WithSecure™ Cloud Protection for Salesforce
製造業における保護領域は、もはやエンドポイントの枠を大きく超えています。
ディーラー、サプライヤー、サービスパートナーは、貴社の境界防御を突破するわけではありません。彼らはすでに「内部」にいるのです。保証請求の提出、部品ドキュメントのアップロード、車両登録、サービスリクエストのルーティング……こうした活動がSalesforceを通じて毎日行われています。
このアクセス権は、設計上「正当なもの」です。しかし、アカウントが乗っ取られたり、ポータルの設定に不備があったり、コンテンツに悪意あるペイロードが含まれていた場合、既存のセキュリティ対策では検知できません。既存の対策ツールはSalesforceの「外」に留まっており、脅威が内部で根を下ろしていることに気づけないからです。
サプライチェーンの連携とデジタルパートナーネットワークの構築は、10年前には存在し得なかった新たな攻撃対象領域を生み出しました。
コネクテッド製品、クラウドベースの販売代理店プラットフォーム、そしてデジタルサプライチェーンへの移行は、業界の業務効率を飛躍的に高めました。しかし同時に、あらゆるOEM、販売代理店、ティア1サプライヤー、そしてサービスパートナーを巻き込む「Salesforceを中心とした攻撃対象領域」を生み出しています。
製造業界における一つのSalesforce環境には、顧客・製品記録、保証・請求履歴、シリアル番号や構成データ、さらにはリコールやコンプライアンスキャンペーンに関するデータまでが集約されています。2025年から2026年にかけて、攻撃者が狙ったのはまさにこれらの情報でした。彼らは防壁をこじ開けるのではなく、貴社のチームが既に信頼している「販売代理店」や「サプライヤー」になりすまし、正面玄関から侵入したのです。
2026年度版 Salesforce 脅威ランドスケープレポートを入手
Salesforceのプラットフォームなら安心 – そう考えるのは早計かもしれません。当社の「2026年度版 Salesforce 脅威ランドスケープレポート」が示す数値は、金融業界におけるセキュリティの自己防衛が不可欠であることを物語っています。
世界中のエンタープライズ企業から厚い信頼を獲得
Rolls-Royce & Partners Finance
“ユーザーがアクセスするすべてのファイルとリンクは、即座にスキャンされ、安全であることが保証されています。これにより、コンプライアンスの実現と、何にも代えがたい安心の両方を手に入れることができます”
Rolls-Royce & Partners Finance
ABN AMRO Insurances
“導入してすぐのことでした。Clound Protection が検知・隔離したファイルを解析したところ、本物のウイルスであることが判明しました”
Roel van de Donk, リードプロダクトオーナー
AXA Group Operations
“WithSecure Cloud Protectionのソリューションは、バックグラウンドで静かに動作します。作業の邪魔になることはありませんが、Salesforceを通過するすべてのデータが安全であることを確信させてくれます”
Xavier Léon, 再保険事業アプリケーション部門長
これらの攻撃に、高度な技術など必要ありません。彼らは、あなたが既に許可している「アクセス権」を悪用するだけです。では、あなたのネットワークで、その権限を有しているパートナーの数をご存じですか？
2025年から2026年にかけて、攻撃者は製造オペレーションに接続されたSalesforceエコシステムを執拗に標的にしました。ここで悪用されたのは、プラットフォームそのものの脆弱性ではありません。既存のセキュリティ対策が検知に失敗した「ソーシャルエンジニアリング」と「設定不備」を突く攻撃です。なぜ、防げなかったのでしょうか？ それは、攻撃者が「正当なアクセス経路」を悪用したからです。
ディーラー・パートナーへのなりすまし対策
攻撃者は、認証情報の窃取やフィッシングによってパートナーアカウントやその他のアカウントを乗っ取り、その正当なアクセス権限を悪用して、検知されることなくSalesforceのワークフローを操作しました。その活動は通常の操作のように見えたため、アラートは発動しませんでした。攻撃者がアクセスしたデータは、まさに彼らが狙っていたものでした。
Experience Cloudポータルの設定ミス
ディストリビューター向けポータルサイトのゲストユーザーの設定ミスのため、認証なしに機密データが公開されてしまいました。これは稀な例外事例ではなく、製造業界におけるSalesforceの導入環境では常態化している問題です。こうした環境では、セキュリティ上の監督なしに運用チームがポータルを設定することが多いためです。
サプライヤーのワークフローを経由した悪意のあるコンテンツ
サプライヤーやサービスパートナーは、部品資料、サービス記録、適合証明書などのファイルをSalesforceに直接送信します。これらのファイルはスキャンされません。サプライヤーの文書に埋め込まれた悪意のあるペイロードが信頼できるチャネルを通じて届き、従業員によって開かれると、Salesforceは管理対象のデバイス上にはないため、エンドポイントセキュリティを迂回してしまいます。
自動車産業や製造業におけるセキュリティの隙間には、この業界特有の「構造」が存在しています。
貴社の流通網・パートナーネットワークこそが、最大の攻撃対象領域
あるOEM企業のSalesforce環境にアクセスするのは、主に社内スタッフではなく、数千社に及ぶ認定販売代理店やチャネルパートナーです。各社には独自のスタッフ、独自のデバイス、そして独自のセキュリティ体制があります。侵害された販売代理店の認証情報は、正当なものと見分けがつきません。Salesforce側では認証済みのユーザーとして認識されますが、セキュリティシステム側では何も検知できないのです。
サプライヤーポータルに潜む死角 – 見えないコンテンツが招くリスク
Tier 1 / Tier 2のサプライヤーは、部品資料、技術認証書、コンプライアンス記録、サービスデータを、貴社のSalesforce環境に直接アップロードします。これらのデータは、悪意のあるコンテンツがないかスキャンされることはありません。侵害されたサプライヤーアカウントや、信頼できない送信元から意図的に送信された悪意のあるファイルが、貴社のツールが本質的に安全であると見なしているチャネルを通じて侵入してしまいます。
車両データと顧客データが、無防備なまま放置されています
顧客レコード、製品の運用データ、シリアル番号および保証履歴、リコールキャンペーン情報は、GDPR、CCPA、UNECEといった特定の規制上の義務を負うSalesforceのワークフローに集約されています。Salesforceには、これらのデータ侵害を引き起こす可能性のある脅威を検知するためのネイティブなコンテンツ検査機能や、侵害が発生した際に開示期限を満たすために必要なアラート機能は備わっていません。
ディーラーやサプライヤーネットワークのあらゆる接続点が、潜在的な攻撃経路です
これらは、営業、サービス、および運用チームが日常業務で頼りにしているワークフローです：
- ディストリビューター・パートナーポータル 毎日数千ものディーラーが注文、書類提出、価格情報へのアクセスを行っています。乗っ取られたディーラーのアカウントや、ポータル経由で提出された悪意あるファイルは、「信頼できるチャネル」として貴社の環境に直接入り込みます。
- 保証請求とサービス記録 ディーラーやサービスパートナーは、証憑書類をSalesforceの保証ワークフローへ直接アップロードします。これらのファイルは外部デバイスから持ち込まれ、貴社のチームに届くまでに、コンテンツレベルの検査が一切行われていません。
- サプライヤーおよび部品関連ドキュメント Tier 1・Tier 2サプライヤーは、技術資料やコンプライアンス証明書をSalesforceへ提出します。これらのファイルには、エンドポイントのセキュリティ制御を完全にすり抜けるマルウェアが潜んでいる可能性があります。
- リコールおよび製品キャンペーン管理 リコール対応時は、サービスパートナーや顧客から大量のデータが提出されます。迅速な処理が求められるこの緊迫した状況こそ、攻撃者が最も狙う「隙」となります。
- 価格、マージン、商談データ Salesforceには、ディーラー網と共有される価格協定、利益構造、商談条件などの機密情報が格納されています。これらは競合他社によるデータ窃取の標的であり、ディーラー権限を持つすべてのアカウントからアクセス可能です。
- 顧客および製品ポータル コネクテッドカーのオーナーは、Salesforce Experience Cloud上に構築されたポータルを介してブランドと対話します。顧客がこれらのチャネルを通じて送信するリンクやファイルは検査されないまま、直接従業員の環境へ到達します。
- Agentforceによるパートナー・顧客コンテンツ処理 保証クエリのトリアージやサービスリクエストのルーティングをAIエージェント（Agentforce）に任せている場合、AIは受信したコンテンツをそのまま処理します。ここにも、内容に対するネイティブな検査機能は存在しません。
Salesforceの守りを完成させる、不可欠なセキュリティレイヤー
悪意のあるファイル、URLを悪用した攻撃、IDの不正利用、AIエージェントによるリスクを、ビジネスの継続性を脅かす前にリアルタイムで阻止します。 フォーチュン500企業や世界中の政府機関から信頼されています。
マルウェア保護
悪意あるファイルの阻止
URL 保護
悪意あるリンクを、完全に遮断
アイデンティ保護
Salesforceユーザーを、巧妙ななりすましから保護
Agentforceの保護
AIエージェントを、あらゆる攻撃から保護
QR コード保護
QRコードによる脅威を阻止
規制対応の期限は目前です。侵害による損失は、日々増大しています
製造業において、Salesforceのセキュリティ侵害がもたらす影響は、規制当局からの罰金という枠組みを遥かに超えます。オペレーションの停止、サプライチェーンの露呈、リコール対応プロセスの乗っ取り、そして何より、製造ブランドに対する顧客の信頼失墜。これらは極めて深刻であり、その爪痕は長期間にわたって貴社のビジネスに影響を及ぼします。
以下に、要件がSalesforce特有のリスクとどのように関連しているか、およびCloud Protectionがそれぞれのリスクに対してどのような対策を講じているかを示します。
アメリカ合衆国
CCPA / 州のプライバシー法
要件：カリフォルニア州在住者からコネクテッドカーのデータ、運転行動情報、または顧客記録を収集する自動車メーカーは、データセキュリティ義務や情報漏洩通知要件を含むCCPAを遵守する必要があります。
Salesforceにおけるリスク：Salesforceのサービスおよびディーラー向けワークフローに含まれるコネクテッドカーデータや顧客データは、CCPAの適用対象となります。ディーラーポータルやサプライヤーからの送信経路を介した情報漏洩が発生した場合、警告なしにデータが流出する恐れがあり、どの顧客が影響を受けたかを特定するために必要な可視性も得られません。
当社の支援内容：Salesforceワークフロー内のCCPA規制対象データを保護するために必要なコンテンツ検査およびID監視機能を追加し、侵害の評価と通知スケジュールを支援するリアルタイムアラートを提供します。
FedRAMP / DFARS（防衛および政府車両契約向け）
要件：米国政府または防衛関連の契約を持つ自動車および製造企業は、サプライチェーンのリスク管理やインシデント報告を含む、FedRAMPおよびDFARSのサイバーセキュリティ要件に準拠する必要があります。
Salesforceのリスク：政府契約データ、技術文書、またはサプライチェーン関連の提出物を扱うSalesforceワークフローは、FedRAMP準拠のセキュリティアーキテクチャの大部分の範囲外にあります。サードパーティサプライヤーのコンテンツは、検査されずに流入します。
当社の支援内容：SalesforceワークフローをFedRAMPおよびDFARSのサプライチェーンサイバーセキュリティ要件に準拠させるために必要な、コンテンツ検査と継続的な監視を提供します。
ヨーロッパ連合（EU）
GDPRの要件：運転記録、コネクテッドカーのデータ、顧客サービスの履歴など、EUの個人データを処理する自動車企業は、不正アクセスからデータを保護し、侵害が発生した場合は72時間以内に監督当局に通知しなければなりません。Salesforceのリスク：Salesforceのディーラーおよびサービスワークフローに保存されている運転者データ、テレマティクス記録、顧客情報は、GDPRの適用対象となります。ディーラーアカウントの侵害や悪意のあるサプライヤーファイルによる侵害が発生した場合、Salesforceにはネイティブなアラート機能がなく、影響を受けたレコードを迅速に特定する仕組みもないため、これらのデータが漏洩するリスクがあります。当社の支援内容：Salesforce内でのリアルタイム脅威検知により、不正アクセスが発生またはブロックされたことを即座に把握できます。これにより、チームはGDPRの通知義務を正確に評価し、72時間以内に通知を行うために必要な可視性を得ることができます。
NIS2指令
要件：NIS2は、重要または不可欠と分類される製造事業者に適用され、リスクに見合った管理、サプライチェーンのセキュリティ対策、および検知後24時間以内のインシデント報告を義務付けています。
Salesforceのリスク：対象となる自動車メーカーにとって、Salesforceは重要な業務システムであると同時に、サプライチェーン上のリスクベクトルでもあります。サプライヤーおよびディーラーポータルへのアクセスは、NIS2の下で多くの組織が正式に対処していない、未検査のサードパーティリスクチャネルとなっています。
当社の支援内容： 接続されたディーラーおよびサプライヤーポータルからのコンテンツを検査することでサプライチェーンのICTリスクを低減し、NIS2の24時間報告要件の基盤となる検知機能を提供します。
UNECE WP.29 / ISO/SAE 21434
要件：UNECE WP.29は、OEMに対し、サプライチェーンを含む車両のライフサイクル全体を網羅するサイバーセキュリティ管理システム（CSMS）の導入を義務付けています。ISO/SAE 21434は、自動車サイバーセキュリティリスク管理のための技術基準を規定しています。
Salesforceのリスク：車両データ、サプライヤーからの提出物、リコールキャンペーン情報を扱うSalesforceのワークフローは、WP.29および21434が対象とする自動車サイバーセキュリティの境界の一部です。これらのワークフローを通過するコンテンツは、CSMSの文書化において考慮すべき、未検査のサイバーセキュリティリスクとなります。
当社の支援内容：WP.29に準拠したCSMS内でSalesforce特有のサイバーセキュリティリスクに対処するために必要なコンテンツ検査および監視機能を提供するとともに、21434のリスク管理文書化を支援するために必要な監査可視性を提供します。
オーストラリア
プライバシー法／報告義務のあるデータ漏洩／IRAP
要件：オーストラリアで事業を展開し、個人情報を保有する自動車関連企業は、報告義務のあるデータ漏洩が発生した場合、可能な限り速やかにOAICおよび影響を受けた個人に通知しなければなりません。政府との契約が関与する場合は、IRAP評価が適用されます。
Salesforceのリスク：Salesforceのディーラーおよびサービスワークフローに含まれる顧客データおよびドライバーデータは、報告義務のあるデータ漏洩スキームの対象となります。侵害されたディーラーアカウントを介した漏洩については、専用のSalesforce監視システムがなければ、その範囲を特定することが困難な場合があります。
当社の支援内容：Salesforceにおける報告義務のあるデータ漏洩を特定し、影響を受けたレコードの範囲を把握し、OAICへの適時な通知を支援するために必要な検出および監査機能を提供します。
イギリス
英国GDPR／NCSCサイバー評価フレームワーク
要件：英国の個人データを処理する自動車企業は、データ侵害発生後72時間以内にICO（情報コミッショナー事務局）へ報告しなければなりません。重要国家インフラに隣接するメーカーは、サプライチェーンのセキュリティを含め、NCSC CAF（サイバー評価フレームワーク）の評価要件の対象となる可能性があります。
Salesforceのリスク：Salesforceのディーラーワークフローに含まれる英国の顧客データおよび車両記録は、英国GDPRのデータ漏洩通知の対象となります。CAFのサプライチェーン要件は、自動車業界におけるSalesforce導入で一般的な、ディーラーおよびサプライヤー向けポータルのアクセスモデルに直接適用されます。
当社の支援内容：英国GDPRコンプライアンスに向けたSalesforceコンテンツの検査におけるギャップを解消し、ディーラーおよびサプライヤーから送信されるコンテンツを監視することで、NCSC CAFに基づくサプライチェーンのリスク管理義務を支援します。
コンプライアンスへの取り組み
POC（概念実証）プロセスにおいて、必要な証明書や情報を提供し、お客様やステークホルダーに安心していただけるよう対応いたします。詳細なドキュメントは、Trust Centerを参照ください。
ISAE 3000 Type 2
WithSecure™ Cloud Protection for Salesforceは、ISAE 3000 Type 2（SOC2 Type 2の国際同等基準）保証報告書を取得済みであり、お客様のデータが安全に管理されていることを証明します。
ISO 27001
ウィズセキュアは、ISO 27001認証を取得しており、厳格なデータセキュリティ対策を実施しています。この国際的に権威のある認証は、最高レベルの情報セキュリティ基準への準拠を証明するものです。
GDPR
ウィズセキュアは、一般データ保護規則（GDPR）の要件に準拠できるよう企業を支援し、欧州連合の市民の個人データを安全に管理できる環境を提供します。
SecurityScoreCard
また、ウィズセキュアは SecurityScoreCardにおいて、サイバーセキュリティベンダーとして最高評価を獲得しています。この評価は、リスク軽減やインシデント対応速度を含む10の主要なセキュリティ要素に基づいています。
デモのご予約
今すぐ始める Salesforce セキュリティ対策
高いコンプライアンスが求められる業界向けに最適化された認証取得済みソリューションが、金融、医療、公共部門を含むグローバル企業のSalesforce製品を保護します。
フォームにご記入の上、送信してください：
無料15日間トライアル
Salesforce環境のコンテンツリスク診断の無料診断レポート
デモやソリューションのコンサルテーション
セットアップ・設定に関する専門家のサポート