Seguramente habrás escuchado la expresión “si funciona, no lo toques”. Es una máxima muy presente en el mundo de la informática, sin embargo, no debe aplicarse al 100%. La mayoría de los administradores de sistemas y los de Salesforce no están exentos, viven cada jornada laboral saturados de solicitudes por satisfacer. A través de múltiples configuraciones los administradores de Salesforce logran adaptar las organizaciones a las particularidades de cada empresa. Suele ocurrir que movidos por la urgencia de la satisfacción diaria de demandas críticas, durante estas personalizaciones pasan por alto las recomendaciones de seguridad. Es entonces cuando el sistema puede quedar expuesto a vulnerabilidades.
¿Con qué frecuencia te detienes a preguntarte cómo está la seguridad de tu organización? Tal vez mucho menos de lo que deberías. Independientemente de si eres un gerente de proyectos, consultor o administrador, el Health Check de tu organización te ofrece un panorama de todo aquello que, incluso funcionando, podrías tocar y mejorar.
En este artículo te acercaremos a Health Check y su importancia para tu organización.
¿Qué es el Health Check de Salesforce?
Health Check es una funcionalidad nativa de Salesforce mediante la cual puedes visualizar una evaluación detallada de la seguridad de tu implementación de Salesforce. Se ejecuta para identificar problemas, riesgos y vulnerabilidades en tus configuraciones y personalizaciones. Además, te brinda elementos para mejorar la protección general de tu organización.
Salesforce es una plataforma muy flexible y son muy comunes las personalizaciones. Con frecuencia, los usuarios implementan aplicaciones y hacen ajustes para que el sistema responda lo mejor posible a la forma de trabajo de su empresa. Es por esto que, tanto la plataforma como los usuarios, son responsables de garantizar la seguridad del entorno de trabajo. Health Check es una herramienta que brinda la información necesaria para identificar mecanismos de seguridad inactivos o configuraciones que pueden constituir vulnerabilidades. Esta información es muy útil para prevenir fallas de seguridad cuando se agregan a la organización aplicaciones y códigos de personalización.
Tan solo con un clic, a través Health Check, puedes ejecutar una evaluación profunda de todos tus ajustes de seguridad. Los parámetros de configuración serán comparados con los de la línea base (por defecto, valores estándar recomendados por Salesforce).
Al finalizar el análisis, en un panel se mostrará un puntaje en porciento que indica el estado de la seguridad de tu organización. Esta puntuación se expresa en una escala del 0 al 100, donde 100 es la configuración óptima.
En esta misma pantalla podrás visualizar el listado de todas las configuraciones examinadas, con su estado y la opción de ser editadas. En caso de que tengas un control total sobre el impacto que tiene cada valor de tu configuración, sobre personalizaciones, integraciones, usuarios, etc. podrás hacer clic en el botón Fix Risks y ajustar de una vez al valor de la línea base todas las configuraciones que constituyen un riesgo. Debes tener mucho cuidado con esta opción, porque puedes obtener resultados inesperados.
Como mencionamos anteriormente todas las comprobaciones de seguridad de una organización se realizan contra los valores de la línea base. En industrias como la médica y la financiera, los requisitos legales de seguridad generalmente son más estrictos que los que establece Salesforce por defecto. En estos casos la aplicación permite importar en formato XML una línea base personalizada.
¿Por qué es importante consultar el Health Check?
En internet ningún software está libre de amenazas. Los Saas como Salesforce son especialmente sensibles por la cantidad de información estratégica que contienen y los numerosos usuarios que pueden acceder a ella desde casi cualquier dispositivo. Consultar el Health Check te permite conocer cuan expuesta o protegida está tu organización ante amenazas comunes de seguridad como el hackeo online de contraseñas o la inyección de código malicioso.
Entre los aspectos de seguridad que se evalúan mediante un Health Check se incluyen:
- La protección a nivel de sesión en parámetros como el número máximo de intentos de inicio de sesión, el cierre cuando acabe el tiempo de espera, la restricción de sesiones a un dominio determinado y a una IP de origen.
- La protección a nivel de conexión se logra por dos vías. En primera instancia mediante el requerimiento de HttpOnly, para mitigar el riesgo en código del lado del cliente, que se ejecuta por medio de una cookie. En segundo lugar, mediante la verificación del estado de actualizacion de todos los certificados.
- Las políticas de seguridad para las contraseñas tales como la extensión, expiración y complejidad (el uso de la combinación de letras, números y caracteres especiales).
- Las políticas de seguridad para los contenidos, las cuales protegen a tu organización de ataques tipo XSS (Cross-site scripting o secuencias de comandos de sitio cruzadas).
- La protección de la ejecución del código tanto Apex como de páginas Visualforce contra la CSRF (Falsificación de solicitud entre sitios o Cross-Site Request Forgery), el XSS y el secuestro de clics.
Algunos de los beneficios de Salesforce Health Check son:
- Identifica configuraciones no óptimas que pueden afectar seguridad.
- Detecta potenciales vulnerabilidades.
- Brinda recomendaciones para mejorar la implementación de la seguridad.
- Revisa la aplicación de mejores prácticas para el uso de Salesforce.
Es importante que consultes el Health Check después de cada personalización y cambio de configuración que realices. Es recomendable que, cada vez que implementes cambios en tus políticas de seguridad, lances un reporte del estado antes y después. Constituye una buena práctica que guardes como parte de la documentación de tu entorno, los reportes que obtengas en cada ocasión. Así podrás mejorar significativamente tu nivel de seguridad.
En resumen, Salesforce Health Check es una herramienta útil para visualizar y corregir fácilmente vulnerabilidades de tu organización de Salesforce. Recuerda que incluso cuando funcione, la optimización y la mejora continua de tu implementación deben ser una meta de administración. Contáctanos a través de hello@theskyplanner.com si necesitas un diagnóstico del estado de la seguridad de tu implementación de Salesforce.
