Modello di responsabilità condivisa

I siti e le piattaforme di e-commerce sono bersagli attraenti per gli attacchi informatici. Gli autori di tali attacchi vanno alla ricerca di ubicazioni in cui tentare di esfiltrare dati sensibili, ad esempio informazioni relative a carte di credito, dati di identificazione personale e credenziali. Anche il flusso di lavoro della gestione ordini rappresenta una superficie di attacco molto allettante per la criminalità informatica, il cui obiettivo è quello di arricchirsi. Chi commette crimini informatici può creare infatti ordini fittizi, modificare coupon e promozioni e negare il servizio a clienti legittimi.

Poiché per Salesforce la scurezza è molto importante, vengono forniti numerosi controlli e impostazioni di sicurezza per attenuare i rischi precedentemente esposti. B2C Commerce utilizza un modello di responsabilità condivisa secondo il quale la piattaforma B2C Commerce e il cliente hanno ruoli e responsabilità chiaramente definiti.

Come consulente di fiducia dei clienti in materia di sicurezza dei dati, Salesforce adotta e rende disponibili gli strumenti e le pratiche illustrati di seguiti per rafforzarne la sicurezza.

Salesforce

Clienti

Promozione della progettazione e dell'implementazione sicure di infrastruttura, piattaforma e applicazioni Salesforce. Gestione delle regole firewall in entrata e in uscita. Imposizione dell'autenticazione a due fattori per gli asset sensibili di Salesforce. Imposizione dell'isolamento dei dati per tenant. Esecuzione proattiva di scansioni di codice e test di penetrazione. Esecuzione di valutazioni e controlli della sicurezza a opera di terzi. Imposizione di controlli per la conformità agli standard di settore. Monitoraggio continuo e risposte a eventi imprevisti degli asset di Salesforce.

Applicazione di protocolli di comunicazione protetta, come HTTPS e SFTP (Secure File Transfer Protocol). Limitare i controlli di accesso a livello di applicazione, ad esempio utilizzando l'inserimento nell'elenco indirizzi IP consentiti e la convalida dell'identità. Imposizione dell'autenticazione a due fattori per le interfacce sensibili gestite dal cliente. Assegnazione di ruoli e autorizzazioni adeguati, associati a efficaci processi di provisioning degli utenti. Utilizzo e analisi tempestivi dei registri di controllo. Promozione di una progettazione e un'implementazione sicure di codice personalizzato. Promozione di sourcing, distribuzione e gestione protetti delle integrazioni e delle estensioni di terze parti. Conformità agli standard e alle normative di sicurezza pertinenti. Monitoraggio continuo e risposta a eventi imprevisti degli asset dei clienti e delle integrazioni di terze parti personalizzate. Implementazione di misure antiabuso e di rilevamento e prevenzione delle frodi.