Vous êtes ici :
Stratégies de sécurité des transactions essentielles pour renforcer votre dispositif de sécurité
Les stratégies de sécurité des transactions (TSP) offrent un moyen dynamique et automatisé de surveiller et de contrôler les interactions des utilisateurs avec vos données Salesforce, ajoutant une couche de sécurité cruciale en réagissant en temps réel aux activités suspectes. Ces TSP sont parmi les meilleurs pour renforcer votre dispositif de sécurité. Les FST sont organisés par Perspectives de sécurité, un groupe de rubriques qui montrent comment les équipes de sécurité examinent habituellement les risques et appliquent la politique.
Éditions requises
| Disponible avec Salesforce Classic (pas disponible dans toutes les organisations) et avec Lightning Experience |
Disponible avec : Enterprise Edition, Unlimited Edition et Developer Edition Nécessite des abonnements complémentaires Salesforce Shield ou Salesforce Event Monitoring. |
Les FST inclus sont organisés dans les perspectives de sécurité suivantes :
- Protection et classification des données – Empêcher l’exposition de données confidentielles ou réglementées, telles que des informations d’identification personnelle ou des enregistrements financiers.
- Contrôle d'accès (authentification) : surveiller le comportement de connexion et identifier les tentatives d'accès suspectes ou non autorisées.
- Modèle de sécurité (autorisation) : s'assurer que les autorisations utilisateur, les profils et l'accès basé sur le rôle sont correctement utilisés.
- Intégration : régit l'accès aux données et le comportement des applications tierces et des systèmes basés sur l'API.
- Data Loss Prevention (DLP) : détection des tentatives d'extraction de données en masse ou de contournement des contrôles organisationnels.
- Surveillance : activer la visibilité des activités liées à la sécurité et exposer des alertes pertinentes pour enquête.
Remarque Les polices ne sont pas toutes applicables à votre environnement. Consultez votre équipe de sécurité interne pour déterminer quels FST répondent aux besoins de votre organisation. Ces exemples sont conçus comme des points de départ. Si vous choisissez de les implémenter, essayez de les déployer d'abord dans un environnement sandbox pour les tester et les valider avant de les déployer en production.
Protection et classification des données
| Stratégie de sécurité des transactions | Description | Pourquoi c'est important | Actions de suivi recommandées |
|---|---|---|---|
| Détection des exportations de rapports contenant des données classées (PII) | Détecter quand un utilisateur exporte un rapport qui contient des champs classifiés ou confidentiels, tels que ceux marqués comme Informations d'identification personnelle (PII). | L'exportation de données confidentielles, même involontairement, peut entraîner des infractions à la conformité, des fuites de données et des risques de menaces d'initiés. Cette stratégie permet de surveiller et de prendre des mesures lorsque des informations confidentielles sont extraites de Salesforce. | Bloquer l'exportation, notifier l'équipe de sécurité par Slack ou par e-mail, alerter le responsable de l'utilisateur ou créer une requête pour enquête. |
| Empêcher l'accès des vues de liste aux champs classés | Surveillez quand des champs extrêmement sensibles, tels que les numéros de passeport, les numéros de sécurité sociale, les données financières, etc., sont exposés dans des vues de liste, qui peuvent être utilisées pour afficher ou extraire rapidement des volumes importants de données. | Les vues de liste permettent aux utilisateurs d'afficher plusieurs enregistrements à la fois, qui peuvent être utilisés à mauvais escient pour recueillir des informations confidentielles en masse sans exécuter de rapport. Ce FST aide à détecter ou à décourager l'exposition aux données classifiées d'une manière qui pourrait contourner les contrôles traditionnels de déclaration. | Bloquer l'exportation, notifier l'équipe de sécurité par Slack ou par e-mail, alerter le responsable de l'utilisateur ou créer une requête pour enquête. |
| Détection de requêtes d'API volumineuses avec des champs classés | Détecter quand les requêtes d'API renvoient un volume important d'enregistrements qui contiennent des champs classés ou confidentiels, tels que des informations d'identification personnelle des clients, des données financières ou des informations de santé. | L'accès API automatisé peut être utilisé pour extraire des données confidentielles à grande échelle, souvent sans déclencher les mêmes alertes que les exportations de rapports. Ce TSP aide les organisations à surveiller les modèles d'accès aux données à haut risque via des intégrations ou des applications tierces. | Bloquez l'exportation, notifiez l'équipe de sécurité par Slack ou par e-mail, alertez le responsable de l'utilisateur et créez une requête pour enquête. |
Contrôle d'accès (authentification)
| Stratégie de sécurité des transactions | Description | Pourquoi c'est important | Actions de suivi recommandées |
|---|---|---|---|
| Connexion hors de la zone géographique approuvée | Détecter quand un utilisateur se connecte à Salesforce à partir d'un emplacement géographique qui n'est pas inclus dans la liste approuvée de pays ou de régions de votre organisation. | Les connexions à partir d'emplacements inattendus ou restreints peuvent indiquer une violation des identifiants ou des politiques. Bien que cette détection soit utile, il est important de noter que les VPN et les outils proxy peuvent usurper des emplacements géographiques, réduisant ainsi la fiabilité des contrôles géolocalisés. Cette stratégie est préférable comme signal complémentaire à des mesures de sécurité renforcées telles que :
|
Bloquez la connexion, notifiez l'équipe de sécurité ainsi que le responsable de l'utilisateur par e-mail ou par Slack, ou créez une requête pour enquête et suivi. |
| Détection du déplacement impossible | Alerte lorsqu'un utilisateur se connecte à partir de deux emplacements géographiquement éloignés sur une période qui rend le trajet physique entre eux impossible. Par exemple, une connexion depuis New York suivie d'une connexion depuis Tokyo en 30 minutes. | Un voyage impossible est un indicateur fort de compromission des identifiants, où un acteur malveillant se connecte en utilisant des identifiants volés alors que l'utilisateur réel est actif ailleurs. Cependant, ce cas d'utilisation peut générer de faux positifs lorsque des applications tierces légitimes (p. ex. des clients d'API hébergés dans d'autres régions) agissent au nom de l'utilisateur. | Notifiez l'équipe de sécurité et alertez le responsable de l'utilisateur par e-mail ou Slack, puis créez une requête pour enquête et suivi. |
| Bloquer les connexions basées sur TLS Cipher Suite | Empêchez les utilisateurs de se connecter si la suite de cryptage TLS négociée est considérée comme faible ou ne respecte pas les normes de sécurité de l'organisation. Cela est particulièrement utile lorsque les utilisateurs se connectent à partir de points de terminaison partenaires non gérés où l'application de configurations locales n'est pas possible. | Les suites de cryptage TLS faibles ou obsolètes peuvent exposer les sessions utilisateur à des attaques par interception ou rétrogradation. Les organisations qui ont des données à valeur élevée ou à risque élevé (telles que des portails partenaires ou des systèmes financiers) doivent s'assurer que toutes les sessions sont négociées avec un cryptage solide et conforme. Ce TSP permet d'appliquer l'hygiène cryptographique au point d'authentification. | Bloquez la connexion et notifiez l'équipe de sécurité par Slack ou par e-mail, créez également une requête pour enquête. |
| Surveillance des connexions internes qui contournent l'authentification unique | Détectez et notifiez l'équipe de sécurité lorsque des utilisateurs standard internes se connectent directement (LoginType = 'Application') au lieu d'utiliser l'authentification unique. | Les organisations qui appliquent l'authentification unique souhaitent surveiller les connexions de rupture de verre ou les configurations incorrectes potentielles. Seuls les comptes d'urgence doivent se connecter en natif et la visibilité de ces connexions garantit la conformité aux politiques et accélère la réponse aux accès non autorisés. | Notifiez l'équipe de sécurité et alertez le responsable de l'utilisateur par e-mail ou Slack, puis créez une requête pour enquête et suivi. |
Modèle de sécurité (autorisation)
| Stratégie de sécurité des transactions | Description | Pourquoi c'est important | Actions de suivi recommandées |
|---|---|---|---|
| Limitation des exportations de données volumineuses à des profils utilisateur spécifiques | Détecter les volumes importants de données visualisés ou exportés par des utilisateurs extérieurs à des profils approuvés, par exemple limiter les téléchargements de rapports confidentiels aux utilisateurs associés au profil « Utilisateur marketing ». | Les exportations de données peuvent contenir des informations confidentielles ou réglementées. Limiter l'accès à grande échelle à un petit ensemble de rôles ou de profils de confiance réduit le risque d'utilisation abusive, intentionnelle ou accidentelle. | Bloquez l'exportation, notifiez l'équipe InfoSec par e-mail ou par Slack, puis créez une requête pour enquête. |
| Restriction des requêtes d'API haut volume par utilisateur invité | Déclenchez lorsque le profil Utilisateur invité émet une requête SOQL haut volume via l'API Salesforce, renvoyant un grand nombre d'enregistrements. Cela inclut les portails Salesforce ou Experience Cloud accessibles au public. | Les utilisateurs invités fonctionnent sans authentification et ont souvent accès aux objets exposés via le site public. Une requête avec un nombre d'enregistrements élevé via l'API, en particulier sans authentification, peut indiquer un scraping, une énumération ou une configuration incorrecte qui expose à un volume excessif de données. | Bloquez la requête d'API, notifiez l'équipe InfoSec par e-mail ou Slack, puis créez une requête pour enquête. |
| Alerte d'escalade de privilège | Détecter quand un utilisateur reçoit des privilèges élevés, par exemple le profil Administrateur ou un ensemble d'autorisations qui inclut « Modifier toutes les données », hors d'un processus de modification contrôlé. | Les modifications inattendues ou non autorisées des privilèges sont un indicateur important de menaces d'initiés ou de risque de configuration incorrecte. Ce TSP permet de détecter les escalades d'accès tôt avant qu'elles ne soient exploitées pour exfiltrer des données ou modifier des enregistrements critiques. | Bloquez l'action, notifiez l'équipe de sécurité par slack ou par e-mail, ou consignez une requête pour enquête. |
Intégration
| Stratégie de sécurité des transactions | Description | Pourquoi c'est important | Actions de suivi recommandées |
|---|---|---|---|
| Bloquer l'accès API à des applications tierces spécifiques | Détectez et bloquez éventuellement les appels d'API effectués par des applications tierces ou des packages gérés spécifiques, en particulier ceux qui ne sont pas approuvés pour être utilisés avec des données confidentielles. | Certaines intégrations ou applications peuvent accéder à plus de données que nécessaire, ou fonctionner à partir de régions ou d'infrastructures qui enfreignent les politiques de sécurité interne. Ce TSP permet d'appliquer automatiquement les contrôles d'accès au niveau de l'application au niveau de la couche d'API. | Bloquez l'action et notifiez le propriétaire de la sécurité par e-mail ou par slack. |
| Bloquer l'accès API des applications tierces non approuvées | Détectez et bloquez éventuellement les appels d'API effectués par des applications tierces ou des packages gérés qui ne sont pas inclus dans une liste d'autorisations approuvée gérée dans les métadonnées personnalisées. Seules les applications explicitement répertoriées sur la liste d'autorisations seront autorisées à interagir avec l'API Salesforce. | Au lieu de bloquer des applications spécifiques de façon réactive, cette approche proactive applique automatiquement l'accès API en fonction d'une liste contrôlée d'applications approuvées. Cela empêche les intégrations non autorisées ou risquées d'accéder à des données confidentielles et garantit une gouvernance plus stricte sur les applications autorisées à interagir avec les données de production. En utilisant des métadonnées personnalisées pour stocker la liste d'autorisations, les équipes de sécurité peuvent aisément mettre à jour la liste sans déploiement de code, ce qui garantit une gestion des stratégies plus sûre et plus flexible entre les environnements. | Bloquez l'action, notifiez l'équipe de sécurité par slack ou par e-mail, ou consignez une requête pour enquête. |
Prévention de la perte de données (DLP)
| Stratégie de sécurité des transactions | Description | Pourquoi c'est important | Actions de suivi recommandées |
|---|---|---|---|
| Détection du comportement d'accès en masse cumulé/exportation | Surveillez quand un utilisateur accède de façon cumulée à un nombre exceptionnellement élevé d'enregistrements uniques (tels que des pistes ou des opportunités) sur une période définie (par exemple, 3 heures ou 5 jours). Cela s'applique à plusieurs exportations de rapports, requêtes d'API ou vues de liste. | Des tentatives sophistiquées d'exfiltration de données peuvent se produire progressivement, extrayant de petits lots de données afin d'éviter de déclencher des seuils de volume immédiats. Ce FST détecte les modèles à long terme d'accès inhabituel, en particulier lorsqu'un utilisateur interagit avec un grand nombre d'ID d'enregistrement distincts à travers plusieurs sessions. Il est particulièrement utile pour détecter les menaces d'initiés ou les comptes compromis qui tentent d'échapper aux systèmes de détection en temps réel. | Bloquez l'action, notifiez l'équipe de sécurité par Slack ou par e-mail, puis créez une requête pour enquête. |
Surveillance
| Stratégie de sécurité des transactions | Description | Pourquoi c'est important | Actions de suivi recommandées |
|---|---|---|---|
| Recevoir une alerte sur les événements de détection des menaces | Déclenchez une stratégie de sécurité des transactions lorsqu'un événement Détection des menaces est généré par Salesforce, par exemple lorsqu'une anomalie de connexion est signalée par les modèles ML internes de Salesforce. | La Détection des menaces fournit des signaux intelligents pilotés par la ML pour une éventuelle atteinte au compte ou une activité malveillante. En intégrant TSP à ces événements, vous pouvez prendre des mesures en temps réel, par exemple alerter votre équipe de sécurité ou initier des workflows de réponse automatisés. | Notifiez l'administrateur de la sécurité, envoyez une alerte Slack à l'équipe de sécurité ou créez une requête pour enquête. |
Cet article a-t-il résolu votre problème ?
Dites-nous ce que nous pouvons améliorer !
