Dreamforce 2025の開催が近づく中、一つ確かなことがあります。今年のSalesforceセキュリティは、単なる数あるセッションの一つではありません。今回の「主役」ストーリーです。
この1年、組織化されたサイバー犯罪集団が企業のSalesforce環境を標的にすることに成功し、盗まれたデータがダークウェブに流出する事態が発生しています。さらに、アディダスやロレアルといった世界的ブランドからの訴訟も重なり、セキュリティについての議論は「いつか取り組むべきこと」から「今すぐ取り組むべきこと」へとシフトしました。私の見解では、今回のDreamforceはこれまでで最もセキュリティに焦点を当てたイベントになる。そして、それは当然のことです。
今、これが重要である理由
Dreamforceは「繋がり」を築く場所であり、ネットワーキングやインスピレーションを得る場ですが、その「見返り」だけに目を向けるわけにはいきません。セキュリティはパーティーの華やかさには欠けるかもしれませんが、真に信頼される企業とそうでない企業を分ける境界線です。私にとって今年のDreamforceは、恐怖から「即応性」へと移行するための場です。つまり、最近の攻撃の背後にあるものを理解し、今日対処すべき課題は何かを明確にすることです。
最近開催されたウェビナーで、私は弊社の脅威インテリジェンス・リードであるKarmina Aquino（カルミナ・アキノ）と共に、Salesforceにおける侵害急増の背景について掘り下げました。Karminaは次のように説明しています。
「UNC 6040として追跡されているグループは、IT担当者を装い、ユーザーを誘導して彼らが管理する接続アプリ（Data Loaderなど）を承認させました。ユーザーが『許可』をクリックすると、攻撃者は有効なOAuthトークンを取得し、SalesforceのAPIを通じて直接データをエクスポートしたのです」
これらはコアプラットフォームの脆弱性を突いたものではありません。Karminaはこう指摘します。
「弱点はSalesforceのコアセキュリティにあったのではなく、攻撃者がいかにしてユーザーを騙し、鍵を手に入れさせたかにありました」
言い換えれば、彼らは「侵入」したのではなく、「ログイン」したのです。
なぜSalesforceはこれほど魅力的な標的なのか
Salesforceは単なるCRMをはるかに超えた、企業の業務の「バックボーン」です。Karminaはこう続けます。
「そこには、価値の高い顧客データや営業パイプラインのデータが存在します… 攻撃者は一度有効なトークンを入手すれば、大規模にレコードをエクスポートできます。さらに、従業員やパートナー企業がSalesforceを本質的に信頼していることを悪用し、Salesforceを介して悪意のあるコンテンツを配信することすら可能なのです」
この「信頼されている」というステータスこそが、攻撃者に好まれる理由です。自社のビジネスアプリの内部から脅威がやって来ると予想する人は、ほとんどいません。
責任共有モデル — そして品質のギャップ
Salesforceは重要な変更（インストールされていない接続アプリに対する厳格な承認プロセス、攻撃に悪用されたOAuthデバイスフローの廃止）を導入しました。これは進歩であり、SaaSにおける「責任共有モデル」を再認識させるものです。Salesforceは制御機能とエコシステムを提供し、顧客側はその先のより深いセキュリティをどう適用するかを決定します。
この共同責任モデルはSalesforceに限ったものではありません。これは、可視性と制御をプラットフォーム自体を超えて拡張する必要がある、SaaS環境全体における「クラウドファーストセキュリティ」へのより大きなシフトの一部です。
そこで、WithSecure Cloud Protection for Salesforceが役立ちます。既存のゼロトラストの姿勢をSalesforce内部にも再現し、ファイルやURLをリアルタイムでスキャンするとともに、アイデンティティシグナルを追加することで、管理者がリスクの高いユーザーや侵害された認証情報を早期に発見できるようにします。攻撃者は総当たり攻撃をしているのではなく、盗まれた認証情報や承認済みのトークンを使用しています。だからこそ、コンテンツスキャン、ID監視、MFA（多要素認証）、そして最小特権の原則は、オプションではなく「必須」なのです。
これらの管理体制を整えていたとしても、ヒューマンエラーや権限の過剰付与によってリスクが忍び寄ることがあります。私たちが最近調査したように、チェックされていないアクセス権や過剰な権限は、テクノロジーのギャップではなく、プロセスやガバナンスの問題によって、最も脆弱なリンク（弱点）となることが多々あります。
私がDreamforceで注目していること
Dreamforce 2025は、例年とは違う雰囲気を感じます。今年はセキュリティが「付け足し」ではなく、ほぼすべてのトラックや基調講演に織り込まれています。
私は特に、先日発表されたSalesforceとCrowdStrikeの提携や、新しい「Security Agent」、そして「Security Data Fabric」機能がどのように具現化されるかに強い関心を寄せています。これらの動きは、Salesforceがかつてないほどセキュリティを真剣に捉えていることを示しており、これが顧客やパートナーにとって実践的に何を意味するのかを注視していきます。
製品ローンチだけでなく、企業が信頼性を損なうことなく、AgentforceやData Cloudを使って安全にイノベーションを起こす方法を探る、いくつかのセキュリティに焦点を当てたセッションにも参加したいと考えています。これは、多くの顧客が現在頭を悩ませているバランス（セキュリティを維持しながら迅速に動く方法）であり、それを正しく実践しているチームのリアルな事例を楽しみにしています。
もしご自身のスケジュールを立てるなら、まずはDreamforceのセッションカタログで「Security」フィルターを使ってみてください。Agentforceのガードレール、Data Cloudのセキュリティ、管理者のベストプラクティスに焦点を当てた、分科会、シアター、ハンズオンワークショップなど、強力なラインナップが揃っています。私がブックマークしているものをいくつかご紹介します。
- Introducing Security Data Fabric: Unify Signals Across Silos – より迅速な検知と対応を実現する、Salesforceの新しい統合セキュリティデータレイヤーの紹介。
- Trust & Security at Dreamforce – 管理者の手法、信頼できるAIのためのData Cloudのセキュリティ保護、そしてAgentforceの実装を堅牢にするためのステップをカバーする一連のセッション。
しかし、私にとって重要なのはテクノロジーだけではありません。顧客から直接話を聞くことも同様に重視しています。彼らがどのようにSalesforceのセキュリティ成果を向上させ、セキュリティを一回限りの取り組みではなく、継続的な「品質機能」として定着させているかを聞くのが楽しみです。
Dreamforceにおけるセキュリティは、一時的な「トピック」ではなく、一つの「ムーブメント」です。今年、この会話がどのように進化していくかを楽しみにしています。
今すぐできる3つのアクション
- 接続アプリの監査 — 未使用または身元のわからないOAuthアクセス権を非推奨（取り消し）にする。
- 最小特権の原則の適用 — ユーザーと統合（インテグレーション）のスコープを制限し、統合ユーザーに対するIP制限を追加する。
- MFA（多要素認証）の必須化 — そして、異常な動き（新しいアプリの承認、異常なAPI使用、エクスポートの急増など）を監視する。
これらは派手な対策ではありませんが、セキュリティの「土台」となるものです。これらを行うことで、他のすべてのセキュリティ対策の効果がより高まります。
先を見据えて
「新しいテクノロジーや提携がどれほど登場しようとも、一つの真実は変わりません。優れた成果は、人、プロセス、そしてテクノロジーの順に築かれるということです。私たちはDreamforceの会場で、リアルタイムのファイル/URL保護から、アイデンティティリスクの洞察、そして実践的なガバナンスチェックに至るまで、これら3つの要素すべてにわたって体制を強化できるよう皆様を支援します。
もし自社のSalesforce環境を強化したいとお考えなら、WithSecure Cloud Protection for Salesforceが、生産性を下げることなくネイティブな保護を提供します。セキュリティはイノベーションを阻むものではなく、それを可能にするものであるべきです」
Dreamforce 2025でお会いしましょう
Dreamforceへお越しですか？キャンプグラウンドにあるブース #321 までぜひお立ち寄りください。Salesforceのセキュリティについてお話ししましょう。私たちがどのようにして、お客様のAgentforceやData Cloud環境をリアルタイムで保護しているかをご紹介します。