使用角色階層控制存取權

控制名稱

使用角色階層、群組和共用規則控制存取權

建議組態

使用階層賦予存取權 - 在「共用設定」頁面上選取:

「設定」>「共用設定」>「組織範圍共用預設值」 「編輯」>「選取的物件」啟用「使用階層授與存取權」。

控制概觀

在角色階層中,使用者可存取位於其下的角色使用者所擁有或與其共用的記錄。階層內的角色會影響元件的存取權,例如記錄和報告。

未設定安全性風險

若未針對自訂物件啟用「使用階層賦予存取權」設定,則會防止經理和上司自動繼承其下屬所擁有記錄的存取權,進而造成顯著的資料孤島和分割的可視性。

由於缺少自動存取權,因此管理員必須依賴複雜的手動共用規則來維持監視,這會增加組態錯誤的風險,並且過度佈建「全部檢視」或「全部修改」權限,這是還原必要可視性的風險解決方法。

威脅情況

經理嘗試產生緊急合規性報告,但因為自訂物件的階層存取權已停用,因此系統會提示管理員授與「檢視所有」權限作為快速因應措施。

此過度權限可讓經理 (或入侵其帳戶的威脅執行動作使用者) 略過所有列層級安全性,並存取其從未預期看到的整個公司中的敏感記錄。

估計 CVSS 分數範圍

嚴重 (9.0–10.0)。

風險影響考量事項

根據公司結構、使用者數以及組織中的角色和設定檔而增加的風險。

風險愈高時機

停用階層存取權的風險會因缺乏細微的權限集管理而加強,這通常會促使管理員將廣泛的「全部檢視」或「全部修改」權限授與經理,作為快速但不安全的可視性因應措施。

此外,缺少自動共用策略 (例如動態共用規則或 Apex 共用),以及缺少定期存取審查,以確保手動「一次性」共用指派變得無法管理,最終導致權限及資料過度曝光。

低風險或無風險的時機

若要在停用階層存取時將資料孤立的風險降到最低,公司可以實作「條件式共用規則」或「手動共用」,根據業務需求明確將記錄可視性授與特定經理或公用群組。

此外,針對複雜情況使用 Apex 受管理共用,或使用「公用群組和小組」可確保透過細微的已記錄例外,而非依賴廣泛且有風險的「全部檢視」管理權限來維護監督。

業務與整合考量事項

根據角色的使用者存取權與權限。

建議的補救措施

實作定期存取審查並使用階層啟用存取權。

安全性健康檢閱指南

無 - 目前未由安全性健康審查工具檢查。