Salesforce 감사하기: Setup Audit Trail과 Field History Tracking

기본 제공만으로도 Salesforce는 SOX audit을 통과하는 데 필요한 상당 부분의 정보를 제공할 수 있습니다. 하지만 여기에는 공백이 있고, 절차는 답답할 수 있으며 시간도 많이 소요될 수 있습니다. 시작하기 전에, 현재 사용 중인 Org에서 무엇을 할 수 있고 — 할 수 없는지 —를 이해하는 것이 중요합니다.

이 글에서는 SOX audit prep에 활용되는 주요 Salesforce 도구 두 가지를 살펴봅니다. 즉, Setup Audit Trail과 Field History Tracking입니다.

SOX 준수: 범위에 포함되는 항목

감사 준비를 위해 Salesforce가 제공하는 구체적인 도구를 살펴보기 전에, 감사인이 정확히 무엇을 확인하고 싶어 하는지부터 검토해 볼 만합니다. 안타깝게도 이에 대한 명확한 정답은 없습니다. 지난 몇 년 사이에야 감사인들이 Salesforce를 더 면밀히 보기 시작했으며, 각 감사인은 해당 플랫폼에 대한 이해도 수준이 서로 다르기 때문입니다.

이러한 전제 하에, 우리가 확인하고 있는 것은 크게 세 가지에 대한 집중이며, 그것들이 수익 인식에 잠재적으로 어떤 영향을 줄 수 있는지입니다:

• 접근: 사용자에 대한 변경 사항, 프로필 및 권한 세트, 프로비저닝, 비밀번호, 다중 인증에 대한 정책.
• 메타데이터/구성 변경: 팀이 변경 요청을 검토하고 승인하는 방법, 그리고 해당 승인 내용이 시스템의 실제 변경 사항과 어떻게 일치하도록 조정되는지.
• 구성 데이터 변경 사항: 매출과 연결된 중요 객체(일반적으로 CPQ 및 Billing 앱)에 대한 구성 변경을 어떻게 추적하는지

설정 감사 로그

좋아하는 이유

Salesforce의 Setup Audit Trail은 간단하고 직관적입니다. 다양한 유형의 변경 사항에 대한 수정 내용을 기록하고, 무엇이 변경되었는지, 누가 변경했는지, 언제 수행했는지를 보여주는 내보내기 가능한 파일로 수집합니다. 회사 및 통화 정보부터 프로필 및 권한 세트 상세 정보에 이르기까지 모든 변경 사항을 추적합니다. 전체 목록은 Salesforce Security Guide에서 확인하세요.

보고서를 생성한 후에는 데이터의 Type으로 필터링하고, 감사자가 가장 우려하는 변경 사항을 더 자세히 확인할 수 있습니다.

사용 가능한 위치

Salesforce Classic 및 Lightning Experience; Contact Manager, Essentials, Group, Professional, Enterprise, Performance, Unlimited, Developer, 및 Database.com 에디션

부족한 점

Setup Audit Trail은 상당히 많은 정보를 제공하지만, 해당 데이터는 180일 동안만 저장합니다. 즉, 감사자가 그 기간 이후에 확인하려는 변경 사항은 얻을 수 없다는 뜻입니다. 그래서 팀은 데이터를 다른 곳에 저장하게 되는데, 이로 인해 감사자들이 그 데이터의 정확성에 대해 의문을 제기하는 경우가 많습니다.

Setup Audit Trail의 또 다른 주요 문제는, 조직에서 발생한 변경 사항은 보여주지만 해당 변경 사항이 검토되었는지 또는 승인되었는지를 보여주지 않는다는 점입니다. 이는 민감한 변경 사항이 적절한 절차를 거쳤는지 확인하려는 감사자에게는 매우 중요한 정보입니다.

그 결과 Salesforce 팀은 감사에 앞서 관련 요청 및 승인(예: Jira 같은 외부 티켓팅 시스템, 이메일, 공유 문서 등)에 Audit Trail을 수동으로 대조/확인해야 합니다. 이는 매우 시간이 많이 소요되며, 감사 준비 단계에서 상당한 리소스를 요구하는 프로세스입니다.

그 외에는?

Setup Audit Trail은 구성 변경 사항을 잘 수집하지만, 여전히 일부 항목을 놓칩니다. 예를 들어 다음을 추적할 수 없습니다.

• 사용자 지정 목록 보기 변경 사항
• 보고서 유형 또는 필터 조건의 변경
• 새 보고서 생성

결국 이것들이 반드시 큰 공백인 것은 아닐 수 있지만, 감사인이 이를 확인하길 원한다면 Setup Audit Trail 이외의 다른 수단에 의존해야 합니다.

필드 기록 추적

좋아하는 이유

필드 기록 추적(Field History Tracking)을 사용하면 표준 또는 사용자 지정 개체에서 개별 필드를 선택하고, 해당 필드에서 발생하는 모든 변경 사항을 자동으로 추적할 수 있습니다.

추적할 특정 필드를 선택하면, 변경 기록이 기록(History) 관련 목록에 추가되어 변경 날짜와 시간, 누가 변경했는지, 기타 중요한 세부 정보가 함께 저장됩니다. 그리고 Field Audit Trail 애드온을 구매하지 않는 한, 이 정보는 조직(Org)에서 18개월 동안만 보관되며, API를 통해 내보내는 경우 최대 24개월까지 보관됩니다.

사용 가능한 위치

Salesforce Classic(모든 Org에서 제공되지는 않음), Lightning Experience, Salesforce 앱; Contact Manager, Essentials, Group, Professional, Enterprise, Performance, Unlimited, Developer, 및 Database.com 에디션(표준 개체는 Database.com에서 제공되지 않음)

부족한 점

설정 감사 로그(Setup Audit Trail)와 마찬가지로, 필드 기록 추적(Field History Tracking)으로 수집되는 데이터는 너무 많으면서도 동시에 충분하지 않습니다. 많은 정보를 얻을 수는 있지만, 일정 지점까지만 제공됩니다. 즉, 개체(Object)당 최대 20개 필드를 선택할 수 있으며, 수집되는 데이터는 최대 18개월( API를 사용하면 24개월)입니다.

또한 필드 기록 추적(Field History Tracking)은 활성화한 시점부터의 변경 사항만 기록합니다. 따라서 미리 범위에 무엇이 포함되는지 정하는 데 시간을 들이지 않았다면 문제가 될 수 있습니다.

그 외에는?

필드 기록 추적(Field History Tracking)은 모든 조직(Orgs) 또는 모든 개체(Object)에서 제공되는 것은 아닙니다. 또한:

• 필드에 255자를 초과하는 내용이 있으면 이전 값과 새 값이 기록되지 않습니다.
• 시간 필드의 변경 사항도 추적되지 않습니다.

결론

Salesforce의 기본 제공 도구만으로도 SOX 감사를 통과하는 것은 충분히 가능합니다. 다만 감사인의 기대 수준에 따라, 실제 필요한 것보다 더 어렵고 더 많은 시간이 소요될 수 있습니다. 또한 Salesforce 플랫폼에 대해 감사인들이 요구하는 기대와 요구 사항도 점점 높아지고 있습니다. 점점 더 많은 경우에 추가 도구가 필요하다는 점을 확인하고 있습니다.

Netwrix Strongpoint는 Field History Tracking과 Setup Audit Trail이 남긴 공백을 메우기 위해 설계되었습니다. 당사 제품은 compliance tools 사용자 액세스, 메타데이터, 수익 관련 구성 데이터의 변경 사항을 상세하고 변경 불가능한 로그로 추적하고 보고합니다. 또한 주요 티켓팅 시스템과의 통합 기능도 구축되어 있어, 변경이 시작된 최초 변경 요청까지 당사 로그를 자동으로 대사(리컨실레이션)할 수 있도록 돕습니다. 이 데이터를 다루고 감사에 바로 사용할 수 있는 보고서를 생성하는 데 사용할 수 있는 여러 도구를 제공함으로써 비용과 스트레스 수준을 크게 줄여드립니다.