これらの誤解は単なる間違いにとどまらず、金銭面でも、そして企業の評判の面でも、きわめて大きな代償を伴います。Salesforceのセキュリティに対して間違った思い込みを抱いている企業は、データ漏洩やコンプライアンス違反、さらには内部不正といった脅威に対して、日常的に自社を無防備な状態にさらしてしまっているのです。
ここからは、Salesforceのセキュリティに関して特によくある7つの誤解を取り上げ、それらが生まれる背景と、その誤解から脱却するために今すぐ取り組むべき対策について解説します。
誤解 1：「Salesforceは安全だから、私たちのデータも安全だ」
Salesforce社は、インフラの堅牢化、通信の暗号化、侵入テスト、さらにはISO 27001やSOC 2といった認証の取得など、プラットフォームレベルのセキュリティに巨額の投資を行っています。この誤解が根強く残っているのは、同社の取り組みが真に優れているがゆえに、「プラットフォーム自体の強固なセキュリティ」と「その中に保存されている自社データの安全性」を、ついつい混同してしまいがちだからです。
しかし、Salesforceは「責任共有モデル」に基づいて運用されています。Salesforce社が守るのはあくまでプラットフォームであり、それ以外のすべてはユーザー企業側の責任となります。つまり、プロファイルや権限、共有ルールの正しい設定、データのエクスポート権限の管理、そしてユーザーが組織内で実際にどのような操作を行っているかの監査などは、すべて自社で行わなければなりません。プロファイルの設定ミスが一つあったり、連携ユーザーに過剰な権限が与えられていたりすれば、Salesforce自体のインフラがいかに堅牢であろうとも、機密データは簡単に外部へ漏洩してしまうのです。
私たちにできる対策とは？まずは「責任共有モデル」において、自社がどこに責任を持つべきなのか、その境界線を正しく理解することから始めましょう。そして、その領域が実際にしっかりと保護されているかを確認してください。具体的には、Salesforce内を行き交うすべての要素を安全に保つ必要があります。ユーザーがアップロードするファイル、クリックするリンク、組織にアクセスするアイデンティティ（認証情報）、そしてデータを処理するAIのワークフローにいたるまで、すべてが対象です。WithSecure Cloud Protection for Salesforceは、まさにこの領域をカバーするために専用設計されたソリューションです。既存の設定に影響を与えることなく、リアルタイムでこれらすべてを保護します。
誤解 2：「管理者がアクセス権を制御しているから、誰が何を見られるかは把握できている」
多くの企業は、システム管理者がプロファイルやロールを管理しているため、アクセス権は完全にコントロールできていると思い込んでいます。しかし現実には、Salesforceの共有モデルはエンタープライズ向けソフトウェアの中でも屈指の複雑さを誇ります。プロファイル、権限セット、ロール階層、共有ルール、手動共有、そしてApexによる共有管理などが複雑に絡み合っているため、経験豊富な管理者であっても、その挙動を直感的に把握するのは容易ではありません。
この誤解が生まれる原因は、アクセス権を制御する「仕組み」自体は確かに存在しているからです。問題なのは、それらを包括的に監査することが極めて難しい点にあります。一見すると制限が厳しそうに見えるプロファイルを持つユーザーであっても、共有ルールやロール階層が加味された結果、意図したよりもはるかに多くのデータにアクセスできてしまっているケースは珍しくありません。
私たちにできる対策とは？ Salesforceの責任共有モデルを完全にマッピングするには入念な手動監査が必要ですが、最もリスクが高い要因の一つは、「必要以上の権限が蓄積されてしまったアイデンティティ（アカウント）」です。Cloud Protection for Salesforceの「アイデンティティ保護」機能は、ユーザーアカウントだけでなく、システム連携用などの非人間アカウントも含め、「すべてのデータの変更」や「すべてのデータの参照」といった高リスクな権限を持つすべてのアイデンティティを自動で検知します。管理者は単一のダッシュボード上でこれらのリスクを即座に把握し、Salesforceの画面から離れることなく、ワンクリックで「アカウントの凍結」「パスワードのリセット」「権限の編集」といったアクションを実行できます。
誤解 3：「内部脅威を心配する必要はない。うちのチームは信頼できる」
内部脅威は、必ずしも悪意を持った人物によって引き起こされるわけではありません。自らのロール（役割）をはるかに超えた権限がいつの間にか蓄積されてしまっている外部委託業者、退職後もシステム連携用の資格情報がアクティブなまま残っている元従業員、あるいは、外部でのデータ漏洩によってログイン情報が流出し、気づかないうちに組織への不正アクセスを許してしまっているユーザーなど――これらはすべて内部リスクのシナリオであり、CRM環境においては外部からの攻撃よりもはるかに頻繁に発生しています。
この誤解が根強く残っているのは、自社の従業員を潜在的なリスクとして扱うことに心理的な抵抗があるためであり、また、Salesforceのセキュリティに関する議論の多くが「外部からの攻撃者」にばかり焦点を当てているからです。
私たちにできる対策とは？ Cloud Protection for Salesforceは、組織内におけるコンテンツのアクティビティをセキュリティチームが完全に可視化できるようにします。「どのファイルが」「誰によってアップロードされ」「どれくらいの頻度でコンテンツにアクセスされ」「どのIPアドレスから実行されたか」を詳細に把握することが可能です。さらに、過剰な権限を持つアカウントを特定し、外部のデータ漏洩でログイン情報が流出してしまっているユーザーをあぶり出す「Identity Protection（アイデンティティ保護）」機能と組み合わせることで、チーム全員を容疑者扱いすることなく、アカウントに起因する内部リスクを絞り込み、具体的な対策を講じるための視覚化された情報をセキュリティチームに提供します。
誤解 4：「バックアップを取っているから、何か問題が起きてもいつでも復元できる」
Salesforceの標準プランには、多くの企業が求める復旧要件を満たすようなバックアップソリューションは含まれていません。Salesforce社が買収した「Own（旧OwnBackup）」による有償のオプションは存在しますが、これには別途ライセンスが必要です。また、仮に導入していたとしても、データの復元は手動で行う時間のかかるプロセスであり、特定の時点への復元を簡単に行えるわけではありません。
この誤解は、すべてのエンタープライズ向けSaaSプラットフォームには強力なバックアップが標準搭載されているはずだ、という思い込みから生まれています。しかし、Salesforceに関して言えば、その思い込みは完全に間違いです。
私たちにできる対策とは？ ずは、Salesforceの週次データエクスポートだけに頼るのではなく、毎日自動でバックアップが行われ、きめ細かな時点復元（グラニュラー・ポイントインタイム・リストア）が可能な、適切なバックアップソリューションに投資をしてください。しかし、どれほど優れたバックアップであっても、それは「問題が発生した後」にしか役に立ちません。
データの復旧を余儀なくされる最も一般的なシナリオの一つが「ランサムウェア」であり、そのランサムウェアは「ファイル」として組織内に侵入してきます。
Cloud Protection for Salesforceは、第三者評価機関であるAV-TESTの調査でマルウェア検出率100%を達成したのと同じエンジンを使用し、アップロードされるすべてのファイルをスキャンします。これにより、ランサムウェアや悪意のあるファイルが組織内に着信する前にブロックします。優れたバックアップは事後の被害からあなたを守りますが、マルウェアの侵入そのものを防ぐことは、バックアップに頼らざるを得ない事態そのものを減らすことにつながるのです。
誤解 5：「当社のSalesforce組織は非公開環境であり、パブリックなインターネット上には公開されていない」
Salesforceはクラウドプラットフォームであり、そのログインページやAPIを含め、あなたの組織（環境）はインターネット接続さえあれば世界中のどこからでもアクセス可能です。多くのITチームがSalesforceをまるで「社内システム」であるかのように扱い、従来のネットワーク境界（ペリメーター）による制御の恩恵を受けられていると思い込んでいますが、実際には受けていません。
この思い込みは、脆弱なセッションポリシー、不十分なAPIアクセスの監視、そしてポータルやWebフォームを通じて組織内に入り込んでくるコンテンツに対するネイティブな制御の欠如といった「セキュリティの空白地帯」を生み出します。これらはすべて、攻撃者にとって格好の標的となるのです。
私たちにできる対策とは？ 脆弱なセッションポリシーやAPIアクセスについては、IP制限の適用や、Salesforce社が提供する「Salesforce Shield」（要別途ライセンス）の活用によって堅牢化することができます。
しかし、多くの企業で対策が見落とされがちなのが、ポータルやフォームを経由して組織内に流入してくるコンテンツです。これらのトラフィックは、企業のメールセキュリティやエンドポイント（PCなど）の対策ツールでは一切検知することができません。Cloud Protection for Salesforceは、まさにこの盲点（ブラインドスポット）をカバーします。ファイルのアップロード時やURLのクリック時にそれらをリアルタイムでスキャンするだけでなく、検証済みのデータ漏洩情報とSalesforceのログイン資格情報を継続的に照合し、アカウントが不正利用される前に、流出したログイン情報の危険性をいち早く検知します。
誤解 6：「Salesforceがコンプライアンス認証を取得しているから、当社も準拠できている」
Salesforce社は、数多くの優れたコンプライアンス認証を取得しています。企業は、GDPRやHIPAA（医療保険の相互運用性と責任に関する法律）、PCI-DSS（クレジットカード業界のデータセキュリティ基準）への対応状況を問われた際、同社のこれらの認証を根拠に挙げることがよくあります。しかし、プラットフォーム側が認証を持っているからといって、自社が負うべきコンプライアンスの義務がSalesforce社に移転するわけではありません。
例えばGDPRの枠組みにおいて、データの管理責任を負う「データ管理者」はあくまでユーザー企業側です。適法なデータ処理、データ主体の権利（開示や消去の請求など）への対応、データ保持ポリシーの策定、そしてデータ漏洩時の通知義務などは、すべて自社の責任となります。これらはSalesforce社が代行してくれるものではなく、また、単一のセキュリティツールを導入しただけで完全に解決できるものでもありません。これらへの対応には、明文化されたプロセスや法務によるレビュー、そして多くの場合、組織的なコンプライアンスプログラムの運用が必要不可欠です。
私たちにできる対策とは？Cloud Protection for Salesforceは、責任共有モデルにおける「コンテンツセキュリティ」の側面から、企業のコンプライアンス体制（コンプライアンスポスチャ）の強化を強力に支援します。本ソリューションは、スキャンされたすべてのファイル、検査されたすべてのURL、および検知されたすべてのアイデンティティ（アカウント）リスクを網羅した、リアルタイムのダッシュボードと、そのまま監査に提出できるイベントログのエクスポート機能を提供します。これにより、コンプライアンスチームは、監査のたびにSalesforce管理者の手を煩わせることなく、必要なエビデンス（証跡）を直接取得できるようになります。なお、Cloud Protection for Salesforce自体も、ISAE 3000 Type 2、ISO 27001、およびEU GDPRの認証を取得しており、高い信頼性を担保しています。
誤解 7：「セキュリティは一度きりのプロジェクトであり、継続的な業務ではない」
Salesforceの組織は、日々変化し続ける「生き物」です。ユーザーの異動や昇進、新しい外部システムとの連携、ビジネスプロセスの変化などに伴い、アカウントの権限は時間の経過とともに雪だるま式に蓄積されていきます。今日、どれほどクリーンで強固なセキュリティ体制を築いていたとしても、能動的なメンテナンスを怠れば、わずか半年ほどでその体制は著しく形骸化してしまいます。
この誤解が生まれてしまうのも無理はありません。セキュリティの定期見直しには多大な労力がかかりますし、一度環境を構築してしまえば「完了した」と感じてしまいがちだからです。しかし、これは多くの企業が実際に直面し、実証されている深刻な問題なのです。
私たちにできる対策とは？ Cloud Protection for Salesforceは常時稼働し、すべてのファイル、リンク、そしてアイデンティティ（アカウント）をリアルタイムで継続的にスキャンします。そのため、自社のセキュリティレベルが「最後にいつ手動レビューを行ったか」という不確実なタイミングに左右されることはありません。
新しいユーザーが追加されればログイン情報の流出リスクが即座にチェックされ、新しいファイルはアップロード時にスキャンされ、新しいリンクはクリックされた瞬間に検査されます。リアルタイムのダッシュボードにより、セキュリティチームは「前四半期時点の古いスナップショット」ではなく、「今、この瞬間」の組織の脅威状況を常に正確に把握できるようになります。
まとめ
Salesforceは、強固なセキュリティ機能を備えた、極めて強力で優れた設計のプラットフォームです。しかし、「機能が存在すること」と「正しく設定されていること」は別であり、さらに「正しく設定されていること」と「継続的なガバナンスが行われていること」もまた別問題です。この違いを正しく理解し、具体的なアクションを起こせる企業こそが、自社のデータ、従業員、そして大切な顧客を真に守り抜くことができるのです。