Salesforce の監査：Setup Audit Trail と Field History Tracking

Salesforce は標準機能だけでも、SOX auditを通過するために必要な情報の多くを得られます。しかし、見落としや抜けはあり、プロセスがもどかしく、時間もかかることがあります。始める前に、すでに自社の Org で「できること／できないこと」を把握しておくことが重要です。

本記事では、SOX audit prep のための主要な Salesforce ツールを 2 つ紹介します。Setup Audit Trail と Field History Tracking です。

SOX コンプライアンス：対象範囲

監査準備のために Salesforce が提供する具体的なツールに入る前に、監査担当者が一体何を見たいのかを整理しておくとよいでしょう。残念ながら、この点については明確な答えがありません。ここ数年で監査担当者が Salesforce をより詳しく見始めたというのが実情で、各担当者のプラットフォームに対する理解度も異なります。

その前提を踏まえると、私たちが見ているのは「次の3点」に焦点が当たっていること、そしてそれらが収益認識にどのような影響を与え得るかです：

• アクセス：プロビジョニング、パスワード、多要素認証、ならびにユーザー、プロファイル、権限セットの変更に関するポリシー。
• メタデータ/設定の変更： 変更要求をチームがどのようにレビューして承認するのか、そしてその承認内容がシステム上の実際の変更にどのように反映（照合）されるのか。
• 設定データの変更： 売上に紐づく重要な Objects（通常は CPQ および Billing アプリ）に対する設定変更をどのように追跡するか

セットアップの監査ログ

気に入っている理由

Salesforce の Setup Audit Trail はシンプルでわかりやすく、さまざまな変更タイプの修正内容を記録し、何が変更されたのか、誰が変更したのか、いつ実施されたのかを示すエクスポート可能なファイルとしてまとめてくれます。会社や通貨の情報から、プロファイルや権限セットの詳細まで、あらゆる変更を追跡します。詳細は Salesforce Security Guide を確認してください。

レポートを作成したら、データを Type でフィルターし、監査担当者が特に気にしている変更点をさらに掘り下げて確認できます。

利用できる場所

Salesforce Classic と Lightning Experience；Contact Manager、Essentials、Group、Professional、Enterprise、Performance、Unlimited、Developer、および Database.com エディション

不十分な点

Setup Audit Trail はかなりの量の情報を提供してくれますが、そのデータは 180 日間しか保存されません。つまり、監査担当者がその期間を超えて確認したい変更があったとしても、それは取得できないということです。その結果、チームはデータを別の場所に保存することになりますが、これは監査担当者がデータの正確性について疑問を持つ原因になることがよくあります。

Setup Audit Trail のもう一つの大きな問題は、組織（Org）で実際に行われた変更内容は表示するものの、それらがレビューされたか、承認されたかは示さない点です。これは、機密性の高い変更が適切なプロセスに従って行われたことを確認したい監査担当者にとって、極めて重要な情報です。

その結果、Salesforce チームは Audit Trail を、関連する依頼や承認（Jira のような外部チケット管理システム、メール、共有ドキュメントなどにある可能性があります）に手作業で突き合わせる必要があります。これは非常に時間のかかる作業であり、監査に向けた準備期間中にかなりのリソースを要します。

ほかには？

Setup Audit Trail は設定変更の記録を適切に行いますが、それでもいくつかの点を見落とします。たとえば、次の内容は追跡できません。

• カスタムのリストビュー変更
• レポートの種類またはフィルター条件の変更
• 新しいレポートの作成

結局のところ、これらは必ずしも大きなギャップではありませんが、監査人がそれらを確認したい場合は、Setup Audit Trail 以外の何かに頼る必要があります。

フィールド履歴の追跡

おすすめする理由

フィールド履歴の追跡（Field History Tracking）では、標準オブジェクトまたはカスタムオブジェクト内の個々のフィールドを選択し、それらに対する変更を自動的に追跡できます。

追跡する特定のフィールドを選択すると、変更があった記録が「履歴（History）」の関連リストに追加され、変更の日時、変更を行った人、およびその他の重要な詳細が記録されます。そして「フィールド監査証跡（Field Audit Trail）」の追加機能を購入しない限り、この情報は組織（Org）経由で18か月のみ保持され、API経由でエクスポートする場合は最大24か月保持されます。

利用できる場所

Salesforce Classic（すべての Org で利用できるわけではありません）、Lightning Experience、Salesforce アプリ；Contact Manager、Essentials、Group、Professional、Enterprise、Performance、Unlimited、Developer、および Database.com エディション（標準オブジェクトは Database.com では利用できません）

不十分な点

Setup Audit Trail と同様に、フィールド履歴トラッキング（field history Tracking）で収集されるデータは、多すぎる一方で十分ではありません。多くの情報は得られますが、ある時点までに限られます。つまり、1 つの Object あたり最大 20 フィールドまでしか選択できず、収集されるデータは最大 18 か月（API を使用すると 24 か月）です。

さらに、フィールド履歴トラッキング（Field History Tracking）は、有効化した時点以降の変更のみを記録します。あらかじめ何がスコープに含まれるかを確認する時間を取っていない場合は、問題になり得ます。

ほかには？

フィールド履歴トラッキング（Field History Tracking）は、すべての Orgs またはすべての Objects で利用できるわけではありません。さらに：

• フィールドに255文字を超える値がある場合、旧値と新値は記録されません。
• 時間フィールドの変更も追跡されません。

結論

Salesforce の標準ツールを使って SOX の監査に合格することは十分に可能です。しかし、監査人の期待値によっては、プロセスが必要以上に難しく、時間もかかることがあります。Salesforce プラットフォームに対する監査人の期待や要求も高まっています。実際に、追加のツールが必要であることがますます増えてきています。

Netwrix Strongpoint は、Field History Tracking と Setup Audit Trail が残したギャップを埋めるために設計されました。当社の製品は compliance tools ユーザーアクセス、メタデータ、収益関連の設定データに対する変更を、詳細で改ざんできないログとして追跡・レポートします。さらに、主要なチケット管理システム向けの統合も用意しており、変更が始まった元の変更依頼までログを自動で突合することを支援します。このデータを扱い、監査に提出できるレポートを作成するための複数のツールをご用意しているため、コストとストレスの両方を大幅に削減できます。