データベース暗号化のオンボード
データベース暗号化により、Salesforce のトランザクションデータベース内の組織のデータに十分な暗号化を適用できます。
必要なエディション
| Lightning Experience および Salesforce Classic (使用できない組織もあります) の両方で使用できます。 |
| 使用可能なエディション: Hyperforce を使用する Enterprise Edition、Performance Edition、および Unlimited Edition。 |
大きなファイルを使用する場合は、[ファイルと添付ファイル] を有効にします。また、機密データの検索が必要な場合は、検索インデックス暗号化を有効にします。
データベース暗号化を有効にすると、そのままの状態になります。現在、無効にするオプションはありません。
また、既存のデータを新しい有効なテナントの秘密と同期することはできません。鍵の循環はサポートされていますが、Salesforce はデータを最新の鍵に自動的に同期します。データベース暗号化のセルフサービス同期オプションはありません。
データベース暗号化では、トランザクションデータベース全体が暗号化されます。これには、データベース内のすべての項目と小さなファイルが含まれます。
データベース暗号化の準備
データベース暗号化の準備として、次の手順をお勧めします。
データベース暗号化の初回使用
データベース暗号化を初めて有効にすると、Salesforce によってテナントの秘密が自動的に作成されます。新しい秘密が Salesforce Key Management Server (KMS) 内で適切にバックアップされるように、24 時間待機してから使用します。最初の 24 時間は、Salesforce が所有する組織固有のテナントの秘密を使用してデータを暗号化します。24 時間が経過すると、Salesforce が所有するテナントの秘密がアーカイブされ、新しいテナントの秘密が使用されます。
項目レベルの暗号化とは異なり、データベースの暗号化では同期を使用できません。ユーザーが既存のデータを編集すると、新しい不変の暗号化フラグメントに再編成され、現在のテナントの秘密を使用して暗号化されます。このプロセスは有機的で段階的です。
Shield Platform Encryption の便利な追加機能
データベースの暗号化では、標準項目とカスタム項目の適用範囲が最も広くなりますが、他のShield Platform Encryption機能を使用すると、保護をさらに広げることができます。ヘルプの「What You Can Encrypt (暗号化できるもの)」セクションを参照してください。ファイルと添付ファイル、検索インデックス、イベントバスデータも暗号化すると、保護プロファイルの合計を改善できます。
コンプライアンスドキュメントが必要な標準項目またはカスタム項目がある場合があります。コンプライアンスポリシーで 1 つ以上の項目の追跡可能な暗号化が必要な場合、項目レベルの暗号化 (FLE) を使用して暗号化できます。FLE を使用するもう 1 つの理由は、高度な鍵管理が提供されることです。外部鍵管理 (EKM) と Bring Your Own Key (BYOK) の両方で、暗号化鍵素材をより詳細に制御できます。
重複する暗号化
FLE や Chatter などの一部の暗号化機能は、データベース暗号化で提供される暗号化と重複します。このような場合、まずテナントの秘密を使用して機能の暗号化が行われ、次にデータベース暗号化のテナントの秘密を使用してデータベースの暗号化が適用されます。この方法で 2 回暗号化されたデータにアクセスする場合、ユーザーはこの違いに気が付きません。
- 項目レベルの暗号化を有効にした後のデータベース暗号化のオンボード
FLE を使用していて、データベース暗号化の利点を活用することを決定した場合、引き続き FLE を使用する必要があるかどうかを判断します。データベース暗号化は、FLE で設定できるすべての標準項目とカスタム項目を絞り込みと並び替えで問題なくカバーします。 - データベース暗号化のトレードオフ
データベース暗号化により、トランザクションデータベース全体を保護できます。それでも、使用する場合はいくつかの妥協を受け入れる必要があります。
