詳細情報:
SCIM を使用した Salesforce ユーザー ID の管理
SCIM (System for Cross-domain Identity Management) を使用して Salesforce ユーザー ID を管理すると、ユーザーライフサイクル全体を自動化できます。
コントロール名
SCIM を使用した Salesforce ユーザー ID の管理
推奨設定
オープンスタンダードの System for Cross-Domain Identity Management (SCIM) を使用して、システム全体で Salesforce ユーザー ID をプロビジョニングおよび管理します。REST API 操作を使用して、Salesforce ユーザープロパティを編集および管理します。
制御の概要
SCIM (System for Cross-domain Identity Management) を使用して Salesforce ユーザー ID を管理すると、ユーザーのライフサイクル全体 (作成、更新、無効化) を一元化された ID プロバイダー (IdP) から直接自動化できます。これにより、ユーザーアクセスが会社の情報源とリアルタイムで同期され、中央ディレクトリでユーザーが無効化された瞬間に Salesforce アクセス権が即座に取り消されるため、孤立したアカウントのリスクを効果的に排除できます。
設定されていない場合のセキュリティリスク
SCIM の設定が正しくない場合、誤ったユーザープロビジョニングやプロビジョニング解除のリスクが高まり、機密性の高い CRM データへの永続的なアクセスにつながります。ID プロバイダーと Salesforce のこの不一致により、リスクの高い孤立したアカウントが作成され、不正なデータの持ち出しに簡単に悪用されたり、元従業員が検出されずに機密情報にアクセスしたりする可能性があります。
脅威のシナリオ
不適切に設定された SCIM により、孤立した Salesforce アカウントが引き続き有効でアクセス可能になっている。次に、脅威アクターは個人デバイスからログインして顧客リスト全体と独自のセールスデータをエクスポートしてから、IT チームが「孤立した」アカウントを手動で無効化します。
推定 CVSS スコア範囲
高 (7.0 ～ 8.90)。
リスクの影響に関する考慮事項
リスクの重要度は、ユーザー母集団の規模、ログイン時に付与されるアクセス権限によって異なります。
より高いリスク
ユーザー ID 検証が設定されていない (MFA など) セッションが、セッションを制限するセッションコントロールを使用して設定されていない。これには次のものが含まれます。
- 無効なセッションタイムアウトポリシー
- Overly Permissive Access Scope (過度に許可されているアクセス範囲)
Low or No Risk When (低リスクまたは無リスクの場合)
この制御は、次のいずれか 1 つ以上が実装されている場合は、低リスクとみなすことができます。
- MFA の適用または ID 検証が実施されている: Salesforce ユーザーに MFA が適用されている
- ネットワーク層での IP ログイン制限: 設定を変更する権限を持つユーザーの IP ログイン制限
- SSO の適用: すべてのプロファイルが SAML SSO で設定されている
ビジネスと統合に関する考慮事項
顧客は、ユーザーエンドポイントのエントリポイントと、各ユーザープロファイルが公開されるデータを評価する必要があります。
推奨される修復
組織のプロファイルごとにログイン IP アドレスを設定します。
Security Health Review Guidance (セキュリティ状態レビューガイダンス)
Security Health Review では、IP 範囲に関連するプラットフォーム設定が識別されます。IP 範囲の設定は、ネットワーク設定または組織 (信頼済み IP 範囲) またはプロファイルレベル (ログイン IP 範囲) で設定できます。
