Monivaiheinen tunnistautuminen tulee Salesforcessa pakolliseksi helmikuussa 2022. Mitä tämä tietoturvaa lisäävä ominaisuus tarkoittaa ja kuinka sen tuloon tulisi organisaatioissa valmistautua?
Pelkkä käyttäjätunnukseen ja salasanaan pohjautuva kirjautuminen ei enää ole riittävän vahva suojautumiskeino erilaisia tietoturvauhkia vastaan. MFA on yksi helpoimpia tapoja estää luvaton pääsy järjestelmään ja näin turvata liiketoiminnan vaatima data.
”MFA on yksi helpoimpia tapoja estää luvaton pääsy järjestelmään ja näin turvata liiketoiminnan vaatima data.”
MFA (Multi-Factor Authentication) eli monivaiheinen tunnistautuminen on varmasti meille kaikille tuttu tietoturvaominaisuus. Palveluun kirjautuminen vaatii vähintään kaksi “todistetta” siitä, että järjestelmään on kirjautumassa juuri oikea käyttäjä. Käyttäjätunnuksen ja salasanan lisäksi vahvistaminen voidaan tehdä esimerkiksi tekstiviestin tai erillisen sovelluksen kautta.
Multi-Factor Authentication ja Salesforce
Yksinkertaisinta MFA:n toteuttaminen on Salesforcen omalla MFA-sovelluksella (iOS ja Android). Salesforce ei kuitenkaan pakota käyttämään omaa sovellustaan, joten kirjautuminen on mahdollista toteuttaa myös jo käytössä olevalla MFA-sovelluksella.
Monissa yrityksissä Salesforcen käyttö tapahtuu yrityksen SSO:n (Single Sign-On) kautta yksillä tunnuksilla, jolloin työntekijöillä ei ole erillisiä Salesforce-tunnuksia. Tällöin MFA tulee konfiguroida pakolliseksi osana SSO:ta ja samalla on huolehdittava siitä, että vielä tämänkin autentikoinnin jälkeen Salesforcen sisäänkirjautuminen toimii halutusti.
Miten Salesforcen monivaiheiseen tunnistautumiseen tulee reagoida?
Teknisenä tehtävänä MFA:n käyttöönotto ei ole erityisen monimutkainen, mutta vaatii kommunikaatiota käyttäjille. Käyttäjille tulee sisäänkirjautumiseen yksi välivaihe lisää, mikä saattaa tulla monille uutena ja yllättävänä asiana. On siis erittäin tärkeää, että myös asian viestinnällinen puoli otetaan huomioon käyttöönotossa.
Suosittelen lähtemään liikkeelle seuraavin askelein:
– Ota selvää, onko yrityksessä jokin MFA-applikaatio jo käytössä.
– Mikäli on, lähdetään edistämään tämän applikaation käyttöönottoa Salesforcessa. Mikäli ei, siirry seuraavaan kohtaan.
– Kysy, onko yritys tehnyt linjauksen vai voidaanko edistää Salesforce oman applikaation käyttöä.
– Mikäli päädytään Salesforcen omaan applikaation, konfiguroidaan se Salesforcessa käyttöön.
– Mikäli ei haluta käyttää Salesforcen omaa applikaatiota, pitää pikaisesti päättää haluttu vaihtoehto, jotta voidaan siirtyä valitun MFA:n käyttöönottoon myös Salesforce kanssa.
Olemme Biitillä valmistautuneet auttamaan asiakkaitamme tässä muutoksessa ja olemmekin keränneet erillisen tiimin, joka pystyy konfiguroimaan Salesforce-alustalle vaadittavat MFA-asetukset, kun kyseessä on Salesforce oma, Microsoftin tai Googlen MFA-sovellus.
Olethan yhteydessä mikäli haluat, että katsotaan yhdessä teidän organisaationne MFA-puoli kuntoon hyvissä ajoin ennen pakollista muutosta.
Salesforce puhuu paljon luottamuksesta. Yksi tärkeä osa tätä luottamusta on asiakkaan datan turvaaminen. Siinä missä Salesforce hoitaa oman osansa tietoturvasta, jää osa tästä aina asiakkaan vastuulle.
Perinteinen näkemys tietoturvariskistä on usein pimeässä huoneessa toimiva hakkeri, joka tunkeutuu palvelimelle tekemään tuhoja tai varastamaan dataa. Koska pilvipalveluissa infrastruktuurin tietoturva on palveluntarjoajan vastuulla, ei yrityksen tarvitse miettiä tätä näkökulmaa.
Tästä huolimatta esimerkiksi seuraavanlainen tapahtumaketju voi olla mahdollista:
- Tunkeutuja on onnistunut ujuttamaan yrityksen käyttämään kumppaniportaaliin haittaohjelman sisältävän tiedoston.
- Myyjä lataa tiedoston koneelleen ja haittaohjelman avulla tunkeutuja saa tietoonsa myyjän Salesforce-tunnuksen ja -salasanan.
- Tunkeutuja kirjautuu yrityksen Salesforce-ratkaisuun, ajaa kaikki yrityksen asiakastiedot sisältävän raportin ja tallentaa sen itselleen Excel-tiedostona.
Paraskaan pilvipalvelun tietoturva ei ole aukoton, ellei myös pilvipalvelun asiakas hoida omaa päätänsä kuntoon.
Shared responsibility model – jaettu tietoturva
Pilvipalveluissa puhutaan usein tietoturvan jaetusta vastuusta eli Shared responsibility modelista. Se tarkoittaa, että pilvipalvelun tarjoaja hoitaa oman osuutensa vastuusta, mutta osa vastuusta jää asiakkaalle.
Salesforcen kaltaisessa ratkaisussa Salesforce hoitaa esimerkiksi infrastruktuuriin ja omiin sovelluksiinsa liittyvän tietoturvan, kun asiakkaan vastuulle jäävät muun muassa käyttäjien hallinta, ratkaisuun tallennettu data ja räätälöidyt sovellukset.
Tietoturvan oma pää kuntoon
Alun esimerkissä oli ainakin kolme suoraan Salesforcen tietoturvan kannalta ongelmallista asiaa, jotka mahdollistivat yrityksen arkaluontoisen tiedon päätymisen tunkeutujan käsiin:
- Kumppaniportaaliin ladattuja tiedostoja ei tarkistettu. F-Securen Cloud Protection -ratkaisu olisi estänyt haittaohjelmien lataamisen Salesforceen.
- Yrityksen Salesforce-ratkaisussa ei ollut käytössä kaksivaiheista kirjautumista, joka olisi estänyt kirjautumisen järjestelmään pelkällä tunnuksella ja salasanalla.
- Raporttien oikeudet olivat liian laajat, jolloin tunkeutuja pystyi ottamaan ulos kaiken datan Excel-taulukkona.
Vaikka Salesforcen tietoturva on huippuluokkaa, ei minkään ratkaisun tietoturva ole täydellinen. Pilvipalveluna tarjottavassa ratkaisussa osa vastuusta jää asiakkaalle. Salesforce tarjoaa kyllä työkalut tietoturvan parantamiseksi, mutta on asiakkaan vastuulla käyttää tarvittavia työkaluja.
Jos haluat perehtyä lisää Salesforcen tietoturvaan ja erityisesti asiakkaan vastuuseen osana sitä, kannattaa käydä lataamassa uusi Jaettu tietoturva Salesforessa -oppaamme, jossa pureudumme aihepiiriin syvällisemmin. Tai ilmoittaudu F-Securen kanssa järjestämäämme aamiaisseminaariin: Salesforcen tietoturva haltuun.