Entendiendo Roles, Perfiles y Conjuntos de Permisos en Salesforce

La gestión de acceso es posiblemente uno de los componentes más importantes de la seguridad de primera línea en Salesforce — pero hay mucho más que solo password policies. Si quieres encargarte de la gestión de acceso, necesitas entender los roles, perfiles y conjuntos de permisos. Sin una visibilidad adecuada de cómo funcionan estos controles — y cómo afectan lo que los usuarios pueden ver y hacer en la plataforma — podrías estar vulnerable a un sinfín de riesgos de seguridad y cumplimiento.

¿Cuál es la diferencia entre perfiles, conjuntos de permisos y roles?

En Salesforce, los perfiles y conjuntos de permisos definen lo que un usuario puede hacer. Los roles, por otro lado, definen lo que pueden ver. Mira este video explicativo para obtener una visión general rápida del acceso a Salesforce.

Antes de continuar, desglosemos esto un poco.

Profiles and permission sets both control CRED (Create, Read, Edit, Delete) permissions on Objects, fields, user settings, tab settings, app settings, Apex class access, Visualforce page access, page layouts, record types, login hours and login IP ranges. Every user must be assigned a profile when they’re created on the platform — and there can only be one profile per user. Essentially, a user’s profile is the baseline authorization of access to the Org.

Los conjuntos de permisos son, como su nombre indica, un conjunto de permisos CRED adicionales que se pueden aplicar a diferentes perfiles. Por lo general, están basados en tareas y relacionados con diferentes Objetos y paquetes gestionados. Por ejemplo, a los usuarios de Ventas se les puede asignar un conjunto de permisos que les dé acceso a una aplicación CPQ para generar presupuestos.

Los usuarios pueden tener asignados múltiples conjuntos de permisos — o ninguno en absoluto, lo que los convierte en un modelo de permisos mucho más dinámico y flexible que los perfiles. Se introdujeron con la intención de ser combinados y emparejados, y otorgados a diferentes usuarios dependiendo del rol laboral. Imagina una casa — los conjuntos de permisos son las llaves de diferentes habitaciones que se entregan a un solo invitado.

Por último, pero no menos importante, son los roles de Salesforce roles. Los roles y la configuración de compartición controlan lo que un usuario puede ver, al gobernar el acceso a registros y carpetas. A diferencia de los perfiles, los roles son jerárquicos basados en el nivel de acceso a datos requerido. Por ejemplo, un CEO o jefe de departamento probablemente necesitará ver más que un empleado de nivel asociado, por razones obvias.

La principal ventaja de construir una estructura jerárquica de roles es que permite la escalabilidad a medida que su organización crece. Con acceso escalonado a datos sensibles específicos, es fácil agregar más personal o promover internamente, manteniendo aún un control estricto sobre quién puede ver qué.

El problema con los perfiles de Salesforce

Mientras que los perfiles son la base para el acceso de usuarios, pueden llegar a ser bastante complejos. Como mencionamos anteriormente, a los usuarios solo se les puede asignar exactamente un perfil — pero a medida que las responsabilidades laborales cambian con el tiempo, los perfiles a menudo se clonan y editan para reflejar las necesidades de acceso en evolución de una organización.

El resultado es que, en una Org madura, los perfiles son demasiado a menudo impulsados por las necesidades de los empleados en lugar de un diseño de seguridad regimentado. No es raro que los usuarios tengan permisos antiguos en su perfil que ya no necesitan — y a medida que el personal se mueve dentro y fuera de roles, los perfiles antiguos pueden quedar sin usar, creando una cantidad inmanejable de trabajo de limpieza y el potencial de acceso no autorizado que puede ser un riesgo de seguridad inherente.

Pasando de Perfiles a Conjuntos de Permisos

Entonces, ¿cómo gestionas el problema del 'caos de perfiles'? Nuestra mejor práctica recomendada — y también la de Salesforce — es mantener los perfiles lo más simples y restrictivos posible, y usar conjuntos de permisos para gestionar los matices del acceso para diferentes funciones laborales. Llegar a ese punto desde un estado de caos de perfiles es un proceso de cuatro pasos:

1. Determine qué hace cada perfil en su sistema
2. Compare perfiles y extraiga las diferencias entre ellos
3. Agrupe estas diferencias en conjuntos de permisos
4. Consolide perfiles y desactive todo lo redundante

Este puede ser un proyecto difícil, especialmente en una Org consolidada con muchos perfiles. Afortunadamente, hay algunas herramientas gratuitas disponibles que pueden ayudar a automatizar las cosas.

Principio de Menor Privilegio

El principle of least privilege es uno de los mejores métodos para mantener la seguridad organizacional — se basa en el concepto de otorgar a las personas únicamente los privilegios de acceso mínimos necesarios para realizar un trabajo o tarea específicos y nada más. Limitar el número de usuarios con privilegios es una de las five best practices recomendadas por el National Cybersecurity and Communications Integration Center (NCCIC) en el U.S. Computer Emergency Readiness Team (US-CERT) como parte de la estrategia de ciberseguridad de toda organización.

La buena noticia es que, una vez que hayas limpiado tus perfiles y migrado al uso de conjuntos de permisos, mantener el principle of least privilege es mucho más fácil. GearSet sugiere usar un perfil de 'acceso mínimo' para casi todos los usuarios que no son administradores.

Usando Netwrix Strongpoint para una mejor visibilidad

Netwrix Strongpoint documenta y monitorea automáticamente tus controles de acceso — y te proporciona herramientas para mapear las conexiones entre roles, perfiles, conjuntos de permisos, Objetos y campos. Con ello, puedes investigar quién tiene acceso a Objetos y campos críticos, realizar proyectos de limpieza y seguir los cambios en el acceso de usuarios de manera continua.