セッションセキュリティレベルのポリシー制御

コントロール名

セッションセキュリティレベル - 高保証セッションセキュリティ

推奨設定

[設定] > [ID 検証] で、次の高保証設定を有効にします。

• レポートおよびダッシュボード — レポートとダッシュボードへのアクセスを制御します。この設定は、レポートおよびダッシュボードの [アクセスポリシー] ページにもあります。この設定は、どちらの場所でも変更できます。
• 暗号化鍵の管理 — [プラットフォームの暗号化] ページ、[証明書と鍵の管理] 設定ページ、TenantSecret オブジェクトへのアクセスを制御します。
• 認証プロバイダーの管理 — [認証プロバイダー] ページ、[ユーザーの詳細] 設定ページ、AuthProvider オブジェクトへのアクセスを制御します。
• 証明書を管理 — [証明書と鍵の管理] 設定ページ、[シングルサインオン設定] 設定ページ、証明書オブジェクトへのアクセスを制御します。
• 接続アプリケーションを管理する — [接続アプリケーション] 設定ページや [アプリケーションマネージャー] 設定ページへのアクセスを制御します。
• データのエクスポートを管理 — [データのエクスポート] 設定ページへのアクセスを制御します。
• IP アドレスを管理 — [ネットワークアクセス] 設定ページへのアクセスを制御します。
• ログインアクセスポリシーを管理 — [ログインアクセスポリシー] 設定ページへのアクセスを制御します。
• パスワードポリシーを管理 — [パスワードポリシー] 設定ページと [プロファイルの詳細] へのアクセスを制御します。
• 権限セットおよびプロファイルを管理 — [権限セット] および [プロファイル] 設定ページと関連オブジェクトへのアクセスを制御します。
• ロールを管理 — ロール設定、UserRole オブジェクト、およびメタデータ API のロールオブジェクトへのアクセスを制御します。
• 共有を管理 — [共有設定] 設定ページ、SharingRules オブジェクト、およびメタデータ API の CustomObject の sharingModel 項目へのアクセスを制御します。
• API で多要素認証を管理 — VerificationHistory オブジェクト、TwoFactorInfo オブジェクト、TwoFactorTempCode オブジェクトへのアクセスを制御します。
• ユーザーインターフェースで多要素認証を管理 — [ID 検証履歴] 設定ページ、VerificationHistory オブジェクト、TwoFactorInfo オブジェクト、TwoFactorTempCode オブジェクトへのアクセスを制御します。
• ユーザーの管理 — [ユーザー] 設定ページへのアクセスを制御します。
• ユーザーのロック解除およびパスワードのリセット — [ユーザー] 設定ページでは、パスワードのリセットとユーザーのロック解除を行う権限を制御します。
• View Health Check (状態チェックを表示) — [状態チェック] 設定ページへのアクセスを制御します。

制御の概要

高保証セッションセキュリティの制御目標は、リスクの高い操作に「ステップアップ認証」を適用し、データのエクスポートや管理上の変更などの機密アクションで有効なセッション内でも二次的な多要素認証が必要とされるようにすることです。この詳細なアクセス制御により、1 回ログインに成功すると無条件の権限が付与されなくなり、セッションハイジャックやロック解除されたワークステーションへの不正な物理的アクセスによる脅威を効果的に無効化できます。

設定されていない場合のセキュリティリスク

高保証セッションセキュリティを使用しない場合、信頼できるデバイスからでも 1 回ログインに成功すると、レポートのエクスポートや暗号化の管理などの機密操作へのアクセス権限がユーザーに付与されます。

脅威のシナリオ

有効なユーザーセッションを乗っ取った攻撃者 (またはロック解除された端末の悪意のあるインサイダー) は、これらの特定の操作に二次認証を必要としないため、データの一括エクスポートや権限の変更など、影響の大きいアクションをサイレントに実行できます。

推定 CVSS スコア範囲

高 (7.0 ～ 8.9)。

リスクの影響に関する考慮事項

リスクの重要度は、ユーザー権限レベル、共有ルール、および使用される認証メカニズムによって異なります。

より高いリスク

Salesforce 認証のセキュアな認証の欠如は、脆弱なパスワード標準で使用され、MFA は適用されず、信頼済み IP 範囲は設定されません。

低リスク

次のような 1 つ以上の補償制御が実装されている場合、この制御は低リスクとみなされます。

• 多要素認証: MFA は IdP で適用されるか、Salesforce 高保証認証ポリシーを介して適用されます。
• Login IP Allowlist (ログイン IP 許可リスト): ユーザープロファイルの IP アドレスを制限して、信頼済みネットワークからアクセスできるようにします。
• シングルログアウト: ユーザーがログアウトしたときにすべてのセッションを終了します。

ビジネスと統合に関する考慮事項

顧客は、ビジネスプロセスと社内の機密業務ポリシーおよび標準を考慮する必要があります。

推奨される修復

必要に応じて高保証設定を実装し、機密業務を保護し、企業のセキュリティポリシーと標準に準拠します。

Security Health Review Guidance (セキュリティ状態レビューガイダンス)

必要に応じて高保証設定を実装します。