Salesforce を利用するすべての人にとって極めて重要なテーマ、「セキュリティ」について話し合いましょう。退屈で複雑な技術論ではなく、今日 Salesforce 上でデータを保護することがビジネスにおいて何を意味するのか、その現実的な影響について触れていきます。
25 年以上前に Salesforce が初めて登場したときのことを覚えていますか？彼らは単にソフトウェアを販売していたのではありません。「インターネットという仕組みを通じて、御社の顧客データを当社に任せてみませんか」という、当時としては非常に大胆で先進的な提案を企業に投げかけていたのです。
その根幹にある「信頼」へのニーズは、現在も変わっていません。むしろ、ビジネスのより多くの部分がクラウドへ移行した今日、その重要性は増す一方です。導入にあたっては、企業レベルの要件を満たした認証済みのソリューションのみを採用することが不可欠です。
複雑化する規制の迷宮をナビゲートする
規制環境は、控えめに言ってもかなり「複雑」になっています。クラウド固有の規制自体は多くないものの、GDPR、CCPA、オーストラリアのプライバシー法、および世界各国の同様の法律による影響を私たちは日々実感しています。
興味深いのは、これらの規制が実際にイノベーションを推進しているという点です。データレジデンシーの選択肢、ローカルデータセンターの設置、クロスボーダーデータ転送の円滑化など、クラウドプロバイダーはより高い標準を満たすためにサービスを絶えず進化させています。
また、採用するサイバーセキュリティベンダーが、ISO27001 や ISAE3000 Type 2（SOC2 Type 2） などの主要な最高水準の認証を取得しているかを必ず確認してください。
問題が発生した際（「もしも」ではなく「起きた時」）のサイバーレジリエンス
現実を直視しましょう。サイバーインシデントは発生します。「起きるかどうか」ではなく「いつ起きるか」の問題です。だからこそ、サイバーレジリエンス（回復力・適応力）が非常に重要になります。
レジリエンスとは、サイバー上の問題に直面した場合でもビジネスを継続できる能力を指します。事前の準備、問題の迅速な検知、効果的な対応、スムーズな復旧、そして次回に向けた改善・適応という一連のプロセスが重要です。
そして、導入しているサイバーセキュリティソリューションが、クラウド環境内のコンテンツアクティビティに対する完全な可視性（Visibility）を提供しているか確認してください。これがなければ、いざ問題が発生した際に「盲目状態で飛行する」ことになってしまいます。
誰が何を責任持つのか？ クラウドセキュリティの役割分担
クラウドセキュリティにおける最大の誤解の 1 つは、「誰が何を管理・担当するのか」という点です。これは完全な委任ではなく、パートナーシップです：
- Salesforce の責任: クラウド自体のセキュリティ（インフラ、データセンター、プラットフォームのセキュリティ）
- お客様の責任: クラウド内部のセキュリティ（ユーザーアクセス、設定、データ保護、マルウェア・フィッシング対策）
問題は、多くの組織が「クラウドへ移行すれば、すべてのセキュリティ責任がプロバイダーに移転する」と誤解している点です。これは事実ではなく、この誤解が危険なセキュリティホールを生み出します。
さらに勿体無いのは、多くの組織がすでに費用を支払っているセキュリティ機能を十分に活用していないことです。イベントモニタリング、暗号化オプション、マルウェア／フィッシングスキャン機能、ログ分析といったツールが、使われないまま放置されているケースが多々見受けられます。
AI（人工知能）：両刃の剣
AI はセキュリティの世界のすべてを変えつつあります。一方で AI は、脅威をより素早く検知し、正確に対応し、少ない人員でより広範な領域をカバーできるよう、セキュリティチームに圧倒的な力を与えてくれます。当社のようなサイバーセキュリティ企業も、2006 年に自動分析を開始して以来、AI の活用を拡大し続けています。
しかし、その裏にはリスクも存在します：
- AI は学習データに含まれるバイアスを増幅させる可能性がある
- 大規模なデータセットを扱う場合、データプライバシーの制御が難しくなる
- 攻撃者が敵対的生成手法（Adversarial Techniques）を用いて AI システムを欺く可能性がある
- ディープフェイクにより、本人確認や真偽の検証がこれまで以上に困難になる
- AI が重要な意思決定を行う際に倫理的な問題が生じる
重要なのは、AI の恩恵を活用しつつ、これらのリスクを注意深く管理するというバランスを見つけることです。
業界ごとの異なる課題
金融サービス、医療、公共セクターに携わっている方であれば、コンプライアンスの負担が特に重いことを実感されているはずです。地域ごとに固有の要件が存在し、オーストラリアの IRAP、米国の FedRAMP、ドイツの C5、日本の ISMAP などが挙げられます。
興味深いことに、これらの厳しく規制された業界ほど「シャドー AI」の利用が見られる傾向があります。従業員が生産性を高めるために、公式な承認チャネルを回避して個人で AI ツールを使用してしまうのです。このことは、明確なポリシーの策定と教育がいかに重要であるかを物語っています。
CRM チームとセキュリティチームの認識をあわせる
あまりにも頻繁に起きている失敗パターンがあります。CRM チームがセキュリティ専門家を早期に巻き込むことなく Salesforce の計画・構築を進めてしまい、セキュリティ部門が関与した時には、すでに重要な意思決定が固まってしまっているというケースです。
より優れたアプローチは、企画の初日からセキュリティチームを参画させることです。どのようなデータを格納するのか、どのような業務プロセスを支援するのか、コミュニティがどのように対話するのか、そして全体がどのように連携するのかを理解してもらいましょう。
このパートナーシップアプローチにより、セキュリティを後から付け足すのではなく、最初から構造内に組み込む（Secure by Design）ことができます。一般的に、Salesforce を外部コミュニティ向けに開放すると、脅威レベルは急激に上昇します。
これらが意味すること
結論として、今日の Salesforce セキュリティ対策には「責任共有モデルの正しい理解」「単なる予防にとどまらないインシデントへの準備」、そして「AI などの新技術に対する配慮の行き届いたガバナンス」が求められます。
これを正しく実践できる組織は、必ずしも最も多くの資金を費やしている組織ではありません。ビジネス部門、セキュリティチーム、そしてサイバーセキュリティベンダー間のコラボレーションを促進し、既存のセキュリティ機能をフル活用し、進化し続ける環境に対して適応し続けられる組織なのです。
貴社の Salesforce 運用において、現在どのようなセキュリティ上の課題に直面していますか？議論はまだ始まったばかりです。
より深い議論については、Chetan Sansare 氏（Senior Director Security and Regulatory Compliance APAC）および Gayan Benedict 氏（CTO ANZ, Salesforce）と私が行った対談動画をぜひご覧ください。