その「ギャップ」は深刻な問題です。そして、多くの企業が認識している以上に大きな影響を及ぼします。
ビジネスを動かすデータ
実際のところ、自社のSalesforce組織に何が保管されているか考えてみてください。
- 進行中のすべての商談とその規模
- 顧客および見込み客の全データ（連絡先、対応履歴、長年にわたり蓄積されたアカウントインテリジェンス）
- 売上予測
- 契約更新日
- 契約条件
- 社内の事前共有文書以上に競合インテリジェンスが詰まった、営業コールノート
これらは単なる周辺データではなく、ビジネスの運用の中核です。採用計画の決定、プロダクト戦略の策定、そしてほぼすべての商談の中心に位置しています。データの紛失、破損、あるいは不正アクセスといった不測の事態が発生した瞬間、その影響は瞬く間に広がっていきます。
それにもかかわらず、多くのエンタープライズセキュリティプログラムにおいて、CRMは「後回し」あるいは「盲点」として扱われがちです。
なぜこの状況が生まれたのか
このギャップは決して不注意から生じたものではありません。セキュリティの考え方がクラウドの普及とともに歩んできた「経緯」を理解する必要があります。
これまでのエンタープライズセキュリティは、主にネットワークの「境界」を防衛する設計でした。つまり、自社ネットワーク内にあるものを保護する考え方です。SaaSプラットフォームが登場した際も、このマインドセットは完全には追いつきませんでした。「SaaSプロバイダーがセキュリティを担保しているため、社内チームは他の領域に専念できる」という無意識の前提が形成されたのです。この前提は決して正確ではありませんでしたが、セキュリティプログラムの構成や予算配分に深く組み込まれていきました。
特にSalesforceの場合、その高い信頼性とエンタープライズレベルのコンプライアンス認定実績が、この認識を後押ししました。「SOC 2を満たしているのだから安全に違いない」という安心感から警戒が緩み、CRMは脅威モデルの対象から外れていったのです。
「Salesforceがビジネスに不可欠であると認識されながらも、セキュリティ上の重要拠点として扱われないケースは、現在でもめずらしくありません。転機となるのは多くの場合、組織がSalesforceを『単なるSaaSアプリケーションの1つ』ではなく、**『最も価値あるデータストアの1つ』**と再定義した瞬間です。このマインドセットの転換が起きて初めて、ガバナンス、アイデンティティ管理、継続的モニタリング、そしてリカバリといった議論が自然に進むようになります。他の最も重要な基幹システムに適用している規律を、同様に向けるようになるのです。」Karmina Aquino、Cloud Protection for Salesforce 脅威インテリジェンス責任者
攻撃者はすでに知っている
不都合な真実ですが、貴社のデータにアクセスしようとする脅威アクターは、そのような甘い前提では動いていません。
セキュリティが侵されたSalesforce組織には、極めて高い価値が存在します。広範なアクセス権限を持つアカウントが1つ乗っ取られるだけで、全顧客リスト、パイプラインの全フェーズ、価格構造、更新時の脆弱性などが白日に晒されます。これらは、競合他社や悪意のあるアクターが大金を払ってでも手に入れたがるインテリジェンスです。
攻撃者は、盗み出した認証情報、インフォスチーラーのログ、ソーシャルエンジニアリングを駆使してCRMプラットフォームへ正常なアクセス権を装って侵入する手法を強めています。高価値なビジネスデータや信頼性の高い顧客関係へダイレクトにアクセスできるからです。侵入した組織から抽出したアカウント・商談データを基に、極めて精巧なソーシャルエンジニアリング攻撃が組み立てられます。
その間、自社のセキュリティチームは「フィッシングメールを受信したエンドポイントの特定」に追われ、そのアクセス権を使って攻撃者が「その先に何へアクセスしたか」まで手が回っていないのが実状です。
「脅威アクターにとって、CRMは単なる顧客データベースではなく、『ビジネスの運用設計図』そのものです。一度正規の認証情報を入手すれば、キーパーソン、今後の更新時期、高額商談、信頼関係、そして意思決定者を正確に特定できます。このインテリジェンスにより、標的の優先順位付けや極めて説得力の高いソーシャルエンジニアリングが可能となり、詐欺、フィッシング、恐喝といった二次攻撃の有効性が飛躍的に高まります。最初の侵害は、多くの場合ほんの始まりに過ぎません。」– Karmina Aquino
運用における「適用範囲」の実効リスク
Salesforceを適用範囲外とみなすことは、抽象的なリスクにとどまらず、具体的な影響をもたらします。つまり、このプラットフォームがペネトレーションテストの対象となることはほとんどありません。セキュリティ監査の際にも、Salesforceの設定は検証されません。ユーザーのアクセス権限は、Active Directoryのように定期的な見直しサイクルが適用されません。また、退職処理のプロセスには、CRM特有の不備が見受けられることがよくあります。他のすべての領域に適用されるデータ分類ポリシーは、この組織には単純に適用されないのです。
結果として、社内で最も価値ある資産の1つが、一般的なファイル共有サーバーよりも緩い監視下で運用されるという事態を招いています。
今後のアプローチ
しかし、解決策は明確です。CRMをセキュリティスコープに含めるために、セキュリティプログラム全体をゼロから再構築する必要はありません。必要なのは、「Salesforceは最重要資産であり、それ相応の保護を行う」という明確な意思決定です。誰がアクセス権を持ち、その権限で何ができるのか、データはどう保護されているのか、そして万一の事態が発生した際のリカバリ体制はどうなっているかを正確に把握することを意味します。
Cloud Protection for Salesforce のような専用ソリューションが存在するのはまさにそのためです。連続的なモニタリング、アクセスの可視化、不測の事態における迅速な復旧機能など、他の基幹ビジネスシステムと同等の保護をCRMにも提供します。
営業チームはすでに、Salesforceがビジネスにおいて最も重要なシステムであることを知っています。今度は、セキュリティプログラムがその認識に追いつく番です。