FedRAMP / FISMA / NIST SP 800-53

要件：連邦政府機関および契約業者は、クラウド導入をFedRAMPの認可およびFISMAで義務付けられた管理措置（継続的監視、アクセス制御、インシデント対応など）に準拠させなければなりません。FedRAMP High、IRS 1075、DoDインパクトレベルなどの任務固有の認可は、該当する場合に適用されます。

Salesforceのリスク：Salesforceのワークフローを通過するファイルやURL（市民から提出されたコンテンツを含む）は、ほとんどのFedRAMP準拠アーキテクチャの適用範囲外にあります。これらは検査を受けずに環境に入り、安全かどうかを確認する手段を持たないスタッフによって処理されます。

当社の支援内容： Salesforceでのコンテンツ処理を、FedRAMPの継続的監視およびNIST SP 800-53の制御要件の範囲内に組み込むために必要な、リアルタイムスキャンと監査ログ機能を提供します。

IRS Publication 1075 / FTI 保護対策

要件：Salesforceワークフローで連邦税務情報（FTI）を扱う場合、IRS Publication 1075は、FTIに対するアクセス、インシデント検出、および報告に関する厳格な制御を要求しています。

Salesforceのリスク：Salesforceの入力フォームを通じて送信された、またはケースに保存されたFTIは、ネイティブには脅威の検査が行われません。侵害が発生した場合、厳しい報告および是正措置の義務が生じます。

当社の支援内容：FTIを処理するSalesforce環境に必要なコンテンツ検査とID監視機能を追加し、セーフガードのインシデント報告期限を遵守できるようリアルタイムのアラート機能を提供します。

CJISセキュリティポリシー

要件：Salesforceを通じて刑事司法情報を扱う機関は、アクセス制御、監査、インシデント対応を含むFBIのCJISセキュリティポリシーに準拠する必要があります。

Salesforceのリスク：刑事司法情報に接触する外部向けのケース管理およびポータルワークフローは、Salesforceの標準的な制御では対処できないアクセスおよびコンテンツのリスクを生み出します。

当社の支援内容：Salesforce環境内でのCJISアクセス制御および監査要件をサポートするため、IDモニタリングとコンテンツ検査を提供します。

GC PBMM プロファイル / クラウド・ガードレール / GC クラウド・セキュリティ・リスク管理

要件：カナダ政府によるクラウド導入は、Protected B、Medium Integrity、Medium Availability（PBMM）クラウド・プロファイルに準拠し、継続的な監視、インシデント管理、機密性の高いワークロードの保護を含む GC クラウド・ガードレールを満たす必要があります。

Salesforceのリスク：給付、健康、ケース情報などの機密性の高い構成員データが、一般公開されているSalesforceポータルを通じて処理される際、不正アクセスや情報漏洩につながる可能性のある脅威に対する検査が行われていない。

当社の支援内容：Protected B情報を処理するSalesforce環境に必要なコンテンツ検査および監視機能を追加し、GCガードレールの要件およびインシデント管理の義務を支援します。

PSPF / ASD ISM / Essential Eight / IRAP

要件：オーストラリア政府機関は、PSPF、ASDの情報セキュリティマニュアル、およびEssential Eightに準拠した管理措置を実施しなければなりません。IRAP評価は、政府向けクラウドサービスの主要な保証メカニズムです。Salesforceは、PROTECTEDレベルの管理措置に基づく2025年版IRAP評価を完了しました。

Salesforceのリスク：IRAP評価はプラットフォームを対象としています。プラットフォームを通過するコンテンツは対象外です。市民やプロバイダーが一般向けポータルを通じて送信するファイルやURLは、デフォルトでは検査されません。ISMの悪意のあるコード防止およびWebコンテンツフィルタリングの制御は、このギャップに直接適用されます。

当社の支援内容：ISMが要求する悪意のあるコード防止およびURLフィルタリング機能を提供し、PROTECTEDレベルの情報を保持するSalesforce環境全体において、IRAPの証拠およびEssential Eightの成熟度をサポートします。

GDPR / NIS2

要件：NIS2は、中央および地方レベルの行政機関を明確に対象としており、リスクに応じた管理、サプライチェーンのセキュリティ、および検知後24時間以内のインシデント報告を義務付けています。

Salesforceのリスク：EUのほとんどの公的機関にとって、Salesforceは重要な情報システムです。市民は絶えずこのシステムを通じてコンテンツを送信しています。そのコンテンツは、NIS2の下でほとんどの組織が正式に対処していない、未検査のICTリスク経路となっています。

当社の支援内容：SalesforceのワークフローにおけるICTリスクを低減し、サードパーティから送信されたコンテンツを検査することでサプライチェーンリスクに関する義務を支援し、NIS2の報告期限を満たすための検知機能を提供します。

日本 ISMAP / ニュージーランド PSR / NZISM

要件：ISMAPは、日本の政府調達に向けたクラウドサービスの事前評価を実施しています。ニュージーランドの政府機関は、政府の情報およびシステムを保護するため、「保護セキュリティ要件（PSR）」および「NZISM」に基づいて運用を行っています。

Salesforceのリスク：プラットフォームレベルの保証は、コンテンツセキュリティには及びません。市民やプロバイダーがSalesforceポータルを通じて送信するファイルやURLは、プラットフォームの評価範囲外となるため、各政府機関が対応する必要があります。

当社の支援内容：外部由来のコンテンツを処理する政府情報システムに対し、ISMAPおよびNZISMの管理要件が求めるコンテンツ検査およびインシデント検知機能を提供します。

GDPR / 2018年データ保護法 / NCSC CAF

要件：英国の公的機関は、個人データを保護し、侵害を迅速に検知し、72時間以内に情報コミッショナー事務局（ICO）に報告しなければなりません。NCSC CAFでは、適切なセキュリティ対策、インシデント検知能力、およびサプライチェーンのリスク管理が求められます。

Salesforceのリスク：設定ミスのあるポータルや、Salesforceコミュニティサイトを通じて送信された悪意のあるファイルにより、ネイティブなアラート機能がないまま構成員のデータが漏洩する可能性があります。これが発見された時点では、72時間の通知期限がすでに過ぎている可能性があります。

当社の支援内容：Salesforce内でのリアルタイムな脅威検知と監査可視性により、調査が必要な事態が発生した際に即座に把握できます。これにより、チームはICOへの通知義務を正確かつ期限内に履行するために必要な情報を得ることができます。