SOX-Compliance in Salesforce: Was zum Umfang gehört und wie man es vereinfacht

Es wird zunehmend üblich, dass Salesforce Orgs im Rahmen von SOX berücksichtigt werden. Prüfer sind besorgt über umsatzbezogene Daten und kritische Geschäftsprozesse auf der Plattform.

Das Problem ist, dass Organisationen komplex sind, oft stark angepasst werden und vieles, worüber Prüfer am meisten besorgt sind, in benutzerdefinierten Objekten verborgen oder sehr schwer nachzuverfolgen ist.

Auf dieser Seite finden Sie einen Überblick über die sieben Punkte, die für Auditoren am wichtigsten sind, und einige der Methoden, mit denen Netwrix Platform Governance beschäftigten Salesforce-Teams hilft, diese zu erreichen.

Dokumentation

Nicht alles in Salesforce fällt in den Geltungsbereich von SOX. Ihre Prüfer interessieren sich wahrscheinlich nicht für Marketingoperationen, zum Beispiel, weil Marketingoperationen normalerweise keine Umsatzdaten berühren.

Das Problem ist, dass Sie, es sei denn, Sie haben ein umfassendes Verständnis der Anpassungen und Abhängigkeiten in Ihrer Organisation – etwas, das in allen außer den kleinsten Unternehmen praktisch unmöglich ist – nicht vollständig wissen können, was eine wesentliche Änderung ist, die im Rahmen von SOX liegt, und was nicht.

Die Dokumentation Ihres Kontos ist der erste Schritt, um festzustellen, was für SOX relevant ist, und um Richtlinien zu erstellen, die es effektiv verwalten.

Wie Netwrix Platform Governance hilft

• Automatische Org-Dokumentation: Netwrix Platform Governance ist das einzige Salesforce-native Tool, das Ihr Org kontinuierlich scannt und alle Metadaten sowie die Verbindungen zwischen ihnen indiziert.
• Dependency Mapping: Die Abhängigkeitsbeziehungsdiagramme von Netwrix Platform Governance zeigen Ihnen, wie verschiedene Anpassungen miteinander verbunden sind.

• Customization Record: Detaillierte Anpassungsprotokolle zeigen Ihnen alles, was Sie über eine Anpassung wissen müssen — wer sie erstellt hat, wer darauf Zugriff hat, wie sie sich verändert hat und womit sie verbunden ist.

Access Management

Für Audit-Zwecke ist es genauso wichtig zu verstehen, wer Zugang zu verschiedenen Teilen Ihrer Organisation hat, wie zu verstehen, was in Ihrer Organisation ist. Tatsächlich sind sie zwei Seiten derselben Medaille – es ist großartig zu wissen, wo umsatzbezogene Daten in Ihrer Organisation sind, aber Sie müssen auch wissen, wer sie sehen, wer sie bearbeiten und wer sie löschen kann.

Es gibt nur bestimmte Zugriffsarten, die für Compliance-Zwecke relevant sind. Das Problem ist, dass ein komplexes Objekt in Salesforce mehrere benutzerdefinierte Felder, Standardfelder, Formelfelder, Datensatztypen, Auswahllistenwerte, Schaltflächen und Links enthalten kann — ohne die richtigen Werkzeuge kann es fast unmöglich sein, genaue Einblicke zu erhalten, wer was sehen kann.

Wie Netwrix Platform Governance unterstützt

• Rollen-, Profile- und Berechtigungssätze-Überwachung: Erstellen Sie Richtlinien, die Änderungen an bestimmten Profilen oder Berechtigungssätzen überwachen — und alles in auditfreundlichen Berichten protokollieren. Netwrix Platform Governance behandelt Änderungen an Benutzerberechtigungen genauso wie andere Metadaten — und bietet Ihnen ein nachweisbares Audit-Protokoll, das zeigt, wer was geändert hat, und eine vollständige Differenz der betroffenen Elemente.
• Field Access Review: Ein komplexes Objekt in Salesforce kann mehrere benutzerdefinierte Felder, Standardfelder, Formelfelder, Datensatztypen, Auswahllistenwerte, Schaltflächen und Links enthalten. Netwrix Platform Governance bietet Ihnen übersichtliche Berichte und Tabellen, die alle Einstellungen zeigen, die einem Objekt, Profil oder Berechtigungssatz zugeordnet sind.
• Benutzer-/Profil-/Berechtigungssatz-Überprüfungen: Erhalten Sie einen detaillierten Einblick in alles, was ein Benutzer sehen und tun kann, finden Sie die einem Profil zugeordneten Berechtigungen und mehr — Netwrix Platform Governance erleichtert die Durchführung detaillierter Überprüfungen und die Feststellung, wer Zugang zu relevanten Finanzdaten hat.

Auswirkungsanalyse

Zusammen geben Dokumentation und Zugriffsüberprüfung Ihnen das Layout Ihrer Organisation. Die Auswirkungsanalyse zeigt Ihnen, wie Sie es navigieren können. Wenn Sie die Auswirkungen einer potenziellen Änderung sehen können, wissen Sie, ob sie etwas im Rahmen von SOX betrifft und stellen sicher, dass sie die angemessenen Überprüfungen und Genehmigungen durchläuft.

Die Auswirkungsanalyse in Salesforce ist auch aus Sicht der Ressourcenzuweisung genauso wichtig. Tatsache ist, dass die meisten Änderungen nicht wesentlich sind und sicher vorgenommen werden können. Wenn Sie diese Änderungen sofort identifizieren können, vermeiden Sie stundenlange Recherche und geben Ihrem Team die Freiheit, sich auf das Wichtigste zu konzentrieren.

Wie Netwrix Platform Governance hilft

• Impact Reports: Netwrix Platform Governance bietet Ihnen detaillierte Berichte zur Analyse der Auswirkungen einer vorgeschlagenen Änderung. Unsere Impact Reports zeigen Ihnen alle Anpassungen an einem Basiseintrag sowie deren Abhängigkeiten. Diese Methode ist besonders nützlich, um Änderungen an mehreren Anpassungen gleichzeitig zu untersuchen und zu überprüfen.
• Jira/ServiceNow-Integration: Wenn Sie Jira oder ServiceNow zur Verwaltung von Tickets verwenden, können Sie direkt auf der Ticketebene auf die Auswirkungsanalyse von Netwrix Platform Governance zugreifen und eine umfassende Liste der benutzerdefinierten Anpassungen erhalten, die durch eine mögliche Änderung betroffen sein werden. Sie können auch Jira/ServiceNow-Tickets mit Änderungsanfragen in Netwrix Platform Governance synchronisieren, sodass die Auswirkungsanalyse und die Genehmigung, falls erforderlich, in einem prüfbereiten Bericht gesammelt werden.
• Risikoentscheidungen: Netwrix Platform Governance ermöglicht Ihnen das Erstellen spezifischer Änderungsrichtlinien und Genehmigungsanforderungen basierend auf Risiko.

Hier ist der Netwrix Platform Governance Richtlinieneintrag, in dem wir festlegen können, welche Arten von Änderungen einen vollständigen SDLC benötigen, welche im Sandbox getestet werden müssen, welche eine Genehmigung erfordern, welche über ein Prozessproblem behandelt werden können und welche einfach protokolliert werden, das heißt, sie sind sicher und erfordern keine zusätzliche Untersuchung:

Change Enablement

Nicht alle Entwicklungsaktivitäten in Salesforce erfordern eine Überprüfung. Aber in einer ausgereiften Org können Risikofaktoren komplex sein — wenn Ihr Team eine Änderung an einem benutzerdefinierten Objekt oder Feld vornimmt, ohne dessen Auswirkungen zu kennen, könnte es versehentlich einen geschäftskritischen Prozess stören oder die finanzielle Berichterstattung und SOX compliance beeinträchtigen.

Das Problem ist, dass es keinen einfachen Weg gibt zu wissen, was sicher geändert werden kann und was einer Überprüfung bedarf. Infolgedessen stehen Salesforce-Teams vor zwei Extremen: Stunden mit der Entdeckung bei jeder Änderung verbringen – etwas, das in einer beschäftigten Organisation praktisch unmöglich ist – oder Risiken akzeptieren und Dinge reaktiv handhaben, wenn etwas kaputt geht.

In Wirklichkeit werden die meisten Salesforce-Teams eine Mischung aus beidem tun, sich auf institutionelles Wissen und oft auch auf Glück verlassen, um zu entscheiden, was überprüft werden muss. Aber was wäre, wenn es einen Weg gäbe, dies zu formalisieren und zu automatisieren und Entscheidungen auf handlungsrelevante Intelligenz statt auf das Verständnis eines Administrators des Systems zu stützen?

Wie Netwrix Platform Governance hilft

• Änderungsprotokolle: Netwrix Platform Governance zeichnet automatisch jede Änderung in Ihrer Organisation auf und protokolliert diese in Änderungsprotokollen. Änderungsprotokolle sind ein unveränderliches, mit Datum und Uhrzeit versehenes Dokument, das einen vollständigen, detaillierten Unterschied aufzeigt, was passiert ist und wann es passiert ist.
• Änderungsrichtlinien: Netwrix Platform Governance ermöglicht Ihnen das Erstellen eines Regelwerks, um bestimmte Arten von Änderungen, die eine zusätzliche Überprüfung erfordern, automatisch zu eskalieren. Einfache deklarative Änderungen können sofort identifiziert und ohne weitere Untersuchung beschleunigt werden. Komplexere Änderungen können über ein Prozessproblem oder einen Änderungsantrag (in Jira, ServiceNow oder mit dem nativen Change-Management-System von Netwrix Platform Governance) behandelt werden.
• Closed-Loop Change Management: Netwrix Platform Governance ist ein echtes Closed-Loop-Change-Management-System. Jede Änderung an Metadaten wird in einem unveränderlichen Protokoll erfasst. Jede abgeschlossene Änderung wird mit einem ursprünglichen Antrag abgeglichen und, falls notwendig, einer Genehmigung.

Jede Änderung und Genehmigung wird auf Übereinstimmung mit den von Ihnen festgelegten Richtlinien überprüft. Alles, was nicht der Richtlinie entspricht, wird in einem Bericht über nicht konforme Änderungen zur Überprüfung und Freigabe erfasst.

Das Beste daran? Änderungen an Ihren Richtlinien werden mit demselben Verfahren protokolliert und überwacht. Dies macht es unmöglich, eine Genehmigung nachträglich zu ändern oder eine nicht konforme Änderung künstlich zu beheben.

Mit anderen Worten, der gesamte Prozess ist luftdicht und vollständig validiert — etwas, das für Sicherheit, Governance und Prüfungsbereitschaft entscheidend ist.

Berichterstattung und Abstimmung

Wie einfach ist es für Ihr Team, einen vollständigen Überblick über die wesentlichen Änderungen zu erhalten, die in Ihrer Organisation stattfinden? Können Sie Änderungen nach Person, Objekt und Typ anzeigen? Können Sie Ihr Audit-Protokoll mit Ihren Jira-Tickets abgleichen und begründen, warum Änderungen vorgenommen wurden?

Dies sind alles Dinge, nach denen Ihre Prüfer möglicherweise fragen werden. Wenn Sie diese Berichte nicht automatisch erstellen können, müssen Sie und Ihr Team manuell Ihren Prüfpfad durchgehen, was mit großem Aufwand und hohen Kosten verbunden ist. Und wenn Sie es nicht im Voraus tun, laufen Sie Gefahr, dass Ihre Prüfer Mängel feststellen, deren Behebung noch kostspieliger sein wird.

Wie Netwrix Platform Governance hilft

• ‘What Changed’-Bericht: Der ‘What Changed’-Bericht ist Ihre übersichtliche Aufzeichnung aller Entwicklungsaktivitäten in Ihrer Org.
• Änderungsprotokoll-Abgleich: Es nützt nichts, ein Excel-Dokument oder eine E-Mail-Kette zur Genehmigung einer Änderung zu haben, wenn Sie es nicht mit der Entwicklungsaktivität in Ihrer Organisation abgleichen können. Zu demonstrieren, dass Änderungsanfragen und Genehmigungen mit einem verifizierbaren Protokoll verbunden sind, ist ein wesentlicher Bestandteil, um eine Prüfung zu bestehen und die Gesamtintegrität Ihrer Organisation zu wahren. Normalerweise erfordert dies Stunden, wenn nicht Tage, manueller Abstimmung. Netwrix Platform Governance löst dieses Problem, indem es die Arbeit für Sie erledigt!

10-Minuten-Audit-Vorbereitung

Mit Netwrix Platform Governance in Ihrem System ist das Bestehen einer Prüfung so einfach wie das Ausdrucken von drei Berichten:

Konforme Änderungen

Dieser Bericht zeigt alle Änderungen, die der Richtlinie folgten – d.h., alles, was überprüft und gemäß dem von Ihnen in Ihren Richtlinienaufzeichnungen festgelegten Prozess genehmigt wurde oder alles, was Netwrix Platform Governance als nicht wesentlich und sicher für Änderungen eingestuft hat.

Behobene nicht konforme Änderungen

Dieser Bericht zeigt alles, was nicht den Richtlinien entsprach, wie zum Beispiel Notfall-Hotfixes – und die Schritte, die Sie unternommen haben, um es zu lösen

Unresolved Noncompliant Changes

Dieser Bericht zeigt alles, was nicht den Richtlinien entsprach und noch überprüft wird. Idealerweise sollte er leer sein, wenn Sie in die Prüfung gehen! Viele Salesforce-Teams planen wöchentliche oder monatliche regelmäßige Meetings, um die verbleibenden Ausreißer im System zu überprüfen und zu bereinigen.

Bereitstellung

Die Bereitstellung mit Salesforce-Änderungssets ist zeitaufwändig. Und in Bereichen, in denen SOX relevant ist oder Sicherheit ein Problem darstellt, bietet sie keine Möglichkeit, die Trennung der Aufgaben zwischen Benutzern, die entwickeln, und Benutzern, die bereitstellen, durchzusetzen.

Zu oft stecken Salesforce-Teams zwischen Produktivität und Compliance fest, und die Fähigkeit, Ihr Org effektiv weiterzuentwickeln, leidet darunter.

Wie Netwrix Platform Governance hilft

• Automatische Freigabe und Bereitstellung: Automatisieren Sie kritische Entscheidungen über die angemessenen Genehmigungen, Tests und Freigabeprozesse, die für verschiedene Arten von Änderungen erforderlich sind.
• Vergleich der Umgebung: Erhalten Sie sofort eine vollständige Differenz der Änderungen zwischen Produktions-, Test- und Sandbox-Orgs.
• Post-Deployment-Validierung: Störungen beheben und Implementierungen in verschiedenen Umgebungen validieren.

Konfigurationsdaten

Für viele Teams ist die Überwachung von Konfigurationsdaten der schwierigste Teil der SOX-Compliance. In der CPQ-Anwendung werden beispielsweise wichtige Regeln zu Produkten, Preisen, Rabatten und Genehmigungen als Daten in benutzerdefinierten Objekten gespeichert. Einblick in diese Änderungen zu bekommen ist unglaublich zeitaufwendig, und es gibt nur wenige Optionen, um Änderungen zu verhindern, die die Compliance gefährden könnten.

Dies ist nicht nur auf CPQ beschränkt. Auch die Billing-Anwendung und viele andere, die umsatzbezogene Daten berühren, könnten potenziell betroffen sein. Wenn Ihre Prüfer noch nicht danach fragen, ist es sehr wahrscheinlich, dass sie es in Zukunft tun werden.

Wie Netwrix Platform Governance hilft

• Konfigurationsdatenüberwachung: Netwrix Platform Governance behandelt Konfigurationsdaten mit derselben Sorgfalt, die es auch anderen Apex-Metadaten in Ihrer Organisation angedeihen lässt. Dann bietet Ihnen Netwrix Platform Governance eine systematische Methode, um sich auf relevante Objekte zu konzentrieren und hochgradig detaillierte Richtlinien zu erstellen, um diese zu verfolgen und zu überwachen.
• Richtlinienprotokolle: Netwrix Platform Governance ermöglicht Ihnen das Erstellen von Milderungsmaßnahmen, die automatisch Änderungen an kritischen CPQ-Regeln blockieren. Infolgedessen müssen sich Kunden von Netwrix Platform Governance nicht mehr auf Feldhistorienberichte und manuelle Überprüfungen verlassen, um sicherzustellen, dass CPQ und andere Konfigurationsdaten geschützt sind. Auditoren sind zufrieden, die Auditkosten sinken und die IT-Führung kann beruhigt sein, da keine Überraschungen zu erwarten sind.
• Kontrollmechanismen zum Blockieren: Netwrix Platform Governance bietet Ihnen die Möglichkeit, riskante Änderungen ohne vorherige Genehmigung zu blockieren. Dies wird oft für Preis- und Rabattdaten verwendet, die sich direkt auf den Umsatz auswirken. Versucht ein Benutzer, eine Änderung an einem Feld vorzunehmen, für das die Blockierung aktiviert ist, kann er dies nicht tun, es sei denn, es wurde im Voraus ein Änderungsantrag eingereicht.