Salesforceのセキュリティ状態チェックの見方と直し方

状態チェックで分かること

状態チェックは、セキュリティ設定の弱いところを 1 つのページで見つけて直すための機能です。[設定] の [クイック検索] で「状態チェック」を探して開きます。[1]

画面の上には、組織の設定がベースラインをどれだけ満たしているかを示すスコアとグレードが出ます。その下に、設定ごとの現在の値と、ベースラインの値との比べた結果が並びます。[1]

使えるのは Professional、Enterprise、Performance、Unlimited、Developer の各エディションです。画面を見るには「状態チェックの表示」、カスタムベースラインを取り込むには「状態チェックの管理」などの権限が要ります。[1][5]

スコアとリスクの区分

各設定は、ベースラインで 4 つのリスクの区分のどれかに入っています。区分ごとに、スコアへの効き方が違います。[2]

• 区分 1高リスクスコアに最も強く効きます。標準のベースラインでは、セッションをドメインにロックする設定、クリックジャック保護、CSRF 保護、ログイン失敗でロックするまでの回数などが入っています。[2]
• 区分 2中リスク高リスクと低リスクの間の重みです。パスワードの最小の長さ、有効期間、過去のパスワードの利用制限、管理者が任意のユーザーでログインできる設定などが入っています。[2]
• 区分 3低リスクスコアへの効き方が最も小さい区分です。セッションのタイムアウト値、ロックアウトの有効期間、メールアドレスの変更時の ID 検証などが入っています。[2]
• 区分 4情報スコアには数えません。証明書の期限までの日数や、ゲストユーザーのプロファイルで参照・編集できるオブジェクトの数など、確かめておく価値のある設定です。[2]

設定ごとの判定は、準拠・警告・重大の 3 つです。すべての設定が基準を満たすとスコアは 100% になり、グレードは 90% 以上が「非常に良い」、54% 以下が「非常に低い」です。[2][4]

公式の目安では、スコアが 33% 以下なら高リスクに先に対処し、34〜66% なら高リスクを短期で、中リスクを長期で直します。67% 以上なら、定期的に確かめてリスクに対処します。新しい組織は、初めから 100% 未満のスコアです。[2]

ベースライン：標準とカスタム

ベースラインは、比べる基準の値の組です。画面のドロップダウンで、Salesforce ベースライン標準か、自社で作ったカスタムベースラインを選びます。カスタムベースラインは最大 5 つまで取り込めます。[1][3]

カスタムベースラインは、標準のベースラインを元に作ります。[ベースラインコントロール] から標準をエクスポートし、XML ファイルを書き換えて、[ベースラインをインポート] で取り込みます。取り込んだものを、既定のベースラインにすることもできます。[3]

書き換えられるのは、設定ごとのリスクの区分と基準の値です。設定の追加や削除はできません。自社で重視しない設定は、消す代わりに情報の区分へ移すと、スコアの計算から外れます。[3][4]

ファイルは英語の文字だけの XML で、20 KB 以下にします。各値は引用符で囲みます。名前を「Salesforce Baseline Standard」などにすると取り込めません。[3][4]

カスタムベースラインに変えるとスコアの基準も変わるため、ほかの組織や過去のスコアと比べるときは、どのベースラインで出した数字かをそろえて見ます。[1][2]

[リスクを修正] の使い方と注意

リスクに出た設定は、各行の [編集] から直すか、[リスクを修正] を使います。[リスクを修正] は、状態チェックの画面を離れずに、選んだベースラインの推奨値へ設定をまとめて変えるための機能です。[1]

一部の設定は、[リスクを修正] では変えられません。[リスクを修正] の画面に出てこない設定は、[状態チェック] のページの [編集] から手で変えます。[1]

推奨値に合わせると、利用者の操作や連携に影響する設定があります。押す前に、変わる設定を 1 つずつ確かめます。[6][7]

• [HttpOnly 属性が必要]：JavaScript でセッション ID の Cookie を読むカスタムアプリケーションやパッケージアプリケーションは、オンにすると止まります。[7]
• [ログイン時の IP アドレスとセッションをロックする]：いろいろなアプリケーションやモバイルデバイスの機能の妨げになることがあります。[7]
• 最小パスワード長：変えても今のパスワードはそのまま使え、次にパスワードを変えるときから新しい長さが求められます。[6]

主な項目：パスワード・セッション・ネットワーク

パスワードポリシーは、[設定] の [パスワードポリシー] で変えます。標準のベースラインで準拠とされるのは、最小の長さが 8 文字、有効期間が 90 日以下、過去 3 回分のパスワードの再利用の禁止、英字・数字・特殊文字の組み合わせなどです。[2][6]

ログイン失敗でロックするまでの回数は、標準のベースラインでは 3 回が準拠で、高リスクの区分です。ロックされた人は、権限のある管理者が [ユーザー] の画面から [ロック解除] で戻せます。[2][6]

セッションの設定は、[設定] の [セッション設定] で変えます。タイムアウト値は 2 時間以下が準拠です。クリックジャック保護や CSRF 保護は高リスクの区分なので、オフのものがあれば先に確かめます。[2][7]

[すべての要求でログイン IP アドレスの制限を適用] は中リスクの項目です。オンにすると、ログインのときだけでなく、クライアントアプリケーションからの要求を含む毎回の要求で、ログイン IP アドレスの制限が効きます。[2][7]

[ネットワークアクセス] では、ID 検証なしでログインできる信頼済み IP 範囲を決めます。これに対し、プロファイルにログイン IP の制限を付けると、範囲外からのログインは拒否されます。どちらを使うかで利用者の影響が変わるため、状態チェックの結果と合わせて決めます。[8]

通知と定期的な見直し

状態チェックの画面では、スコアが下がったときに毎週の通知を受け取る人を設定できます。[Notify all System Admins] をオンにすると、システム管理者のプロファイルを持つ全員に届きます。[受信者] から、個別のユーザーや外部のメールアドレスも足せます。[5]

2026年10月時点の公式ヘルプでは、2026 年 4 月 15 日から、本番組織のシステム管理者向けの通知が既定で有効になっています。止めたいときは、状態チェックの通知の設定で手で無効にします。[5]

スコアは、Salesforce が計算に使う項目を足したり外したりすると変わります。新しい項目が加わることもあるため、設定を変えていなくても、通知を受けたら中身を見直します。[1][2]

定期的に見る運用では、画面のスコアと、警告・重大の設定の一覧を記録に残しておくと、前回からの変化を追えます。[2]