安全性最佳實作

Image

安全性從一開始便內建在我們的產品中。Salesforce 為我們的客戶提供保護其資料所需的創新工具和教育資源，但我們相信安全性是共同的責任。強烈建議所有客戶採用下列最佳作法，以更進一步保護您的 Salesforce 例項免受損害且符合產業標準。

MFA 微型網站

啟用多因素驗證

多因素驗證 (或稱 MFA) 提供額外的防護，可抵禦常見的威脅，例如網路釣魚攻擊、憑證填充及帳戶接管。實作 MFA 是您公司提高 Salesforce 資料安全性的最有效方法之一。這也是為何自 2022 年 2 月 1 日開始，Salesforce 就會要求客戶必須啟用 MFA，才能存取 Salesforce 產品。

Image

掌握基本概念

Image

實作 MFA 或 單一登入

實作強大的安全性措施來保護您的業務和客戶，比起以往任何時候都更加重要。隨著危害使用者憑證的威脅越來越普遍，使用者名稱和密碼已不足以防止未經授權的帳戶存取。 

多因素驗證 (或稱 MFA) 提供額外的防護，可抵禦常見的威脅，例如網路釣魚攻擊、憑證填充及帳戶接管。實作 MFA 是您公司提高 Salesforce 資料安全性的最有效方法之一。

檢視 MFA 資源 >

執行每個版本隨附的安全健康檢查

「健康檢查」是 Salesforce 產品標配的免費工具。內建於我們的核心平台上，讓管理員透過一個顯示面板就能夠管理其組織最重要的安全性設定。使用「健康檢查」，管理員只要一鍵就能流暢地找出與修正有潛在弱點的安全性設定。客戶也可以建立自訂基準標準，以更符合其業務的各個安全性需求。

深入瞭解健康檢查 >

Image

深入瞭解最佳作法

  • 持續接收憑證輪替和更新的通知

    Salesforce 不推薦固定頁面或中繼 SSL/TLS 憑證，因為上述項目可能會在日常營運期間，於中繼憑證輪替時造成可用性問題。然而，可能存在涉及中介軟體整合的特定使用案例需要將憑證固定。如果您固定頁面/中繼憑證，請考慮僅固定根憑證。若要收到即將到來憑證輪替和更新的即時通知，請加入 憑證變更 Trailblazer Community 並訂閱該群組的電子郵件更新。

  • 設定登入 IP 範圍

    要求使用者從指定的 IP 位址 (通常是您的公司網路或 VPN) 登入 Salesforce，以限制未經授權存取。透過使用「登入 IP 範圍」，管理員可定義允許的 IP 位址範圍以控制 Salesforce 存取。任何嘗試從非指定 IP 位址登入 Salesforce 的使用者，將不授予其存取權限。

    • 如果您使用的是 Professional、Group 或 Personal 版，您可以在「安全性控制」>「工作階段設定」下設定「登入 IP 範圍」。
    • 如果您使用的是 Enterprise、Unlimited、Performance 或 Developer 版，您可以在「管理使用者」>「設定檔」下設定「登入 IP 範圍」。

  • 考量 Salesforce Shield

    在整體安全性策略中，請考量納入 Salesforce Shield。雖然 Salesforce 配備許多即用的安全性控制項，但 Shield 透過增強的加密、應用程式與資料監視，以及安全性原則自動化，來補充您的安全性功能。Shield 可幫助管理員與開發人員讓業務關鍵應用程式的信任與透明度提升至新的等級。

  • 我的網域

    「我的網域」可讓您將自訂網域新增至您的 Salesforce 組織 URL 中。擁有一個自訂網域，可讓您突顯您的品牌，並讓您的組織更加安全。此外，這可讓您遵循我們的最佳作法：不要在程式碼與整合中指定例項名稱 (例如 na1.salesforce.com)。遵循此最佳作法可在未來的任何維護期間，提供給您與您的客戶更加流暢的體驗。

    使用「我的網域」，您可以定義屬於您 Salesforce 網域的自訂網域。自訂網域實際上是主要網域的子網域。我們以 Universal Containers 為例，在此「我的網域」範例中，其子網域為：https://universal-containers.my.salesforce.com。

    一個自訂網域名稱可幫助您以數種重要方式，更進一步地管理您組織的登入與驗證。您可以：

    • 封鎖或重新導向未使用新網域名稱的頁面要求
    • 設定自訂登入原則以決定驗證使用者的方式
    • 同時使用多個 Salesforce 組織
    • 讓使用者使用如 Google 和 Facebook 等社交帳戶從登入頁面登入
    • 允許使用者登入一次即可存取外部服務
    • 使用您的唯一網域 URL 突顯您的企業身分
    • 在您的登入畫面上建立品牌及自訂右框架內容

  • 減少工作階段逾時閾值

    使用者有時會讓他們的電腦處於無人看管或未登出的狀態。您可以讓系統在有一段時間沒有工作階段活動時，會自動關閉工作階段，藉此保護您的應用程式不會遭受未經授權存取。預設逾時值為 2 小時，您可以將此值設定為 30 分鐘到 8 小時。若要變更工作階段逾時值，請按一下：「設定」>「安全性控制」>「工作階段設定」。

  • 啟用 TLS 1.2 或以上版本

    傳輸層安全性 (TLS) 是最廣為部署的安全性通訊協定，用於網路瀏覽器和其他需要透過網路安全交換資料的應用程式。自 2019 年 10 月起，Salesforce 要求所有的安全組織連線都必須使用 TLS 1.2 或以上版本，以確保有最安全的環境及持續符合付款卡產業規範。

  • 指導使用者瞭解網路釣魚

    Salesforce 強烈建議對所有的 Salesforce 使用者進行網路釣魚教育。大多數的網路攻擊使用惡意軟體讓電腦感染惡意程式碼，這些程式碼旨於竊取密碼、資料或中斷整個電腦/網路。還好，您不必是安全性專家就能協助阻止惡意軟體。

    網路釣魚詐騙使用詐欺電子郵件讓使用者洩露機密資訊。這類電子郵件通常看起來好像來自合法組織，而且可能包含似乎是該組織網站的連結 (例如傳遞封裝、薪資、IRS、社交網路)，但實際上卻是一個設計來安裝惡意軟體及擷取資訊的假網站。隨著詐騙手法越來越高明，因此很難知道電子郵件是真還是假。您應讓您的 Salesforce 使用者知道以下檢閱電子郵件時的一些建議 (可參閱我們的安全性公告頁面以取得近期詐騙事件的範例)：

    • 檢查主旨行，看看是否有非預期的訊息和不適當的語言
    • 確認人員與組織 (例如，將游標暫留在寄件者名稱與 URL 上方，但不要點擊)
    • 不要點擊可疑的附件 (例如陌生的名稱或格式)
    • 不要洩露憑證資訊 (例如使用者名稱、密碼)，除非您確定電子郵件來自信任的寄件者
    • 仔細檢查語言 (例如文法、拼字)
    • 對於緊急和要立即回覆的訊息保持警覺 -- 尤其是要求付款的訊息

    如果您或任何的使用者不確定 Salesforce 電子郵件是否合法，請將可疑電子郵件複本作為附件轉寄到 security@salesforce.com。請在主旨行中包含「網路釣魚」或「惡意軟體」等字眼，表示此封電子郵件是可疑的網路釣魚電子郵件。

    如需如何使用 Gmail 將電子郵件作為附件轉寄的指示，請檢閱在 Google 支援中以附件傳送電子郵件。

  • 密碼原則

    在保護您 Salesforce 帳戶的過程中，強式密碼安全性是很重要的步驟，因此 Salesforce 建議以下最佳作法： 

    • 密碼到期 – Salesforce 建議不要超過 90 天，以強制使用者重設其密碼
    • 密碼長度 – Salesforce 建議密碼長度至少 8-10 個字元
    • 密碼複雜性 – 管理員應要求使用者在其 Salesforce 密碼中混用英文字母、數字和特殊字元

    此外，提醒使用者絕對不要對多個帳戶重複使用密碼，否則他們將面臨多個帳戶洩露的風險。最後，使用者必須瞭解，絕不能將密碼分享給任何人知道，無論是線上或親自 -- 這包括他們的 Salesforce 密碼。

  • 使用設定檔和權限集來強制執行微調存取權控制

    權限集為設定與權限的集合，會授與使用者多項工具和功能的存取權。權限集可在不變更使用者設定檔的狀況下延伸其功能存取權。

    建立權限集以授與使用者的邏輯分組間授與存取權，無需考慮其主要工作職能。例如，假設您有多個使用者須刪除並轉移潛在客戶。您可以根據使用者必須執行的作業建立多個權限集，並根據工作職能在權限集群組中包含上述權限集。雖然使用者僅可有一個設定檔，但他們可以擁有許多權限集。 

  • 審核與登入

    審核記錄檔提供系統中所有活動按時間排序的記錄，例如登入、權限變更和新增/刪除記錄。這些記錄檔用於偵測系統的異常使用情況，在診斷潛在或實際安全性問題時十分重要。

    我們建議您針對 Salesforce 例項設定審核追蹤措施，並執行日常審核以監控非預期變更和使用趨勢。

  • 使用硬體安全性模組 (HSM) 作為信任基礎

    硬體安全性模組為加固的實際或虛擬系統，用於在企業環境中提供和管理密碼功能。HSM 會與核心安全功能一同使用，包含加密、解密與驗證功能。

    我們建議將 HSM 作為信任基礎使用以保護使用的金鑰，以保障在多雲端和內部部署環境中的資料安全。此類項目應通過最高安全性標準認證 (例如 FIPS 140-2 和基本條件)，並獨立於公司網路，僅限授權人員進行存取。