その目立たなさこそが、リスクが真剣に受け止められない理由の一部です。また、それこそが実際のコストが常に過小評価される理由でもあります。目に見えるインシデントが存在しないことは、リスクが低いことの証拠ではありません。インシデントが発生した際、そのコストが事後報告書の単一の行には決して現れないような形で組織全体に分散していることの証拠なのです。
データ消失は実際にはどのようにして起こるのでしょうか？
そのシナリオは至って平凡なものであり、それこそが重要なポイントです。
- 開発者が誤った環境に対してデータローダー操作を実行し、アカウントレコードを大量に上書きしてしまう。
- ワークフロールールによってトリガーされた一括削除が、意図した範囲を超えて連鎖的に波及する。
- 退職する従業員が、アクセス権限が取り消される前にレコードを削除する。
- サードパーティの統合機能が、誰にも気づかれないまま破損したデータを一括でプッシュする。
- 機能上必要な範囲よりも広範な権限が付与された統合またはAPIユーザーが（故意か過失かを問わず）悪用され、本来の想定範囲を大幅に超えるレコードの表示、修正、または一括削除が行われる。
これらはいずれも、高度な攻撃者や異例のシステム障害を必要としません。これらは、大規模なSalesforce組織における通常の運用上の複雑さから生じる成果物です。また、十分な頻度で発生しているため、成熟したSalesforce環境を持つほとんどの組織は、それをデータ消失イベントと分類したかどうかに関わらず、少なくとも一度は意味のあるデータ消失イベントを経験しています。
「過剰な権限付与は、Salesforceのデータ消失の大部分における構造的な根本原因です。アクセスの大部分は、Salesforce自身のベストプラクティスモデルとは正反対に、権限セットではなくプロファイルを通じて依然として管理されています」と、Cloud Protection by WithSecureのSalesforceアーキテクトであるTapas Tripathiは述べています。
これこそが、Cloud ProtectionのIdentity Protectionが解消する正確なギャップです。権限セットおよびプロファイルの割り当てを継続的にスキャンし、データ消失や露出に結びつく特定のリスクある権限を浮き彫りにし、管理者に対して次のインシデントとなる前に修正すべき過剰な権限を持つユーザーの優先順位付き実行可能リストを提供します。
直接的コスト
データ消失が発生し、復旧が可能な場合でも、それが迅速かつ安価に済むことはめったにありません。Salesforceの標準復旧オプション（ごみ箱、データエクスポート、およびデータ復旧サービス）には、プレッシャーがかかる状況下で致命的となる制限がそれぞれ存在します。ごみ箱の保管期間は15日間です。データエクスポートは特定時点のスナップショットであり、被害が発生する前の状態である可能性があります。データ復旧サービス（利用可能な場合）は数週間かかることがあり、歴史的に対応範囲が限定されていました。
多くの組織にとって、手動による再構築が最終手段となります。これは、ITおよびSalesforce管理者チームがログ、CSV、および断片化されたレコードを調査して、失われたものを復元することを意味します。データのボリュームと複雑さによっては、これには数週間のエンジニアリング時間が費やされる可能性があります。複雑なSalesforce構成を持つ大規模エンタープライズにとって、重大なデータ消失イベントは、ほとんどのセキュリティインシデントよりも多くの内部リソースを消費する可能性があります。
すぐには表れないコスト
直接的な復旧コストは目に見える部分に過ぎません。定量化がより困難なコストはバックグラウンドで蓄積され、インシデントが正式に終了した後も長く影響を及ぼす傾向があります。
収益への影響が最も重大です。パイプラインデータが消失または破損すると、案件の可視性が低下します。セールスマネージャーは不完全な予測に基づいて作業することになります。アカウントエグゼクティブは、次の交渉に活用すべき関係性の履歴を失います。更新マネージャーは、今後の商談についての明確な見通しを持てなくなります。CRMツールとしての有用性が低下し、収益パフォーマンスに対するダウンストリームへの影響（特に複雑で長期にわたるエンタープライズ営業において）は相当なものとなり、数ヶ月間持続する可能性があります。
顧客の信頼もその一つです。データ消失がサービスの低下につながる場合（アカウント履歴のないサポート担当者、重要な文脈を欠いた更新交渉など）、顧客はそれに気づきます。彼らは理由を知らないかもしれませんが、その体験は回復が困難な形で信頼を損ないます。
さらに、法的・規制上の影響も増大しています。失われたデータに個人情報が含まれる場合、インシデントはGDPR、CCPA、または同等のフレームワークに基づく通知義務を発生させる可能性があります。規制対応、法的レビュー、および潜在的な執行措置のコストは、技術的な復旧コストを小さく見せるほど巨大になる可能性があります。
例えば、2025年〜2026年のShinyHunters/Scattered Spiderによるボイスフィッシングキャンペーンでは、攻撃者がITサポートを装ってSalesforceユーザーに偽のData Loader接続アプリケーションを承認させ、そのアクセス権を使用してCRMデータを外部に送信（エクスフィルトレーション）し、複数のエンタープライズ組織にわたってその削除を脅迫しました。これは、上記の「ランサムウェアに類似した」シナリオの現実世界での実例です。
まとめ
Salesforceのデータ保護に関するビジネスケースは複雑ではありません。インシデントのコストとそれを防止するためのコストの比較に帰結します。エンタープライズスケールにおいて、計算上常に防止策側が有利になります。
防止策に必要なのは、粒度の細かい復元機能を備えた継続的かつ自動化されたバックアップです。つまり、最小限の許容範囲を超える重大な局面に至ってから制限が明らかになる標準ツールに依存することなく、特定のレコード、関連性、および設定を既知の時点に復元できる能力です。
また、過剰な権限付与のギャップを解消することも意味します。どのユーザーや統合がリスクのある権限を保持しているかを正確に把握し、それが損失イベントに変わる「後」ではなく「前」に、そのアクセス権を修正できるようにすることです。
Salesforceのデータ保護をコストセンターとして扱う組織は、インシデントが発生した後にその価値に気づくことになります。それを事業継続性への投資として扱う組織には、そのような教訓を語るような事態は訪れません。
連載の詳細を読む：