ユーザーパスワードを管理する

コントロール名

パスワードポリシー

推奨設定

パスワードポリシーは、[パスワードポリシー] で設定します。

• パスワードの設定 - [設定] > [パスワードポリシー]
• すべてのユーザーのパスワードを期限切れにする - 90 日、選択しない - [期限切れにならない]
• パスワード履歴を適用 - 5 個のパスワードを記憶する。選択しない - "No passwords remember"
• 最小パスワード長 - 12
• パスワードの複雑さの要件 - 数字、大文字、小文字、特殊文字の 3 つを含める必要があります。
• パスワードの質問の要件 - パスワードを含めることはできません
• 無効なログインの最大試行回数 - 3
• ロックアウトの有効期間 - 15 分
• パスワードリセットの秘密の回答をあいまいにする - 選択
• 1 日以上のパスワード有効期間が必要 - 選択
• セルフリセットでの setPassword() API の使用を許可 - 選択解除

制御の概要

Salesforce のパスワードポリシーは、複雑さ、長さ、有効期限などの堅牢な認証標準を適用し、「ブルートフォース」攻撃や「クレデンシャルスタッフィング」攻撃による不正アクセスを防止するものです。

設定されていない場合のセキュリティリスク

脆弱なパスワードや変更されていないパスワードは、「ブルートフォース」や「クレデンシャルスタッフィング」攻撃の標的になりやすく、未承認のユーザーが CRM に侵入する可能性があります。厳格なポリシーがない場合、攻撃者はアカウントが侵害され、機密ビジネスデータへの無制限のアクセス権を取得するまで、少ない労力でログイン情報をテストできます。

脅威のシナリオ

攻撃者は、他の Web サイトの一般的なパスワードまたは侵害されたパスワードのリストを使用して、Salesforce ログインページに対してクレデンシャルスタッフィング攻撃を実行し、疑わしいユーザーの脆弱なパスワードを推測します。ロックアウトルールや複雑性ルールは適用されないため、攻撃者は侵入するまで何千もの組み合わせを試して、最終的にログインし、独自の顧客リストや内部戦略ドキュメントを盗取できます。

推定 CVSS スコア範囲

重大 (9.0 ～ 10.0)。

リスクの影響に関する考慮事項

リスクの重要度は、ユーザー母集団の規模、ログイン時に付与されるアクセス権限によって異なります。

より高いリスク

ユーザー ID 検証 (MFA など) や集中認証 (SSO など) が行われていない。

Low or No Risk When (低リスクまたは無リスクの場合)

この制御は、次のいずれか 1 つ以上が実装されている場合は、低リスクとみなすことができます。

• MFA の適用または ID 検証が実施されている: Salesforce ユーザーに MFA が適用されている
• 一元化された SSO: プラットフォームのすべてのユーザープロファイルで SSO を設定します。管理者ユーザーの場合、厳格に制御された破損ガラスアカウントを作成して (Vault を使用するなど)、SSO 失敗の潜在的なリスクに対処するために SSO 設定を除外できます。
• 厳格なパスワードポリシー: パスワードの頻繁な循環/有効期限を含む厳格なパスワードポリシーを適用

ビジネスと統合に関する考慮事項

顧客は、さまざまなプロファイルとインテグレーションユーザー間で認証プロセスがどのように実装されているかを評価する必要があります。

推奨される修復

セキュリティ標準に合わせて、Salesforce または IdP 設定でパスワードポリシーを設定します。

Security Health Review Guidance (セキュリティ状態レビューガイダンス)

Security Health Review では、プラットフォームで直接設定されているパスワードポリシーに関連するプラットフォーム設定が識別されます。SSO 設定を使用して個別の IdP を使用する場合、パスワードポリシーがエンタープライズセキュリティ標準および業界のベストプラクティスに準拠していることを確認する必要があります。