JP:Security Review
Force.com AppExchange & OEM セキュリティレビュー
AppExchangeに公開若しくはOEMでリリースされる全てのアプリケーションは年に1回セキュリティレビューを受けなければなりません。セキュリティレビューとはセールスフォース・ドットコムと連携しているパートナーのセキュリティ体制を把握すると共にセキュリティ業界標準に従って十分な対策が実施されているかを確認するための検査です。セキュリティレビューを実施するメリットには以下のものがあります：
- お客様は信頼されたサードパーティ製のForce.comアプリケーションを手に入れる事ができます。
- パートナーが継続的に複数のアプリケーションの作成し、お客様のニーズをつかむのを助けます。
- 安全なアプリケーション環境を提供することで、お客様とサードパーティアプリケーション開発者、アプリケーションプロバイダとの間でオープンな関係の構築を促進します。
レビュースコープ
アプリケーションのタイプによってセキュリティレビューのスコープが異なります。詳しくはリソースセクションの必須条件チェックリストで詳細情報を確認して下さい:
| アプリケーションのタイプ | 概要 | レビュースコープ |
|---|---|---|
| Force.com (ネイティブ & マッシュアップ) |
アプリケーションの主要なデータ、ロジック、ユーザーインタフェースがForce.comプラットフォームのみで作成されているアプリケーション。ただしアプリケーションは Amazon, Google, Facebook等のサードパーティWebサービス呼び出しに関しては許可されます。 |
クロスサイトスクリプティングやSOQLインジェクション等の潜在的な脆弱性を検査するためのコードレビュー (半自動化されたテクノロジーを使用) |
| クライアント (オンプレミス) |
デスクトップやモバイルでバイス上など、salesforceの環境の外で動作するアプリケーション。これらのアプリケーションはForce.comをデータソースとみなし、既存のプラットフォーム上で開発を行います。典型的な例としてはiPhoneアプリケーションやMicrosoft Outlook connector等があります。 |
アプリケーションの開発環境とアーキテクチャ |
| コンポジット (ホスティング) |
Force.com webサービスAPIを使ってSalesforceと統合するサードパーティにホスティングされた環境のアプリケーション。 アプリケーションのデータやロジックはForce.comプラットフォームの外に配置される場合もあります。 |
アプリケーションの開発環境とアーキテクチャ |
セキュリティレビュープロセスクイックガイド
セキュリティレビュープロセスのステップは以下の通りになります:
1.セキュリティレビューの準備
- 必須条件チェックリストを確認します。
- OWASPトップテンチェックリスト(英語)のレビュー
- Force.comプラットホーム（ApexとVisualForce）で開発されたコードを対象した無料のソースコードスキャナ(英語)を実行します。
- Force.comと統合されたウェブサーバを対象にウェブアプリケーションスキャンを実行します。効率が良く他のツールに比べて安価だと好評なツールとしてはBurp Suite Professional等があります。
2. AppExchangeプロファイルページよりセキュリティレビューを開始
- AppExchange基本契約やOEM契約を締結していない場合は、こちらまでお問い合わせ下さい。
- *AppExchange基本契約は今後オンラインのクリックスルー形式に移行する予定です。
- セキュリティレビューは事前支払いとなります。 セキュリティレビュー申込書をFAXで送信し、支払いを済ませて下さい。セキュリティレビューのコストについては、 セキュリティレビューのコストページを参照して、アプリケーションがどこにあてはまるか確認して下さい。
- AppExchangeサイトの公開ページへログインしてから、アプリケーションのセキュリティレビューを開始して下さい。
3. セキュリティレビューへ参加
AppExchangeセキュリティレビューシートを全て記述し、ISVパートナープログラム事務局までお送り下さい。
- Force.comアプリケーション:
- レビューチームにアプリケーションの概要を示す為のレビューシートを記述して下さい。
- 全て設定済みのテスト環境と、パッケージ配信している組織へのログインアクセスを提供して下さい。
- レビューチームは半自動化されたテストを実行し、ソースコード内に潜む脆弱性を検出します。
- レビューチームのフォローアップディスカッション後に再度連絡があるかもしれませんので、ご用意お願いいたします。
- コンポジット&クライアントアプリケーション:
- 事前にセキュリティレビューシートを記述しておいて下さい。
- 全て設定済みのテスト環境をレビューチームに対して提供して下さい。
- レビューチームのフォローアップディスカッション後に再度連絡があるかもしれませんので、用意しておいて下さい。
- ネットワークとアプリケーションへの侵入テストが行われます。
ランダムテスト(抜き打ち検査): セキュリティレビューは一年間の有効期間をもちますが、その間もsalesforceは公開されたアプリケーションに対してランダムにテストを行う事ができる権利を有しますことをご了承下さい。ここでもし当初の要求から外れ、問題があるアプリケーションが見つかった場合には、パートナーに対して問題解決への通知を行い、ある程度の猶予期間を設けます。この期間内に問題を修正できなかった場合には、最悪AppExchangeの公開を取りやめる事もありますので予めご了承下さい。
4. レビュー結果: テストの結果によって、完全な承認、暫定的承認または却下される事があります。
- 完全な承認:
- 組織やアプリケーションに中度または重度のリスクや問題が無い状態
- 直ぐにAppExchangeサイトへアプリケーションを公開する事が可能
- Professional EditionからもWebサービスAPIが利用可能になるAPIトークンが提供
- 暫定的承認:
- 軽度または中程度のリスクや問題が発見されたが、それらは簡単に改修する事ができ、またそれがセールスフォース・ドットコムおよびお客様に対して大きな被害をもたらさない状態
- AppExchangeサイトにアプリケーションを公開する事が可能ですが、指定された時間までに該当の問題を修正しない場合はAppExhcangeサイトから除外される事となります
- Professional EditionからもWebサービスAPIが利用可能になるAPIトークンが提供
- 却下:
- テスト中に重度のリスクが見つかった状態
- 全ての問題を解決し、再度セキュリティレビューチームのレビューがあるまではAppExchangeサイトにアプリケーションを公開できません
- Professional EditionからもWebサービスAPIが利用可能になるAPIトークンは提供されない
リソース
- セキュリティレビューのコスト - アプリケーションのタイプによってセキュリティレビューのコストがどれぐらいかかるのかを理解できます。
- 必須条件チェックリスト - このチェックリストはセキュリティレビューの準備を助ける物です。アプリケーションがセキュリティレビューをパスするのには、これらの要求を満たしている必要があります。
- Apex及びVisualForceについてのセキュリティガイド － このドキュメントではForce.comプラットホームに関わるセキュリティリスクが概説されています。
- セキュリティレビューFAQ - セキュリティレビューに対してよくある質問をこのドキュメントに収集しました。セキュリティレビューにパスするためにどのような対策が必要であるか記載されていますので、ご参照されることをお勧めいたします。
- アプリケーション及びネットワークセキュリティ：ペネトレーションテストガイド - このドキュメントでは認定レビュー過程で行われるネットワーク及びアプリケーションペネトレーションテストの説明が記載されています。