アイデンティ保護でリスクの高い権限を監視
アイデンティ保護には、リスクの高いユーザー権限の可視化機能が含まれており、重大なセキュリティリスクを伴うシステム権限が割り当てられているSalesforceユーザーを特定します。
特定のSalesforceシステム権限は、広範な、多くの場合組織全体にわたるアクセス権を付与します。これらの権限が、実際に必要としていないユーザーや、情報漏洩により認証情報が流出したユーザーに割り当てられると、潜在的な攻撃経路となります。アイデンティ保護は、ユーザーへの権限割り当てを評価し、注意が必要なものをフラグ付けすることで、管理者が問題が発生する前に「最小権限の原則」を徹底できるよう支援します。
リスクの高いユーザー権限機能は、WithSecure Cloud Protection for Salesforceに組み込まれており、別途ライセンスは必要ありません。ただし、有効なWithSecure Cloud Protection for Salesforceのユーザーベースライセンスが必要です。
開始する前に
「アイデンティ保護」には、[管理] → [Identity Protection] → [リスクのあるID] → [リスクのある権限] からアクセスできます。デフォルトでは、すべてのIdentity Protection設定は無効になっています。この機能を使用するには、このページの[開始する前に]に記載されている事前確認を完了してください。
情報漏洩スキャンのスケジュール設定方法については、こちらの[情報漏洩スキャンのスケジュール設定]スキャンの手順をご覧ください。
「リスクの高い権限」の仕組み
アイデンティ保護は、監視対象の各ユーザーに割り当てられた権限セットを評価し、高リスクとみなされるシステム権限を含むものをフラグ付けします。フラグ付けされた権限は、ユーザーごとに「リスクの高い権限」および「概要」タブに表示されます。
ユーザーが役割を変更したり、会社を退職したりした場合、そのユーザーの権限が確認されないままになることがよくあります。「リスクのある権限」タブでは、ユーザーが保有するリスクのある権限、およびそれらの権限が属する権限セットや権限セットグループが表示されます。これにより、管理者は対応策を講じる前に全体像を把握することができます。
「概要」タブでは、B リスクのある権限B に加え、B メールアドレスの漏洩リスクB やB クラウド保護ライセンスの不足B といった他のリスクシグナルも表示されます。例えば、メールアドレスの漏洩と高リスクな権限が組み合わさっているなど、複数の理由でフラグが立てられたユーザーは、単一のシグナルだけの場合よりも全体的なリスクが高くなります。
Fig 1: Monitor over-privileged users with one view
リスクがあると判断された権限
以下のシステム権限は、ユーザーに割り当てられた際にフラグが立てられます：
| Permission | Risk reason |
| Modify All Data | Allows reading, editing, and deleting all records in the org, regardless of sharing settings |
| View All Data | Allows read access to all records in the org, regardless of sharing settings |
| Assign Permission Sets | Allows the user to grant any permission set, including admin-level access, to any user |
| Manage Users | Allows creating and editing all user accounts, including resetting passwords |
| Exempt from Transaction Security | Prevents Transaction Security policies from applying to this user’s actions |
| Password Never Expires | Disables password expiry, increasing the window of exposure if credentials are leaked |
ユーザーのリスクのある権限を確認する
- [Identities] → [Risky permissions] に移動します
- [Risky permissions] の下で、フラグが立てられた権限を持つユーザーの一覧と、そのリスクの説明を確認します。
- [View] をクリックすると、スキャンされたファイルや URL、権限の詳細、連携アプリとその最終使用日時、ログイン履歴など、ユーザーに関する詳細情報を確認できます。
- [詳細] パネルからは、以下の即時の対応も可能です：
- セキュリティ侵害が発生した場合はユーザーを凍結するか、
- パスワードをリセットして再認証を強制します。
図2：ユーザーの詳細概要
注：リスクのある権限を持つユーザーは、「概要」ビューと「リスクのある権限」ビューの両方でフラグが立てられています。「表示」をクリックすると、そのユーザーの詳細パネルが開きます。
よくある質問
「WithSecure Cloud Protection for Salesforce」におけるアイデンティティ保護とは何ですか？
「アイデンティ保護」は、WithSecure Cloud Protection for Salesforce に搭載された機能であり、管理者が Salesforce 組織全体におけるユーザーレベルのリスクを特定し、適切な対応を講じることを支援します。この機能は、以下の 3 つの主要な領域をカバーしています。
認証情報の漏洩監視 — アイデンティ保護 は、サードパーティによる情報漏洩事件で流出した Salesforce ユーザーの認証情報を検出し、攻撃者が侵害されたアカウントを悪用する前に管理者が対応できるよう支援します。
リスクの高い権限 — アイデンティ保護は、監視対象のユーザーに割り当てられた権限セットを評価し、高リスクなシステム権限を含むものをフラグ付けすることで、管理者が過剰なアクセス権を持つユーザーを完全に把握できるようにします。
メール通知 — 新たなユーザーデータの漏洩が検出されると、管理者にメールアラートが送信されるため、リスクが特定され次第、直ちに通知を受けることができます。
アイデンティ保護機能は、どのSalesforceユーザーをモニタリングしますか？
WithSecure Cloud Protection for Salesforce の アイデンティ保護機能は、社内のユーザーと社外のユーザーの両方を対象としています。
社内の Salesforce ユーザー： 従業員、管理者、およびシステムアカウント。侵害された認証情報を早期に検知し、不正アクセスや権限の昇格を防止します。
コミュニティおよびパートナーユーザー： Experience Cloud やパートナーのログインは、多くの場合、企業のセキュリティ管理の対象外となります。WithSecure Cloud Protection for Salesforce は、これらのアカウントをエンタープライズ規模で独自に監視し、なりすまし、サプライチェーンの悪用、およびデータ漏洩のリスクを低減します。
どのような権限がリスクが高いと見なされますか？
権限は、アカウントが侵害された場合や、その権限が不要になった場合に悪用される可能性に基づいて、フラグが付けられます。主な基準は、組織全体のデータへのアクセス権、権限を昇格させる能力、他のユーザーのアクセス権を変更する能力、およびパスワードの有効期限など、標準的なセキュリティ制御を弱める設定です。
「アイデンティティ保護」機能では、権限を自動的に削除することはできますか？
いいえ。アイデンティティ保護機能はリスクを明らかにし、対応するためのツールを提供しますが、権限セットへの変更はすべて管理者が行います。これにより、意図的な確認なしにアクセス権が削除されることがないよう保証されます。
どの権限セットが、リスクの高い権限を付与しているのか確認できますか？
はい。ユーザー詳細パネルには、フラグが立てられた権限が表示され、Salesforce内の関連する権限セットへ直接リンクされているため、その原因を特定し、変更するか削除するかを判断することができます。
リスクの高い権限を持つユーザーは、自動的に高リスクユーザーとなるのでしょうか？
必ずしもそうとは限りません。「リスクのある権限」は、「リスクのある ID」の概要で評価される 3 つのシグナルのうちの 1 つであり、その他には「メール漏洩のリスク」と「Cloud Protection ライセンスの欠落」があります。リスクのある権限のみが指摘されたユーザーは、複数のシグナルが組み合わさって指摘されたユーザーに比べ、全体的なリスクが低い可能性があります。
管理者が全体像を把握できるよう、「概要」タブでは各ユーザーに関するすべてのリスクシグナルを一箇所にまとめて表示しています。これにより、個々のシグナルを単独で評価するのではなく、全体的なリスクに基づいて対応の優先順位を付けやすくなります。経験則として、管理者は常に「最小権限の原則」を徹底すべきです。
「最小権限の原則」とは何ですか？
「最小権限の原則」とは、各ユーザーが業務遂行に必要なデータや機能にのみアクセスでき、それ以上の権限を持たないことを意味します。最小権限の原則を徹底することで、アカウントが侵害された場合の被害を最小限に抑えることができます。これは、攻撃者のアクセス権限が、そのユーザーが正当に必要とする範囲に限定されるためです。
アイデンティ保護機能を動作するには、接続アプリを有効にする必要がありますか？
はい。アイデンティ保護機能を利用するには、接続アプリが起動している必要があります。
現在保有しているライセンスには、アイデンティ保護機能が含まれていますか？
はい。アイデンティ保護機能は、「WithSecure Cloud Protection for Salesforce」のユーザーベースライセンスに含まれており、追加のライセンスやアドオンは必要ありません。ただし、現在、ボリュームイセンスではサポートされていません。
アイデンティ保護では個人データを処理していますか？
「アイデンティ保護」機能では、メールアドレスや関連する情報漏洩データなど、一部の個人データが処理される場合があります。これらの個人データは暗号化された形式で保存され、データ処理契約に従って処理されます。「アイデンティ保護」機能内のデータは、お客様の通常のデータ処理地域外で処理される場合があることにご留意ください。
WithSecure Cloud Protection for Salesforce のプライバシーに関する詳細については、WithSecure Cloud Protection for Salesforce プライバシーポリシーをご覧ください。