Trust - 法規規範與稽核模式


深入瞭解良好的 信任 → 合規性與法規符合度

模式

要尋找的位置良好的外觀
基礎結構合規性✅ 利用可在 Trust.salesforce.com 和 compliance.salesforce.com 取得的 Salesforce 平台認證 (SOC 2 類型 II、ISO 27001、FedRAMP for Government Cloud 產品、HIPAA、PCI DSS),以取得基礎結構與共用服務合規性證明。
自訂解決方案合規性✅ 設計自訂物件、Apex 程式碼、整合和組態,以維持平台認證提供的合規性狀態。
自訂解決方案合規性✅ 文件結構合規性控制。
責任邊界✅ 文件清楚描述:Salesforce 提供相容的基礎結構 (實體、網路、平台安全性、多重租戶隔離);結構設計師設計相容的解決方案 (資料分類、存取控制、加密組態、安全編碼、資料處理合規性)。
合規性文件✅ 維護結構文件,顯示自訂實作如何滿足法規需求,並對應至平台認證。
合規性文件✅ 建立合規性矩陣連結法規 → 平台控制 → 自訂控制。

反模式

要尋找的位置看起來怎麼壞
基礎結構合規性⚡️假設平台認證表示您沒有合規責任。
基礎結構合規性⚡️ 無法為自訂解決方案實作適當的存取控制、加密或資料處理合規性。
基礎結構合規性⚡️ 平台認證會減少合規性負擔,但不會去除結構責任。
責任邊界⚡️ 不清楚瞭解 Salesforce 責任的結束位置和客戶責任的開始位置。
責任邊界⚡️ 將自訂實作中的合規性缺口歸咎於平台。
合規性文件⚡️ 在法規需求與實作的控制項之間沒有記錄的對應。
合規性文件⚡️捲動以在稽核探索期間收集證據。

模式

要尋找的位置良好的外觀
醫療照護 (HIPAA)✅ 針對包含受保護健康資訊 (PHI) 的所有欄位啟用 Shield Platform Encryption。
醫療照護 (HIPAA)✅ 實作「欄位稽核追蹤」,保留符合 HIPAA 的記錄保存需求 (根據管理法規確認目前期間)。
醫療照護 (HIPAA)✅ PHI 僅會儲存並處理在已執行業務合作夥伴協議 (BAA) 涵蓋的 Salesforce 服務上;解決方案設計和 PHI 資料流程會根據 BAA 的範圍進行驗證。
醫療照護 (HIPAA)✅ 設定「事件監視」以偵測未經授權的 PHI 存取模式。
醫療照護 (HIPAA)✅ 實作技術保護措施:存取控制、稽核記錄、傳輸安全性 (適用於 PHI 整合的 TLS 1.2 + 以憑證為基礎的共同驗證)。
金融服務 (SOX、DORA、PCI DSS)✅ 透過權限集設計實作職務分隔,以防止單一使用者建立和批准財務交易。
金融服務 (SOX、DORA、PCI DSS)✅ 透過「設定稽核追蹤」和自訂變更記錄來維護變更稽核追蹤。
金融服務 (SOX、DORA、PCI DSS)✅ 避免將完整的主要帳戶號碼 (PAN) 儲存在 Salesforce 中—透過付款處理器將持卡人資料標記化,以減少 PCI DSS 範圍;若必須儲存 PAN,請使用 PCI DSS 控制項下的「加密自訂欄位」。
金融服務 (SOX、DORA、PCI DSS)✅ 針對詐騙偵測模式設計交易監視。
金融服務 (SOX、DORA、PCI DSS)✅ DORA 需要營運彈性,包括事件回應和第三方風險管理。
隱私權法規 (GDPR、CCPA、LGPD)✅ 針對 GDPR 和 LGPD,設計同意管理,以收集細微且用途特定的選擇加入同意 (行銷、分析、個人化);針對 CCPA/CPRA,提供銷售或共用個人資訊的選擇退出機制。
隱私權法規 (GDPR、CCPA、LGPD)✅ 建立資料主題權利工作流程 (存取、修正、刪除、可攜性),以在回應視窗內完成部署的管理法規集。
隱私權法規 (GDPR、CCPA、LGPD)✅ 實作資料保留自動化,在同意到期或法律基礎結束時清除資料。
隱私權法規 (GDPR、CCPA、LGPD)✅ 記錄每個資料處理活動的合法基礎。
隱私權法規 (GDPR、CCPA、LGPD)✅ GDPR 需要有記錄的理由、資料流程對應、隱私權影響評估。
政府 (FedRAMP)✅ 將 Salesforce Government Cloud 用於受監管的政府工作量。
政府 (FedRAMP)✅ 實作對應至 Salesforce 組態的 NIST 800-53 控制項。
政府 (FedRAMP)✅ 透過路由至政府 SIEM 基礎結構的「事件監視」來啟用持續監視。
政府 (FedRAMP)✅ FedRAMP 需要透過持續監視進行持續授權,而不只是初始認證。
多管轄✅ 將資料落地需求對應至 Hyperforce 區域部署。
多管轄✅ 實作標準契約子句或具有約束力的公司規則以進行國際資料傳輸。
多管轄✅ 顯示來源、運輸和居住位置的文件資料流程地圖。
多管轄✅ 當單一組織內無法滿足衝突的落地需求時,請考量多組織結構。

反模式

要尋找的位置看起來怎麼壞
醫療照護 (HIPAA)⚡️ 依據防止未經授權存取的原則,將 PHI 儲存在標準加密欄位中。
醫療照護 (HIPAA)⚡️ 沒有「欄位稽核追蹤」或稽核保留計畫。
醫療照護 (HIPAA)⚡️ 在報告、清單檢視或 Experience Cloud 中公開 PHI,而無須適當的存取控制。
醫療照護 (HIPAA)⚡️ 針對 PHI 存取權允許 SMS 型 MFA (容易受到 SIM 交換影響)。
金融服務 (SOX、PCI DSS)⚡️ 允許單一使用者建立和批准財務交易 (無職責分隔)。
金融服務 (SOX、PCI DSS)⚡️ 將完整的主要帳戶號碼 (PAN) 儲存在標準 Salesforce 自訂欄位中,不需要加密或 PCI DSS 控制。
金融服務 (SOX、PCI DSS)⚡️ 沒有交易監視以進行詐騙偵測。
金融服務 (SOX、PCI DSS)⚡️ 沒有財務系統修改的記錄變更稽核追蹤。
隱私權法規 (GDPR、CCPA)⚡️ 將同意視為二進位是/否,而非細微的用途追蹤。
隱私權法規 (GDPR、CCPA)⚡️ 透過法律小組手動處理資料主題要求,需要花費數月的時間,因為缺少部署的監管法規設定回應時段。
隱私權法規 (GDPR、CCPA)⚡️ 沒有資料處理活動的已記錄合法基礎。
隱私權法規 (GDPR、CCPA)⚡️ 收集「僅在個案中」的資料,而無須記錄用途限制。
政府 (FedRAMP)⚡️ 針對需要 FedRAMP 規範的政府工作量,使用標準 Salesforce 組織。
政府 (FedRAMP)⚡️ 沒有連續監視或 NIST 800-53 控制對應。
多管轄⚡️ 沒有資料流程對應顯示資料傳輸和位於何處。
多管轄⚡️假設單一全域組織符合所有區域資料落地需求。
多管轄⚡️ 沒有國際資料傳輸的法律基礎文件。

模式

要尋找的位置良好的外觀
安全性健康檢查✅ 執行每季評估,將組織組態與 Salesforce 安全性基準進行比較。
安全性健康檢查✅ 維持 80% 或更高分數 (非常好或極好色帶)。
安全性健康檢查✅ 針對低於基準的設定,記錄具有業務理由和補償控制項的例外情況。
安全性健康檢查✅ 健康檢查會識別組態漂移自安全性最佳作法。
事件監視✅ 啟用「事件監視」以針對使用者活動、API 呼叫、驗證事件和資料存取模式,來儲存詳細記錄。
事件監視✅ 將事件記錄檔路由至外部 SIEM,以長期保留超過原生保留限制。
事件監視✅ 規範通常需要多年的記錄保留;根據部署的法規,確認最短期間。
交易安全性✅ 實作「交易安全性」原則,以即時評估事件,並可封鎖、要求 MFA 增強,或通知違反原則。
交易安全性✅ 用於在違規發生前停止違規的預防控制 (例如,封鎖大量資料匯出超過正常模式,需要敏感欄位存取的逐步驗證)。
自動合規性驗證✅ 在 CI/CD 部署管道中實作合規性檢查,驗證部署不會降低權限模型、停用稽核設定或導入不合規組態。
自動合規性驗證✅ 中斷合規性驗證失敗的部署—合規性驗證應是部署門,而非部署後探索。
持續稽核整備✅ 針對持續稽核整備而非時間點稽核準備而設計。
持續稽核整備✅ 規範是需要持續產生證據的持續營運狀態,而非年度認證打亂。

反模式

要尋找的位置看起來怎麼壞
安全性健康檢查⚡️ 僅在稽核員要求時執行健康檢查。
安全性健康檢查⚡️ 允許評分在未經調查的情況下漂移低於 80%。
安全性健康檢查⚡️ 對於低於基準的設定沒有記錄的例外。
安全性健康檢查⚡️ 請勿補救已識別的風險。
事件監視⚡️ 當法規需要多年保留時,請依賴原生保留限制來提供合規性證據。
事件監視⚡️ 沒有外部 SIEM 路由。
事件監視⚡️ 允許原生「事件監視」保留到期,失去稽核證據。
交易安全性⚡️ 沒有即時預防控制項。
交易安全性⚡️ 僅依賴事件後調查,而非在發生前封鎖違反原則。
自動合規性驗證⚡️ 在部署管道中沒有合規性檢查。
自動合規性驗證⚡️ 探索部署後生產環境中的合規性違規。
自動合規性驗證⚡️ 允許在未檢閱的情況下降低安全性狀態的部署。
持續稽核整備⚡️ 將合規性視為年度事件,需要數月的稽核準備流失。
持續稽核整備⚡️ 沒有連續的證據產生。
持續稽核整備⚡️ 在稽核期間發現過晚以修復的差異。

模式

要尋找的位置良好的外觀
設定稽核追蹤✅ 使用 180 天保留 (包含在所有版本中) 監視管理組態變更。
設定稽核追蹤✅ 定期檢閱未經授權的變更。
設定稽核追蹤✅ 用於組態管理控制項的合規性證明。
欄位稽核追蹤✅ 針對需要監管記錄的「受限制」和「機密」欄位啟用。
欄位稽核追蹤✅ 設定保留以符合規範需求 (支援無限保留);根據部署的管理法規確認必要期間。
欄位稽核追蹤✅ 需要 Shield。
事件監視長期保留✅ 將「事件監視」記錄路由至外部 SIEM,以保留超出原生保留限制。
事件監視長期保留✅ 當法規要求多年保留記錄時,規範證明需要此項目。
事件監視長期保留✅ 設定跨系統調查的企業安全性遠端測量關聯。
交易安全性✅ 實作以即時原則為基礎的使用者動作評估 (無保留、事件上的觸發)。
交易安全性✅ 用於需要立即回應的預防控制 (例如封鎖禁止的動作、需要逐步驗證、觸發事件回應工作流程)。
交易安全性✅ 需要 Shield 授權。
自訂應用程式記錄✅ 實作自訂 Apex 記錄,以針對非由平台稽核追蹤所抓取的安全性相關應用程式事件:業務邏輯授權決策、可疑的輸入模式、速率限制強制執行、自訂驗證事件。
記錄完整性✅ 將稽核記錄路由至攻擊者即使擁有管理 Salesforce 存取權,也無法修改的固定的外部儲存空間。
記錄完整性✅ 鑑識證據必須有偽造證據,才能支援調查和可能的訴訟程序。

反模式

要尋找的位置看起來怎麼壞
設定稽核追蹤⚡️ 請勿檢閱設定稽核追蹤是否有未經授權的管理變更。
設定稽核追蹤⚡️ 探索在證據到期後發生的惡意組態變更 (保留 180 天)。
欄位稽核追蹤⚡️ 沒有受監管記錄管理的受限制資料欄位稽核追蹤。
欄位稽核追蹤⚡️ 設定保留比規範法規所需的時間短。
事件監視長期保留⚡️ 僅依賴原生 Salesforce 保留時間範圍來取得合規性證據。
事件監視長期保留⚡️ 當記錄已到期時,探索稽核準備期間的間隙。
事件監視長期保留⚡️ 與跨系統調查的企業安全性遠端測量沒有關聯。
交易安全性⚡️ 沒有高風險動作的即時原則評估。
交易安全性⚡️ 僅透過發生後的手動記錄檢閱天數或週數來發現原則違規。
自訂應用程式記錄⚡️ 沒有自訂業務邏輯授權決策或與安全性相關的應用程式事件的記錄。
自訂應用程式記錄⚡️ 無法調查授權失敗或可疑模式,因為沒有證據存在。
記錄完整性⚡️ 僅將稽核記錄儲存在 Salesforce 中,管理員可在其中修改或刪除記錄。
記錄完整性⚡️ 沒有可固定外部複本以供鑑識保留。
記錄完整性⚡️ 遺失法律訴訟的監管鏈。

模式

要尋找的位置良好的外觀
Hyperforce 區域部署✅ 在組織佈建期間選取適當的 Hyperforce 區域,以符合資料落地合規性。
Hyperforce 區域部署✅ Hyperforce 提供區域部署選項,以針對要求資料保持在特定地理邊界內的法規,啟用資料落地合規性。
資料流程對應✅ 文件資料流程對應,顯示資料的來源、傳輸 (整合中介軟體、外部服務) 和所在位置 (儲存區域)。
資料流程對應✅ 處理活動的 GDPR 第 30 條記錄所需。
國際運送✅ 在 GDPR 及類似法規要求的情況下,針對國際資料傳輸實作標準合約子句或具有約束力的公司規則。
國際運送✅ 記錄每次跨境轉移的法律基礎。
適用於衝突需求的多組織✅ 透過 Hyperforce 區域部署,在跨多個管轄區作業時,請考量多組織結構,其中具有無法在單一組織內滿足的落地需求。
適用於衝突需求的多組織✅ 權衡:多組織提供最強大的資料隔離,但會增加營運複雜度、授權成本和整合需求。
多組織管理✅ 針對多組織結構,透過共用組態為程式碼存放庫、跨組織監視和統一身分管理,在組織之間維護一致的安全性基準。
多組織管理✅ 多組織提供最強大的隔離,但會乘以監管面積。

反模式

要尋找的位置看起來怎麼壞
Hyperforce 區域部署⚡️ 為全域組織選取預設美國地區,而不評估資料落地需求。
Hyperforce 區域部署⚡️ 透過選取不當的區域,違反 GDPR、LGPD 或區域資料主權法。
資料流程對應⚡️ 沒有已記錄的資料流程對應。
資料流程對應⚡️ 無法回答有關資料傳輸或所在位置的稽核員問題。
資料流程對應⚡️ 沒有處理活動的「GDPR 條例 30」記錄。
國際運送⚡️ 在國際上傳輸資料,不含標準合約條款、具有約束力的公司規則或已記錄的法律基礎。
國際運送⚡️ 違反 GDPR 傳輸限制。
適用於衝突需求的多組織⚡️ 將衝突的資料落地需求強制放入單一組織,導致違規。
適用於衝突需求的多組織⚡️ 或者,在具有 Hyperforce 區域部署的單一組織符合需求時實作多組織結構 (不必要的複雜性)。
多組織管理⚡️ 在多組織環境中,安全性基準不一致。
多組織管理⚡️ 每個組織的安全性實作方式都不同。
多組織管理⚡️ 無法在整個組織中示範一致的合規性狀況。

模式

要尋找的位置良好的外觀
每季安全性健康檢查✅ 每季執行「健康檢查」,將組織組態與 Salesforce 安全性基準 (密碼原則、工作階段設定、網路存取、功能組態) 進行比較。
每季安全性健康檢查✅ 目標分數為 80% 或更高 (極好或極好色帶)。
每季安全性健康檢查✅ 針對低於基準的設定,記錄具有業務理由和補償控制項的例外情況。
事件監視分析✅ 設計顯示面板以顯示需要調查的行為模式:異常的資料存取量、逾時的管理活動、API 耗用異常。
事件監視分析✅ 行為分析會偵測以簽章為基礎的偵測忽略的威脅。
自動漂移偵測✅ 在銷售管道中實作自動合規性測試,偵測從已批准基準的組態漂移。
自動漂移偵測✅ 當組態與安全性標準不同時警示。
持續動態監視✅ 安全性狀態會在未啟用管理的情況下降低,因為組態漂移、權限累積,新漏洞出現。
持續動態監視✅ 專為持續監視而非時間點評估所設計。

反模式

要尋找的位置看起來怎麼壞
每季安全性健康檢查⚡️ 僅在稽核員要求時執行健康檢查。
每季安全性健康檢查⚡️ 允許分數在沒有補救措施的情況下漂移低於 80%。
每季安全性健康檢查⚡️ 不會追蹤一段時間內的態勢趨勢。
事件監視分析⚡️ 啟用「事件監視」,但沒有顯示面板、無警示,無調查異常。
事件監視分析⚡️ 將稽核記錄視為合規性核取方塊,而非安全性遠端測量。
自動漂移偵測⚡️ 沒有從已批准基準自動偵測組態漂移。
自動漂移偵測⚡️ 僅在變更後的數月手動稽核期間發現組態弱化。
持續動態監視⚡️ 將安全性視為時間點驗證,而非連續營運狀態。
持續動態監視⚡️ 捲動以準備年度稽核,因為不存在連續監視。

模式

要尋找的位置良好的外觀
安全性檢閱時間✅ 在重大建構投資之前,在提案階段將安全性審查整合至結構檢閱委員會 (ARB)。
安全性檢閱時間✅ 開發結束時的安全性檢閱太晚,無法影響基本設計決策。
結構決策記錄✅ 記錄 ADR 中的安全性結構決策,這些決策會捕捉安全性需求、評估替代項目、接受權衡、殘差風險、補償控制項、監視方法。
結構決策記錄✅ ADR 提供稽核證據、啟用 Knowledge 轉移,並透過記錄決策的原因來支援結構演變。

反模式

要尋找的位置看起來怎麼壞
安全性檢閱時間⚡️ 僅在開發完成後執行安全性檢閱。
安全性檢閱時間⚡️ 探索建立基本完成時需要重新結構的基本安全性缺口。
安全性檢閱時間⚡️ 安全性會在考量後變得昂貴。
結構決策記錄⚡️ 沒有安全性結構決策的文件。
結構決策記錄⚡️ 無法說明為何選擇特定控制項、評估哪些替代項目,以及接受哪些殘差風險。
結構決策記錄⚡️ 缺少稽核證據和 Knowledge 轉移。

模式

要尋找的位置良好的外觀
採用前安全性評估✅ 檢閱 AppExchange 安全性檢閱狀態 (範圍、上次檢閱日期—安全性檢閱到期)、評估權限需求 (封裝是否需要的存取權比功能正確需要更多?)、評估資料處理作法 (資料流程的位置、外部保留的內容、傳送至第三方服務的資料?),檢閱廠商事件回應功能和通知程序,瞭解結束程序和資料可攜性。
AppExchange 權限檢查✅ 要求「修改所有資料」、「檢視所有資料」或敏感權限的封裝需要額外檢查。
AppExchange 權限檢查✅ 記錄增加權限的業務理由。
AppExchange 權限檢查✅ 評估封裝功能是否真的需要授與範圍。
第三方庫存✅ 維護第三方相依性的清點 (AppExchange 封裝、整合服務、中介軟體),其中包含風險等級、記錄的風險接受決策、定期審查步調。
安全性顧問監視✅ 訂閱已安裝封裝和整合服務的安全性建議。
安全性顧問監視✅ 監視新漏洞、需要修補程式的版本更新、影響您環境的廠商安全性事件。
持續監控✅ 透過「事件監視」監視封裝行為,以瞭解安裝後非預期的資料存取模式或 API 呼叫異常。
持續監控✅ 封裝的執行權限提高,且需要持續監視安全性。

反模式

要尋找的位置看起來怎麼壞
採用前安全性評估⚡️ 僅根據功能安裝 AppExchange 封裝,而不評估權限範圍、資料存取模式、廠商安全性作法和結束程序。
採用前安全性評估⚡️ 無須檢查即可接受具有過多權限的封裝。
AppExchange 權限檢查⚡️ 授與要求「修改所有資料」或「檢視所有資料」的封裝,而無須疑問功能是否真正需要該範圍。
AppExchange 權限檢查⚡️ 沒有增加權限的商業理由。
第三方庫存⚡️ 沒有第三方相依性的庫存。
第三方庫存⚡️ 無法回答有關協力廠商資料存取的稽核員問題。
第三方庫存⚡️ 沒有已安裝封裝的風險評分或檢閱排程。
安全性顧問監視⚡️ 請勿監視會影響已安裝封裝或整合服務的安全性建議。
安全性顧問監視⚡️ 揭露後幾個月或多年仍容易受到已知利用。
持續監控⚡️ 安裝封裝,絕不監視其行為。
持續監控⚡️ 無法偵測封裝是否遭到入侵或是否開始存取原始範圍以外的資料。
持續監控⚡️ 沒有封裝 API 活動的「事件監視」。