Audit di Salesforce: il Setup Audit Trail e il Field History Tracking

Di base, Salesforce può fornirti molte delle informazioni di cui hai bisogno per superare un SOX audit. Tuttavia, ci sono lacune e il processo può essere frustrante e richiedere molto tempo. Prima di iniziare, è importante capire cosa puoi — e cosa non puoi — fare già nella tua Org.

In questo post, diamo uno sguardo a due dei principali strumenti Salesforce per la preparazione dell'audit SOX — il Setup Audit Trail e il Field History Tracking.

Conformità SOX: Cosa è incluso nel campo di applicazione

Prima di esaminare gli strumenti specifici che Salesforce offre per la preparazione degli audit, vale la pena rivedere cosa vogliono vedere esattamente gli auditor. Sfortunatamente, non c'è una risposta chiara a questo; solo negli ultimi anni gli auditor hanno iniziato a guardare più da vicino a Salesforce, e ognuno porterà un diverso livello di familiarità con la piattaforma.

Con questa premessa, ciò che stiamo osservando è un focus su tre aspetti e su come questi possano potenzialmente impattare il riconoscimento dei ricavi:

• Accesso: Le tue politiche relative alla fornitura, password, autenticazione a più fattori e modifiche agli utenti, profili e set di permessi.
• Modifiche ai metadati/configurazione: Come i vostri team riesaminano e approvano le richieste di modifica e come tali approvazioni vengono riconciliate con le modifiche reali nel sistema.
• Modifiche ai dati di configurazione: Come si tracciano le modifiche alla configurazione degli Oggetti critici legati al fatturato (solitamente nelle app CPQ e Fatturazione)

La Traccia di Verifica dell'Installazione

Perché ci piace

Il Setup Audit Trail di Salesforce è semplice e diretto: registra le modifiche a una vasta gamma di tipi di cambiamento e le raccoglie in un file esportabile che mostra quale modifica è stata apportata, chi l'ha effettuata e quando è stata fatta. Tiene traccia delle modifiche a tutto, dalle informazioni su azienda e valuta ai dettagli di profili e set di permessi — consulta la Salesforce Security Guide per l'elenco completo.

Una volta generato il tuo rapporto, puoi filtrare i dati per Tipo e approfondire le modifiche che maggiormente preoccupano i tuoi revisori.

Dove è disponibile

Salesforce Classic e Lightning Experience; Contact Manager, Essentials, Group, Professional, Enterprise, Performance, Unlimited, Developer e Database.com Editions

Dove presenta delle lacune

Il Setup Audit Trail fornisce una quantità piuttosto voluminosa di informazioni, ma conserva questi dati solo per 180 giorni. Ciò significa che qualsiasi modifica che i revisori desiderano vedere oltre tale lasso di tempo sarebbe irrecuperabile. Questo costringe i team a memorizzare i dati altrove – il che spesso solleva dubbi sulla loro accuratezza da parte dei revisori.

L'altro grande problema con il Setup Audit Trail è che, sebbene mostri i cambiamenti avvenuti nel tuo Org, non mostra se sono stati esaminati o approvati — dettagli critici per gli auditor che vorranno vedere che le modifiche sensibili hanno seguito un processo appropriato.

Di conseguenza, i team di Salesforce devono riconciliare manualmente l'Audit Trail con le richieste e le approvazioni pertinenti (che potrebbero trovarsi in un sistema di ticketing esterno come Jira, in un'email, in un documento condiviso, ecc.) È un processo estremamente dispendioso in termini di tempo che richiede notevoli risorse in preparazione di un audit.

Cos'altro?

L'Audit Trail di configurazione fa un buon lavoro nel catturare i cambiamenti di configurazione, ma ancora gli sfuggono alcune cose. Per esempio, non può tracciare:

• Modifiche alla visualizzazione personalizzata dell'elenco
• Modifiche ai tipi di Report o ai criteri di filtro
• Creazione di un nuovo report

In definitiva, questi non sono necessariamente grandi lacune, ma se i tuoi revisori vogliono vederle, dovrai affidarti a qualcosa diverso dal Setup Audit Trail.

Tracciamento della Cronologia dei Campi

Perché ci piace

Il tracciamento della cronologia dei campi consente di selezionare singoli campi in un Oggetto Standard o Personalizzato e di tracciare automaticamente qualsiasi modifica all'interno di essi.

Una volta selezionati determinati campi da monitorare, un registro di eventuali modifiche verrà aggiunto all'elenco correlato Storia, catturando la data e l'ora della modifica, chi l'ha effettuata e altri dettagli importanti. E a meno che non acquisti l'add-on Field Audit Trail, queste informazioni sono conservate solo per 18 mesi tramite la tua Org, e fino a 24 mesi se esporti tramite l'API.

Dove è disponibile

Salesforce Classic (non disponibile in tutti gli Orgs), Lightning Experience e l'app Salesforce; Contact Manager, Essentials, Group, Professional, Enterprise, Performance, Unlimited, Developer e Database.com Editions (gli oggetti standard non sono disponibili in Database.com)

Dove manca

Simile al Registro di Controllo dell'Installazione, i dati raccolti dal Tracciamento della Cronologia dei Campi sono sia troppi che insufficienti. Riceverai molte informazioni, ma solo fino a un certo punto — un massimo di 20 campi possono essere selezionati per Ogetto, e solo 18 mesi di dati (24 utilizzando l'API) vengono raccolti.

Inoltre, il Field History Tracking registra solo le modifiche a partire dal momento in cui viene attivato — il che può essere un problema se non si prende tempo per determinare preventivamente ciò che è incluso.

Cos'altro?

Il tracciamento della cronologia dei campi non è disponibile in tutte le organizzazioni o in tutti gli oggetti. Inoltre:

• Se un campo ha più di 255 caratteri, i valori vecchi e nuovi non verranno registrati
• Le modifiche ai campi temporali non vengono tracciate nemmeno

La conclusione

È del tutto possibile superare un audit SOX utilizzando gli strumenti integrati di Salesforce. Tuttavia, a seconda delle aspettative degli Auditor, il processo può essere più difficile e richiedere più tempo del necessario. Le aspettative e le richieste degli Auditor stanno anche aumentando per la piattaforma Salesforce. Sempre più spesso, vediamo che sono necessari strumenti aggiuntivi.

Abbiamo progettato Netwrix Strongpoint per colmare le lacune lasciate dal Field History Tracking e dal Setup Audit Trail. I nostri prodotti offrono un insieme completo di compliance tools che tracciano e riportano le modifiche all'accesso degli utenti, ai metadati e ai dati di configurazione relativi ai ricavi in un registro dettagliato e immutabile. Abbiamo anche integrazioni sviluppate per i principali sistemi di ticketing per aiutare ad automatizzare la riconciliazione dei nostri log con le richieste di modifica originali da cui sono iniziati i cambiamenti. Vi forniamo diversi strumenti per lavorare con questi dati e produrre report pronti per l'audit che ridurranno notevolmente sia i vostri costi che i livelli di stress.