モバイル担当者が予期せぬ攻撃ベクターとなった際、業界をリードする製造企業は、そのセキュリティのギャップを埋めるための支援を必要としていました。
多くの人々が Salesforce のセキュリティを考える際、アクセス制御、ユーザー権限、またはアプリの統合に焦点を当てます。しかし、製造業のような業界では、真のリスクはワークフローそのものの内部に潜んでいることが少なくありません。
当社のお客様の中でも最大規模の 1 社は、複数の産業・建設現場にまたがって事業を展開しています。同社の Salesforce 環境は極めて重要なシステムであり、建設ゾーン、工場、顧客施設を訪問する何百人ものモバイルフィールド担当者によって日々利用されています。これらの担当者は、タブレットやスマートフォン（私物デバイスや一時的な会社支給デバイスであるケースが多い）で Salesforce を使用し、以下の業務を行っています：
- 現場の写真や設備の画像をアップロード
- 顧客との同意書・契約書の送信および受信
- 点検・検査ドキュメントの共有
- 社内チームとのコミュニケーション
これこそまさに、Salesforce Field Service が目指す「迅速、柔軟、かつ現場に密着したエンゲージメント」の形です。さらに、Salesforce Agentforce による生成 AI 機能の導入に伴い、生産性は加速する一方です。しかし同時に、攻撃対象領域も拡大しています。
隠れた脅威：現場から届くファイル
このお客様のセキュリティチームは、単に Salesforce のプラグインを探して当社へアプローチしてきたわけではありません。彼らの懸念は、ひとつのシンプルかつ緊急性の高い質問から始まりました：
現場から入ってくるファイルが、当社をリスクに晒していないかをどう確認すればよいか？
「責任共有モデル」のもとでは、Salesforce は自社のインフラストラクチャを保護しますが、アップロードされたファイルが安全であることを保証するのはお客様自身の責任となります。そして、そこにリスクが潜んでいたのです。現場担当者がアップロードしていたのは単なるメモにとどまりません。例えば、以下のようなファイルです：
- PDF や Excel ファイル
- CAD 図面
- スキャンされた契約書
- 高解像度の画像や動画
これらのアップロードの多くは、セキュリティ基準が不明な未管理デバイス、個人所有デバイス（BYOD）、あるいは第三者のデバイスから行われていました。ひとたび Salesforce 内に入ると、それらのファイルは法務、調達、その他の部門間で共有され、結果としてマルウェアが組織内に密かに拡散しやすい状態を作っていたのです。
課題解決から保護へ
単なる製品の売り込みに走るのではなく、当社はまず実世界のリアルなリスクをマッピングすることから始めました：
- 未管理または一時的なデバイスを使用するモバイル担当者
- 検証されていないリッチコンテンツが日々 Salesforce へ流入
- エントリポイント（データ入力時点）におけるファイルの安全性への可視性の欠如
- Agentforce の導入により、コンテンツの流入速度・量がさらに増加する可能性
- 脅威の横展開による社内リスク
解決策は？ Salesforce 内部に構築するネイティブなセキュリティ層でした。
Salesforce 環境内において、あらゆるファイルのアップロードおよびダウンロードをリアルタイムでスキャンすることにより、以下のことを実現しました：
- 担当者の業務スピードを落とさずにファイルのセキュリティギャップを解消
- IT 部門の管理外にあるデバイスへ保護を拡張
- 外部の協力会社が含まれる場合でも監査およびコンプライアンスを支援
何より優れている点は、この対策が既存のワークフローを妨げなかったことです。担当者はこれまで通り Salesforce を使い続けることができました。新しいアプリの導入も、再トレーニングも不要です。平均スキャン時間 1 秒未満という、迅速で透過的な（ユーザーに意識させない）保護が実現したのです。
なぜこれが製造業にとって重要なのか
これは一企業の事例にとどまりません。製造業、物流業、建設業など、モバイルワーカーや業務委託ベースの作業員が Salesforce に依存しているあらゆる業界で、同じ課題が見られます。こうした環境には以下のような特徴があります：
- 一時雇用の労働者や外部委託のアウトソーシング事業者
- 遠隔地の作業現場からのモバイルアップロード
- 部門を跨ぐ複雑なドキュメントワークフロー
チェックを行わないまま放置すると、これらのアップロードは従来の境界型防御を容易に迂回してしまいます。だからこそ、ファイルが実際に着信・格納される場所——すなわち Salesforce の内部にセキュリティを組み込むことが不可欠なのです。
単なる 1 顧客の事例を超えて
時に、脆弱性はコード内ではなく、「正規のユーザーが強力なツールとどのように対話・操作するか」という運用面に存在します。モバイルワークフォースが通常の業務を行っているだけでも、意図せず攻撃の突破口を開いてしまうことがあるのです。そのため、セキュリティはワークフローに従わなければなりません（その逆ではありません）。
今回のケースでは、そのマッピング思考が当社にとって最もインパクトのある導入実績のひとつとなり、現場の営業・現場チームをサポートするための、より安全でスマートなアプローチへと繋がりました。
ご自身の Salesforce 環境でも同様のことが起きていないか気になりませんか？