Salesforce系統掌握大量機敏性客戶資料。別成為這些常見過失、錯誤與盲點的受害者。
文/Bob Violino‧譯/Nica
行銷科技(或稱為martech),已成為公司企業執行業務時日益複雜卻不可或缺的一部份。對許多企業而言,Salesforce雲端客戶關係管理系統平台,已是行銷科技策略裡的重中之重。據研究調查機構IDC指出,擁有 19.8% 市佔率的Salesforce已是CRM市場領導者,遠遠超越其他競爭對手。
確保公司實行Salesforce的安全,應該是網路安全與IT領導者的主要考量,因為CRM系統多半掌握大量機敏性客戶資料。新的漏洞與常見錯誤及疏漏,會讓這些資訊處於危險境地。
Forrester Research 副總裁暨首席分析師 Jeff Pollard 表示,企業組織將「極度珍貴的資料置放在Salesforce裡。」「這是一個將商機變收入、潛在買方變客戶的地方。對入侵者而言,獲得Salesforce的存取權,意謂著獲得許多公司行號資料存取權的可能性。」
換句話說,Salesforce就是誘人的目標。近期被OwnBackup收購的資安管理廠商RevCult的營收長 Brian Olearczyk 表示,即便專家們都同意平台本身理當是安全的,因為Salesforce內套用了健全的深度防禦政策,但對駭客來說它仍有相當大範圍的可攻擊層面。企業組織「必須以安全的方式實施、設定並開發它,避免安全性與隱私權漏洞。」Olearczyk這麼說。
[ 加入 CIO Taiwan 官方 LINE 與 Facebook ,與全球CIO同步獲取精華見解 ]
或許最知名的Salesforce資料外洩事件能說明狀況可以演變得多糟。2019年,零售商 Hanna Andersson 資料遭到曝光,據稱是由於Salesforce本身遭植入惡意軟體所引起。一系列法律訴訟接踵而來,雙方直到2020年底都在為此付出代價。
以下將說明如何確保存放在Salesforce裡的寶貴資訊安全,以及在使用它時應避免的七大過失、錯誤與盲點,以及怎麼做最好的專業建議。
一、指望Salesforce處理一切
有經驗的資安專家不會落入「他們會保障安全」的陷阱,但有些小型企業或IT會在沒有專業資安的建議狀況下買單。
這並非Salesforce僅有的問題,包括整個 SaaS app 可能都普遍有這種狀況。「我們的經驗是,大部份SaaS平台的弱點源自於客戶不瞭解,網路安全的責任是由自己與SaaS廠商共同承擔。」IT服務供應商Accenture的常務董事暨 Salesforce Business Group 北美首席技術員 Andy Ognenoff 這麼說。
「你必須預先,並且持續努力保障客戶的雲端應用安全。」Ognenoff如此表示。「漏洞之所以出現,多半因為配置過多的高風險權限給使用者、過度開放資料存取設定,以及未經認可的第三方應用程式存取企業資料等等。」
由RevCult所著作的《2020 State of Salesforce Security Report》調查報告強調了這點:Salesforce用戶為了開發他們獨有的功能或業務流程時,往往就會製造出漏洞。這絕非Salesforce本身能全然防範的。
二、無團隊或人員負責Salesforce的資安
首先是體認到共擔責任制,再者所有職責都要有負責人。RevCult發現,許多企業一直以來都缺乏支援Salesforce資安所需的工具,以及Salesforce資安專家。
這個任務預設是交給執行Salesforce的行銷、業務與IT團隊。然而,Salesforce團隊缺乏規劃資安政策細節的相關知識,也對監管單位的要求和合規性標準不熟悉,Olearczyk表示。「遺憾的是,我們常發現沒有人負責這一塊,因此風險依然存在而未能處理,尤其是那些機敏性與受到監管的客戶資料。」他說道。
Salesforce對自身資安工作提供大量資訊與合規性文件。就建置Salesforce專屬資安技能方面,該公司提供了著重在Salesforce身份識別與存取管理的專屬認證,專為那些評估 Force.com 平台基礎架構環境與需求,與設計健全、可擴充及高效能解決方案,以符合單一登入(SSO)需求的人所設計。
依佈署規模而定,提供個人或團隊,以負責資安為首要職責,培養足以協助處理該平台相關問題的知識與技能。
三、未歸類資料
不同型態資訊,需要不同等級的安全性。以依然處於發展初期的「零信任」(zero trust)安全性處理為例,這就是它認可的關鍵原則。
RevCult研究裡的主要調查結果是,少有Salesforce使用者會歸類資料,因此不知道要保護什麼。企業組織對於他們在Salesforce裡的資料也應該有即時、明確且驗證過的認知。「檢視你所有的資料,再依這些資料在合規性上的內部歸類,為它指定一個值。」Olearczyk說道。
「沒有指定這樣的值,你會實施太多干擾的保護措施、會傳遞太多假警報或漏報,而無法按照你所要的採取行動。」這樣的資料歸類工作,是第二點中提到指定資安負責人或團隊的首要任務。
四、對跨部門工作流程與處理程序瞭解不足
公司對Salesforce組織系統的實際使用方式,一直都存在跨部門盲點。Salesforce是可以客製化的平台,工作流程可以調整為自訂組態與設定。通常,做這些設定的人不是在業務部就是各大部門裡。
「開發團隊多半與某些營運部門步調一致:業務、行銷、財務、客戶服務、支援,甚至人資(HR),而不是資訊安全,所以他們開發平台不會考量資料安全控制。」Olearczyk表示。
這種對所有點的連結方式缺乏瞭解,最後彰顯出來的是「過多存取權」。沒有將安全性放在心上,管理者與開發人員,都有可能誤以為基本的角色或權限設定即已足夠,無意中為使用者開啟了機敏資料的存取權。
「從我們客戶部署的狀況可以發現,在實際執行、配置組態和安全計畫所要求的項目幾乎是脫節的。」Olearczyk表示。
五、API不當設定
有些安全性議題會涉及Salesforce應用程式介面(API),這點也必須謹記在心。尤其是考量到支援眾多點對點營運處理程序而進出Salesforce的資料量。
一如其他資安疑慮,此問題非Salesforce獨有。SANS Institute 調查報告發現針對API的攻擊日益增加,資安專家憂心API組態錯誤可能導致公司曝露於資料外洩的險境。
「資安團隊需要持續驗證存取特權的組態是否適切。」Olearczyk表示。「這是永續性管理的一部份,必須在佈署當下控制,同時在之後定期維護。」
六、社群或其他元素不當設定
Salesforce是一個擁有大量不同元素、選擇與功能的大型平台。
上述任一都可能在資訊不足或粗心的情況下被設定。RevCult發現的常見漏洞涵蓋存取控制、越權使用者、缺乏控制的整合施作,以及像 Salesforce Shidld 事件監控這類特有功能執行不當或不完整。
以近期新聞為例,資安研究人員發現了Salesforce社群中的不當設定可能無意中曝露了機敏資料。
七、未持續擴展資安工作
如前文所述,資安專案所有權,有助於預防或減少基本失誤。然而,隨著Salesforce施行的擴充,它會需要集眾人之力擴展工作,才能保障資料免於社群組態此類失誤。隨著接觸這個平台的管理者、開發人員與終端使用者日益增加,在核心團隊外持續建立資安意識與知識會是關鍵。
解決這種脫節狀況的理想方式,就是在Salesforce執行團隊、業務線主管與資安團隊間,建立穩固的關係,Ognenoff表示。「安全性可以為企業營運啟動敏捷性,但若資安只是一種事後考量或被視為絆腳石,要證明它的價值就是一大挑戰了。」他繼續說道。
資安團隊必須擁有管理Salesforce這類SaaS應用風險敞口(risk exposure)的能見度,Ognenoff表示,「所以,將Salesforce整合進現有監控與應變規劃裡至關重要。」Accenture建議,Salesforce使用者應善用 Salesforce Shield 與該平台各種事件紀錄功能的優勢,將它們與企業資安資訊與事件管理(SIEM)工具及事件應變程序合而為一。
這個大型團隊包括Salesforce本身。就這部份而言,該公司表示針對該平台,它們會持續優先考量安全性。該公司「將安全性建置融入我們所做的一切。」Salesforce策略與信任(strategy and trust)副總裁 Trey Ford 如此表示。「讓我們的客戶知道,無論他們何時、何地與用何種方式想存取他們的資料都是安全的,沒有什麼比這點還要重要。」
客戶們已發現Salesforce提供的三大資安服務特別有用,Ford表示。首先是 Security Center,它可以讓管理者在檢測到威脅時更快簡化資安管理。再者是Shield,利用強化信任、透明度、合規性與管理整個Salesforce應用的工具,保障整體企業的安全。第三 Data Mask,是為協助客戶在Salesforce上客製化、建立與測試時同時保障私有資料所設計的工具。
「我們體認到網路犯罪手段只會越來越精良。」Ford說道。「我們的產品與資安團隊持續改革以保持領先。當然,在Salesforce與客戶之間,資安依然是共擔責任制。任何負責任的企業,在它們整體資安策略裡必定有一部份是將企業曝露的部份,組織成公司必須管理的問題,決定哪部份可以交給Salesforce管理。」
(本文授權非營利轉載,請註明出處:CIO Taiwan)