠️ Ontdek hiaten tijdens de audit wanneer het te laat is om te corrigeren.

Patronen

Waar te zoeken	Hoe goed eruitziet
Set-up controletraject	✅ Monitor wijzigingen in de administratieve configuratie met 180-dagen retentie (inbegrepen in alle editions).
Set-up controletraject	Controleer regelmatig op ongeoorloofde wijzigingen.
Set-up controletraject	✅ Gebruik voor nalevingsbewijs van configuratiebeheerbesturingselementen.
Veldcontroletraject	✅ Inschakelen voor velden Beperkt en Vertrouwelijk die het bijhouden van wettelijke records vereisen.
Veldcontroletraject	✅ Configureer bewaring om te voldoen aan nalevingsvereisten (ondersteunt onbepaalde bewaring); bevestig de vereiste periode op basis van de regelgeving voor uw implementatie.
Veldcontroletraject	✅ Vereist Shield.
Event Monitoring langetermijnbewaring	✅ Route Event Monitoring logboeken naar externe SIEM voor retentie voorbij native bewaarlimieten.
Event Monitoring langetermijnbewaring	✅ Vereist voor nalevingsbewijs wanneer regelgeving meerjarige logboekbewaring voorschrijft.
Event Monitoring langetermijnbewaring	✅ Configureer correlatie met enterprise security telemetrie voor cross-systeem onderzoek.
Transactiebeveiliging	✅ Implementeer real-time op beleid gebaseerde evaluatie van gebruikersacties (geen retentie, triggers voor events).
Transactiebeveiliging	✅ Gebruik voor preventieve controles die onmiddellijke reactie vereisen (bijv. verboden acties blokkeren, stapsgewijze authenticatie vereisen, incidentresponswerkstromen activeren).
Transactiebeveiliging	✅ Vereist Shield-licentie.
Vastleggen van aangepaste toepassingen	✅ Aangepaste Apex vastleggen implementeren voor beveiligingsrelevante toepassingsevents die niet zijn vastgelegd door platformcontroletrajecten: beslissingen over autorisatie van bedrijfslogica, verdachte invoerpatronen, afdwingen van snelheidsbeperkingen, aangepaste authenticatie-events.
Logboekintegriteit	✅ Routeer auditlogboeken naar onveranderbare externe opslag die aanvallers niet kunnen wijzigen, zelfs niet met toegang tot Salesforce op beheerdersniveau.
Logboekintegriteit	✅ Forensisch bewijs moet sabotage-evident zijn om onderzoek en potentiële juridische procedures te ondersteunen.

Anti-patronen

Waar te zoeken	Hoe slecht eruitziet
Set-up controletraject	⚠️ Controleer Set-up controletraject nooit op ongeoorloofde administratieve wijzigingen.
Set-up controletraject	⚠️ Ontdek kwaadaardige configuratiewijzigingen maanden na het optreden wanneer het bewijs is verlopen (bewaring van 180 dagen).
Veldcontroletraject	⚠️ Geen Veldcontroletraject hebben voor gegevens met beperkingen die onderworpen zijn aan het bijhouden van wettelijke gegevens.
Veldcontroletraject	⚠️ Configureer bewaring korter dan de periode die de regelgeving voorschrijft voor uw implementatie.
Event Monitoring langetermijnbewaring	⚠️ Vertrouw uitsluitend op native Salesforce-bewaarperioden voor nalevingsbewijs.
Event Monitoring langetermijnbewaring	⚠️ Ontdek hiaten tijdens de auditvoorbereiding wanneer logboeken al zijn verlopen.
Event Monitoring langetermijnbewaring	⚠️ Hebben geen correlatie met enterprise security telemetrie voor cross-systeem onderzoek.
Transactiebeveiliging	⚠️ Hebben geen real-time beleidsevaluatie voor acties met hoog risico.
Transactiebeveiliging	⚠️ Ontdek beleidsschendingen alleen door handmatige logboekbeoordeling dagen of weken na het optreden.
Vastleggen van aangepaste toepassingen	⚠️ Geen vastlegging hebben voor aangepaste autorisatiebeslissingen voor bedrijfslogica of beveiligingsrelevante toepassingsevents.
Vastleggen van aangepaste toepassingen	⚠️ Kan autorisatiefouten of verdachte patronen niet onderzoeken omdat er geen bewijs is.
Logboekintegriteit	⚠️ Sla auditlogboeken alleen op in Salesforce waar beheerders ze kunnen wijzigen of verwijderen.
Logboekintegriteit	⚠️ Hebben geen onveranderlijke externe kopieën voor forensische bewaring.
Logboekintegriteit	⚠️ Bewaringsketen verliezen voor juridische procedures.

Patronen

Waar te zoeken	Hoe goed eruitziet
Regionale implementatie Hyperforce	✅ Selecteer de juiste Hyperforce regio’s tijdens organisatieleveringen om te voldoen aan naleving van gegevensverblijf.
Regionale implementatie Hyperforce	✅ Hyperforce biedt regionale implementatieopties die naleving van gegevensverblijf mogelijk maken voor regelgeving die vereist dat gegevens binnen specifieke geografische grenzen blijven.
Toewijzing van gegevensstromen	✅ Document gegevensstroomkaarten die tonen waar gegevens vandaan komen, door (integratie middleware, externe services) en verblijft (opslagregio’s).
Toewijzing van gegevensstromen	✅ Vereist voor AVG Artikel 30 records van verwerkingsactiviteiten.
Internationale overdrachten	✅ Implementeren van standaard contractuele clausules of bindende bedrijfsregels voor internationale gegevensoverdrachten waar vereist door de AVG en soortgelijke regelgeving.
Internationale overdrachten	✅ Document juridische basis voor elke grensoverschrijdende overdracht.
Multi-organisatie voor conflicterende vereisten	✅ Overweeg architectuur voor meerdere organisaties bij het werken in meerdere jurisdicties met conflicterende residentievereisten waaraan niet kan worden voldaan binnen één organisatie met Hyperforce regionale implementatie.
Multi-organisatie voor conflicterende vereisten	✅ Trade-off: multi-organisatie biedt sterkste gegevensisolatie, maar vermenigvuldigt de operationele complexiteit, licentiekosten, integratievereisten.
Governance voor meerdere organisaties	✅ Handhaaf voor architecturen voor meerdere organisaties consistente beveiligingsbaselines voor alle organisaties via gedeelde opslagplaatsen voor configuratie-als-code, bewaking tussen organisaties en gecombineerd identiteitsbeheer.
Governance voor meerdere organisaties	✅ Multi-organisatie biedt de sterkste isolatie, maar vermenigvuldigt het governance-oppervlak.

Anti-patronen

Waar te zoeken	Hoe slecht eruitziet
Regionale implementatie Hyperforce	⚠️ Selecteer de standaard Amerikaanse regio voor de globale organisatie zonder de vereisten voor gegevensverblijf te evalueren.
Regionale implementatie Hyperforce	⚠️ Schending van GDPR, LGPD of regionale wetgeving inzake gegevenssoevereiniteit door onjuiste regioselectie.
Toewijzing van gegevensstromen	⚠️ Geen gedocumenteerde gegevensstroomkaarten hebben.
Toewijzing van gegevensstromen	⚠️ Kan geen vragen van auditors beantwoorden over waar gegevens worden doorgevoerd of zich bevinden.
Toewijzing van gegevensstromen	⚠️ Geen AVG-artikel 30-records van verwerkingsactiviteiten hebben.
Internationale overdrachten	⚠️ Gegevens internationaal overdragen zonder standaardcontractbepalingen, bindende bedrijfsregels of gedocumenteerde juridische basis.
Internationale overdrachten	⚠️ GDPR-overdrachtsbeperkingen schenden.
Multi-organisatie voor conflicterende vereisten	⚠️ Conflicterende vereisten voor gegevensverblijf in één organisatie afdwingen, wat nalevingsschendingen veroorzaakt.
Multi-organisatie voor conflicterende vereisten	⚠️ Implementeer anders architectuur voor meerdere organisaties wanneer één organisatie met Hyperforce regionale implementatie zou voldoen aan de vereisten (onnodige complexiteit).
Governance voor meerdere organisaties	⚠️ Inconsistente beveiligingsbaselines hebben in een omgeving met meerdere organisaties.
Governance voor meerdere organisaties	⚠️ Elke organisatie implementeert beveiliging anders.
Governance voor meerdere organisaties	⚠️ Kan geen consistente nalevingspositie binnen de organisatie aantonen.

Patronen

Waar te zoeken	Hoe goed eruitziet
Controle van beveiligingstoestand per kwartaal	✅ Voer een driemaandelijkse toestandcontrole uit door de configuratie van de organisatie te vergelijken met de baselines van Salesforce-beveiliging (wachtwoordbeleid, sessie-instellingen, netwerktoegang, configuraties van voorzieningen).
Controle van beveiligingstoestand per kwartaal	✅ Doelscores van 80% of hoger (zeer goed of uitstekend band).
Controle van beveiligingstoestand per kwartaal	✅ Document uitzonderingen met zakelijke rechtvaardiging en compenserende controles voor instellingen onder baseline gehandhaafd.
Event Monitoring-analyses	✅ Ontwerp dashboards die gedragspatronen onthullen die onderzoek vereisen: ongebruikelijke volumes voor gegevenstoegang, administratieve activiteit buiten kantooruren, anomalieën in API-verbruik.
Event Monitoring-analyses	✅ Gedragsanalyse detecteert bedreigingen die op handtekening gebaseerde detectie mist.
Geautomatiseerde driftdetectie	✅ Implementeer geautomatiseerde nalevingstests in pijplijnen die configuratieafwijkingen van goedgekeurde baselines detecteren.
Geautomatiseerde driftdetectie	✅ Waarschuwing wanneer configuraties afwijken van beveiligingsnormen.
Continue houdingsbewaking	✅ Beveiligingsstatus verslechtert zonder actief beheer als configuraties weglopen, machtigingen zich ophopen, nieuwe kwetsbaarheden naar boven komen.
Continue houdingsbewaking	✅ Ontwerp voor continue bewaking, niet point-in-time beoordeling.

Anti-patronen

Waar te zoeken	Hoe slecht eruitziet
Controle van beveiligingstoestand per kwartaal	⚠️ Voer de toestandcontrole alleen uit wanneer auditors hierom verzoeken.
Controle van beveiligingstoestand per kwartaal	⚠️ Laat scores onder 80% drijven zonder correctie.
Controle van beveiligingstoestand per kwartaal	⚠️ Hebben geen bijhouden van houding trends in de loop van de tijd.
Event Monitoring-analyses	⚠️ Event Monitoring ingeschakeld hebben, maar geen dashboards, geen waarschuwing, geen onderzoek van anomalieën.
Event Monitoring-analyses	⚠️ Behandel auditlogboeken als nalevingsselectievakje in plaats van beveiligingstelemetrie.
Geautomatiseerde driftdetectie	⚠️ Hebben geen automatische detectie van configuratieafwijking van goedgekeurde baselines.
Geautomatiseerde driftdetectie	⚠️ Ontdekken configuratie verzwakking alleen tijdens handmatige audits maanden na wijziging.
Continue houdingsbewaking	⚠️ Behandel beveiliging als punt-in-tijd certificering in plaats van continue operationele status.
Continue houdingsbewaking	⚠️ Scramble voor te bereiden op jaarlijkse audits, omdat continue monitoring niet bestaat.

Patronen

Waar te zoeken	Hoe goed eruitziet
Tijdstip van beveiligingsbeoordeling	✅ Integreer beveiligingsbeoordeling in de Architecture Review Board (ARB) tijdens de voorstelfase, voordat er aanzienlijke investeringen worden gedaan.
Tijdstip van beveiligingsbeoordeling	✅ Beveiligingsbeoordeling aan het einde van de ontwikkeling is te laat om fundamentele ontwerpbeslissingen te beïnvloeden.
Records voor beslissingen over architectuur	✅ Documenteer beveiligingsarchitectuurbeslissingen in ADR’s die beveiligingsvereisten vastleggen, geëvalueerde alternatieven, geaccepteerde trade-offs, restrisico’s, compenserende controles, bewakingsaanpak.
Records voor beslissingen over architectuur	✅ ADR’s leveren audit bewijs, maken Knowledge transfer mogelijk, ondersteunen architectonische evolutie door te documenteren waarom beslissingen werden genomen.

Anti-patronen

Waar te zoeken	Hoe slecht eruitziet
Tijdstip van beveiligingsbeoordeling	⚠️ Voer pas een beveiligingsbeoordeling uit nadat de ontwikkeling is voltooid.
Tijdstip van beveiligingsbeoordeling	⚠️ Ontdek fundamentele beveiligingsfouten die een nieuwe architectuur vereisen wanneer het samenstellen grotendeels is voltooid.
Tijdstip van beveiligingsbeoordeling	⚠️ Beveiliging wordt duur achteraf.
Records voor beslissingen over architectuur	⚠️ Geen documentatie hebben van beslissingen over beveiligingsarchitectuur.
Records voor beslissingen over architectuur	⚠️ Kan niet verklaren waarom bepaalde controles zijn gekozen, welke alternatieven zijn geëvalueerd en welke restrisico’s zijn aanvaard.
Records voor beslissingen over architectuur	⚠️ Gebrek aan controle-informatie en Knowledge transfer.

Patronen

Waar te zoeken	Hoe goed eruitziet
Beveiligingsbeoordeling vóór adoptie	✅ AppExchange Security Review-status beoordelen (bereik, datum van laatste beoordeling—beveiligingsbeoordelingen vervallen), machtigingsvereisten beoordelen (heeft pakket meer toegang nodig dan de functie rechtvaardigt?), gegevensverwerkingspraktijken evalueren (waar stromen gegevens, wat wordt extern bewaard, gegevens die naar externe services worden verzonden?), reactiemogelijkheden en kennisgevingsprocedures van leveranciers beoordelen, inzicht krijgen in beëindigingsprocedures en gegevensoverdracht.
AppExchange machtigingenonderzoek	✅ Pakketten die verzoeken om Alle gegevens wijzigen, Alle gegevens weergeven of gevoelige machtigingen vereisen extra controle.
AppExchange machtigingenonderzoek	✅ Document zakelijke rechtvaardiging voor verhoogde machtigingen.
AppExchange machtigingenonderzoek	✅ Evalueer of pakketfunctionaliteit echt bereik vereist.
Externe voorraad	✅ Onderhoud voorraad van externe afhankelijkheden (AppExchange pakketten, geïntegreerde services, middleware) met risicobeoordelingen, gedocumenteerde risico-acceptatiebeslissingen, periodieke beoordelingscadans.
Monitoring van beveiligingsadviezen	✅ Abonneren op beveiligingsadviezen voor geïnstalleerde pakketten en geïntegreerde services.
Monitoring van beveiligingsadviezen	✅ Bewaken op nieuwe kwetsbaarheden, versie-updates die patching vereisen, beveiligingsincidenten van leveranciers die van invloed zijn op uw omgeving.
Doorlopende bewaking	✅ Bewaak de werking van het pakket via Event Monitoring voor onverwachte gegevenstoegangspatronen of API-aanroepanomalieën na de installatie.
Doorlopende bewaking	✅ Pakketten worden uitgevoerd met verhoogde machtigingen en vereisen doorlopende beveiligingsbewaking.

Anti-patronen

Waar te zoeken	Hoe slecht eruitziet
Beveiligingsbeoordeling vóór adoptie	⚠️ Installeer AppExchange pakketten uitsluitend op basis van functionaliteit zonder evaluatie van machtigingenbereik, gegevenstoegangspatronen, beveiligingspraktijken van leveranciers, beëindigingsprocedures.
Beveiligingsbeoordeling vóór adoptie	⚠️ Pakketten met buitensporige machtigingen zonder controle accepteren.
AppExchange machtigingenonderzoek	⚠️ Pakketten verlenen met het verzoek Alle gegevens wijzigen of Alle gegevens weergeven zonder zich af te vragen of functionaliteit dat bereik echt vereist.
AppExchange machtigingenonderzoek	⚠️ Hebben geen gedocumenteerde zakelijke rechtvaardiging voor verhoogde machtigingen.
Externe voorraad	⚠️ Hebben geen inventaris van afhankelijkheden van derden.
Externe voorraad	⚠️ Kan vragen van auditors over toegang tot externe gegevens niet beantwoorden.
Externe voorraad	⚠️ Hebben geen risicobeoordelingen of beoordelingsschema voor geïnstalleerde pakketten.
Monitoring van beveiligingsadviezen	⚠️ Controleer nooit op beveiligingsadviezen die van invloed zijn op geïnstalleerde pakketten of geïntegreerde services.
Monitoring van beveiligingsadviezen	⚠️ Blijf kwetsbaar voor bekende exploits maanden of jaren na openbaarmaking.
Doorlopende bewaking	⚠️ Installeer pakketten en bewaak nooit hun werking.
Doorlopende bewaking	⚠️ Kan niet detecteren of het pakket is gecompromitteerd of toegang begint te krijgen tot gegevens buiten het oorspronkelijke bereik.
Doorlopende bewaking	⚠️ Hebben geen Event Monitoring voor pakket-API-activiteit.