Salesforce管理者なら知っておきたいセキュリティリスク　ファイルスキャンが“不可欠”な理由と対策をデロイトトーマツの専門家が解説

» 2024年03月01日 10時00分公開

[PR／ITmedia]

　顧客データ管理を中心とするSFAにはじまり、カスタマーサービスやマーケティング、ECなど、ビジネスを支えるさまざまな機能を提供しているSalesforceは、海外はもちろん、国内でも多くの企業に採用されている。

　特に最近は「データ集約基盤やBIツールなども組み合わせ、より幅広く、より深く活用したいと考えるお客さまが増えています」と、デロイトトーマツコンサルティング（DTC）のディレクター、山下桂史氏は説明する。マルチクラウド環境を組み合わせたより複雑な案件も増えているという。

デロイトトーマツコンサルティングディレクター山下桂史氏

　もう一つの傾向は、流通、製造、医薬品といった民間企業だけでなく、官公庁や地方自治体がSalesforceを導入するシーンが増えていることだ。

　民間サービスでスピードが重要なのはもちろん、住民向けの公共サービスにおいてもコロナ禍や災害対策、経済支援など、あらゆる場面でサービス提供の迅速さが求められている。

　「政府でも自治体でも、施策をタイムリーに実施することが求められています。そのためには限られた期限の中、短期間でシステムを構築してリリース後も変化する情勢に合わせてどんどんエンハンスしていくシステムが必要です」（山下氏）

徐々に浸透してきた「責任共有モデル」　バランスの取れた対策を

　DTCはそんなニーズに対し、プロジェクト全体をリードして支援する「トラディショナル職」、プログラミングなどの実装部分を支援する「デリバリー職」、複数のプロジェクトを俯瞰（ふかん）して全体の品質向上を支援する「スペシャリスト職」という3種類の専門家が協力しながら、約350人体制でSalesforce導入の検討から計画立案、設計・開発、運用までのプロセス全体を支援している。

　プロジェクトをどう実現するかもさることながら、近年、特に注意が払われる領域がセキュリティ対策だ。

デロイトトーマツコンサルティングシニアスペシャリストリード外園和嗣氏

　「Salesforce自体はセキュアにできていますが、クラウドの世界では責任共有モデルが基本です。インフラやプラットフォームのセキュリティはSalesforce側が担保しますが、その上での機能やアプリケーションの選択については利用者側が責任を負うというように、両者で責任が共有されます」とDTCのSalesforce認定テクニカルアーキテクトである外園和嗣氏（シニアスペシャリストリード）は説明する。

　かつては、「セキュリティも含め、全てSalesforce側がうまくやってくれるだろう」という過度の期待が寄せられたこともあった。だが、ゲストユーザーのアクセス権限の設定不備に起因する問題などを機に、セキュリティに対する温度感は全体に上昇し、対策しない場合のリスクについても経営層を含めて認識が広がっている。このため最近では責任共有モデルが徐々に浸透し、その上で自分たちが守るべきところはどこかを検討する動きがスムーズになっているという。

　次の問題は、何を、どこまで、どのように守るかだ。セキュリティ対策の中には、設定することによって想定通りに動作しない場合や拡張性を犠牲にしてしまうものもある。いくらセキュリティ強化のためだからといって、何でも採用してしまうと当初の目的を果たせなくなる恐れもある。

　そこで、Salesforceが提供する機能と顧客が策定している社内セキュリティ基準やプロジェクトごとに定める非機能要件がどう合致しており、どう適合させるか、バランスを取りながら満たしていくことがDTCの腕の見せどころだ。

　「例えばデータを暗号化してしまうと、データの検索ができなくなる可能性があります。そこで、暗号化するほどではないデータについては、アクセス権限を適切に設定して関係のない他人からはデータが見られない状態を担保しましょう、といった対策をお客さまと一緒にバランスを考えながら提案しています」（外園氏）

不特定多数からのファイル受信　スキャンが不可欠なワケ

　「ガチガチに固めようと思えばいくらでもできますが、守るべきものは何かを確認し、どんな手段があるかを提示した上でセキュリティと拡張性、パフォーマンスなどとのバランスを取って落としどころを見つけています」（外園氏）

　セキュリティを担保しつつプロジェクトを実現するには、いくつか考慮すべき事柄がある。一つのセキュリティ対策だけで済むものではなく、前述のデータの暗号化やユーザー権限の設定、外部攻撃や内部不正に備えたログやモニタリングなどを組み合わせて検討しなければならない。

　もう一つ見落とされがちな点で、B2Cのサービス基盤として活用する場合に重要なポイントが、アップロードされるファイルやコンテンツのスキャンだ。

　コンシューマー向けのサービス、特に銀行や保険といった金融サービスや行政サービスでは、本人確認プロセスの一環として、身分証明書のデータなどをSalesforceにアップロードする場面がある。だが不特定多数がアクセスする以上、意図的に、あるいは意図しなくても、悪意あるプログラムなどが紛れ込む可能性は否定できない。そこで問題が起きると、そのサービスやビジネスそのものが止まってしまう可能性もあり、リスクは非常に高い。

　付き合いのある特定の企業とのみやりとりするB2Bでの活用でさえ成りすましのリスクの可能性があることを考えると、さらに広範な一般ユーザーが利用するサービスではファイルに対するセキュリティスキャン機能は必須と言える。

導入はわずか数時間　セキュアな環境を手軽に実現するCPSF

　そのコンテンツのセキュリティを担保するスキャン機能を実現するのが、ウィズセキュアの「WithSecure^™ Cloud Protection for Salesforce」（CPSF）だ。Salesforce専用に開発されたセキュリティソリューションで、国内でも複数の民間企業のほか、大阪府の新型コロナウイルス陽性者管理サービスなどさまざまな事業に採用されている。

　DTCがCPSFを推奨する理由はいくつかある。一つ目は導入のしやすさだ。

　「かつて別のプロジェクトで、独自にコンテンツをスキャンするシステムをSalesforceとは別に構築したことがありました。この場合、別のサービスと連携するため複雑性が高まり、考慮しなければいけないポイントが増えてしまいました。また、見通せないコストが生じる可能性もありました」（外園氏）

　構築するための開発者リソースの用意や設計・開発・テストなどの工数が必要なため、仕組みを実現するために数週間程度の期間がかかったという。

　これに対しCPSFはSalesforceにシームレスに統合されており、SalesforceのアプリストアのAppExchangeからインストールするだけで利用できる。

　「本当に簡単で、確認まで含めて数時間程度で作業が終わります」（外園氏）

　ひいては、タイトなスケジュールが組まれているサービス開発でも迅速に展開可能だ。

　Salesforceに統合されているため、運用作業を一元化できるだけでなく、個人情報の置き場所を限定できることも利点だ。「お客さまからすると、個人情報を複数の場所に散在させると管理の考慮点が増大します。『できれば一つのクラウドに集約させたい』というご要望は多くあります」（山下氏）

　スキャンによるパフォーマンスの劣化がほとんど生じないこともメリットだ。

　「申請などは、期限直前にアクセスが急増します。申請が集中しても処理できるパフォーマンス設計が必要ですが、CPSFに関してはそうした部分は気にしなくて済みましたし、実際に問題なく動きました」（山下氏）

　もちろん、本来の機能であるセキュリティに関しても安心できる性能を備えている。特に重宝しているのが、マルウェアの有無だけでなく悪意あるURLを検知する機能だ。

　「最近はサイバー攻撃者の手段も巧妙になっています。最初は無害なサイトにしておいてスキャンをかいくぐり、一定期間を置いてから悪意あるサイトに変える手口がありますが、CPSFはそれを検知してくれます。ファイルそのものだけでなく中身のURLがアクセスする先まで見てくれるというのは非常に安心です」（山下氏）

　SalesforceとCPSFの組み合わせは大阪府の子育て世帯向けの食費支援事業で採用され、100万件を超える申請を受け付けた。他の自治体のサービスも含めると300万～400万人のユーザーがこの組み合わせを活用しているが今のところトラブルなく運用できており、スキャンによって検出された脅威もない。

　検出がないからといって、無駄な投資では決してないという。

　「セキュリティインシデントはいつ何時、何が起こるか分かりません。行政が提供するのは、負荷が高く波があり、しかも急を要する仕事です。にもかかわらずウイルス感染などが発生してしまえば、それまでの準備が水の泡となってしまいます。そういったリスクへの備えとして、やはりCPSFの導入は正解だったと考えています」（山下氏）