Steuern des Zugriffs mithilfe der Rollenhierarchie

Steuerelementname

Steuern des Zugriffs mithilfe der Rollenhierarchie, Gruppen und Freigaberegeln

Empfohlene Konfiguration

Erteilen von Zugriff mithilfe von Hierarchien – Ausgewählt auf der Seite "Freigabeeinstellungen":

Setup>Freigabeeinstellungen>Organisationsweite Freigabeeinstellungen Bearbeiten>Ausgewähltes Objekt aktivieren "Zugriff mithilfe von Hierarchien erteilen".

Steuerelementübersicht

In der Rollenhierarchie haben Benutzer Zugriff auf Datensätze, deren Inhaber Benutzer in ihnen untergeordneten Rollen sind oder die für sie freigegeben sind. Rollen in der Hierarchie wirken sich auf den Zugriff auf Komponenten wie Datensätze und Berichte aus.

Sicherheitsrisiko, wenn nicht konfiguriert

Wenn Sie die Einstellung "Zugriff mithilfe von Hierarchien erteilen" für benutzerdefinierte Objekte nicht aktivieren, können Manager und Vorgesetzte den Zugriff auf Datensätze, deren Inhaber ihre nachgeordneten Mitarbeiter sind, nicht automatisch übernehmen, was zu erheblichen Datensilos und einer fragmentierten Sichtbarkeit führt.

Dieser Mangel an automatisiertem Zugriff zwingt Administratoren dazu, sich auf komplexe manuelle Freigaberegeln zu verlassen, um die Übersicht zu behalten, was das Risiko von Konfigurationsfehlern erhöht und die Bereitstellung von "Alle anzeigen"- oder "Alle ändern"-Berechtigungen als riskante Übergangslösung zur Wiederherstellung der erforderlichen Sichtbarkeit erhöht.

Bedrohungsszenarien

Ein Manager versucht, einen dringenden Compliance-Bericht zu generieren, wird jedoch blockiert, da der hierarchische Zugriff für ein benutzerdefiniertes Objekt deaktiviert ist, wodurch ein Administrator aufgefordert wird, als schnelle Übergangslösung die Berechtigungen "Alle anzeigen" zu erteilen.

Diese übermäßige Berechtigung ermöglicht es dem Manager – oder einem Bedrohungsakteur, der seinen Account kompromittiert –, die gesamte Sicherheit auf Zeilenebene zu umgehen und auf sensible Datensätze im gesamten Unternehmen zuzugreifen, die er nicht sehen sollte.

Geschätzter CVSS-Bewertungsbereich

Kritisch (9.0–10.0).

Überlegungen zu Risikoauswirkungen

Erhöhte Risiken in Abhängigkeit von der Unternehmensstruktur, der Anzahl der Benutzer und Rollen und Profile in den Organisationen.

Höheres Risiko, wenn

Das Risiko der Deaktivierung des hierarchischen Zugriffs wird noch dadurch erhöht, dass es an einer detaillierten Berechtigungssatzverwaltung fehlt, was Administratoren oft veranlasst, Managern als schnelle, aber unsichere Übergangslösung umfassende Berechtigungen vom Typ "Alle anzeigen" oder "Alle ändern" zu erteilen.

Darüber hinaus fehlt eine automatisierte Freigabestrategie (z. B. dynamische Freigaberegeln oder Apex-Freigabe) und es gibt keine regelmäßige Zugriffsüberprüfung, um sicherzustellen, dass manuelle "einmalige" Freigabezuweisungen nicht mehr verwaltet werden können, was letztendlich zu einer erheblichen Überberechtigungsüberschreitung und Datenüberforderung führt.

Geringes oder kein Risiko, wenn

Um das Risiko von Datensilos zu minimieren, wenn der hierarchische Zugriff deaktiviert ist, können Unternehmen kriterienbasierte Freigaberegeln oder manuelle Freigaben implementieren, um bestimmten Managern oder öffentlichen Gruppen basierend auf Geschäftsanforderungen explizit Datensatzsichtbarkeit zu gewähren.

Wenn Sie Apex Managed Sharing für komplexe Szenarien oder öffentliche Gruppen und Teams verwenden, wird außerdem sichergestellt, dass die Übersicht durch detaillierte dokumentierte Ausnahmen gewahrt bleibt, statt sich auf umfassende und riskante administrative Berechtigungen vom Typ "Alle anzeigen" zu verlassen.

Überlegungen zu Unternehmen und Integration

Benutzerzugriff und Berechtigung basierend auf Rollen.

Empfohlene Sanierung

Implementieren Sie die regelmäßige Zugriffsüberprüfung und aktivieren Sie den Zugriff mithilfe von Hierarchien.

Anleitung zur Sicherheitsintegritätsprüfung

N/A: Wird derzeit nicht vom Tool "Sicherheitsintegritätsüberprüfung" untersucht.