Conformità SOX in Salesforce: Cosa è incluso e come semplificarla

È sempre più comune che le Salesforce Orgs rientrino nell'ambito di applicazione della SOX. Gli auditor sono preoccupati per i dati relativi ai ricavi e i processi aziendali critici sulla piattaforma.

Il problema è che le organizzazioni sono complesse, spesso altamente personalizzate, e gran parte di ciò che preoccupa maggiormente gli auditor è nascosto in oggetti personalizzati o molto difficile da tracciare.

In questa pagina, troverai una panoramica delle sette cose che preoccupano maggiormente gli auditor e alcuni dei modi in cui Netwrix Platform Governance aiuta i team di Salesforce impegnati a raggiungerle.

Documentazione

Non tutto in Salesforce rientra nell'ambito di SOX. Probabilmente ai tuoi revisori non importa delle operazioni di marketing, ad esempio, perché di solito le operazioni di marketing non riguardano i dati sulle entrate.

Il problema è che a meno che tu non abbia una comprensione completa delle personalizzazioni e delle dipendenze nella tua Org — qualcosa che è praticamente impossibile in tutte le aziende tranne quelle più piccole — non puoi sapere con certezza cosa sia un cambiamento sostanziale che rientra nell'ambito di SOX e cosa no.

Documentare il tuo account è il primo passo per determinare ciò che è rilevante per SOX e costruire politiche per gestirlo efficacemente.

Come Netwrix Platform Governance Aiuta

• Documentazione automatica dell'organizzazione: Netwrix Platform Governance è l'unico strumento nativo Salesforce che esegue la scansione continua del tuo Org e indicizza tutti i metadati e le connessioni tra essi.
• Mappatura delle dipendenze: I diagrammi delle relazioni di dipendenza di Netwrix Platform Governance mostrano come sono collegati tra loro diversi tipi di personalizzazioni.

• Record di personalizzazione: I record dettagliati di personalizzazione mostrano tutto ciò che è necessario sapere su una personalizzazione — chi l'ha creata, chi ha accesso, come è cambiata e a cosa è collegata.

Gestione degli Accessi

Per scopi di audit, comprendere chi ha accesso a varie parti della tua Org è altrettanto importante quanto capire cosa c'è nella tua Org. Infatti, sono due facce della stessa medaglia: è ottimo sapere dove si trovano i dati relativi ai ricavi nella tua Org, ma devi anche sapere chi può vederli, chi può modificarli e chi può eliminarli.

Ci sono solo specifici tipi di accesso che contano ai fini della conformità. Il problema è che un oggetto complesso in Salesforce può contenere molteplici campi personalizzati, campi standard, campi formula, tipi di record, valori di elenco a discesa, pulsanti e collegamenti — senza gli strumenti giusti, può essere quasi impossibile ottenere informazioni accurate su chi può vedere cosa.

Come Netwrix Platform Governance Aiuta

• Monitoraggio di Ruoli, Profili e Set di Permessi: Creare politiche che monitorano le modifiche a profili specifici o Set di Permessi — e registrare tutto in report amichevoli per l'audit. Netwrix Platform Governance tratta le modifiche ai permessi degli utenti allo stesso modo in cui tratta altri metadati — fornendoti un registro di audit verificabile che mostra chi ha cambiato cosa e un diff completo di ciò che è stato interessato.
• Revisione dell'Accesso ai Campi: Un oggetto complesso in Salesforce può contenere diversi campi personalizzati, campi standard, campi formula, tipi di record, valori di elenco a discesa, pulsanti e collegamenti. Netwrix Platform Governance ti fornisce report e fogli di calcolo facili da utilizzare che mostrano tutte le impostazioni associate a un Oggetto, profilo o insieme di permessi.
• Revisioni dei set di permessi di utente/profilo: Ottieni un'analisi dettagliata di tutto ciò che un utente può vedere e fare, trova i permessi collegati a un profilo e altro ancora — Netwrix Platform Governance rende semplice eseguire revisioni dettagliate e determinare chi ha accesso ai dati finanziari rilevanti.

Analisi dell'impatto

Insieme, la documentazione e la revisione degli accessi vi forniscono la struttura della vostra organizzazione. L'analisi dell'impatto vi mostra come navigarla. Quando potete vedere l'impatto di un potenziale cambiamento, potete sapere se influisce o meno su qualcosa nell'ambito di SOX e assicurarvi che subisca le revisioni e le approvazioni appropriate.

L'analisi dell'impatto in Salesforce è altrettanto importante dal punto di vista dell'allocazione delle risorse. Il fatto è che la maggior parte dei cambiamenti sono non materiali e sicuri da effettuare. Quando puoi identificare immediatamente tali cambiamenti, puoi evitare ore di scoperta e liberare il tuo team per concentrarsi su ciò che è più importante.

Come Netwrix Platform Governance Aiuta

• Rapporti di Impatto: Netwrix Platform Governance offre report dettagliati per analizzare l'impatto di un cambiamento proposto. I nostri rapporti di impatto mostrano tutte le personalizzazioni su un record di base, così come le loro dipendenze. Questo metodo è particolarmente utile per indagare e rivedere cambiamenti in molteplici personalizzazioni contemporaneamente.
• Integrazione Jira/ServiceNow: Se utilizzi Jira o ServiceNow per gestire i ticket, puoi accedere all'analisi di impatto di Netwrix Platform Governance direttamente a livello di ticket e ottenere un elenco completo delle personalizzazioni correlate che saranno influenzate da un potenziale cambiamento. Puoi anche sincronizzare i ticket Jira/ServiceNow con le richieste di modifica in Netwrix Platform Governance, in modo che l'analisi di impatto e l'approvazione, se necessaria, siano raccolte in un rapporto pronto per l'audit.
• Decisioni sul rischio: Netwrix Platform Governance consente di sviluppare politiche di modifica specifiche e requisiti di approvazione basati sul rischio.

Ecco il record della policy di Netwrix Platform Governance, dove possiamo specificare quali tipi di cambiamenti richiedono un completo SDLC, quali richiedono test nel Sandbox, quali richiedono approvazione, quali possono essere gestiti tramite un problema di processo e quali sono semplicemente registrati, ovvero, sono sicuri e non richiedono ulteriori indagini:

Abilitazione delle modifiche

Non tutte le attività di sviluppo in Salesforce richiedono una revisione. Ma in un Org maturo, i fattori di rischio possono essere complessi: se il tuo team apporta una modifica a un oggetto personalizzato o a un campo senza conoscerne l'impatto, potrebbe accidentalmente interrompere un processo critico per l'azienda o influenzare la rendicontazione finanziaria e la SOX compliance.

Il problema è che non c'è un modo semplice per sapere cosa è sicuro modificare e cosa richiede una revisione. Di conseguenza, i team Salesforce si trovano di fronte a due estremi: spendere ore nella scoperta con ogni cambiamento — qualcosa che è praticamente impossibile da fare in un'organizzazione impegnata — o accettare il rischio e gestire le cose in modo reattivo quando qualcosa si rompe.

In realtà, la maggior parte dei team Salesforce farà un mix di entrambi, facendo affidamento sulla conoscenza istituzionale e, spesso, sulla fortuna, per decidere cosa necessita di revisione. Ma cosa succederebbe se ci fosse un modo per formalizzare e automatizzare questo processo, e basare le decisioni su intelligenza azionabile piuttosto che sulla comprensione del sistema da parte di un solo amministratore?

Come Netwrix Platform Governance Aiuta

• Change Logs: Netwrix Platform Governance registra automaticamente ogni modifica nella tua organizzazione e la registra nei change logs. I change logs sono un record immutabile, con data e ora, che contiene un diff completo e dettagliato che mostra cosa è successo e quando è successo.
• Politiche di Modifica: Netwrix Platform Governance consente di creare un insieme di regole per elevare automaticamente determinati tipi di modifiche che richiedono un'attenzione particolare. Le modifiche dichiarative semplici possono essere immediatamente identificate e accelerate senza ulteriori indagini. Modifiche più complesse possono essere gestite tramite un problema di processo o una richiesta di modifica (in Jira, ServiceNow o utilizzando il sistema di gestione delle modifiche nativo di Netwrix Platform Governance).
• Gestione del Cambiamento Chiuso: Netwrix Platform Governance è un vero sistema di gestione del cambiamento chiuso. Ogni modifica ai metadati viene registrata in un log immutabile. Ogni cambiamento completato viene riconciliato con una richiesta di origine e, se necessario, un'approvazione.

Ogni modifica e approvazione viene verificata per la conformità con le politiche che hai stabilito. Tutto ciò che non segue la politica viene catturato in un rapporto di modifiche non conformi per la revisione e l'approvazione.

La parte migliore? Le modifiche alle tue policy vengono registrate e monitorate utilizzando lo stesso processo. Questo rende impossibile modificare un'approvazione a posteriori o risolvere artificialmente una modifica non conforme.

In altre parole, l'intero processo è ermetico e completamente validato — un aspetto fondamentale per la sicurezza, la governance e la preparazione agli audit.

Reporting e Riconciliazione

Quanto è facile per il tuo team ottenere una visione completa dei cambiamenti sostanziali che avvengono nella tua Org? Puoi visualizzare i cambiamenti per persona, per oggetto e per tipo? Puoi conciliare il tuo registro di controllo con i tuoi ticket Jira e dimostrare perché sono stati effettuati i cambiamenti?

Queste sono tutte cose che i tuoi revisori potrebbero chiedere di vedere. Se non puoi produrre questi rapporti automaticamente, tu e il tuo team dovrete ordinare manualmente il vostro registro di controllo, con grande sforzo e spesa. E se non lo fai in anticipo, correrai il rischio che i tuoi revisori trovino delle carenze, il che sarà ancora più costoso da affrontare.

Come Netwrix Platform Governance Aiuta

• Rapporto 'What Changed': Il rapporto 'What Changed' è il tuo resoconto sintetico di tutta l'attività di sviluppo nella tua Org.
• Riconciliazione del Registro delle Modifiche: Non è utile avere un documento Excel o una catena di email che approva una modifica se non è possibile riconciliarla con l'attività di sviluppo nella tua Organizzazione. Dimostrare che le richieste di modifica e le approvazioni sono legate a un registro verificabile è una parte fondamentale per superare un'audit e mantenere l'integrità generale della tua organizzazione. Normalmente, questo richiede ore, se non giorni, di riconciliazione manuale. Netwrix Platform Governance risolve questo problema facendo il lavoro per te!

Preparazione all'audit di 10 minuti

Con Netwrix Platform Governance attivo e funzionante nel vostro sistema, superare un audit è facile come stampare tre report:

Modifiche conformi

Questo rapporto mostra tutti i cambiamenti che hanno seguito la politica, ovvero tutto ciò che è stato esaminato e approvato secondo il processo che avete stabilito nei vostri registri di politica o tutto ciò che Netwrix Platform Governance ha determinato essere non materiale e sicuro da cambiare.

Risoluzione di modifiche non conformi

Questo rapporto mostra tutto ciò che non ha seguito la politica, come le patch di emergenza — e i passi che hai intrapreso per risolverlo

Cambiamenti non conformi irrisolti

Questo rapporto mostra tutto ciò che non ha seguito la politica ed è ancora in fase di revisione. Idealmente, dovrebbe essere vuoto quando si inizia l'audit! Molte squadre Salesforce programmano riunioni settimanali o mensili fisse per rivedere e eliminare qualsiasi anomalia rimanga nel sistema.

Distribuzione

Il dispiegamento con i set di modifiche di Salesforce è dispendioso in termini di tempo. Inoltre, per le aree dove SOX è applicabile o la sicurezza è un problema, non offre alcun modo di imporre la separazione dei compiti tra gli utenti che sviluppano e quelli che effettuano il dispiegamento.

Troppo spesso, i team Salesforce si trovano in bilico tra produttività e conformità, e di conseguenza la capacità di far evolvere efficacemente il proprio Org ne risente.

Come Netwrix Platform Governance Aiuta

• Rilascio e Distribuzione Automatici: Automatizzare decisioni critiche riguardo le approvazioni appropriate, i test e i processi di rilascio necessari per diversi tipi di cambiamenti.
• Confronto ambientale: Ottieni istantaneamente un diff completo delle modifiche tra gli ambienti di produzione, test e sandbox Orgs.
• Convalida post-distribuzione: Risolvi i problemi e convalida le distribuzioni in più ambienti.

Dati di configurazione

Per molti team, monitorare i dati di configurazione è la parte più difficile della conformità SOX. Nell'applicazione CPQ, ad esempio, regole importanti sui prodotti, prezzi, sconti e approvazioni sono memorizzate come dati in oggetti personalizzati. Ottenere visibilità su questi cambiamenti richiede incredibilmente molto tempo, e ci sono poche opzioni per prevenire modifiche che potrebbero mettere a rischio la conformità.

Questo non è limitato solo a CPQ. Anche l'applicazione di fatturazione e molte altre che riguardano i dati relativi ai ricavi sono potenzialmente coinvolte. Se i tuoi revisori non te lo chiedono ancora, è molto probabile che lo faranno in futuro.

Come Netwrix Platform Governance Aiuta

• Monitoraggio dei dati di configurazione: Netwrix Platform Governance tratta i dati di configurazione con la stessa attenzione che applica ad altri metadati Apex nel tuo Org. Quindi, Netwrix Platform Governance ti offre un modo sistematico per concentrarti sugli Oggetti in-scope e creare politiche altamente granulari per tracciarli e monitorarli.
• Policy Records: Netwrix Platform Governance consente di creare controlli di mitigazione che bloccano automaticamente le modifiche alle regole CPQ critiche. Di conseguenza, i clienti di Netwrix Platform Governance non devono più affidarsi a report di cronologia dei campi e revisioni manuali per garantire che i dati di configurazione CPQ e altri siano protetti. Gli auditor sono soddisfatti, i costi di audit diminuiscono e la leadership IT può dormire sonni tranquilli sapendo che non ci saranno sorprese.
• Controlli di blocco: Netwrix Platform Governance offre l'opzione di bloccare modifiche rischiose senza previa approvazione. Questo viene spesso utilizzato per dati di prezzi e sconti che impattano direttamente sulle entrate. Se un utente tenta di apportare una modifica a un campo che ha il blocco attivato, non sarà in grado di farlo a meno che non sia stata inviata in anticipo una richiesta di modifica.