Auditoria do Salesforce: O Setup Audit Trail e o Field History Tracking

De imediato, o Salesforce pode fornecer grande parte das informações que você precisa para passar em uma auditoria SOX. No entanto, existem lacunas, e o processo pode ser frustrante e demorado. Antes de começar, é importante entender o que você pode — e não pode — fazer na sua Org já.

Neste post, estamos analisando duas das principais ferramentas do Salesforce para preparação de auditoria SOX audit prep — o Setup Audit Trail e o Field History Tracking.

Conformidade SOX: O Que Está Incluído

Antes de entrarmos nas ferramentas específicas que a Salesforce oferece para preparação de auditoria, vale a pena revisar o que, exatamente, os auditores querem ver. Infelizmente, não há uma resposta clara para isso; só nos últimos anos é que os auditores começaram a olhar mais de perto para a Salesforce, e cada um trará um nível diferente de familiaridade com a plataforma.

Com essa ressalva, o que estamos observando é um foco em três coisas e como elas podem impactar potencialmente o reconhecimento de receita:

• Acesso: Suas políticas de provisionamento, senhas, autenticação multifator e alterações em usuários, perfis e conjuntos de permissões.
• Alterações de metadados/configuração: Como suas equipes revisam e aprovam solicitações de mudança, e como essas aprovações são reconciliadas com as mudanças reais no sistema.
• Alterações nos dados de configuração: Como você acompanha as alterações de configuração em Objetos críticos vinculados à receita (geralmente nos aplicativos CPQ e Billing)

O Histórico de Configuração

Por que gostamos disso

O Setup Audit Trail da Salesforce é simples e direto — ele registra modificações em uma ampla gama de tipos de alterações e as coleta em um arquivo exportável mostrando qual foi a mudança, quem fez e quando foi feita. Ele rastreia alterações em tudo, desde informações da empresa e moeda até detalhes de perfil e conjunto de permissões — confira o Salesforce Security Guide para a lista completa.

Depois de gerar o seu relatório, você pode filtrar os dados por Tipo e detalhar as alterações que mais preocupam seus auditores.

Onde está disponível

Salesforce Classic e Lightning Experience; Contact Manager, Essentials, Group, Professional, Enterprise, Performance, Unlimited, Developer e Database.com Editions

Onde Deixa a Desejar

O Registro de Auditoria de Configuração fornece uma quantidade bastante volumosa de informações, mas armazena esses dados apenas por 180 dias. Isso significa que quaisquer alterações que seus auditores queiram ver além desse período seriam inalcançáveis. Isso deixa as equipes armazenando os dados em outro lugar – o que frequentemente levanta questões sobre sua precisão por parte dos auditores.

O outro grande problema com o Setup Audit Trail é que, embora mostre as alterações realizadas na sua Organização, não mostra se foram revisadas ou aprovadas — detalhes críticos para auditores que vão querer verificar se as mudanças sensíveis seguiram um processo apropriado.

Como resultado, as equipes da Salesforce precisam reconciliar manualmente o Audit Trail com as solicitações e aprovações relevantes (que podem estar em um sistema de tickets externo como Jira, em um e-mail, em um documento compartilhado, etc.) É um processo extremamente demorado que exige recursos consideráveis na preparação para uma auditoria.

O que mais?

O Setup Audit Trail faz um bom trabalho ao capturar mudanças de configuração, mas ainda deixa passar algumas coisas. Por exemplo, ele não consegue rastrear:

• Alterações na visualização de lista personalizada
• Alterações nos tipos de relatório ou critérios de filtro
• Criação de novo relatório

No final das contas, essas não são necessariamente grandes lacunas, mas se os seus auditores quiserem vê-las, você precisará contar com algo além do Setup Audit Trail.

Rastreamento do Histórico de Campo

Por que gostamos disso

O rastreamento do histórico de campo permite que você selecione campos individuais em um Objeto Padrão ou Personalizado e acompanhe automaticamente quaisquer alterações dentro deles.

Uma vez que você tenha selecionado certos campos para rastrear, um registro de quaisquer alterações será adicionado à lista relacionada Histórico, capturando a data e hora da mudança, quem a fez e outros detalhes importantes. E a menos que você adquira o complemento Field Audit Trail, essas informações são retidas apenas por 18 meses através do seu Org, e até 24 meses se você exportar via API.

Onde está disponível

Salesforce Classic (não disponível em todas as Orgs), Lightning Experience e o aplicativo Salesforce; Contact Manager, Essentials, Group, Professional, Enterprise, Performance, Unlimited, Developer e Database.com Editions (Objetos Padrão não estão disponíveis no Database.com)

Onde Deixa a Desejar

Semelhante ao Registro de Auditoria de Configuração, os dados coletados pelo Rastreamento do Histórico de Campo são ao mesmo tempo excessivos e insuficientes. Você obterá muitas informações, mas apenas até certo ponto — um máximo de 20 campos pode ser selecionado por Objeto, e apenas 18 meses de dados (24 usando a API) são coletados.

Além disso, o Field History Tracking só registra alterações a partir do momento em que é ativado — o que pode ser um problema se você não dedicar tempo para determinar o que está dentro do escopo com antecedência.

O que mais?

O rastreamento do histórico de campo não está disponível em todas as Orgs ou em todos os Objetos. Além disso:

• Se um campo tiver mais de 255 caracteres, os valores antigos e novos não serão registrados
• Alterações nos campos de tempo também não são rastreadas

A Conclusão

É totalmente possível passar numa auditoria SOX utilizando as ferramentas integradas do Salesforce. No entanto, dependendo das expectativas dos Auditores, o processo pode ser mais difícil e demorado do que o necessário. As expectativas e exigências dos Auditores também estão aumentando para a plataforma Salesforce. Cada vez mais, estamos vendo que ferramentas adicionais são necessárias.

Nós projetamos o Netwrix Strongpoint para fechar as lacunas deixadas pelo Field History Tracking e pelo Setup Audit Trail. Nossos produtos oferecem um conjunto abrangente de ferramentas de conformidade que rastreiam e relatam alterações no acesso de usuários, metadados e dados de configuração relacionados à receita em um log detalhado e imutável. Também temos integrações construídas para os principais sistemas de tickets para ajudar a automatizar a reconciliação de nossos logs de volta às solicitações de mudança originais onde as alterações começaram. Nós fornecemos várias ferramentas para trabalhar com esses dados e produzir relatórios prontos para auditoria que reduzirão significativamente tanto seus custos quanto seus níveis de estresse.