【第62回】 個人情報にアクセスできない Marketing Cloud のロールの作り方
Salesforce Marketing Cloud を利用していると、「メールの作成やジャーニーの設定はしたいが、個人情報へのアクセスは許可したくない」というニーズがあります。そこで、今回はそのようなユーザーを作成するためのロール設定方法をご紹介します。
情報セキュリティにおける「最小権限の原則」
まず、情報セキュリティの基本として「最小権限の原則」があります。この原則では、システムユーザーには、その役割を果たすために必要な最小限の権限のみを付与することが推奨されています。Salesforce 社もこの考え方を強く支持しており、基本的にはこの原則に則って権限設定を行うべきです。
しかし、Salesforce Marketing Cloud においては、権限設定を最小限に留めることでシステム運用に支障が出ることが多いのが現実です。特に、ユーザーが必要な機能だけを使えるように制限しつつ、業務に支障をきたさないようにするためには、多少の工夫が必要です。
Salesforceの「最小権限の原則」に完全に従う方法は一つの理想ですが、実務では制約が多いため、以下の方法を提案します。
まず最初に、「管理者」ロールや「Marketing Cloud 管理者」ロールをユーザーに付与します。その上で、個人情報へのアクセスを制限するためのカスタムロールを作成し、そのロールを追加する方法です。
具体的には、次のような手順で設定を行います。
個人情報閲覧禁止ロールの作成
まず、「個人情報閲覧禁止」のようなロールを新規で作成します。
次に、以下の権限を明示的に「拒否」のチェックボックスで選択します。
①「メール」＞「購読者」全体
②「メール」＞「トラッキング」全体
③「メール」＞「レポート」全体
④「メール」＞「共有フォルダ」全体
⑤「レポート」全体
⑥「分析」全体
⑦「Intelligence Reports」全体
⑧「連絡先」＞「Contact Builder」全体
これらを「拒否」することで、個人情報に関係する項目に関しては、アクセスできなくなるかと思います。
これに加えて、一時的にロールを編集されてしまうことを防ぐために、ロールの編集に関しても、アクセス制御しておくことをオススメします。
⑨「管理」＞「ユーザー」＞ ロールの管理
⑩「管理」＞「ロール」全体
⑪「管理」＞「インストール済みパッケージ」全体
※管理機能も不要であれば「管理」全体を「拒否」しても良いと思います。
※「インストール済みパッケージ」は、Query Studio 用です。
最後に、いくつかのポイントがありますので、そちらも書いておきます。
■ Email Studio の単発送信を行いたいのであれば、メール＞購読者＞データエクステンション＞表示を「許可」してください。但し、この権限を「許可」すると、Journey Builder のジャーニーの「テスト」で個人情報にアクセスができます。よって、Journey Builder へのアクセスを「拒否」する必要があります。
■ Email Studio のプレビューとテスト機能では、購読者プレビュー機能は使えなくなります。メール＞購読者＞データエクステンション＞表示を「許可」した上で、「テストデータエクステンション」を使用してテストしてください。
■ Journey Builder では、「エントリーソースの設定ができるユーザー」＝「ジャーニーのテストで個人情報が見えるユーザー」となります。
■ Automation Studio に関しては、そもそも Automation Studio を使ってデータエクステンションのレコードにアクセスできる機能がないので、アクセス制御はしていません。
■ Query Studio に関しては、Salesforce 公式のツールではないので、ロールではなく「インストール済みパッケージ」のライセンス設定によって、アクセスを制御してください。
いかがでしたでしょうか。
Journey Builder を最初から最後まで設定するには、エントリーソース設定時のデータエクステンションの表示権限が必要となりますが、これを表示できるようにしますとジャーニーの「テスト」で、購読者のメールアドレスが見えてしまうという不都合があります。
現在のところ、これを回避する手段を私は知らないのですが、何か良い案をお持ちの人がいれば、コメントでお知らせください。
今回は以上です。