SOX の対象範囲に Salesforce の組織が含まれるケースは、ますます一般的になっています。監査人は、プラットフォーム上の収益関連データと重要なビジネスプロセスに関心を持っています。
課題は、組織が複雑で、しばしば高度にカスタマイズされていることです。そして、監査人が特に気にしている内容の多くは、カスタムオブジェクトの中に隠れていたり、追跡が非常に困難だったりします。
このページでは、監査担当者が特に気にしている7つのポイントの概要と、忙しい Salesforce チームがそれらを達成するために Netwrix Strongpoint が役立つ方法の一部を紹介します。
厳選した関連コンテンツ：
ドキュメント
Salesforce のすべてが SOX のスコープに入るわけではありません。たとえば、マーケティング業務は通常、収益データに触れることがないため、監査担当者は関心を持たない可能性が高いでしょう。
問題は、組織（Org）内のカスタマイズや依存関係について包括的に理解していない限り——それは最小規模の企業を除けばほぼ不可能です——SOX のスコープに含まれる「重要な変更」が何か、そして何がそうではないのかを十分に把握できないことです。
アカウントをドキュメント化することは、SOX に関連する内容を特定するための最初のステップであり、それを効果的に管理するためのポリシーを構築することにもつながります。
Netwrix Strongpoint がどのように役立つか
- 自動組織ドキュメント化：Netwrix Strongpoint は、Org を継続的にスキャンし、すべてのメタデータとその関連（接続関係）をインデックス化する唯一の Salesforce ネイティブツールです。
- 依存関係のマッピング：Netwrix Strongpoint の依存関係ダイアグラムにより、さまざまなカスタマイズがどのようにつながっているかを確認できます。
- カスタマイズ記録：詳細なカスタマイズ記録により、そのカスタマイズに関して知っておくべきことがすべて分かります。誰が作成したのか、誰がアクセスできるのか、どのように変更されたのか、そして何と接続（関連付け）されているのか。
アクセス管理
監査のためには、組織のさまざまな部分に誰がアクセスできるのかを理解することが、組織内に何があるのかを理解するのと同じくらい重要です。実際、この2つは同じコインの表と裏です。組織内の売上関連データがどこにあるかを把握できるのは素晴らしいことですが、同時に、そのデータを誰が見られるのか、誰が編集できるのか、誰が削除できるのかも把握する必要があります。
コンプライアンス目的で問題になるのは、特定の種類のアクセスだけです。ところが、Salesforce の複雑なオブジェクトには、複数のカスタムフィールド、標準フィールド、数式フィールド、レコードタイプ、ピッカリスト（picklist）の値、ボタン、リンクなどが含まれていることがあります。適切なツールがなければ、「誰が何を見られるのか」を正確に把握することは、ほぼ不可能になり得ます。
厳選した関連コンテンツ：
Netwrix Strongpoint がどのように役立つか
- ロール、プロファイル、および権限セットのモニタリング：特定のプロファイルまたは権限セットの変更を監視するポリシーを作成し、すべてを監査に適したレポートに記録します。Netwrix Strongpoint は、ユーザー権限の変更を他のメタデータと同じ方法で扱います。つまり、誰が何を変更したかを確認できる検証可能な監査ログと、影響を受けた内容の完全な差分（diff）を提供します。
- フィールド アクセス レビュー：Salesforce の複雑なオブジェクトには、複数のカスタムフィールド、標準フィールド、数式フィールド、レコードタイプ、ピックリストの値、ボタン、リンクなどが含まれる場合があります。Netwrix Strongpoint は、オブジェクト、プロファイル、または権限セットに紐づくすべての設定を示す、扱いやすいレポートとスプレッドシートを提供します。
- ユーザー/プロファイル/権限セットのレビュー：ユーザーが閲覧でき、実行できるすべてを詳細に把握し、プロファイルに紐づく権限を見つけることなどが可能です。Netwrix Strongpoint により、入念なレビューを簡単に実施でき、対象範囲内の財務データに誰がアクセスできるかを判断しやすくなります。
インパクト分析
ドキュメントとアクセス レビューを組み合わせることで、組織（Org）の構成がわかります。インパクト分析では、その構成の中でどのように確認・把握していくかを示します。潜在的な変更が与える影響を見通せるようになれば、それが SOX のスコープ内の何かに影響するのかどうかを判断でき、適切なレビューと承認を確実に受けることができます。
Salesforce における影響分析は、リソース配分の観点からも同じくらい重要です。実際には、ほとんどの変更は重要度が低く、実施しても安全です。そうした変更点をすぐに特定できれば、何時間もかかる調査作業を回避し、チームが最も重要なことに集中できるようになります。
Netwrix Strongpoint が役立つ方法
- 影響レポート：Netwrix Strongpoint は、提案された変更の影響を分析するための詳細なレポートを提供します。影響レポートには、ベースレコード上のすべてのカスタマイズと、それらの依存関係が表示されます。この方法は、複数のカスタマイズにまたがる変更を一度に調査・レビューするのに特に有効です。
- Jira/ServiceNow 統合：チケット管理に Jira または ServiceNow を使用している場合、チケット単位で Netwrix Strongpoint の影響分析に直接アクセスでき、潜在的な変更によって影響を受ける関連カスタマイズの一覧を包括的に取得できます。さらに、Jira/ServiceNow のチケットを Netwrix Strongpoint の変更依頼と同期させることで、（必要に応じて）影響分析と承認が監査にそのまま使えるレポートとして収集されます。
- リスク判断：Netwrix Strongpoint により、リスクに基づいて特定の変更ポリシーや承認要件を構築できます。
厳選した関連コンテンツ：
以下は Netwrix Strongpoint のポリシー記録です。どの種類の変更はフルの SDLC が必要で、どの種類は Sandbox でのテストが必要で、どの種類は承認が必要で、どの種類はプロセス上の課題として扱えるのか、そしてどの種類は単にログに記録するだけでよい（つまり安全で、追加の調査は不要）かを指定できます。
変更の有効化
Salesforce におけるすべての開発活動がレビューを必要とするわけではありません。ですが、成熟した Org ではリスク要因が複雑になることがあります。チームがその影響を理解しないままカスタムオブジェクトやフィールドを変更すると、偶発的にビジネス上重要なプロセスを壊したり、財務報告に影響を与えたりする可能性があり、さらに SOX compliance。
問題は、「何が安全に変更でき、何がレビューを要するのか」を簡単に判断する方法がないことです。その結果、Salesforce チームは次の 2 つの極端な選択肢に直面します。各変更ごとに何時間もかけて調査する（忙しい Org ではほぼ不可能です）か、リスクを受け入れて、何かが壊れたときに事後的に対応するか、です。
実際には、ほとんどの Salesforce チームは両方を組み合わせて対応し、レビューが必要なものを判断する際に、組織に蓄積された知見や、しばしば運にも頼っています。では、これを形式化して自動化し、システムに対するある 1 人の管理者の理解ではなく、実行可能なインテリジェンスに基づいて判断できる方法があったらどうでしょうか？
Netwrix Strongpoint が役立つ方法
- 変更ログ：Netwrix Strongpoint は、組織（Org）で行われるあらゆる変更を自動的に記録し、変更ログとして保存します。変更ログは改ざんできない（immutable）形式で、日付と時刻がタイムスタンプとして付与されます。何が起きたのか、いつ起きたのかを示す、完全で詳細な差分（diff）が含まれます。
- 変更ポリシー：Netwrix Strongpoint を使うと、追加の精査が必要な特定の種類の変更を自動的に「エスカレーション」できる一連のルールを作成できます。単純な宣言的（declarative）な変更は、さらなる調査を行わなくてもすぐに特定され、迅速に（fast-tracked）処理できます。より複雑な変更は、プロセス・イシューまたは変更リクエスト（Jira、ServiceNow、または Netwrix Strongpoint のネイティブな変更管理システム）を通じて対応できます。
- クローズドループの変更管理：Netwrix Strongpoint は、真のクローズドループ（closed-loop）変更管理システムです。メタデータへのあらゆる変更は、改ざんできない（immutable）ログに記録されます。完了したすべての変更は、発端となったリクエストに照合され、必要に応じて承認とも紐づけられます。
すべての変更と承認は、あらかじめ設定したポリシーに照らしてコンプライアンスを確認します。ポリシーに従っていないものは、「非準拠の変更レポート」として記録され、レビューとクリアランスのために活用できます。
一番のポイントは？ポリシーへの変更も同じプロセスでログに記録され、監視されます。そのため、承認を後から改変したり、不適合な変更を人為的に解消したりすることはできません。
つまり、このプロセス全体は抜けのない堅牢なものとして、完全に検証されています。これは、セキュリティ、ガバナンス、そして監査対応の準備にとって極めて重要です。
レポート作成と照合
チームが、組織内で発生している重要な変更を完全に把握するのはどれくらい簡単でしょうか。担当者別、対象（オブジェクト）別、種類別に変更を確認できますか？監査ログを Jira のチケットと照合し、なぜ変更が行われたのかを説明・提示できますか？
これはすべて、監査担当者が確認を求める可能性のある事柄です。これらのレポートを自動で作成できない場合、あなたとチームは、大きな労力と費用をかけて監査証跡を手作業で整理する必要があります。さらに、事前に準備していないと、監査担当者が不備を見つけるリスクがあり、その対応にはさらに多くのコストがかかることになります。
Netwrix Strongpoint はどのように役立つか
- 「What Changed」レポート：「What Changed」レポートは、組織（Org）におけるすべての開発活動を一目で把握できる記録です。
- 変更ログの照合（Change Log Reconciliation）：Excel のドキュメントやメールの承認連鎖があっても、それを組織（Org）内の開発活動と照合できないのであれば、意味がありません。変更要求と承認が、検証可能なログに紐づいていることを示すことは、監査を通過し、組織全体の整合性を維持するうえで重要な要素です。通常、この作業には数日でなくとも数時間の手作業による照合が必要になります。Netwrix Strongpoint は、あなたの代わりにその作業を行うことで、この問題を解決します！
10分で監査準備
システムで Netwrix Strongpoint を稼働させれば、監査の通過は 3 つのレポートを印刷するだけで済みます:
準拠した変更
このレポートでは、ポリシーに従ったすべての変更（つまり、ポリシー記録で定めたプロセスに基づいてレビューおよび承認されたすべて、または Netwrix Strongpoint が「重要ではなく安全に変更できる」と判断したすべて）を示します。
解決済みの不準拠の変更
このレポートでは、緊急のホットフィックスなどのようにポリシーに従わなかったすべての内容と、それを解決するために取った手順が示されます。
未解決の不適合な変更
このレポートでは、ポリシーに従わず、現在も審査中の内容がすべて表示されます。理想的には、監査に入るときに空の状態であるべきです！多くの Salesforce チームは、毎週または毎月の定例会を予定して、システム内に残っている例外を確認し、解消しています。
デプロイ
Salesforce の変更セットでデプロイするのは手間がかかります。さらに、SOX の対象範囲に入っている、またはセキュリティが課題となる領域では、開発を行うユーザーとデプロイを行うユーザーの間の職務分掌（分離）を強制する方法を提供できません。
あまりにも多くの Salesforce チームが、生産性とコンプライアンスの間で身動きが取れなくなり、その結果として Org を効果的に進化させる能力が損なわれます。
Netwrix Strongpoint がどのように役立つか
- 自動リリースおよびデプロイ：変更の種類ごとに必要となる適切な承認、テスト、リリース手順に関する重要な判断を自動化します。
- 環境比較：本番、テスト、サンドボックス Orgs 間の変更点を即座に完全な差分として確認できます。
- デプロイ後の検証：複数の環境にわたるデプロイのトラブルシューティングと検証を行います。
設定データ
多くのチームにとって、構成データの監視は SOX 準拠で最も難しい作業です。たとえば CPQ アプリケーションでは、製品、価格、割引、承認に関する重要なルールが、カスタムオブジェクトにデータとして保存されます。これらの変更を可視化することは非常に時間がかかり、準拠を危うくする可能性のある変更を防ぐ手段もほとんどありません。
これは CPQ に限った話ではありません。請求（Billing）アプリケーションや、収益関連データに触れるその他多くのアプリケーションも、すべて潜在的に対象範囲に入ります。監査人がまだそれらについて質問していないのであれば、将来的に質問される可能性が非常に高いでしょう。
おすすめの関連コンテンツ：
Netwrix Strongpoint がどのように役立つか
- 構成データの監視：Netwrix Strongpoint は、組織内の他の Apex メタデータに適用するのと同じ厳密さで構成データを扱います。次に、Netwrix Strongpoint により、対象範囲（in-scope）のオブジェクトに確実に焦点を当て、それらを追跡・監視するための非常にきめ細かなポリシーを作成するための体系的な方法が提供されます。
- ポリシーレコード: Netwrix Strongpoint では、重要な CPQ ルールへの変更を自動的にブロックする緩和（mitigating）コントロールを作成できます。その結果、Netwrix Strongpoint のお客様は、CPQ やその他の設定データが保護されていることを確認するために、フィールド履歴レポートや手動レビューに頼る必要がなくなります。監査担当者も納得し、監査コストは下がり、IT リーダーシップは、サプライズが起きないことを確信して安心できます。
- ブロッキングコントロール: Netwrix Strongpoint では、事前の承認なしにリスクの高い変更をブロックするオプションを利用できます。これは、売上に直接影響する価格や割引データに対してよく使われます。ブロッキングが有効になっているフィールドに対してユーザーが変更を試みた場合、事前に変更申請が提出されていない限り、その変更は実行できません。
Netwrix Strongpoint
共有する
もっと詳しく
著者について
Paul Staz
セールス＆ビジネス開発担当 副社長（VP）
セールス＆ビジネス開発担当のVPとして、Paul は Netwrix のポートフォリオにおけるインフラストラクチャ製品およびアプリケーション製品の成長を推進することを担っています。主な注力領域は、NetSuite、Salesforce、ネットワーク・インフラストラクチャに関するセキュリティとコンプライアンスです。彼は Go To Market Strategies に情熱を持ち、顧客にとって前向きな成果を生み出すことに意欲的です。以前は、Netwrix に買収される前の Strongpoint にて、セールス＆マーケティングのVPとして Go To Market 機能を率いていました。Paul は、カナダ・オンタリオ州ハミルトンの McMaster University で、文学士とMBA（経営学修士）を取得しています。