詳細情報:
モバイルアプリケーション設定: モバイル PIN 要件
このセキュリティ設定では、モバイルアプリケーションインターフェースにアクセスする前に、ユーザーに個人識別番号または生体認証番号を入力するように要求することで、ローカル認証の第 2 層を義務付けます。
コントロール名
接続アプリケーション: モバイルアプリケーション設定: モバイル PIN 要件
推奨設定
PIN 保護 - 選択します。
制御の概要
このセキュリティ設定では、モバイルアプリケーションインターフェースにアクセスする前に、ユーザーに個人識別番号または生体認証番号を入力するように要求することで、ローカル認証の第 2 層を義務付けます。
設定されていない場合のセキュリティリスク
モバイル接続アプリケーションセッションの PIN 保護を無効にすると、物理デバイスの紛失や盗難が発生した場合に、ローカルの企業データと有効なセッショントークンが完全に保護されない脆弱性が生じます。
脅威のシナリオ
ローカルでの二次的なチャレンジが必要なかったため、未承認の個人がロック解除済みモバイルデバイスを物理的に所有し、Salesforce アプリケーションを開いて機密の取引先責任者レコードまたは内部価格表をエクスポートします。
推定 CVSS スコア範囲
高 (7.0 ～ 8.9)。
リスクの影響に関する考慮事項
ローカル PIN を適用しないと、同期されたオフラインデータと有効な API セッションへの即時の不正アクセスが促進され、重大な機密保持違反や規制違反につながる可能性があります。
より高いリスク
大量のキャッシュデータをローカルに保存するようにモバイルアプリケーションが設定されている場合、またはデバイスにオペレーティングシステムレベルのパスコードが包括的にない場合。
低リスク
一元的なモバイルデバイス管理ソリューションを使用して、会社が登録したすべてのハードウェアにフルディスク暗号化とリモート消去機能を適用している場合。
ビジネスと統合に関する考慮事項
必須の PIN 保護を実装すると、データレジデンシーセキュリティは強化されますが、アプリケーションへの頻繁なアクセス中にインタラクションステップが追加されるため、ユーザーの利便性が若干低下する可能性があります。
推奨される修復
[接続アプリケーションのモバイルアプリケーション設定] に移動し、[PIN 保護] チェックボックスをオンにして、チャレンジの目的の長さとセッションタイムアウトの要件を定義します。
Security Health Review Guidance (セキュリティ状態レビューガイダンス)
セキュリティ状態レビューでは、モバイル境界の整合性を保護し、物理デバイスの侵害によってデータがすぐに持ち出されないようにするために、ローカル PIN の適用を強く推奨する標準として特定します。
