Cumplimiento SOX en Salesforce: Qué está incluido y cómo simplificarlo

Es cada vez más común que las Salesforce Orgs estén dentro del alcance de SOX. Los auditores están preocupados por los datos relacionados con los ingresos y los procesos críticos de negocio en la plataforma.

El problema es que las organizaciones son complejas, a menudo altamente personalizadas, y gran parte de lo que más preocupa a los auditores está oculto en objetos personalizados o es muy difícil de rastrear.

En esta página, encontrará un resumen de las siete cosas que más preocupan a los auditores, y algunas de las formas en que Netwrix Platform Governance ayuda a los ocupados equipos de Salesforce a lograrlas.

Documentación

No todo en Salesforce está dentro del alcance de SOX. Probablemente a tus auditores no les importen las operaciones de marketing, por ejemplo, porque las operaciones de marketing normalmente no afectan los datos de ingresos.

El problema es que a menos que tengas un entendimiento integral de las personalizaciones y dependencias en tu Org — algo que es virtualmente imposible en todas excepto las empresas más pequeñas — no puedes saber completamente qué es un cambio material que está dentro del alcance de SOX, y qué no lo está.

Documentar su cuenta es el primer paso para determinar qué es relevante para SOX y establecer políticas para gestionarlo de manera efectiva.

Cómo Netwrix Platform Governance ayuda

• Documentación automática de la organización: Netwrix Platform Governance es la única herramienta nativa de Salesforce que escanea tu organización de manera continua e indexa todos los metadatos, y las conexiones entre ellos.
• Mapeo de dependencias: Los diagramas de relaciones de dependencia de Netwrix Platform Governance le muestran cómo están conectadas las diferentes personalizaciones.

• Registro de personalización: Los registros detallados de personalización le muestran todo lo que necesita saber sobre una personalización: quién la creó, quién tiene acceso a ella, cómo ha cambiado y a qué está conectada.

Access Management

Para fines de auditoría, comprender quién tiene acceso a diversas partes de su organización es tan importante como entender qué hay en su organización. De hecho, son dos caras de la misma moneda: es excelente saber dónde se encuentra la información relacionada con los ingresos en su organización, pero también necesita saber quién puede verla, quién puede editarla y quién puede eliminarla.

Solo hay tipos específicos de acceso que importan para fines de cumplimiento. El problema es que un objeto complejo en Salesforce puede contener múltiples campos personalizados, campos estándar, campos de fórmula, tipos de registro, valores de lista de selección, botones y enlaces — sin las herramientas adecuadas, puede ser casi imposible obtener percepciones precisas de quién puede ver qué.

Cómo Netwrix Platform Governance ayuda

• Monitoreo de Roles, Perfiles y Conjuntos de Permisos: Cree políticas que monitoreen los cambios en perfiles o Conjuntos de Permisos específicos — y registre todo en informes amigables para auditorías. Netwrix Platform Governance trata los cambios en los permisos de usuario de la misma manera que trata otros metadatos — proporcionándole un registro de auditoría verificable que muestra quién cambió qué y una comparación completa de lo que fue afectado.
• Revisión de Acceso a Campos: Un objeto complejo en Salesforce puede contener múltiples campos personalizados, campos estándar, campos de fórmula, tipos de registro, valores de lista de selección, botones y enlaces. Netwrix Platform Governance le ofrece informes y hojas de cálculo fáciles de usar que muestran todos los ajustes asociados a un Objeto, perfil o conjunto de permisos.
• Revisiones de Conjuntos de Permisos de Usuario/Perfil: Obtenga un análisis detallado de todo lo que un usuario puede ver y hacer, encuentre los permisos asociados a un perfil y más — Netwrix Platform Governance facilita la realización de revisiones detalladas y determinar quién tiene acceso a los datos financieros relevantes.

Análisis de Impacto

Juntos, la documentación y la revisión de acceso le proporcionan la estructura de su organización. El análisis de impacto le muestra cómo navegarla. Cuando puede ver el impacto de un cambio potencial, puede saber si afecta o no a algo dentro del alcance de SOX y asegurarse de que se someta a las revisiones y aprobaciones apropiadas.

El análisis de impacto en Salesforce es igual de importante desde el punto de vista de la asignación de recursos. La realidad es que la mayoría de los cambios son no materiales y seguros de realizar. Cuando puedes identificar inmediatamente esos cambios, puedes evitar horas de descubrimiento y liberar a tu equipo para que se concentre en lo más importante.

Cómo Netwrix Platform Governance ayuda

• Informes de Impacto: Netwrix Platform Governance le proporciona informes detallados para analizar el impacto de un cambio propuesto. Nuestros informes de impacto le muestran todas las personalizaciones en un registro base, así como sus dependencias. Este método es particularmente útil para investigar y revisar cambios en múltiples personalizaciones de una sola vez.
• Integración Jira/ServiceNow: Si utiliza Jira o ServiceNow para gestionar tickets, puede acceder al análisis de impacto de Netwrix Platform Governance directamente en el nivel del ticket y obtener una lista completa de personalizaciones relacionadas que se verán afectadas por un cambio potencial. También puede sincronizar los tickets de Jira/ServiceNow con las solicitudes de cambio en Netwrix Platform Governance, de modo que el análisis de impacto y la aprobación, si se requiere, se recopilen en un informe listo para auditoría.
• Risk Decisioning: Netwrix Platform Governance le permite establecer políticas de cambio específicas y requisitos de aprobación basados en el riesgo.

Aquí está el registro de la política de Netwrix Platform Governance, donde podemos especificar qué tipos de cambios requieren un ciclo de vida completo de desarrollo de software (SDLC), cuáles requieren pruebas en el Sandbox, cuáles requieren aprobación, cuáles pueden manejarse a través de un problema de proceso y cuáles simplemente se registran, es decir, son seguros y no requieren investigación adicional:

Gestión del Cambio

No toda la actividad de desarrollo en Salesforce requiere revisión. Pero en una Org madura, los factores de riesgo pueden ser complejos — si tu equipo realiza un cambio en un objeto personalizado o campo sin conocer su impacto, podría romper accidentalmente un proceso crítico para el negocio, o afectar la presentación de informes financieros y SOX compliance.

El problema es que no hay una manera fácil de saber qué es seguro cambiar y qué requiere revisión. Como resultado, los equipos de Salesforce se enfrentan a dos extremos: pasar horas en el descubrimiento con cada cambio — algo que es prácticamente imposible de hacer en una Org ocupada — o aceptar el riesgo y gestionar las cosas de manera reactiva cuando algo se rompe.

En realidad, la mayoría de los equipos de Salesforce harán una combinación de ambos, confiando en el conocimiento institucional y, a menudo, en la suerte, para decidir qué requiere revisión. Pero, ¿y si hubiera una manera de formalizar y automatizar esto, y basar las decisiones en inteligencia accionable en lugar del entendimiento del sistema por parte de un administrador?

Cómo Netwrix Platform Governance ayuda

• Registros de Cambios: Netwrix Platform Governance registra automáticamente cada cambio en su organización y lo registra en los registros de cambios. Los registros de cambios son un registro inmutable, con fecha y hora, que contiene una diferencia detallada completa que muestra qué sucedió y cuándo sucedió.
• Políticas de Cambio: Netwrix Platform Governance permite crear un conjunto de reglas para elevar automáticamente ciertos tipos de cambios que requieren un escrutinio adicional. Los cambios declarativos simples pueden ser identificados inmediatamente y acelerados sin más investigación. Los cambios más complejos pueden ser manejados a través de un problema de proceso o una solicitud de cambio (en Jira, ServiceNow o utilizando el sistema de gestión de cambios nativo de Netwrix Platform Governance).
• Gestión de Cambios Cerrada: Netwrix Platform Governance es un verdadero sistema de gestión de cambios cerrada. Cada cambio en los metadatos se captura en un registro inmutable. Cada cambio completado se concilia con una solicitud original y, si es necesario, una aprobación.

Cada cambio y aprobación se verifica para asegurar el cumplimiento de las políticas que ha establecido. Cualquier cosa que no siga la política se captura en un informe de cambios no conformes para su revisión y autorización.

¿La mejor parte? Los cambios en sus políticas se registran y se monitorean utilizando el mismo proceso. Esto hace imposible alterar una aprobación después del hecho o resolver artificialmente un cambio no conforme.

En otras palabras, todo el proceso es hermético y completamente validado, algo que es crítico para la seguridad, la gobernanza y la preparación para auditorías.

Informes y Conciliación

¿Qué tan fácil es para su equipo obtener una visión completa de los cambios materiales que ocurren en su organización? ¿Puede ver los cambios por persona, por objeto y por tipo? ¿Puede conciliar su registro de auditoría con sus tickets de Jira y demostrar por qué se hicieron los cambios?

Estas son todas las cosas que sus auditores pueden pedir ver. Si no puede producir estos informes automáticamente, usted y su equipo tendrán que clasificar manualmente su rastro de auditoría, con gran esfuerzo y gasto. Y si no lo hace con anticipación, correrá el riesgo de que sus auditores encuentren deficiencias, lo que será aún más costoso de abordar.

Cómo ayuda Netwrix Platform Governance

• Informe 'What Changed': El informe 'What Changed' es su registro resumido de toda la actividad de desarrollo en su Org.
• Conciliación del Registro de Cambios: No sirve de nada tener un documento de Excel o una cadena de correos electrónicos aprobando un cambio si no puedes conciliarlo con la actividad de desarrollo en tu Organización. Demostrar que las solicitudes de cambio y las aprobaciones están vinculadas a un registro verificable es una parte clave para pasar una auditoría y mantener la integridad general de tu organización. Normalmente, esto requiere horas, si no días, de reconciliación manual. Netwrix Platform Governance resuelve este problema haciendo el trabajo por ti.

Preparación de Auditoría de 10 Minutos

Con Netwrix Platform Governance en funcionamiento en su sistema, pasar una auditoría es tan fácil como imprimir tres informes:

Cambios conformes

Este informe muestra todos los cambios que siguieron la política, es decir, todo lo que fue revisado y aprobado de acuerdo con el proceso que ha establecido en sus registros de políticas o todo lo que Netwrix Platform Governance determinó que no era material y seguro para cambiar.

Cambios no conformes resueltos

Este informe muestra todo lo que no siguió la política, como los parches de emergencia — y los pasos que ha tomado para resolverlo

Cambios no conformes sin resolver

Este informe muestra todo lo que no siguió la política y aún está en revisión. Idealmente, debería estar vacío cuando comience la auditoría. Muchos equipos de Salesforce programan reuniones periódicas semanales o mensuales para revisar y eliminar las anomalías restantes en el sistema.

Despliegue

La implementación con conjuntos de cambios de Salesforce consume mucho tiempo. Además, en áreas donde SOX es aplicable o la seguridad es un problema, no ofrece ninguna forma de hacer cumplir la separación de funciones entre usuarios que desarrollan y usuarios que implementan.

Con frecuencia, los equipos de Salesforce se encuentran atrapados entre la productividad y el cumplimiento, y como resultado, la capacidad de evolucionar su Org se ve afectada.

Cómo Netwrix Platform Governance ayuda

• Liberación y Despliegue Automático: Automatice decisiones críticas sobre las aprobaciones apropiadas, pruebas y procesos de lanzamiento requeridos para diferentes tipos de cambios.
• Comparación de entornos: Obtenga instantáneamente un diff completo de los cambios entre los Orgs de producción, prueba y sandbox.
• Validación Post-Despliegue: Solucione problemas y valide despliegues en múltiples entornos.

Datos de configuración

Para muchos equipos, monitorear los datos de configuración es la parte más difícil del cumplimiento de SOX. En la aplicación CPQ, por ejemplo, reglas importantes sobre productos, precios, descuentos y aprobaciones se almacenan como datos en objetos personalizados. Obtener visibilidad sobre estos cambios consume mucho tiempo, y hay pocas opciones para prevenir cambios que podrían poner en riesgo el cumplimiento.

Esto no se limita solo a CPQ, tampoco. La aplicación de Facturación y muchas otras que manejan datos relacionados con los ingresos también están potencialmente en el alcance. Si tus auditores aún no preguntan sobre ellas, es muy probable que lo hagan en el futuro.

Cómo Netwrix Platform Governance ayuda

• Monitoreo de Datos de Configuración: Netwrix Platform Governance trata los datos de configuración con el mismo escrutinio que aplica a otros metadatos Apex en su Org. Luego, Netwrix Platform Governance le ofrece un método sistemático para centrarse en Objetos dentro del alcance y crear políticas altamente granulares para rastrearlos y monitorearlos.
• Policy Records: Netwrix Platform Governance le permite crear controles de mitigación que bloquean automáticamente cambios en reglas críticas de CPQ. Como resultado, los clientes de Netwrix Platform Governance ya no tienen que depender de informes de historial de campo y revisiones manuales para asegurar que los datos de configuración de CPQ y otros estén protegidos. Los auditores quedan satisfechos, los costos de auditoría disminuyen y el liderazgo de TI puede estar tranquilo sabiendo que no habrá sorpresas.
• Controles de Bloqueo: Netwrix Platform Governance te ofrece la opción de bloquear cambios riesgosos sin aprobación previa. Esto se utiliza a menudo para datos de precios y descuentos que impactan directamente en los ingresos. Si un usuario intenta realizar un cambio en un campo que tiene el bloqueo habilitado, no podrá hacerlo a menos que se haya enviado una solicitud de cambio con anticipación.