Trust - 监管合规和审计模式


了解更多关于 Well-Architected Trust → Compliance and regulatory Compliance

模式

何处查看好样的
基础设施合规性✅ 利用 Trust.salesforce.com 和 compliance.salesforce.com 提供的 Salesforce 平台认证(SOC 2 Type II、ISO 27001、FedRAMP for Government Cloud 产品、HIPAA、PCI DSS)作为基础设施和共享服务的合规证据。
自定义解决方案合规性✅ 设计自定义对象、Apex 代码、集成和配置，以保持平台认证提供的合规性。
自定义解决方案合规性✅ 文档架构合规性控制。
责任边界✅ 文档清晰划分：Salesforce 提供合规基础设施（物理、网络、平台安全性、多租户隔离）；架构师设计合规解决方案（数据分类、访问控制、加密配置、安全编码、数据处理合规）。
合规文档✅ 维护架构文档，显示自定义实施如何满足监管要求，映射到平台认证。
合规文档✅ 创建合规矩阵链接法规→平台控制→自定义控制。

反模式

何处查看什么不好的样子
基础设施合规性假设平台认证意味着您没有合规责任。
基础设施合规性未能为自定义解决方案实施适当的访问控制、加密或数据处理合规性。
基础设施合规性⚏ 平台认证减轻了合规性负担，但不会消除架构责任。
责任边界不清楚 Salesforce 责任的结束位置和客户责任的开始位置。
责任边界将自定义实施中的合规差距归咎于平台。
合规文档监管要求和实施的控制之间没有文档化的映射。
合规文档⚏ 在审计发现期间扰乱以收集证据。

模式

何处查看好样的
医疗保健 (HIPAA)✅ 为包含受保护健康信息 (PHI) 的所有字段启用 Shield Platform Encryption。
医疗保健 (HIPAA)✅ 实施现场审计跟踪，保留期满足 HIPAA 的记录保留要求（根据管理法规确认当前期间）。
医疗保健 (HIPAA)✅ PHI 仅在执行的业务关联协议 (BAA) 涵盖的 Salesforce 服务上存储和处理；解决方案设计和 PHI 数据流根据 BAA 的范围进行验证。
医疗保健 (HIPAA)✅ 配置 Event Monitoring，以检测未经授权的 PHI 访问模式。
医疗保健 (HIPAA)✅ 实施技术保障:访问控制、审计日志、传输安全性(TLS 1.2+、PHI 集成的基于证书的相互身份验证)。
金融服务（SOX、DORA、PCI DSS）✅ 通过权限集设计实施职责分离，防止单个用户同时创建和批准财务交易。
金融服务（SOX、DORA、PCI DSS）✅ 通过设置审计跟踪和自定义变更日志维护变更审计跟踪。
金融服务（SOX、DORA、PCI DSS）✅ 避免在 Salesforce 中存储完整的主要客户编号 (PAN) - 通过付款处理器对持卡人数据进行令牌化，以减少 PCI DSS 范围；如果必须存储 PAN，请使用 PCI DSS 控制下的加密自定义字段。
金融服务（SOX、DORA、PCI DSS）✅ 设计欺诈检测模式的交易监控。
金融服务（SOX、DORA、PCI DSS）✅ DORA 需要运营弹性，包括事件响应和第三方风险管理。
隐私条例（GDPR、CCPA、LGPD）✅ 对于 GDPR 和 LGPD，设计同意管理捕获粒度特定于目的的选择加入同意（市场营销、分析、个性化）；对于 CCPA/CPRA，提供个人信息销售或共享的选择退出机制。
隐私条例（GDPR、CCPA、LGPD）✅ 构建数据主体权利工作流（访问、更正、擦除、可移植性），在响应窗口中完成部署的管理法规集。
隐私条例（GDPR、CCPA、LGPD）✅ 实施数据保留自动化，在同意到期或法律依据结束时清除数据。
隐私条例（GDPR、CCPA、LGPD）✅ 每个数据处理活动的文件法律依据。
隐私条例（GDPR、CCPA、LGPD）✅ GDPR 需要书面说明理由、数据流映射、隐私影响评估。
政府 (FedRAMP)✅ 将 Salesforce Government Cloud 用于监管的政府工作负载。
政府 (FedRAMP)✅ 实施映射到 Salesforce 配置的 NIST 800-53 控制。
政府 (FedRAMP)✅ 通过路由到政府 SIEM 基础设施的事件监控，启用连续监控。
政府 (FedRAMP)✅ FedRAMP 需要通过持续监控进行持续授权，而不仅仅是初始认证。
多辖区✅ 将数据驻留要求映射到 Hyperforce 区域部署。
多辖区✅ 执行国际数据传输的标准合同条款或具有约束力的公司规则。
多辖区✅ 记录数据流图，显示出发地、中转地和居住地。
多辖区✅ 当单个组织内无法满足相互冲突的驻留要求时，考虑多组织架构。

反模式

何处查看什么不好的样子
医疗保健 (HIPAA)依赖策略将 PHI 存储在标准加密字段中，以防止未经授权的访问。
医疗保健 (HIPAA)没有字段审计跟踪或审计保留计划。
医疗保健 (HIPAA)在没有适当访问控制的情况下，在报表、列表视图或 Experience Cloud 中公开 PHI。
医疗保健 (HIPAA)允许基于短信的 MFA 进行 PHI 访问（易受 SIM 交换的影响）。
金融服务（SOX、PCI DSS）允许单个用户创建和批准财务交易（无职责分离）。
金融服务（SOX、PCI DSS）在没有加密或 PCI DSS 控制的标准 Salesforce 自定义字段中存储完整的主要客户编号 (PAN)。
金融服务（SOX、PCI DSS）没有用于欺诈检测的交易监控。
金融服务（SOX、PCI DSS）没有记录财务系统修改的变更审计跟踪。
隐私条例（GDPR、CCPA）将同意视为二进制的“是/否”，而不是粒度化的目的跟踪。
隐私条例（GDPR、CCPA）⚏ 通过法律团队手动处理数据主题请求需要几个月时间，并错过了部署的管理法规集的响应窗口。
隐私条例（GDPR、CCPA）数据处理活动没有成文的法律依据。
隐私条例（GDPR、CCPA）收集数据“以防万一”，没有记录的目的限制。
政府 (FedRAMP)对于需要 FedRAMP 合规的政府工作负载，使用标准 Salesforce 组织。
政府 (FedRAMP)没有连续的监控或 NIST 800-53 控制映射。
多辖区没有数据流映射来显示数据的传输和驻留位置。
多辖区假设单个全球组织满足所有区域数据驻留要求。
多辖区没有国际数据传输的法律依据文档。

模式

何处查看好样的
安全健康检查✅ 运行季度评估，将组织配置与 Salesforce 安全基准进行比较。
安全健康检查✅ 保持 80% 或更高的分数（非常好或非常好）。
安全健康检查✅ 记录异常，包括业务理由和低于基准的设置的补偿控制。
安全健康检查✅ 运行状况检查识别安全最佳实践的配置偏差。
事件监控✅ 启用 Event Monitoring，以捕获用户活动、API 调用、身份验证事件、数据访问模式的详细日志。
事件监控✅ 将事件日志文件路由到外部 SIEM，以进行超过本机保留限制的长期保留。
事件监控✅ 合规性通常需要多年的日志保留；请确认针对部署的管理法规的最低期限。
事务安全性✅ 实施事务安全性策略，实时评估事件，并阻止、要求 MFA 升级或通知策略违规。
事务安全性✅ 用于预防性控制，在发生违规之前停止违规（例如，阻止超出正常模式的批量数据导出，敏感字段访问需要逐步身份验证）。
自动合规性验证✅ 在 CI/CD 部署漏斗中实施合规性检查，验证部署不会削弱权限模型、禁用审计设置或引入不合规配置。
自动合规性验证✅ 中断未通过合规验证的部署 — 合规验证应该是部署网关，而不是部署后发现。
持续审计就绪✅ 设计持续审计准备，而不是时间点审计准备。
持续审计就绪合规是一种持续运营状态，需要持续的证据生成，而不是年度认证争夺。

反模式

何处查看什么不好的样子
安全健康检查仅在审核员请求时运行运行状况检查。
安全健康检查允许分数在 80% 以下浮动，无需调查。
安全健康检查对于低于基准的设置，没有记录的异常。
安全健康检查⚠ 永远不要补救已识别的风险。
事件监控在法规要求多年保留时，依赖本地保留限制作为合规证据。
事件监控没有外部 SIEM 路由。
事件监控允许本地 Event Monitoring 保留过期，并丢失审计证据。
事务安全性没有实时的预防性控制。
事务安全性仅依赖于事件后调查，而不是在发生之前阻止策略违反。
自动合规性验证部署漏斗中没有合规性检查。
自动合规性验证部署后发现生产中的违规。
自动合规性验证⚠ 允许部署削弱安全状况，无需审核。
持续审计就绪将合规性视为需要几个月的审计准备混乱的年度事件。
持续审计就绪没有持续的证据生成。
持续审计就绪在审核期间发现差距，如果补救为时已晚。

模式

何处查看好样的
设置审计跟踪✅ 通过 180 天的保留期监控管理配置更改（包含在所有版本中）。
设置审计跟踪✅ 定期审查未经授权的更改。
设置审计跟踪✅ 用于配置管理控制的合规性证据。
字段审计跟踪✅ 为需要监管记录保留的受限和机密字段启用。
字段审计跟踪✅ 配置保留以满足合规性要求（支持无限期保留）；根据部署的管理法规确认所需的期限。
字段审计跟踪✅ 需要 Shield。
Event Monitoring 长期保留✅ 将 Event Monitoring 日志路由到外部 SIEM，以进行超出本机保留限制的保留。
Event Monitoring 长期保留✅ 在法规要求保留多年日志时，需要合规证据。
Event Monitoring 长期保留✅ 为跨系统调查配置与企业安全遥测的相关性。
事务安全性✅ 对用户操作实施基于策略的实时评估（无保留、触发事件）。
事务安全性✅ 用于需要立即响应的预防性控制（例如，阻止禁止的操作，需要逐步身份验证，触发事件响应工作流）。
事务安全性✅ 需要 Shield 许可证。
自定义应用程序日志✅ 为平台审计跟踪未捕获的安全相关应用程序事件实施自定义 Apex 日志记录：业务逻辑授权决策、可疑输入模式、速率限制实施、自定义身份验证事件。
日志完整性✅ 将审计日志路由到攻击者无法修改的不可变外部存储，即使具有 Salesforce 管理访问权限。
日志完整性✅ 法医证据必须经过篡改,以支持调查和潜在的法律程序。

反模式

何处查看什么不好的样子
设置审计跟踪切勿查看设置审计跟踪，了解未经授权的管理更改。
设置审计跟踪在证据过期（180 天保留）数月后发现恶意配置更改。
字段审计跟踪对于受监管记录限制的数据，没有字段审计跟踪。
字段审计跟踪配置的保留期短于管理法规要求的部署时间。
Event Monitoring 长期保留仅依赖本地 Salesforce 保留窗口作为合规证据。
Event Monitoring 长期保留当日志已经过期时，在审计准备期间发现差距。
Event Monitoring 长期保留与跨系统调查的企业安全遥测没有关联。
事务安全性没有针对高风险操作的实时策略评估。
事务安全性⚠ 仅在发生几天或几周后通过手动日志审查发现策略违规。
自定义应用程序日志没有自定义业务逻辑授权决策或安全相关应用程序事件的日志。
自定义应用程序日志无法调查授权失败或可疑模式，因为不存在证据。
日志完整性仅在管理员可以修改或删除的 Salesforce 中存储审计日志。
日志完整性没有不可变的外部副本进行取证保存。
日志完整性失去法律程序的监管链。

模式

何处查看好样的
Hyperforce 区域部署✅ 在组织配置期间选择适当的 Hyperforce 区域，以满足数据驻留合规性。
Hyperforce 区域部署Hyperforce 提供区域部署选项，使数据驻留符合要求数据保持在特定地理边界内的法规。
数据流映射✅ 记录数据流图，显示数据的来源、经过（集成中间件、外部服务）和驻留（存储区域）。
数据流映射✅ GDPR 第 30 条处理活动记录必填。
国际转移✅ 在 GDPR 和类似法规要求的情况下，实施国际数据传输的标准合同条款或具有约束力的公司规则。
国际转移✅ 每次跨境转移的文件法律依据。
适用于冲突需求的多组织✅ 在跨多个司法管辖区运营时，考虑多组织架构，这些司法管辖区的居住要求相互冲突，无法在具有 Hyperforce 区域部署的单个组织中满足。
适用于冲突需求的多组织✅ 权衡:多组织提供了最强的数据隔离性,但增加了操作复杂性、许可成本、集成要求。
多组织治理✅ 对于多组织架构，通过共享配置即代码存储库、跨组织监控、统一身份管理，在组织之间保持一致的安全基线。
多组织治理✅ 多组织提供了最强的隔离性，但增加了治理表面积。

反模式

何处查看什么不好的样子
Hyperforce 区域部署为全局组织选择默认美国地区，而不评估数据驻留要求。
Hyperforce 区域部署通过不当的区域选择，违反 GDPR、LGPD 或区域数据主权法律。
数据流映射没有记录的数据流图。
数据流映射无法回答审计员关于数据传输或驻留位置的问题。
数据流映射没有 GDPR 第 30 条处理活动的记录。
国际转移无需标准合同条款、具有约束力的公司规则或成文的法律依据即可在国际上传输数据。
国际转移违反 GDPR 转移限制。
适用于冲突需求的多组织将冲突的数据驻留要求强制纳入导致违反合规性的单个组织。
适用于冲突需求的多组织或者，当具有 Hyperforce 区域部署的单个组织满足要求时，实施多组织架构（不必要的复杂性）。
多组织治理跨多组织环境的安全基线不一致。
多组织治理每个组织实施安全性的方式不同。
多组织治理无法在整个组织中展示一致的合规状况。

模式

何处查看好样的
安全健康检查季度✅ 每季度运行一次健康检查，将组织配置与 Salesforce 安全基准（密码策略、会话设置、网络访问、功能配置）进行比较。
安全健康检查季度✅ 目标得分为 80% 或更高（非常好或优秀）。
安全健康检查季度✅ 记录例外情况，说明业务理由，并对低于基准的设置进行补偿控制。
Event Monitoring Analytics✅ 设计仪表板，揭示需要调查的行为模式：异常数据访问量、非工作时间管理活动、API 消耗异常。
Event Monitoring Analytics✅ 行为分析检测基于签名的检测错过的威胁。
自动漂移检测✅ 在漏斗中实施自动化合规测试，检测配置偏离批准的基准。
自动漂移检测✅ 配置偏离安全标准时报警。
连续态势监控✅ 在没有主动管理的情况下，安全状况会随着配置偏差、权限累积、新漏洞的出现而下降。
连续态势监控✅ 设计用于持续监控，而非时间点评估。

反模式

何处查看什么不好的样子
安全健康检查季度仅在审核员请求时运行运行状况检查。
安全健康检查季度允许分数在 80% 以下而不进行补救。
安全健康检查季度没有随时间跟踪姿势趋势。
Event Monitoring Analytics启用 Event Monitoring，但没有仪表板、没有警报、没有异常调查。
Event Monitoring Analytics将审计日志视为合规性复选框，而不是安全遥测。
自动漂移检测没有自动检测配置偏离批准的基准。
自动漂移检测仅在更改后几个月的手动审计期间发现配置弱化。
连续态势监控⚠ 将安全性视为时间点认证，而不是连续操作状态。
连续态势监控⚏ 为年度审计做准备，因为不存在持续监控。

模式

何处查看好样的
安全审查时间✅ 在重大构建投资之前，在建议书阶段将安全审查集成到架构审查委员会 (ARB) 中。
安全审查时间✅ 开发结束时的安全审查已经太晚，无法影响根本的设计决策。
架构决策记录✅ 记录 ADR 中的安全架构决策，包括安全要求、评估的替代方案、接受的权衡、剩余风险、补偿控制、监控方法。
架构决策记录✅ ADR 提供审计证据，支持 Knowledge 转移，并通过记录决策原因支持架构发展。

反模式

何处查看什么不好的样子
安全审查时间仅在开发完成后执行安全审查。
安全审查时间在构建基本完成时，发现需要重新架构的基本安全缺陷。
安全审查时间⚏ 安全在事后变得昂贵。
架构决策记录没有安全架构决策的文档。
架构决策记录无法解释为何选择某些控制措施，评估了哪些替代方案，接受了哪些剩余风险。
架构决策记录缺少审计证据和Knowledge转移。

模式

何处查看好样的
采用前安全评估✅ 审查 AppExchange 安全审查状态（范围、上次审查日期 — 安全审查过期）、评估权限要求（软件包是否需要更多访问权限而不是功能证明？）、评估数据处理实践（数据流在哪里、外部保留什么、数据发送到第三方服务？）、审查供应商事件响应功能和通知程序，了解退出程序和数据可移植性。
AppExchange 权限审查✅ 请求修改所有数据、查看所有数据或敏感权限的软件包需要额外检查。
AppExchange 权限审查✅ 记录提升权限的业务理由。
AppExchange 权限审查✅ 评估软件包功能是否真正需要授予范围。
第三方库存✅ 通过风险评级、记录的风险接受决策、定期审查节奏，维护第三方依赖性（AppExchange 软件包、集成服务、中间件）的清单。
安全咨询监控✅ 订阅已安装软件包和集成服务的安全建议。
安全咨询监控✅ 监控新漏洞、需要补丁的版本更新、影响环境的供应商安全事件。
持续监控✅ 通过 Event Monitoring 监控软件包行为，了解安装后意外的数据访问模式或 API 调用异常。
持续监控✅ 软件包以提升的权限运行，并需要持续的安全监控。

反模式

何处查看什么不好的样子
采用前安全评估仅根据功能安装 AppExchange 软件包，而不评估权限范围、数据访问模式、供应商安全实践、退出程序。
采用前安全评估接受权限过大的软件包，无需仔细检查。
AppExchange 权限审查授予请求修改所有数据或查看所有数据的软件包，而不怀疑功能是否真正需要该范围。
AppExchange 权限审查⚏ 没有提升权限的书面业务理由。
第三方库存没有第三方依赖性的清单。
第三方库存无法回答审计员关于第三方数据访问的问题。
第三方库存⚏ 没有已安装软件包的风险评级或审查计划。
安全咨询监控不要监控影响已安装软件包或集成服务的安全建议。
安全咨询监控在披露数月或数年后，仍容易受到已知漏洞的攻击。
持续监控安装软件包，不要监视它们的行为。
持续监控无法检测软件包是否被盗用或开始访问超出原始范围的数据。
持续监控没有适用于软件包 API 活动的 Event Monitoring。