アイデンティティ保護によるSalesforceユーザーの侵害監視
アイデンティティ保護は、ファイルやURLの不審な挙動の検出にとどまらない WithSecure Cloud Protection for Salesforce (CPSF) の機能です。Salesforceのユーザーアカウント（内部ユーザー／標準ユーザー、外部ユーザー／コミュニティユーザーの両方）が、既知の第三者データ侵害情報に流出していないかを照合します。
アイデンティティ保護 を導入することで、パスワードの使い回しや漏洩など、標準のSalesforce管理機能では「表に出てこない」アイデンティティリスクをSalesforce管理者が可視化できるようになります。更新され続けるデータ侵害情報とユーザーを継続的に照合することで、攻撃を受ける前に侵害されたアカウントを検知できます。
アイデンティティ保護 は WithSecure Cloud Protection for Salesforce に標準で組み込まれており、個別のライセンス購入や追加インテグレーションは不要です。利用にあたっては、有効な WithSecure Cloud Protection for Salesforce のユーザーライセンスが必要です。
事前準備
Identity Protection には、「Administration（管理）」→「Identity protection」 からアクセスできます。初期状態では、すべての設定が「オフ」になっています。
機能を有効化する前に、以下のチェック項目を確認してください。
- 有効なCPSFユーザーライセンス数が、スキャン対象とするユーザータイプをカバーしているか確認します。
- 割当済みのユーザーライセンスが、購入したCPSFライセンス上限数を超えていないか確認します。上限を超えると「バッチ失敗」エラーが発生し、アイデンティ保護が実行できなくなります。
- 接続済みアプリが有効になっているか確認します。
- スキャン対象となるのは標準ユーザーおよびコミュニティユーザーのみです。統合ユーザーおよび自動化ユーザーは侵害チェックの対象から除外されます。
アイデンティ保護の仕組み
アイデンティ保護は、暗号化されたSalesforceユーザーのメールアドレスを、常に更新される既知のデータ侵害データベースと照合し、リスクのある可能性が高いアカウントを「洗い出し」ます。
ライセンス数や運用方針に応じて、全ユーザーをスキャンするか、選択した特定のユーザーのみをスキャンするかを設定できます。
- 全ユーザー: 合計ユーザー数がライセンス上限内である場合、すべての標準ユーザーおよびコミュニティユーザーをスキャンします。
- 特定のユーザー: ライセンス上限数の範囲内で、指定した標準ユーザーやコミュニティユーザーのサブセットのみをスキャンします。
侵害スキャンジョブは、あらかじめ設定したスケジュールに基づいて自動実行されます。スキャンの開始時と完了時には、アプリ内通知が送信されます。
侵害スキャンのスケジュール設定
侵害スキャンは週単位のスケジュールで実行されます。貴社にとって最適な曜日と時間を設定してください。
- 「Administration（管理）」→「Identity protection」 に移動します。
- 「Schedule scan（スキャンのスケジュール）」 にて、週次スキャンを実行したい希望の曜日と時間を選択します。
- 「Save（保存）」 をクリックします。
処理の概要と想定される挙動
- 1回のスキャンは、開始から完了まで最大3日間かかります。
- スキャン開始時と終了時に、CPSF内でアプリ内通知を受け取ります。
- 侵害検出の結果は、ジョブ全体の完了を待つ必要はなく、スキャンが進行するにつれて 「Identities」 セクションに順次表示されます。
すべての侵害検出結果は、スキャン開始日から3日以内に確認可能になります。
侵害情報の詳細閲覧
データ侵害が検知されると、Identity Protection はサードパーティの脅威インテリジェンスチームから提供された詳細なメタデータを表示します。以下の表は各フィールドの説明です。
侵害詳細の読み方
| フィールド | 説明 |
|---|---|
| Breach date (侵害日) | データ侵害が発生した日 |
| Title (タイトル) | 侵害件名（利用可能な場合）。非開示の場合は汎用表記 |
| Website (ウェブサイト） | 侵害が発生した組織のWebサイト（利用可能な場合） |
| Acquisition date (入手日） | When the reseリサーチチームが最初にデータを取得した日付 |
| Breach category (侵害カテゴリ | データの流出手法（combolist [クレデンシャルリスト]、exfiltrated [持ち出し]、exposed [公開状態]、infostealer [情報窃取型悪意プログラム]、phished [フィッシング]、scraped [スクレイピング]、unknown_ [不明]） |
| Confidence (確信度) | 侵害ソースの信頼性レベル（Low / Medium / High） |
| Breach main category（侵害メインカテゴリ） | 大まかな分類：combolist、breach（一般的な侵害）、または malware（マルウェア） |
| Publish date (公表日) | 侵害情報が公になった日付 |
| Type (タイプ） | Public (found online) or Private (exclusive threat Public（オンラインで公開・検索可能）または Private（独自の脅威インテリジェンス）。 |
| Num records (レコード数） | 該当の侵害データから解析・重複排除されたレコード数 |
| Sensitive source (機密ソース) | 侵害元が機密性の高い情報源であるかどうかを示します |
| Consumer category (消費者カテゴリ) | 製品やサービスの対応付けに使われる分類 |
アイデンティティイベントの確認
Identity events（アイデンティティイベント）では、Salesforceユーザー全体にわたる侵害アクティビティの詳細ログを確認できます。各イベントには、侵害の日時、リスクの深刻度（Severity）、侵害理由、および影響を受けたユーザーが記録されます。
検索条件を使用して結果を絞り込むことができます。サポートされている指定項目は TIME（時間）、RISK（リスク）、REASON（理由）、USER（ユーザー）です。ビジュアルフィルターによる絞り込みも可能です。
例:
特定ユーザー（例: John Doe）のすべての緊急度「Critical」の侵害を検索する場合： RISK=Critical, USER=John Doe
通知機能
アイデンティ保護は、重要なイベント（設定変更、定期スキャンのステータス更新、検出されたユーザー侵害など）が発生した際にアプリ内通知を生成します。
アラートにおける深刻度の分類
| 深刻度 | 発生理由 |
|---|---|
| Informational（情報） | 設定が更新されました |
| Informational（情報） | 侵害チェックジョブが開始または完了しました |
| Critical（緊急） | 権限セットが不足しているため、接続アプリが切断されました |
| Critical（緊急） | 機能パラメータの問題によりアイデンティ保護 が無効化されました |
| Critical（緊急） | 接続アプリの問題により Identity Protection が無効化されました |
| Critical（緊急） | データ処理リージョンの変更により侵害チェックに失敗しました |
| Critical（緊急） | 侵害チェックが最大ユーザー数を超過しました |
| Critical（緊急） | ユーザーが第三者のデータ侵害に流出・曝露しています |
| Critical（緊急） | ライセンス上限超過 — 超過分のユーザーに対しては機能が非アクティブです |
設定の確認手順
機能を有効化した後、以下のチェック手順を行って Identity Protection が正常に動作しているか確認してください。
- 「Administration」→「Identity protection」 に移動し、機能が有効化され、設定が保存されていることを確認します。
- スケジュールされた侵害チェックジョブの実行時に、通知が表示されることを確認します。
- 「Analytics」 内の Identity events を確認し、侵害ログが正しく記録されているか確認します。
よくある質問
「WithSecure Cloud Protection for Salesforce」におけるアイデンティティ保護とは何ですか？
「アイデンティ保護」は、WithSecure Cloud Protection for Salesforce に搭載された機能であり、管理者が Salesforce 組織全体におけるユーザーレベルのリスクを特定し、適切な対応を講じることを支援します。この機能は、以下の 3 つの主要な領域をカバーしています。
認証情報の漏洩監視 —アイデンティ保護 は、サードパーティによる情報漏洩事件で流出した Salesforce ユーザーの認証情報を検出し、攻撃者が侵害されたアカウントを悪用する前に管理者が対応できるよう支援します。
リスクの高い権限 — アイデンティ保護は、監視対象のユーザーに割り当てられた権限セットを評価し、高リスクなシステム権限を含むものをフラグ付けします。これにより、管理者は過度なアクセス権限を保有しているユーザーを完全に把握できます。
メール通知 — 新たなユーザーデータの漏洩が検出されると、管理者にメールアラートが送信されるため、リスクが特定され次第、直ちに通知を受けることができます。
なぜSalesforceにおいて、アイデンティ保護が必要なのでしょうか？
Salesforceは、漏洩した認証情報を監視しておらず、世界中のデータ侵害の22％には、盗まれたログイン情報が関与しています（Verizon DBIR 2025）。
ユーザーが異なるサービス間で同じパスワードを再利用する場合（いわゆる「パスワードの再利用」）、あるシステムで情報漏洩が発生すると、他の多くのシステムも危険にさらされる可能性があります。
従業員、パートナー、またはコミュニティユーザーの認証情報が他の場所で漏洩した場合、攻撃者はそれらのログイン情報を使用して、信頼されたユーザーとしてSalesforceにアクセスすることができます。
ID保護機能は、Salesforce内部での早期検知と可視化を実現します。既存のセキュリティツールには、コミュニティユーザーの監視をスケーラブルにカバーする機能がありません。
アイデンティ保護機能は、どのSalesforceユーザーを監視しますか？
WithSecure Cloud Protection for Salesforce の アイデンティ保護機能は、社内のユーザーと社外のユーザーの両方を対象としています。
Salesforce の社内ユーザー：従業員、管理者、およびシステムアカウント。侵害された認証情報を早期に検知し、不正アクセスや権限の昇格を防止します。
コミュニティおよびパートナーユーザー：Experience Cloud やパートナーのログインは、多くの場合、企業のセキュリティ管理の対象外となります。WithSecure Cloud Protection for Salesforce は、これらのアカウントをエンタープライズ規模で独自に監視し、なりすまし、サプライチェーンの悪用、およびデータ漏洩のリスクを低減します。
アイデンティ保護はどのように機能するのですか？
アイデンティ保護機能は、Salesforceユーザーのメールアドレス（安全にハッシュ化済み）を、独自、商用、およびダークウェブの各情報源から収集したデータ漏洩インテリジェンスフィードと照合し、継続的にスキャンを行います。
このハイブリッドなアプローチにより、公開リストやオープンソースのリストよりも3～6か月早く、新たな情報漏洩を検出します。
ユーザーの認証情報が既知のデータ漏洩に含まれている場合、システムは「Cloud Protection for Salesforce」ダッシュボード上で直接フラグを立て、データ漏洩のメタデータや深刻度情報を併せて表示します。
以下の情報を把握できます：
どのユーザーが情報漏洩に巻き込まれたか、およびその時期
情報漏洩の発生源とパスワードの形式
リスクの深刻度
アイデンティ保護機能はどのくらいの頻度でスキャンを実行しますか？
デフォルトでは、アイデンティ保護スキャンは毎週自動的に実行されます。認証情報の漏洩に関する脅威インテリジェンスフィードは毎日更新されます。
アイデンティ保護機能は、ユーザーを自動的にブロックしたり、利用を無効にしたりしますか？
いいえ。アイデンティ保護機能は早期検知と可視化を実現しますが、望ましくない業務への支障を避けるため、対応措置の制御権は管理者に留保されています。
認証情報のリセットやその他の是正措置をいつ実施するかは、管理者が決定します。
アイデンティ保護機能が動作するには、接続アプリを有効にする必要がありますか？
はい。アイデンティ保護機能を利用するには、連携した接続アプリが起動している必要があります。
侵害の結果はどこで確認できますか？
検出された侵害は、「管理」→「アイデンティ保護」および「分析」→「アイデンティIDイベント」セクションに表示されます
現在保有しているライセンスには、アイデンティ保護機能が含まれていますか？
はい。アイデンティ保護機能は、「WithSecure Cloud Protection for Salesforce」のユーザーベースライセンスに含まれており、追加のライセンスやアドオンは必要ありません。ただし、現在、ボリュームベースのライセンスではサポートされていません。
アイデンティ保護機能を有効にすることで、データ処理やコンプライアンス上の影響はありますか？
すべてのメールアドレスは、情報漏洩記録との照合を行う前に暗号化されます。暗号化されたメールアドレスは、お客様の通常のデータ処理地域外で処理される場合があることにご留意ください。「ID保護」機能を有効にすることで、お客様は、データ管理者であるお客様の組織が、「アイデンティ保護」機能の対象となる個人の個人データを処理するための法的根拠を有しており、データ処理契約が適用されることを確認したものとみなされます。
アイデンティ保護は個人データを処理していますか？
「アイデンティ保護」機能では、メールアドレスや関連する情報漏洩データなど、一部の個人データが処理される場合があります。これらの個人データは暗号化された形式で保存され、データ処理契約に従って処理されます。「Identity Protection」機能内のデータは、お客様の通常のデータ処理地域外で処理される場合があることにご留意ください。
WithSecure Cloud Protection for Salesforce のプライバシーに関する詳細については、WithSecure Cloud Protection for Salesforce プライバシーポリシーをご覧ください。