項目レベルの暗号化、イベントバスの暗号化、検索インデックスの暗号化を使用する

学習の目的

この単元を完了すると、次のことができるようになります。

標準項目の暗号化を有効にする。
暗号化する標準項目を選択する。
イベントバスデータの暗号化を有効にする。
検索の暗号化を有効にする。

Calvin と Ernesto がデータ項目を映したプロジェクタースクリーンの前に立っています。

Shield Platform Encryption をさらに深く理解する

Zephyrus の従業員は、データベースの暗号化やファイルおよび添付ファイルの暗号化を簡単に有効化できることを確認しました。同社では暗号化の解析も行い、取引データベースの標準項目とカスタム項目、メタデータなどが 256 ビット DEK で暗号化されていることを確認しました。大きなファイルや添付ファイルも保護されています。Ernesto と Calvin は結果について打ち合わせを行います。Ernesto は、コンプライアンス要件によっては、特定の機密データを含む項目に独自の暗号化トレーサビリティが必要になると指摘します。さらに、イベントログや検索インデックスのようなほかの機密データのソースも保護する必要があります。2 人はこれらの機能を有効化して、引き続きテストを行うことにしました。

標準項目の暗号化を有効化し、暗号化する項目を選択する

標準項目とカスタム項目を暗号化するには、テナントの秘密が必要です。Calvin は単元 3 で最初のテナントの秘密を作成したので、ほかのデータも暗号化できます。Calvin は Developer Edition 組織で、[Description (説明)]、[Phone (電話番号)]、[Email (メール)] などいくつかの標準項目を暗号化します。標準のテキスト項目またはカスタムのテキスト項目を選べます。

[Setup (設定)] から、[Quick Find (クイック検索)] ボックスに「Platform Encryption (プラットフォームの暗号化)」と入力し、[Encryption Settings(暗号化設定)] を選択します。
Calvin は最初に確率的暗号化をテストします。こちらがデフォルトです。後で確定的暗号化をいくつかの項目で有効化し、人気の高い項目での並べ替えを最適化します。[Advanced Encryption Settings (高度な暗号化設定)] の [Deterministic Encryption (確定的暗号化)] 切り替えで確定的暗号化を有効化できます。

[Advanced Encryption Settings (高度な暗号化設定)] で、[Encrypt Standard Fields (標準項目を暗号化)] の横にある [Select Fields (項目を選択)] をクリックします。
[編集] をクリックします。

[Account (取引先)] セクションで [Phone (電話番号)]、[Fax (ファックス)]、[Description (説明)] など、暗号化したい項目を選択し、[Save (保存)] をクリックします。

自動検証プロセスですべての組織設定がチェックされ、メールが送られてきます。何らかの設定が原因で暗号化できない場合は、修正手順が送られてきます。修正の必要はありませんでしたか? 素晴らしい! これで完了しました。暗号化が有効になった後に作成または更新されたレコードでのみ、項目値が暗号化されます。選択した項目では、新しいデータが自動的に暗号化されます。また、[Encryption Statistics and Data Sync (暗号化統計およびデータ同期)] ページを使用して既存データを暗号化することもできます。

暗号化は、項目レベルのアクセス制御に代わるものではありません。実行時のユーザーの観点からは、暗号化されたデータは暗号化されてないデータとまったく同じように見えます。Calvin は、プレーンテキストデータを参照できるのが適切なユーザーだけになるよう、項目レベルアクセスを確実に設定します。

カスタム項目も暗号化できますが、ここでは扱いません。Salesforce ヘルプの「項目レベルの暗号化の設定」を参照してください。

イベントバスデータを暗号化する

Salesforce システム管理者として、Calvin はデータ統合、アプリケーション通信、監査証跡などによって生成される多くのイベントを目にしています。これらのイベントストリームには、顧客の連絡先情報、財務情報、独自のビジネス情報など、攻撃者にとって非常に価値の高い機密データが含まれることがあります。イベントバスに対して Shield Platform Encryption を有効化することで、これらの重要で機密性の高い情報を確実に保護しながら保存できるようになります。

項目やファイルの場合と同様、イベントデータを暗号化するにはテナントの秘密が必要です。イベントデータ用のテナントの秘密は、最初のテナントの秘密を作成したときに同時に生成されています。そのため、必要なのは機能を有効化することだけです。

[Setup (設定)] から、[Quick Find (クイック検索)] ボックスに「Platform Encryption (プラットフォームの暗号化)」と入力し、[Encryption Settings(暗号化設定)] を選択します。
[Encryption Policy (暗号化ポリシー)] セクションで [Encrypt Change Data Capture Events and Platform Events (変更データキャプチャイベントとプラットフォームイベントを暗号化)] を有効化します。

機能を有効化すると、新しいイベントデータがすべて暗号化されます。既存のイベントバスデータを暗号化するには、[Encryption Statistics and Data Sync (暗号化統計とデータ同期)] ページを使用します。

検索インデックスを暗号化する

Ernesto と Calvin が確認している最後の機能は検索インデックスの暗号化です。なぜ検索インデックスを暗号化するのでしょうか。

項目やファイル内のデータが保存時に美しく暗号化されていても、検索インデックスにはデータの要約が保持されており、高速で効率的な検索を可能にします。インデックスを暗号化しないと、基盤となる暗号化レコードにアクセス権のないユーザーにも、検索結果を通じて機密情報の断片が露出する可能性があります。

例えるなら、貴重品を金庫に保管していても (項目やファイルの暗号化)、その金庫の暗証番号を推測できるヒントとして「お婆ちゃんの誕生日」と書いたメモ (暗号化されていない検索インデックス) を金庫の扉に貼ってあるようなものです。検索インデックスを暗号化することで、そのような「メモ」も読めないように暗号化され、見せるべきでない人には見えなくなります。

検索インデックスの暗号化を有効化する

項目、ファイル、添付ファイル、イベントバスデータとは異なり、検索インデックスの暗号化ではルート鍵を使用します。ルート鍵については、単元 1 の「Shield Platform Encryption の使用開始」で学びました。KDF を使用して DEK を派生させる代わりに、Salesforce はルート鍵と DEK を作成します。これらはどちらも [Key Management (鍵の管理)] ページで確認できます。ルート鍵は DEK が必要になるまで DEK をラップします。詳細については「ルート鍵で検索インデックスファイルを暗号化する」を参照してください。それでは、検索インデックスの暗号化を有効化しましょう。

[Setup (設定)] から、[Quick Find (クイック検索)] ボックスに「Platform Encryption (プラットフォームの暗号化)」と入力し、[Encryption Settings(暗号化設定)] を選択します。
[Encryption Policy (暗号化ポリシー)] セクションで [Encrypt Search Indexes (検索インデックスを暗号化)] を有効化します。

この機能を有効化すると、新しいインデックスがすべて暗号化されます。既存のインデックスを暗号化するには、[Encryption Statistics and Data Sync (暗号化統計およびデータ同期)] を使用します。

Zephyrus の次のステップ

Carolyn、Ernesto、Calvin は、さまざまな Shield Platform Encryption 機能を簡単に有効化してテストできました。彼らは、さらに多くのユーザーと多くのコンテンツでテストを続けます。鍵の循環、外部鍵の管理 (EKM)、BYOK についても学ぶ必要があります。そして、Shield Platform Encryption を本番組織に導入するための包括的な戦略が必要です。このような戦略は、会社全体に影響するアプリケーションでは常に求められます。

予想時間

トピック

ヘルプをお探しですか?

Salesforce Platform のリソース