Sécurité des données Salesforce : réponses aux 3 principales questions de nos clients

Auteure: Laura Tooker

La protection des données d’une organisation et de ses clients peut avoir un impact direct sur ses opérations et sa réputation. C’est pourquoi certaines des questions les plus fréquentes que nous posent les clients à la recherche de solutions concernent les capacités et les pratiques de sécurité des données de Salesforce.

Si votre organisation recherche des solutions CRM, ce blog passera en revue les 3 principales questions de nos clients sur la sécurité des données et couvrira :

• Les certifications et les attestations de Salesforce.
• Des informations sur leur architecture de données et leur redondance.
• Leur plan de reprise après une perte ou une erreur, y compris la sauvegarde et la récupération des données.
• Des informations supplémentaires sur la sûreté globale des données.

Que sont les certifications et attestations de sécurité de Salesforce ?

Salesforce dispose d’un certain nombre de certifications et d’attestations de sécurité importantes et nous couvrirons celles qui nous sont le plus souvent posées dans cette section. Sivous recherchez plus d’informations, le lien ci-joint vous mènera à la page du site de Salesforce dédiée à la conformité et aux certifications.

Salesforce est certifié ISO 27001, 27017 et 27018 :

• Ils disposent d’une certification à jour de conformité aux exigences spécifiques en matière de sécurité de l’information et de gestion des risques ; et le respect des contrôles du code de pratique ISO/IEC 27002 pour les services cloud et la protection des informations personnelles.
  • ISO signifie l’Organisation internationale de normalisation, et ces certifications exigent le respect de normes de sécurité strictes.

Ils sont certifiés SOC 1, 2 et 3 :

• Ce qui signifie qu’ils ont des rapports de type II couvrant les contrôles internes des systèmes de rapports financiers, la sécurité, la disponibilité, l’intégrité, la confidentialité et la vie privée.
• Ils peuvent également fournir des rapports publics sur les contrôles de sécurité, de disponibilité, d’intégrité et de confidentialité.
  • SOC signifie Security and Operations Controls, et ces certifications signifient que Salesforce a mis en place des contrôles pour auditer tout ce qui est répertorié ci-dessus et prouver la conformité.

Salesforce est certifié CSA Star :

• Le registre STAR (sécurité, confiance, assurance et risque) est accessible au public et documente les contrôles de sécurité et de confidentialité du cloud computing ; les normes comprennent la transparence, un audit rigoureux et l’harmonisation des normes.
  • Cette certification améliore la transparence et les contrôles de sécurité qu’ils ont mis en place.

Qu’est-ce que l’architecture de données de Salesforce ?

Salesforce est une grande entreprise, avec de nombreux clients, et la ségrégation des données afin de maintenir l’intégrité des données est un gros problème. Les clients sont souvent curieux de savoir comment Salesforce stocke les données, comment il sépare les données d’un client de celles d’un autre et où exactement elles sont hébergées.

Salesforce est une plateforme basée sur le cloud qui utilise une architecture multi-locataire ou multi-locataire, avec des métadonnées et un partitionnement des données. Voici un bref résumé de l’article détaillé de Salesforce sur le sujet:

• La multi location signifie que l’architecture de la solution isole et prend en charge les exigences d’une variété d’utilisateurs (par exemple, les organisations, les unités commerciales, etc.).
• Les métadonnées font référence à des éléments tels que l’interface utilisateur et la logique métier spécifiques d’une organisation. Cela signifie que chaque locataire peut personnaliser l’application et les expériences utilisateur de sa solution particulière.
• Le partitionnement des données est ce qui permet aux données, aux métadonnées et aux structures de la plateforme (par exemple, les index de base de données sous-jacents) d’être partitionnés physiquement avec leur OrgID en utilisant des mécanismes de partitionnement de base de données natifs ; chaque organisation appartient principalement à une seule instance.

Il s’agit de la même méthode que des entreprises comme Microsoft, Google et Amazon utilisent. Pour les utilisateurs canadiens et américains de Salesforce, l’infrastructure cloud d’Amazon Web Services (AWS) est utilisée.

Nous aborderons le stockage et l’hébergement des données ci-dessous, car cela est étroitement lié à notre question suivante, mais le principal point à retenir ici est que les données d’une organisation sont hébergées d’une manière qui les rend complètement inaccessibles à d’autres individus ou organisations.

Salesforce dispose-t-il d’un plan de reprise après sinistre ?

Salesforce dispose d’un plan de récupération de données extrêmement complet, que vous trouverez ici. La façon dont ils stockent les données reflète les meilleures pratiques en matière de récupération de données, avec des copies séparées mais identiques pour sauvegarder les données (c’est-à-dire la redondance des données).

Pour les utilisateurs canadiens de Salesforce :

• L’organisation de chaque client est hébergée à partir d’un site principal et d’un site secondaire, avec une réplication en temps quasi réel (sauvegardes complètes basées sur le cloud) entre les deux sites.
• Les données d’un client individuel seront stockées dans deux centres de données co-localisés, l’un agissant comme emplacement principal et l’autre comme site secondaire entièrement contingent.
• Cette instance canadienne de nuage public permet de télécharger et d’héberger des renseignements personnels exclusivement au Canada — et a été évaluée par le gouvernement du Canada pour les processus et les contrôles de sécurité.

Pour les utilisateurs américains de Salesforce, leurs données sont stockées aux États-Unis, dans plusieurs centres de données géographiquement diversifiés.

• Les instances sont répliquées en temps quasi réel sur deux ou plusieurs zones de disponibilité dans des emplacements complètement séparés.
• Salesforce change régulièrement de site à des fins de maintenance, de conformité et de reprise après sinistre.
• Les certifications et la conformité spécifiques aux États-Unis peuvent être trouvées dans la partie certification et attestation de ce blog.

Pourquoi tout cela est-il important ? Des processus réduisent les coûts associés à la reprise après sinistre pour les organisations et offre des sauvegardes de données entièrement sécures pour les organisations.

Sécurité globale de Salesforce et sécurité des données

En ce qui concerne la sécurité globale des données, les données utilisateur de Salesforce sont encodées dans des cookies d’identification de session pour éviter d’être compromises, ils appliquent le MFA (authentification multi facteur), ont des indicateurs pratiques qui apparaissent si un utilisateur fait quelque chose qui pose un risque de sécurité, et adhérent à des normes élevées de sécurité et de protection des données sur l’ensemble de leurs produits.

Si vous souhaitez examiner un aspect de la solution Salesforce de votre organisation, si vous avez des questions sur Salesforce ou la sécurité de Salesforce que nous n’avons pas abordées dans ce blog, ou si vous avez besoin d’aide pour trouver la bonne solution pour votre organisation, contactez-nous.