WithSecure Cloud Protection for Salesforce のファイル保護機能は、Salesforce プラットフォーム全体のファイルをスキャンし、サイバー脅威や制限対象のコンテンツを検出します。
本ガイドでは、お使いの環境の安全性とコンプライアンスを確保するために推奨されるファイル保護の設定手順を説明します。貴社のセキュリティポリシー、業務プロセス、およびカスタマイズに合わせて、これらのベストプラクティスをご活用ください。
本ガイドでは、ファイル保護設定の最適化、全般的なアプリケーション設定、およびライセンス設定について解説しています。さらに詳しいご案内やお客様に合わせた個別のご提案については、WithSecure カスタマーサクセスチームまでお気軽にお問い合わせください。
ファイル保護設定
- [管理] → [File Protection] に移動します。
ファイルと添付ファイルの全般スキャン
- Salesforce はドキュメントを「Salesforce ファイル」および「Salesforce 添付ファイル」として保存します。当社では両方のスキャンを有効にすることを推奨しています。
- 組織内のすべてのオブジェクトに対して、Salesforce 添付ファイル のスキャンを有効にします。
- 注： ライセンスを付与されたユーザーの場合、Salesforce ファイルはすべてのオブジェクトにわたってスキャンされます。オブジェクト単位でのスキャン制限が適用されるのは「Salesforce 添付ファイル」のみです。
高度な脅威分析（Advanced Threat Analysis）
- クラウドサンドボックスを含む検出能力向上のため、高度な脅威分析 を有効にすることを推奨します。
- 推奨事項： 不必要な業務遅延を防ぐため、「高度な脅威分析が完了するまでファイルのダウンロードをブロックする」オプションはオフのままにしてください。
有害なコンテンツ（Harmful content）の設定
- デフォルトの設定では、アップロードされた有害なファイルは自動的に削除され、ダウンロード時に検出された有害なファイルへのアクセスはブロックされます。
- パスワード保護されたアーカイブ（圧縮ファイル）、Microsoft Office ファイル、PDF などの高リスクなファイルは、脅威のスキャンを実行できません。
- 推奨事項： 適切なレベルの制御を適用するため、ファイルタイプごとに個別の設定を行ってください。潜在的なマルウェアが検出を回避するのを防ぐため、これらのファイルタイプには [ファイルを削除] または [アクセスをブロック] を設定してください。
除外するファイルタイプ（Excluded file types）
- スキャンから除外されたファイルは、マルウェアやランサムウェアの脅威分析が行われません。
- 推奨事項： セキュリティ保護を最大限に維持するため、どうしても必要な場合を除き、ファイルタイプを除外しないでください。
許可されていないコンテンツ（Disallowed content）
- 「許可されていないコンテンツ」機能を使用すると、特定のファイル拡張子を許可またはブロックできます。
- 推奨事項： これを「拒否リスト」として使用する場合は、デフォルト設定を維持してください。ほとんどの組織において、リスクの高いファイルタイプ（例:
.exeファイル）のアップロードを許可する妥当な業務上の理由は存在しないためです。
ファイル保護の高度な設定（Advanced File Protection settings）
- 「不明なファイルの評価（Reputation）の扱い」 は [安全]（Safe）のままにしてください。
- 理由： 評判（レピュテーション）が不明なファイルを自動的にブロックして業務プロセスを停止させるのではなく、確実にスキャンを実行させるためです。
全般設定（General settings）
- [管理] → [全般] に移動します。
自動アップデート（Automatic updates）
最新のセキュリティ機能強化、マルウェア検出パッチ、バグ修正を常に受け取れるよう、自動アップデート は有効にしたままにしてください。
高度な設定（Advanced settings）
データ処理リージョン（Data processing region）
- 規制の厳しい業界では、データ処理を特定のリージョンに手動で制限することが求められる場合があります。
- [自動] を選択すると、ファイルおよび URL データの処理は Salesforce がホストされているリージョンで行われます。
- 該当リージョンで AWS に障害が発生した場合、処理は一時的に別の安全なロケーションに切り替わります。
キャッシュ内のスキャン結果の有効期限
- キャッシュの有効期限は 1 日 に設定することを推奨します。
- 理由： マルウェアの脅威は絶えず進化しています。キャッシュ期間を短く設定することで、ゼロデイマルウェアの拡散を防ぐことができます。
ファイルスキャンのタイムアウト
- スキャンのタイムアウト時間を 120 秒 に延長します。
- 理由： Salesforce 環境でトラフィック量が一時的に増大した際、スキャンがタイムアウトになるのを防ぐためです。
共有設定（Sharing settings）
- 完全なセキュリティ保護を確保するため、「マルウェアおよび高度な脅威スキャンのために完全なファイルを送信する」 を有効にしてください。
- オプション設定:
- 検出精度向上のため、WithSecure Labs が疑わしい実行可能ファイルを収集することを許可する。
- セキュリティの研究・開発を支援するため、WithSecure Labs が疑わしい非実行可能ファイルを収集することを許可する。
サードパーティサービス
- ファイルおよび URL データを WithSecure の信頼できるサードパーティサービスと共有することを許可すると、検出精度が大幅に向上します。送信されるすべてのクエリは多層的な匿名化処理が行われ、高い機密性が保持されます。
ライセンス設定
- [管理] → [ライセンス] に移動します。
- 「ライセンスモード」 を [すべてのユーザー]（All Users）に設定します。これにより、アップロード時およびダウンロード時にすべてのファイルがスキャンされ、社内ユーザーと外部ユーザーの両方を保護できます。
- 注： [すべてのユーザー] モードが有効になっている場合、個別の手動割り当てルールを設定する必要はありません。
