Salesforceの状態チェックで確認できる設定（その他の設定編）
皆様こんにちは、セールスフォース事業本部です。
前回に引き続き状態チェックで確認できる設定を紹介します。
今回はこれまでに紹介していないグループに含まれる設定をご紹介いたします。
※このページの情報はSummer'24時点のものになります。
ファイルのアップロードおよびダウンロードのセキュリティ設定
ハイブリッド動作を行う、セキュリティリスクファイルの種類の数
「ファイルのアップロードおよびダウンロードセキュリティ」設定にて、セキュリティリスクファイルの種類とされたファイル拡張子のダウンロード動作を「ハイブリッド」（添付ファイルとドキュメントはブラウザで実行、Salesforce Files はダウンロード）とした場合にカウントされます。
「ハイブリッド」の場合、添付ファイルとドキュメントはブラウザで実行されるため、攻撃者のコードがブラウザで実行される恐れがあります。業務上必須でなければ「ダウンロード」への変更が望ましいです。
ユーザー PII 設定
参照項目にレコード名を表示するための権限が必要
この設定を有効にすると、[作成者] や [最終更新者] など、参照項目およびシステム項目にてレコード名を表示できるユーザーは、そのレコードへの「参照」アクセス権または「すべての参照レコード名の参照」権限をもつユーザーのみになります。
これにより、アクセス権がないレコードの情報を表示することがなくなり、データの保護を強化することができます。
参考：
Salesforceヘルプ：参照項目でレコード名を表示する権限の必須化
https://help.salesforce.com/s/articleView?id=sf.security_sharing_require_permission_lookup.htm&language=ja&type=5
リモートサイトの設定
リモートサイトの設定
「リモートサイトの設定」はVisualforce ページ、Apex 呼び出し、または JavaScript コードで外部サイトを呼び出すために必要な設定となり、この設定に登録されたURLのみアクセス可能となります。
準拠判定の条件は、登録したすべてのURLで「プロトコルセキュリティの無効化」を設定しないこと、になります。「プロトコルセキュリティの無効化」はHTTPSセッションとHTTPセッション間のデータの受け渡しを可能にするため、この設定を無効にしたうえで、HTTPSセッションのみ使用することをお勧めします。
参考：
Salesforceヘルプ：リモートサイトの設定
https://help.salesforce.com/s/articleView?id=sf.configuring_remoteproxy.htm&language=ja&type=5
ログインアクセスポリシー
管理者は任意のユーザーでログインできる
この設定が有効の場合、システム管理者はいつでも有効ユーザーへの代理ログインが可能になります。一方、無効の場合はユーザー側で「アカウントログインアクセスの権限」画面にて、会社のシステム管理者にアクセス権限を付与した場合のみ代理ログインが可能になります。
有効にするとユーザーから問い合わせがあった際にすぐ代理ログインにて検証ができるので便利ではありますが、代理ログイン時に行ったレコード保存等の操作は、代理ログインされたユーザーが行ったことになるため、このような状況は必要最小限に抑えるべきです。そのためこの設定を無効とし、ユーザーから明示的に許可を得る運用が望ましいといえます。
一方トラブルシューティングの際に、ユーザーに都度この作業を行っていただくのは手間でもあるため、代理ログインの作業頻度とユーザーに操作を依頼する手間を考慮して、判断したほうがいいでしょう。
共有設定
デフォルトの外部アクセス権が公開に設定されているオブジェクトの数
共有設定にて「デフォルトの外部アクセス権」が公開となっているオブジェクトの数を表します。
実際にデータにアクセスするにはプロファイル、権限セットでのオブジェクトアクセス権限も付与する必要があるため、この設定を行うと即公開されるわけではありません。しかし、誤ってオブジェクトアクセス権を与えると、そのオブジェクト内のデータ全てにアクセスできるため、要件上必須でなければすべて非公開とすべきです。
なお、外部からのアクセスを受けるために必要なコミュニティ等が有効となっていない組織にて、共有設定で「デフォルトの外部アクセス権」を公開としても実際には公開されないため、本項目は0となります。
参考：
Salesforceヘルプ：コミュニティのない Salesforce 組織で、デフォルトの外部アクセス状態チェック設定が表示される
https://help.salesforce.com/s/articleView?id=000389905&type=1&language=ja
ゲストユーザーアクセス
参照・編集アクセス権がゲストユーザープロファイルに付与されているオブジェクトの数
ログイン不要のゲストユーザーが参照/編集可能なオブジェクトの数を表しています。
ログイン不要のゲストユーザーへのオブジェクトアクセス権は最小限にすべきなので、1つでもある場合はそのオブジェクトへのアクセスが業務上必須か確認すべきです。
実際に確認するには、各ゲストユーザープロファイルにアクセスし、オブジェクトアクセス権を見る必要があります。
参考：
Salesforceヘルプ：ゲストユーザープロファイルの設定
https://help.salesforce.com/s/articleView?id=sf.rss_config_guest_user_profile.htm&language=ja&type=5
証明書と鍵の管理
期限切れの証明書
「証明書と鍵の管理」設定画面にて作成、インポートした証明書のうち、期限切れとなっている個数を表します。
通常、証明書は認証等に用いるため期限切れのまま残っている場合は、何らかの処理が正常に動作しない可能性があります。そのため、期限切れの証明書が発生しないよう定期的に更新すべきです。また使用しなくなった証明書がある場合は、削除すべきでしょう。
鍵サイズ
「証明書と鍵の管理」設定画面にて作成、インポートした証明書のうち、最小の鍵サイズを表します。（Salesforceで自己署名証明書を作成する場合、作成可能な鍵サイズは2048、3076、4096）
一般的に鍵長が長いほど暗号の強度が上がりますが、暗号化、復号化処理に要する時間は長くなるとされます。また、鍵サイズの決定には連携先のシステムが受け入れ可能な証明書の鍵サイズにも影響されるため、自社内のセキュリティポリシーのみで決められない部分も存在する場合があります。
証明書有効期限
「証明書と鍵の管理」設定画面にて作成、インポートした証明書のうち、有効期限が最も近い証明書の残り期間を表します。（Salesforceで自己署名証明書を作成する場合、作成可能な有効期限は1年）
有効期限切れを防ぐため、定期的に期限を確認し期限が近くなった証明書については、更新の手続きを行うべきです。
備考
一部環境では「私のドメイン」設定時に自動で作成される証明書の内容が、この項目に反映されることがありますが、自動作成された証明書を使用していない、かつ、他に証明書を使用していない場合は、無視して問題ありません。
おわりに
今回は状態チェックで確認できる設定のうち、これまで紹介していない設定について紹介いたしました。
使い方によってはチェックしなくてもよい項目もありますが、コミュニティ（Experience Cloud）などで外部公開をしている組織の管理者の方には、ぜひ「デフォルトの外部アクセス権が公開に設定されているオブジェクトの数」、「参照・編集アクセス権がゲストユーザープロファイルに付与されているオブジェクトの数」をご確認いただきたいと思います。
次回は、状態チェックの準拠値やリスク度をカスタマイズできる、ベースラインのカスタマイズについて説明いたします。