Schema di accesso del dispositivo
Ulteriori informazioni su Well-Architected Trusted → Secure → Session Security → Device Access
| Dove cercare? Area prodotto | Posizione |
Che aspetto ha? Schema |
|---|---|
| Piattaforma | Documentazione | ✅ I profili di sicurezza sono chiaramente mappati agli utilizzi e alle policy appropriati dei dispositivi |
| Piattaforma | Documentazione | ✅ Le policy sui dispositivi sono chiare e individuabili |
| Piattaforma | Organizzazione | ✅ La configurazione dell'applicazione connessa mobile Salesforce richiede lo sblocco di PIN/codice di accesso dopo l'inattività |
| Piattaforma | Organizzazione | ✅ Se le esigenze aziendali richiedono un controllo rigoroso degli utenti che possono accedere a Salesforce Mobile, il controllo dell'accesso API è abilitato e gli insiemi di autorizzazioni vengono assegnati a tutti gli utenti delle app mobili Salesforce |
Schema di gestione della sessione
Ulteriori informazioni su Well-Architected Trusted → Secure → Session Security → Session Management
| Dove cercare? Area prodotto | Posizione |
Che aspetto ha? Schema |
|---|---|
| Piattaforma | Apex | ✅ Se esistono flussi di accesso personalizzati, tutto il codice personalizzato correlato utilizza metodi SessionManagement appropriati per assegnare la protezione a livello di sessione |
| Piattaforma | Aura | ✅ Se esistono flussi di accesso personalizzati, utilizzare un controller Apex con i metodi di SessionManagement necessari per assegnare la protezione a livello di sessione |
| Piattaforma | Standard di progettazione | ✅ I profili di sicurezza elencano chiaramente i tipi di sessione approvati e le impostazioni di timeout / durata per ogni profilo |
| Piattaforma | Standard di progettazione | ✅ Gli standard sono definiti per le attività che richiedono una sicurezza a livello di sessione elevata |
| Piattaforma | Standard di progettazione | ✅ Gli standard sono definiti per le attività che richiedono autorizzazioni elevate per essere assegnate |
| Piattaforma | Standard di progettazione | ✅ L'ambito dell'applicazione connessa e le policy di gestione dei token sono chiari e individuabili |
| Piattaforma | Documentazione | ✅ L'ambito dell'applicazione connessa e le policy di gestione dei token sono chiari e individuabili |
| Piattaforma | Documentazione | ✅ Gli orari di accesso sono stati specificati (o identificati come non necessari) |
| Piattaforma | Componenti Web Lightning (LWC) | ✅ Se esistono flussi di accesso personalizzati, utilizzare un controller Apex con i metodi di SessionManagement necessari per assegnare la protezione a livello di sessione |
| Piattaforma | Organizzazione | ✅ Se gli utenti accedono a Salesforce da dietro un firewall, il firewall utilizza un elenco consentiti di domini obbligatori anziché indirizzi IP per proteggere le comunicazioni da/verso Salesforce |
| Piattaforma | Organizzazione | ✅ Gli intervalli di timeout delle sessioni inattive non superano il valore predefinito (2 ore) |
| Piattaforma | Organizzazione | ✅ Sono abilitate tutte le seguenti impostazioni: -Protezione dal clickjack per le pagine Imposta -Protezione dal clickjack per le pagine Salesforce non Impostate -Protezione dal Cross-Site Request Forgery (CSRF) -Protezione dal cross-site scripting (XSS) -Abilitazione della protezione dallo sniffing dei contenuti -Protezione dall'URL referrer -Avvisare gli utenti prima che vengano reindirizzati all'esterno di Salesforce |
| Piattaforma | Organizzazione | ✅ I controlli delle sessioni mostrano che gli utenti accedono a Salesforce solo tramite i tipi di sessione previsti |
| Piattaforma | Organizzazione | ✅ C'è un insieme di autorizzazioni chiaro e attivo per l'accesso "Utente solo API" (con l'insieme di autorizzazioni "Solo API" su TRUE) e tutti gli utenti di integrazione e automatici vengono assegnati |
Schema di rilevamento e risposta alle minacce
Ulteriori informazioni su Well-Architected Trusted → Secure → Session Security → Threat Detection & Response
| Dove cercare? Area prodotto | Posizione |
Che aspetto ha? Schema |
|---|---|
| Einstein | Agenti | ✅ I registri eventi degli agenti includono i dati delle conversazioni Abilitare l'impostazione per i registri eventi arricchiti, a meno che non vi sia un motivo critico per cui i dati delle conversazioni debbano essere mascherati |
| Einstein | Einstein Trust Layer | ✅ Le funzioni di intelligenza artificiale generativa vengono regolarmente controllate Dati di controllo AI generativo Einstein è abilitato dalla pagina di impostazione Feedback Einstein. Le conversazioni AI generative, inclusi il prompt e la relativa risposta, vengono regolarmente controllate e riviste |
| Piattaforma | Azienda | ✅ I dati di controllo sono disponibili nei rapporti che gli stakeholder aziendali possono comprendere e consultare |
| Piattaforma | Azienda | ✅ Esami periodici della cronologia e dei rapporti di controllo |
| Piattaforma | Documentazione | ✅ Tutte le risposte automatiche sono documentate chiaramente |
| Piattaforma | Documentazione | ✅ I passaggi per rivedere i registri disponibili in Salesforce sono documentati |
| Piattaforma | Documentazione | ✅ I livelli di controllo sono stati specificati per tutti gli oggetti del modello di dati |
| Piattaforma | Documentazione | ✅ Le policy di sicurezza contengono un elenco di eventi che dovrebbero attivare una risposta insieme al tipo di risposta appropriato |
| Piattaforma | Organizzazione | ✅ Sono attive automazioni per rispondere alle minacce disattivando gli account utente o bloccando l'accesso alle risorse in tempo reale se viene rilevato un utilizzo anomalo |
| Piattaforma | Organizzazione | ✅ Notifiche e avvisi sono configurati per informare gli utenti appropriati in caso di attività anomala |
| Piattaforma | Organizzazione | ✅ Il tracciamento della cronologia dei campi è abilitato per tutti i campi contenenti dati privati o sensibili |
Anti-schema di accesso al dispositivo
Ulteriori informazioni su Well-Architected Trusted → Secure → Session Security → Device Access
| Dove cercare? Area prodotto | Posizione |
Cosa evitare? Anti-schema |
|---|---|
| Piattaforma | Documentazione | ⚠️ Le policy di sicurezza non esistono o non contengono informazioni sull'accesso ai dispositivi |
| Piattaforma | Organizzazione | ⚠️ L'applicazione connessa mobile Salesforce non è configurata per richiedere lo sblocco di PIN/codice di accesso per l'inattività |
| Piattaforma | Organizzazione | ⚠️ Le esigenze aziendali richiedono un rigoroso controllo degli utenti che possono accedere a Salesforce Mobile, ma il controllo dell'accesso API non è abilitato o non vengono utilizzati insiemi di autorizzazioni per controllare l'accesso alle app mobili Salesforce |
Anti-schema di gestione delle sessioni
Ulteriori informazioni su Well-Architected Trusted → Secure → Session Security → Session Management
| Dove cercare? Area prodotto | Posizione |
Cosa evitare? Anti-schema |
|---|---|
| Piattaforma | Apex | ⚠️ Se esistono flussi di accesso personalizzati, non esiste una logica per assegnare la protezione a livello di sessione |
| Piattaforma | Aura | ⚠️ Se esistono flussi di accesso personalizzati, non esiste una logica per assegnare la protezione a livello di sessione |
| Piattaforma | Standard di progettazione | ⚠️ Gli standard non sono definiti per le attività che richiedono una sicurezza elevata a livello di sessione |
| Piattaforma | Standard di progettazione | ⚠️ Gli standard non sono definiti per le attività che richiedono autorizzazioni elevate per essere assegnate |
| Piattaforma | Standard di progettazione | ⚠️ Le policy di sicurezza non contengono informazioni sugli ambiti delle applicazioni connesse o sulla gestione dei token |
| Piattaforma | Standard di progettazione | ⚠️ I profili di sicurezza non esistono o mancano di informazioni sui tipi di sessione e sulle impostazioni di timeout/durata |
| Piattaforma | Documentazione | ⚠️ L'ambito dell'applicazione connessa e le policy di gestione dei token non sono documentati |
| Piattaforma | Componenti Web Lightning (LWC) | ⚠️ Se esistono flussi di accesso personalizzati, non esiste una logica per assegnare la protezione a livello di sessione |
| Piattaforma | Organizzazione | ⚠️ Non esistono definizioni dei tipi di sessione che gli utenti devono avere |
| Piattaforma | Organizzazione | ⚠️ Le autorizzazioni "Solo API" non sono chiare o mancano agli utenti integrazione e automatici |
| Piattaforma | Organizzazione | ⚠️ Non esiste un controllo regolare delle sessioni |
| Piattaforma | Organizzazione | ⚠️ Se gli utenti accedono a Salesforce da dietro un firewall, il firewall utilizza indirizzi IP codificati per proteggere le comunicazioni da/verso Salesforce |
| Piattaforma | Organizzazione | ⚠️ Gli intervalli di timeout della sessione inattivi superano il valore predefinito (2 ore) |
| Piattaforma | Organizzazione | ⚠️ Una delle seguenti impostazioni è disabilitata: -Protezione dal clickjack per le pagine Imposta -Protezione dal clickjack per le pagine Salesforce non Impostate -Protezione dal Cross-Site Request Forgery (CSRF) -Protezione dal cross-site scripting (XSS) -Abilitazione della protezione dallo sniffing di contenuti -Protezione dall'URL referrer -Avvisare gli utenti prima che vengano reindirizzati all'esterno di Salesforce |
Rilevamento delle minacce e risposta anti-schema
Ulteriori informazioni su Well-Architected Trusted → Secure → Session Security → Threat Detection & Response
| Dove cercare? Area prodotto | Posizione |
Cosa evitare? Anti-schema |
|---|---|
| Einstein | Organizzazione | ⚠️ Le funzioni di intelligenza artificiale generative non vengono controllate Le conversazioni di intelligenza artificiale generative, inclusi il prompt e la relativa risposta, non vengono regolarmente controllate e riviste |
| Piattaforma | Azienda | ⚠️ I dati di controllo sono disponibili solo tramite file di registro che richiedono competenze in materia per l'accesso e l'interpretazione |
| Piattaforma | Azienda | ⚠️ Non esistono processi per esaminare le informazioni di controllo |
| Piattaforma | Documentazione | ⚠️ Le policy di sicurezza non esistono o non includono informazioni sul rilevamento e l'avviso delle minacce |
| Piattaforma | Documentazione | ⚠️ La documentazione per le risposte automatiche non esiste o non è chiara |
| Piattaforma | Organizzazione | ⚠️ Non sono presenti automazioni per rispondere alle minacce |
| Piattaforma | Organizzazione | ⚠️ Le notifiche e gli avvisi non sono configurati per informare gli utenti appropriati in caso di attività anomala, oppure esistono alcune notifiche e avvisi correlati all'attività anomala, ma sono ad hoc |
| Piattaforma | Organizzazione | ⚠️ Il tracciamento della cronologia dei campi non è abilitato in modo coerente per i campi contenenti dati privati o sensibili |