Auditoría de Salesforce: The Setup Audit Trail y Field History Tracking

De manera predeterminada, Salesforce puede proporcionarte gran parte de la información que necesitas para pasar una SOX audit. Sin embargo, hay lagunas, y el proceso puede ser frustrante y llevar mucho tiempo. Antes de comenzar, es importante entender lo que puedes — y no puedes — hacer ya en tu Org.

En esta publicación, echamos un vistazo a dos de las principales herramientas de Salesforce para la preparación de la auditoría SOX audit prep — el Setup Audit Trail y el Field History Tracking.

Cumplimiento SOX: Qué está incluido

Antes de adentrarnos en las herramientas específicas que Salesforce ofrece para la preparación de auditorías, vale la pena revisar qué es exactamente lo que los auditores quieren ver. Desafortunadamente, no hay una respuesta clara para esto; solo ha sido en los últimos años que los auditores han comenzado a examinar más de cerca a Salesforce, y cada uno aportará un nivel diferente de familiaridad con la plataforma.

Con esa advertencia, lo que estamos viendo es un enfoque en tres cosas, y cómo pueden impactar potencialmente en el reconocimiento de ingresos:

• Acceso: Sus políticas sobre provisión, contraseñas, autenticación multifactor y cambios en usuarios, perfiles y conjuntos de permisos.
• Cambios en metadatos/configuración: Cómo sus equipos revisan y aprueban las solicitudes de cambio, y cómo esas aprobaciones se concilian con los cambios reales en el sistema.
• Cambios en los datos de configuración: Cómo rastrear los cambios de configuración en Objetos críticos vinculados a ingresos (generalmente en las aplicaciones de CPQ y Facturación)

El Registro de Auditoría de Configuración

Por qué nos gusta

El Setup Audit Trail de Salesforce es simple y directo: registra modificaciones en una amplia gama de tipos de cambios y los recopila en un archivo exportable que muestra qué cambio se realizó, quién hizo el cambio y cuándo se hizo. Realiza un seguimiento de los cambios en todo, desde la información de la empresa y la moneda hasta los detalles de perfiles y conjuntos de permisos; consulta la Salesforce Security Guide para ver la lista completa.

Una vez que haya generado su informe, puede filtrar los datos por Tipo y profundizar en los cambios que más preocupan a sus auditores.

Dónde está disponible

Salesforce Classic y Lightning Experience; Contact Manager, Essentials, Group, Professional, Enterprise, Performance, Unlimited, Developer y Database.com Editions

Dónde se queda corto

El Registro de Auditoría de Configuración le proporciona una cantidad bastante voluminosa de información, pero solo almacena esos datos durante 180 días. Esto significa que cualquier cambio que sus auditores quieran ver más allá de ese plazo sería inalcanzable. Esto deja a los equipos almacenando los datos en otro lugar, lo que a menudo plantea preguntas sobre su precisión por parte de los auditores.

El otro problema principal con el Setup Audit Trail es que, aunque muestra los cambios que ocurrieron en su Org, no muestra si fueron revisados o aprobados — detalles críticos para los auditores que querrán ver que los cambios sensibles siguieron un proceso apropiado.

Como resultado, los equipos de Salesforce tienen que reconciliar manualmente el Registro de Auditoría con las solicitudes y aprobaciones relevantes (que podrían estar en un sistema de tickets externo como Jira, en un correo electrónico, en un documento compartido, etc.) Es un proceso extremadamente laborioso que requiere recursos considerables en la preparación para una auditoría.

¿Qué más?

El Registro de Auditoría de Configuración hace un buen trabajo al capturar los cambios de configuración, pero aún así se pierde algunas cosas. Por ejemplo, no puede rastrear:

• Cambios en la vista de lista personalizada
• Cambios en los tipos de informe o criterios de filtro
• Creación de nuevo informe

En última instancia, estos no son necesariamente grandes brechas, pero si tus auditores quieren verlas, tendrás que confiar en algo más que el Setup Audit Trail.

Seguimiento del Historial de Campo

Por qué nos gusta

El seguimiento del historial de campos le permite seleccionar campos individuales en un objeto estándar o personalizado y rastrear automáticamente cualquier cambio dentro de ellos.

Una vez que haya seleccionado ciertos campos para rastrear, un registro de cualquier cambio se agregará a la lista relacionada de Historial, capturando la fecha y hora del cambio, quién lo hizo y otros detalles importantes. Y a menos que compre el complemento Field Audit Trail, esta información solo se conserva durante 18 meses a través de su Org, y hasta 24 meses si exporta a través de la API.

Dónde está disponible

Salesforce Classic (no disponible en todas las Orgs), Lightning Experience y la aplicación de Salesforce; Contact Manager, Essentials, Group, Professional, Enterprise, Performance, Unlimited, Developer y Database.com Editions (los objetos estándar no están disponibles en Database.com)

Dónde se queda corto

Similar al Registro de Auditoría de Configuración, los datos recopilados por el Seguimiento del Historial de Campos son tanto excesivos como insuficientes. Obtendrás mucha información, pero solo hasta cierto punto — un máximo de 20 campos pueden ser seleccionados por Objeto, y solo se recopilan 18 meses de datos (24 utilizando la API).

Además, el seguimiento del historial de campos solo registra los cambios desde el momento en que se activa en adelante, lo que puede ser un problema si no se toma el tiempo para determinar qué está dentro del alcance con anticipación.

¿Qué más?

El seguimiento del historial de campo no está disponible en todas las Organizaciones, ni en todos los Objetos. Además:

• Si un campo tiene más de 255 caracteres, los valores antiguos y nuevos no se registrarán
• Los cambios en los campos de tiempo tampoco se rastrean

La conclusión

Es completamente posible pasar una auditoría SOX utilizando las herramientas integradas de Salesforce. Pero dependiendo de las expectativas de tus Auditores, el proceso puede ser más difícil y llevar más tiempo del necesario. Las expectativas y demandas de los Auditores también están aumentando para la plataforma Salesforce. Cada vez más, estamos viendo que se requieren herramientas adicionales.

Hemos diseñado Netwrix Strongpoint para cerrar las brechas dejadas por el seguimiento del historial de campo y el registro de auditoría de configuración. Nuestros productos ofrecen un conjunto integral de compliance tools que rastrean e informan los cambios en el acceso de usuarios, metadatos y datos de configuración relacionados con ingresos en un registro detallado e inmutable. También contamos con integraciones desarrolladas para los principales sistemas de tickets para ayudar a automatizar la reconciliación de nuestros registros con las solicitudes de cambio originales donde comenzaron los cambios. Te proporcionamos varias herramientas para trabajar con estos datos y producir informes listos para auditoría que reducirán significativamente tanto tus costos como tus niveles de estrés.