これが、現代におけるシャドーITの姿です。企業から支給されたノートPC上で個人的に利用される消費者向けアプリのことではありません。企業の最も重要な基幹システム内部に潜み、ほぼ監視されることもなく、セキュリティチームすらその存在を把握していないサードパーティ接続の静かな集積こそが、真の脅威なのです。
拡大を続ける攻撃対象領域
Salesforceは、外部接続を前提として設計されています。AppExchangeだけでも数千ものサードパーティ製アプリケーションが掲載されており、大半のエンタープライズ組織では、マーケティングプラットフォーム、データ補完サービス、CPQツール、カスタマーサクセス機能、独自開発のミドルウェアなど、数多くの連携機能を並行して運用しています。導入時の接続はいずれも正当な目的によるものです。問題は、その「後」に起こります。
サードパーティ製アプリがユーザーに代わってSalesforceへアクセスすることを許可する「OAuthトークン」は、デフォルトでは有効期限が切れません。明示的に取り消さない限り、無期限に有効であり続けます。従業員の流動性が高く、長年にわたり多様な連携プロジェクトを実施してきた大規模組織では、「実際に使われている接続アプリ」と「存在し続けている接続アプリ」の間に大きな乖離が生じます。
広範な権限を持つユーザーによって認証された連携機能は、そのツールが現在使われているか、開発元ベンダーが買収されたか、あるいは社内の誰もその存在を覚えていないかに関わらず、当時と同等のアクセス権を保持し続けます。
休眠状態の接続は、すべて潜在的な侵入経路となります。仮にサードパーティベンダーがサイバー攻撃の被害に遭えば、そのベンダーがアクセス権を持つすべての顧客のSalesforce組織がリスクに晒されます。攻撃者は必ずしも自社を直接狙う必要はありません。エコシステム内で最も脆弱なサードパーティを標的にするだけで十分なのです。
「接続アプリのアセスメントを実施すると、毎回のように最大の驚きとして挙げられるのは、新たな脆弱性の発覚ではなく、誰かが付与したまま放置されている膨大な数のOAuthトークンです。プロジェクトのために作成された連携機能は、プロジェクト終了後もトークンだけが機能し続けます。可視化の実現こそが、多くのチームにとってセキュリティ向上への確かな第一歩となります」と、Cloud Protection for Salesforce by WithSecure のSalesforceアーキテクトであるTapas Tripathi (タパス・トリパティ) は指摘します。
セキュリティチームが見落とす理由
従来のセキュリティ監視ツールは、この種の問題に対応するようには設計されていません。
- エンドポイント検出ツール： デバイスの挙動を監視
- ネットワーク監視： 通信トラフィックを監視
- SIEMプラットフォーム： インフラ全体のイベントを相関分析
いずれのツールも、アプリケーション層において「何がSalesforceデータへのアクセスを許可されているか」をネイティブに把握する機能は備えていません。
さらにSalesforce内部においても、接続アプリの管理は「セキュリティ機能」ではなく「管理者機能」として位置づけられています。許可された接続の点検はSalesforce管理者の役割ですが、自動アラートや定期的なレビュープロセスが整備されていない場合、事前に対策が講じられることは稀です。情報はプラットフォーム内に存在するものの、リスクとして可視化される形では提示されません。管理者が能動的に確認する意図を持ち、適切な確認場所を把握し、さらに対応に必要な時間を確保できて初めて顕在化するのです。
結果としてこのリスクは、セキュリティ、IT、Salesforce管理の狭間に放置されることになります。所有者も不在で、誰からも点検されず、新たな連携が追加されるたびに拡大を続けていきます。
データ露出のリスク
Salesforce内に格納されている情報の重要性を考慮すると、生じるリスクは極めて深刻です。組織への読み取り権限を持つ接続アプリは、顧客リスト全体のほか、商談パイプライン、取引先履歴、連絡先詳細などを参照できます。変更権限を持つアプリであれば、レコードの改ざんや削除も可能です。さらに、連携時の権限スコープ設定においては、厳密な最小権限の定義よりも利便性が優先され、必要以上に広範なアクセス権が付与されがちなのが実状です。
サードパーティベンダーがデータ侵害に見舞われた際、問題となるのは「自社に代わって保持させていたデータ」だけにとどまりません。「相手のシステムクレデンシャルが、自社環境のどこまでアクセス可能だったか」という点が重大な焦点となります。接続アプリの監査を実施していない組織にとって、その調査結果はきわめて厳しいものとなり得ます。
「サプライチェーンリスクの本質は、自社が書いていないコードだけでなく、取り消していないアクセス権にもあります。ほとんど意識にすらのぼらないベンダーの接続アプリひとつが過剰な権限を持っていただけで、軽微なインシデントで済むはずだった事案が、致命的なデータ侵害へと発展する差を生み出すのです」とTripathiは締めくくります。
今すぐ取り組むべきアプローチ
第一歩は、接続アプリの運用状況を可視化することです。これには以下のアクションが含まれます。
- Salesforce組織へのアクセスが許可されているすべてのアプリケーションの完全なインベントリ作成
- 各アプリが保持している権限スコープの確認
- 各アプリの最終利用日時の特定
- 認証を行ったユーザーの在籍状況の確認
可視化の後は、定期的な運用プロセスの確立が必要です。休眠状態または廃止された連携機能のアクセス権を取り消す定期レビューサイクルの導入、新規接続時における「最小権限の原則」の徹底、そしてユーザーの退職プロセスにおける「該当ユーザーが過去に認可した連携機能の点検」を組み込むことが不可欠です。
接続アプリに潜むリスクは解決可能です。ただしそれには、課題の解決と「見えないリスクの可視化」を実現する適切なツールの導入に対して、明確な責任を持つ体制づくりが前提となります。