Controle wie ziet wat

Controlenaam

Machtigingenbeheer

Aanbevolen configuratie

• Gebruikersmachtigingen - Machtigingensets | Appmachtigingen | Systeemmachtigingen
• Objectmachtigingen - Objecttoegang | Rapporten inschakelen | Activiteiten bijhouden | Veldhistorie bijhouden
• Veldmachtigingen - Beveiliging op veldniveau instellen - Zichtbaar | Alleen-lezen
• Machtiging intrekken - Set-up | Een gebruiker selecteren | Samenvatting weergeven | Toewijzingen beheren

Overzicht van besturingselementen

Salesforce gebruikt een gelaagd beveiligingsmodel waarbij object- en veldmachtigingen de baseline voor gegevenstoegang (CRUD) definiëren, terwijl beheermachtigingen, gebruikersmachtigingen en aangepaste machtigingen specifieke functionele mogelijkheden en autoriteit op systeemniveau verlenen.

Om een veilige omgeving te behouden, worden deze machtigingen beheerd via profielen en machtigingensets, waardoor beheerders het bereik van de gebruiker nauwkeurig kunnen definiëren en intrekkingsmechanismen kunnen gebruiken om toegang onmiddellijk te verwijderen wanneer deze niet langer nodig is of als er een beveiligingsdreiging wordt geïdentificeerd.

Beveiligingsrisico indien niet geconfigureerd

Als u object-, veld- en beheermachtigingen niet op de juiste manier configureert, ontstaat er een aanzienlijk risico op toegang tot machtigingen en ongeoorloofde gegevensblootstelling, waarbij gebruikers gevoelige bedrijfsrecords en systeeminstellingen kunnen weergeven of wijzigen die ver buiten hun taakvereisten liggen. Gecompromitteerde accounts kunnen permanente toegang behouden, wat kan leiden tot ongeoorloofde gegevensexfiltratie.

Dreigingsscenario's

Een kwaadwillende insider die toegang krijgt via een gecompromitteerde account en omdat machtigingen op beheer- en objectniveau niet strikt werden beheerd of ingetrokken bij de rolwijziging van de gebruiker, verwijdert de aanvaller stilletjes eigen intellectuele eigendom en gevoelige financiële records zonder traditionele beveiligingswaarschuwingen te activeren.

Geschatte CVSS-scorebereik

Kritiek (9,0–10,0).

Overwegingen bij risico-impact

De ernst van het risico is afhankelijk van het type gebruikers, de grootte van de gebruikerspopulatie en het type gegevens dat wordt opgeslagen.

Hoger risico wanneer

Wanneer de basisbesturingselementen voor de machtigingen Object, Veld en Beheer onjuist zijn geconfigureerd, kunnen diverse items hieronder het risico vergroten, zoals gebrek aan controle over API-toegang, buitensporige systeembeheerder, toewijzing van machtigingen Alle gegevens wijzigen en Alle gegevens weergeven, gebrek aan IP-inlogbeperking en onbeperkte export- en rapportagemachtigingen.

Laag of geen risico wanneer

Deze controle kan als laag risico worden beschouwd wanneer een of meer van de volgende zaken worden geïmplementeerd:

• Transactiebeveiligingsbeleid (Salesforce Shield): Maak beleidsvormen die een MFA-probleem activeren of de actie volledig blokkeren als een gebruiker een activiteit met hoog risico probeert, zoals het exporteren van meer dan een bepaald aantal records of toegang tot gevoelige gegevens vanaf een onbekend IP-adres.
• Inlog-IP-bereiken en MFA: Door inlog-IP-bereiken af te dwingen op profielniveau zorgt u ervoor dat gebruikers alleen toegang hebben tot het systeem vanuit vertrouwde bedrijfsnetwerken (of VPN's). In combinatie met multi-factorenauthenticatie (MFA) vermindert dit het risico op op inloggegevens gebaseerde aanvallen drastisch.

Overwegingen bij bedrijf en integratie

Voer een grondige bedrijfsimpactanalyse uit om ervoor te zorgen dat het verscherpen van object- en veldtoegang niet onbedoeld kritieke interdepartementale werkstromen blokkeert of ertoe leidt dat geautomatiseerde integraties met hoge prioriteit mislukken.

Aanbevolen oplossing

Implementeer het principe van de minste rechten bij het toewijzen van machtigingen, voer periodieke controles uit om gebruikersmachtigingen te analyseren en erover te rapporteren om gebruikers met "te veel rechten" te identificeren.

Begeleiding bij beoordeling van beveiligingstoestand

N.v.t. - Momenteel niet geïnspecteerd door de tool Beoordeling van beveiligingstoestand.