本ガイドでは、Salesforceの標準機能を活用してアイデンティティセキュリティを強化する方法と、Salesforceの標準機能だけではカバーできない領域（資格情報の流出を継続的に検知し、攻撃者に悪用される前に侵害されたユーザーを特定するアプローチ）をWithSecure Cloud Protection for Salesforceがどのように補完するのかを解説します。
なぜSalesforceにおいて独立したアイデンティティ戦略が必要なのか
現代のSalesforceにおける不正侵入のほとんどは、ソフトウェアの脆弱性を突くことから始まるのではありません。正当なアクセス権の悪用から始まります。
攻撃者はパスワードを盗み出し、OAuthトークンを収集し、あるいはシステム管理者を騙してトロイの木馬化された管理ツールをインストールさせます。その後、一見正常に見える正当なUI操作やAPIコールを用いて、環境の内部から活動を開始します。攻撃者が「正当なユーザー」として振る舞うため、検知は遅れ、被害は拡大していくのです。
2025年の『Verizonデータ侵害調査レポート（DBIR）』によると、資格情報の侵害はクラウドにおけるデータ侵害の依然として主要な原因の1つであり、世界中のインシデントの22%に関与しています。
Salesforceにおいて、このリスクはさらに跳ね上がります。企業のアイデンティティ監視の枠外にあるコミュニティポータルや連携アプリを介して、パートナー、サプライヤー、顧客などの外部ユーザーがログインする場合です。
従来のSalesforceのセキュリティ機能は「ユーザーがどのようにログインするか」を制御しますが、「その資格情報がすでに他所で盗まれたり、使い回されたりしていないか」までは監視しません。 これこそが、攻撃者が狙う「サイレントな弱点」です。実際、IBMのレポートでも、資格情報の侵害はデータ侵害におけるトップ3の攻撃ベクター（経路）の1つとして挙げられています。
重要なのは、アイデンティティをセキュリティの「テレメトリ」として扱うべきだという点です。これは可視性を確保すること、すなわち「誰がログインしているのか」「トークンがどのように使用されているのか」「外部のデータ漏洩事件で資格情報が流出していないか」を把握することから始まります。これにより、ユーザーの資格情報を「サイレントな障害点」から「早期検知のシグナル」へと転換することができます。
この脅威の全体像を念頭に置き、まずはSalesforceの基礎となるセキュリティを堅牢化しましょう。その上で、より高度なモニタリング、連携アプリの衛生管理、そして資格情報の流出検知を重ねることで、攻撃者が悪用する死角をなくしていくことができます。
1. Salesforce標準のアイデンティティ基盤の強化
Salesforceは、認証とアクセス制御のための複数の組み込みツールを提供しています。まずはこれらを正しく設定し、不正ログインの可能性を低減させましょう。
多要素認証（MFA）
MFAは、パスワードに加えて2つ目の検証ステップを追加する必須の対策です。Salesforceは組織全体でのMFA強制オプションを提供しており、認証アプリやセキュリティキーを含む多様な検証方法をサポートしています。MFAの適用は、Salesforceレベルで強制することも、SSO（シングルサインオン）用のIdP（アイデンティティプロバイダー）を介して一元的に強制することも可能です。Experience Cloudなどのコミュニティユーザーに対しては、SSOを必須にするか、可能な限りMFAを構成してください。実際の挙動は、これらの外部ユーザーがどのように管理されているかによって異なります。
詳細については、Salesforceの多要素認証の概要および組織全体のMFA設定ガイドをご覧ください。
シングルサインオン（SSO）とアイデンティティプロバイダー
Salesforceを企業のアイデンティティプロバイダー（IdP）と統合し、認証を一元化します。安全な連携のためにSAMLやOpenID Connectを使用してください。
一元化されたポリシーにより、クラウドシステム全体でパスワードの複雑性、セッション制限、ロックアウトルールを容易に適用できます。
詳細については、Salesforce Identityの概要をご覧ください。
2. Experience Cloudおよび外部ユーザーの保護
外部ユーザーやコミュニティユーザーは、社内従業員とは異なるアイデンティティルールが適用されていることが多く、これがリスクを増大させます。
こうしたコミュニティユーザーは、多くの場合、認証を含む企業のID・アクセス管理システムの適用範囲外にある顧客、パートナー、サプライヤー、および契約業者です。パスワードを含むアカウントの認証情報が流用され、他の場所（例えば、消費者向けプラットフォームのセキュリティ侵害など）で漏洩した場合、攻撃者はそれらを再利用して、Salesforce内で信頼できるパートナーや顧客になりすます可能性があります。また、業務で使用する主要な企業アカウント以外のユーザーアカウントについては、個人の警戒心が緩みがちになる場合もあります。
リスクを最小限に抑えるためには、外部ユーザーには最小限の役割と権限のみを付与する必要があります。自己登録機能は、使用されていない場合は無効にしてください。可能であれば、多要素認証（MFA）を適用してください。放置されたアカウントや非アクティブなアカウントは定期的に無効化してください。認証情報の漏洩を監視してください（これについては、以下の#5で詳しく説明します）。
ガイド：外部ユーザーの管理 および 外部ユーザーに他のアカウントを管理する権限を付与する。
外部アカウントは、自社のアイデンティティの境界線をエコシステム全体へと拡張します。攻撃者がこれらの外部アイデンティティを標的にするとき、彼らはすでに皆様の信頼されたネットワークの内側に潜り込んでいるのです。
3. イベントモニタリングによる監視と調査
MFAやSSOを導入していても、アイデンティティへの脅威は設定ベースの防御をすり抜けてくることがあります
Salesforceの「イベントモニタリング」は、ログイン後に何が起きたか（ユーザーの行動、APIの使用状況、データの不審なエクスポートなど）を詳細に可視化します。
警戒すべき兆候：
- 普段とは異なる不審な地域・国からのログイン
- 大量、または予期しないタイミングでのデータエクスポート
- 異常なAPIの使用、またはMFA検証の連続した失敗
リアルタイムのイベントモニタリング（またはSalesforce Shield）を有効化し、これらのイベントをSIEM（セキュリティ情報イベント管理）にストリーミングして相関分析やアラート通知を行うことを推奨します。
モニタリングにより、認証は単なる静的な制御手段から、行動につなげられる継続的な知見へと変わります。
参考情報：イベントモニタリングの概要 および イベントモニタリングへのアクセスを有効にする
4. 連携アイデンティティとインテグレーションユーザーの管理
統合アカウントの認証は、通常、対話型UIによる多要素認証（MFA）ではなく、OAuthまたはAPIトークンを介して行われます。これらのアカウントを保護するには、専用の統合ユーザーを使用し、OAuthスコープを制限し、トークンの有効期間とリフレッシュトークンのローテーションを適用し、接続するアプリに対して管理者の承認を必須とする必要があります。
各統合に独自の Salesforce ユーザーアカウントを割り当ててください。プロファイルと権限セットを使用して、最小権限の原則に基づいた権限設定を行ってください。
トークンの有効期限を厳守し、統合が廃止された際にはトークンを無効化してください。
新しい接続アプリの承認前に管理者の審査を義務付け、OAuth スコープを必要最小限に制限してください。
Salesforceの参考資料：すべてのユーザーに対するAPIアクセス制御。
より実践的な事例については、Salesforceにおける接続済みアプリおよびOAuth接続のセキュリティ対策を参照してください。
セキュリティが侵害された統合ユーザーは、システム間でデータを密かに移動させる可能性があります。これらを適切に保護することで、Salesforceエコシステム全体の信頼性を維持できます。
5. 設定の先へ：流出した資格情報を早期に検知する
Salesforceの標準のセキュリティツールは、ユーザーのメールアドレスやパスワードが「サードパーティのデータ漏洩事件」で外部に流出しているかどうかまでは見ることができません。しかし、攻撃者はそれを見ベースに攻撃を仕掛けてきます。
Salesforceにおいて、たった1つのログイン情報が突破されるだけで、顧客データ、機密性の高いビジネスプロセス、そして連携された社内システムへのアクセス権がすべて奪われるリスクがあります。
WithSecure Cloud Protection for Salesforceは、その「アイデンティティ保護（Identity Protection）」機能により、この重大なリスクに対する早期警戒（アラート）を提供します。
アイデンティ保護は、Salesforceの社内およびコミュニティユーザーを対象に、世界的な情報漏洩インテリジェンスフィードと照合を行い、攻撃者が再利用する前に新たに流出した認証情報を検知します。
スキャンは自動的に実行され、リスクのあるアカウントにフラグを立てるとともに、監査やコンプライアンス報告のためにすべての検知結果をログに記録します。
これにより、Salesforceの認証フレームワークに脅威インテリジェンスに基づく層が追加され、認証情報の流出やID関連のリスクを継続的に把握できるようになります。
その重要性：MFAやパスワードポリシーといった基本対策はプラットフォームを保護します。
アイデンティ保護は、認証情報に基づく詐欺、なりすまし、サプライチェーンの悪用からビジネスを保護します。これらは、たった1つのユーザーアカウントが侵害されたことから連鎖的に発生する可能性があります。
Salesforceアイデンティティ堅牢化のための実践チェックリスト
以下は、すべてのSalesforce環境で今すぐ実施すべき基本要件と、高度化する脅威環境に備えるための高度な対策を組み合わせたチェックリストです。
セキュリティ対策もそれに遅れをとらないようにする必要があります
このチェックリストには、すべてのSalesforce環境に必須の要素と、脅威の動向に備えるための対策がまとめられています。
認証とアクセス制御
- 従業員、パートナー、コミュニティユーザーを含む、すべてのログイン経路に対してMFAを強制しているか
- SSOと信頼できるアイデンティティプロバイダーを用いて認証を一元化しているか
- ログインIP範囲やセッションポリシーを設定し、見覚えのないネットワークからのアクセスを制限しているか
- 権限セットを定期的に監査し、不要なシステム管理者権限（特権）を削除しているか
外部ユーザーおよびコミュニティユーザー
- Experience Cloudおよびパートナーアカウントをすべてレビューし、棚卸しを行っているか
- 使用していない自己登録機能を無効化し、不要になったアカウントや孤立したユーザーを無効化しているか
- 外部アカウントに対しても、可能な限りMFAを適用しているか
接続アプリとシステム連携
- 新しい接続アプリを承認する際、管理者のレビューと承認を必須にしているか
- 各アプリに固有のインテグレーションユーザーを割り当て、最小特権の原則を適用しているか
- OAuthスコープを制限し、アプリ廃止時にはトークンの有効期限切れ、または失効処理を徹底しているか
- 接続アプリ、インテグレーションユーザー、有効なトークンのインベントリ（台帳）を最新の状態に維持しているか
- 不審なアクティビティが検知された際、トークンやアプリを即座に失効させる明確なプロセスを確立しているか
監視とインシデントレスポンス
- Salesforce Event Monitoringを活用し、異常なログイン、データエクスポート、APIアクティビティを検知できる体制があるか
- Event MonitoringをSIEMやSOCと統合し、リアルタイムでのアラート通知と分析を行っているか
- コンプライアンスと追跡可能性を確保するため、検知ログや管理者の操作ログの監査証跡（ audit trail）を維持しているか
- インシデント発生後、権限、接続アプリ、インテグレーション（システム連携）用トークンの再レビューを行うプロセスがあるか
資格情報の流出検知
- WithSecure Identity Protectionによる継続的な資格情報流出スキャンを有効化し、侵害されたユーザーアカウントを早期に検知できる仕組みを導入しているか
アイデンティティ ＝ 信頼
Salesforceにおけるすべてのログインは、システムがユーザーを「信頼」する瞬間です。その信頼を維持するためには、可視性、厳格な統制、そして継続的な注意が求められます。
インターネット上で発生する、自社ユーザーの資格情報漏洩をすべて未然に防ぐことは不可能です。しかし、「漏洩した資格情報が、自社のSalesforce環境でそのまま使えてしまう状態」を放置するかどうかは、皆様自身でコントロールできます。
攻撃者が行動を起こす前に、流出した資格情報をWithSecure Cloud Protection for Salesforceで検知する方法をぜひご確認ください。