Salesforce Security Health Check — przewodnik

Przegląd stanu Salesforce może nie być zadaniem, na które zespoły czekają z niecierpliwością, ale zdecydowanie warto go przeprowadzić, zanim użytkownicy zaczną narzekać, a problemy utrudnią pracę. W Salesforce nawet drobne usterki mogą stopniowo podważać zaufanie do całego systemu — błąd po błędzie.

Wbudowane narzędzie Salesforce do oceny stanu zabezpieczeń pozwala administratorom wstępnie ocenić konfigurację zabezpieczeń, porównując wybrane ustawienia ze standardowym lub niestandardowym wzorcem. Jednak ten wynik procentowy pokazuje tylko część obrazu.

Wyjaśnimy tutaj, jak przeprowadzić kontrolę, ustalić, które wykryte problemy rzeczywiście wymagają uwagi, wprowadzać zmiany bez blokowania użytkowników czy zakłócania działania integracji oraz zdecydować, kiedy potrzebny jest szerszy przegląd środowiska Salesforce obejmujący dane, dostęp, automatyzację, kod, licencje, wydajność, integracje, kopie zapasowe i odtwarzanie.

Czym jest przegląd stanu Salesforce?

Salesforce Health Check to strona zabezpieczeń w Setup, która porównuje bieżące ustawienia organizacji ze standardem Salesforce lub własnym standardem opracowanym zgodnie z polityką firmy. Zwraca wynik na 100 punktów i wskazuje ustawienia najbardziej odbiegające od wybranego standardu. 

Luki o wyższym poziomie ryzyka mają większą wagę, więc jedno słabe zabezpieczenie sesji może obniżyć wynik bardziej niż kilka drobniejszych problemów.

Narzędzie sprawdza reguły dotyczące haseł, ustawienia sesji, mechanizmy kontroli logowania, zaufane zakresy adresów IP, ochronę przed clickjackingiem oraz wybrane ustawienia certyfikatów lub tokenów. Salesforce wprowadza również kontrole obejmujące MFA, SAML, wymuszone zakończenie sesji po zresetowaniu hasła oraz odsetek aktywnych użytkowników wewnętrznych z przypisanym profilem System Administrator. Te nowsze kontrole nie pojawią się we wszystkich środowiskach jednocześnie, ale warto wziąć je pod uwagę.

Niejasności zaczynają się od nazewnictwa. Osoby szukające wskazówek dotyczących przeglądu stanu Salesforce często trafiają na dwie bardzo różne usługi opisywane tak, jakby były tym samym.

Salesforce Security Health Check zazwyczaj oznacza wbudowaną funkcję dostępną w Setup. Przegląd stanu środowiska Salesforce to szersze przedsięwzięcie. Może w nim uczestniczyć certyfikowany partner Salesforce, a jego zakres obejmuje architekturę, uprawnienia, jakość danych, Flow i Apex, integracje, licencje, przestrzeń dyskową, wydajność, kopie zapasowe, raportowanie oraz to, czy użytkownicy nadal prawidłowo korzystają z CRM.

Dlaczego regularne przeglądy stanu Salesforce są ważne

Salesforce rzadko staje się trudny w utrzymaniu z powodu jednego fatalnego wydania. Prowadzą do tego kolejne decyzje, które z pozoru wydają się rozsądne. Menedżer potrzebuje dostępu na dwa tygodnie. Integracja otrzymuje dedykowane konto użytkownika. Ktoś instaluje pakiet na potrzeby pilotażu. Ktoś kopiuje Flow, bo edytowanie oryginału wydaje się ryzykowne. Potem nikt już do tego nie wraca.

Regularna analiza raportu z przeglądu stanu Salesforce pozwala wychwycić takie pozostałości:

Łatwo nie docenić znaczenia ostatniego wiersza. Badanie Salesforce „2026 State of Data and Analytics” wykazało, że liderzy odpowiedzialni za dane uznają 26% danych w swoich organizacjach za niewiarygodne. Z kolei 84% stwierdziło, że ich strategie dotyczące danych wymagają poważnych zmian, zanim plany związane z AI będą mogły zakończyć się sukcesem.

Celem regularnego przeglądu stanu Salesforce jest wykrycie konta, które należało zamknąć, procesu Flow uruchamiającego się dwukrotnie lub pola zniekształcającego raport dla zarządu. Ogranicza to ryzyko ujawnienia danych, zapewnia zespołom ds. zgodności lepszą dokumentację, zwiększa stabilność kolejnych wydań i pomaga użytkownikom zaufać Salesforce na tyle, by przestali odtwarzać jego funkcje w arkuszach kalkulacyjnych.

Jak przeprowadzić kontrolę zabezpieczeń Salesforce za pomocą Health Check

Salesforce udostępnia swoje wbudowane narzędzie Health Check w Setup. Każdy administrator z odpowiednimi uprawnieniami może uzyskać do niego dostęp bez instalowania czegokolwiek. Otwarcie strony jest proste. Więcej namysłu wymaga ocena, czy zastosowanie zalecenia nie zakłóci działania SSO, nie zablokuje użytkownika lub nie wyłączy integracji.

Nie skupiaj się wyłącznie na pytaniu „ile trwa przegląd stanu Salesforce” — postępuj według właściwej procedury.

Przekształć wynik w plan naprawczy

Skorzystaj z audytu Salesforce, który powiąże wykryte problemy z zabezpieczeniami z ryzykiem biznesowym, zależnościami, osobami odpowiedzialnymi i pracami potrzebnymi do ich bezpiecznego rozwiązania.

Zacznij już dziś

Krok 1. Otwórz Health Check w Salesforce Setup

Przejdź następującą ścieżką:

Setup → Quick Find → Health Check

Pulpit pokazuje bieżący wynik, odpowiadającą mu ocenę, wybrany wzorzec oraz ustalenia pogrupowane według poziomu ryzyka. Każdy wiersz porównuje bieżącą wartość w środowisku z wartością wymaganą przez ten wzorzec, dzięki czemu administratorzy nie muszą przeszukiwać kilku menu w Setup, by dowiedzieć się, gdzie występują luki.

Wbudowane narzędzie do kontroli zabezpieczeń Salesforce nie wymaga zewnętrznej aplikacji. Aby przeglądać stronę i eksportować wzorzec, użytkownicy potrzebują uprawnienia View Health Check lub odpowiedniego dostępu w Security Center. Importowanie niestandardowego wzorca wymaga uprawnienia Manage Health Check lub odpowiednich uprawnień w Security Center. 

Dostępne są również cotygodniowe alerty o spadku wyniku. Salesforce włączył je domyślnie dla administratorów systemowych środowisk produkcyjnych 15 kwietnia 2026 r. i pozwala zespołom dodać nawet 100 odbiorców. Korzystaj z monitorowanej skrzynki zespołu ds. bezpieczeństwa lub administratorów, aby ostrzeżenie nie czekało przez tydzień w skrzynce osoby przebywającej na urlopie.

Krok 2. Wybierz odpowiedni wzorzec zabezpieczeń

Salesforce daje dwie możliwości:

• 

  Salesforce Baseline Standard: wartości i kategorie ryzyka zalecane przez Salesforce. 

• 

  Niestandardowy wzorzec: zatwierdzony standard firmowy odzwierciedlający wewnętrzną politykę, wymagania umowne lub poziom ryzyka, który firma zgodziła się zaakceptować. 

Bank może potrzebować wzorca uwzględniającego mechanizmy kontroli stosowane w sektorze finansowym. Salesforce pozwala utworzyć maksymalnie pięć niestandardowych wzorców. Każdy z nich powstaje na podstawie wyeksportowanej kopii standardowego wzorca, musi zachować wszystkie istniejące ustawienia Health Check i nie może przekraczać 20 KB.

Firma z sektora ochrony zdrowia może ustalić bardziej rygorystyczne reguły dotyczące sesji lub dostępu, ponieważ pracownicy przetwarzają wrażliwe informacje o pacjentach. Taki niestandardowy standard powinien wynikać z rzetelnej dyskusji o polityce firmy z udziałem osób odpowiedzialnych za Salesforce, IT, bezpieczeństwo i zgodność. Jeśli masz wątpliwości, partner konsultingowy Salesforce, taki jak Routine Automation, może przeprowadzić Cię przez najlepsze praktyki przeglądu stanu Salesforce.

Krok 3. Przeanalizuj wynik Salesforce Health Check

Wynik Salesforce Health Check pokaże, w jakim stopniu bieżące ustawienia odpowiadają wybranemu wzorcowi, dzieląc je na kategorie wysokiego, średniego i niskiego ryzyka. Dostępne są też ustalenia o charakterze informacyjnym, ale nie wpływają one na wynik.

Oficjalne oceny to:

Idealny wynik dowodzi jedynie, że każde uwzględnione ustawienie odpowiada wybranemu wzorcowi. W środowisku nadal mogą występować błędne dane, niejasne reguły dostępu, zawodne procesy Flow i plan odtwarzania, którego nikt nie przetestował. Zanim zaczniesz świętować wynik 92%, przeanalizuj luki. Jeden poważny problem z zabezpieczeniem sesji może przeważyć nad całym ekranem drobniejszych kontroli zakończonych pomyślnie. Salesforce zmienia też wskaźniki uwzględniane w obliczeniach, co może zmienić wynik po wydaniu nowej wersji, nawet jeśli żaden administrator nie zmienił ustawień.

Krok 4. Nadaj priorytet problemom wysokiego ryzyka

W pierwszej kolejności przeanalizuj wynik kontroli Salesforce dla kategorii High-Risk, zwłaszcza ustalenia dotyczące:

Zanim ktokolwiek zmieni ustawienie, prześledź jego zależności i skutki zmiany. Sprawdź, kto z niego korzysta, które systemy się do niego odwołują i czy następny poranek nie zacznie się od zablokowanych kont lub nieudanych zadań.

Ograniczenie sesji może wpłynąć na pracowników zdalnych. Polityka logowania może zakłócić działanie SSO. Zaostrzenie mechanizmu kontroli związanego z API może zatrzymać synchronizację z ERP lub nocne zadanie rozliczeniowe. Health Check uwzględnia teraz wskaźnik oparty na odsetku aktywnych użytkowników wewnętrznych z przypisanym profilem System Administrator, ale nadal nie wskaże, który konkretny administrator ma dostęp, którego w rzeczywistości nie potrzebuje. Wymaga to osobnego przeglądu uprawnień. 

Krok 5. Usuń zagrożenia ręcznie lub za pomocą wbudowanego narzędzia

Narzędzia do kontroli stanu Salesforce dają administratorom dwie możliwości:

• 

  Użyj Edit, aby otworzyć odpowiednią stronę w Setup i zmienić jedno ustawienie. 

• 

  Użyj Fix Risks, aby zastosować obsługiwane wartości z wybranego wzorca bez opuszczania Health Check. 

Fix Risks to przydatna funkcja, ale korzystaj z niej ostrożnie.

Zanim wprowadzisz istotne zmiany, sprawdź:

Niektórych wykrytych problemów nie da się usunąć za pomocą wbudowanego przycisku i wymagają one ręcznej analizy. Niezależnie od wybranej ścieżki w miarę możliwości testuj istotne zmiany w reprezentatywnym środowisku sandbox. Najpierw zapisz bieżące ustawienie, wykonaj odpowiednią kopię zapasową danych i metadanych, a po wdrożeniu ponownie sprawdź działanie kont użytkowników i integracji. Kopia zapasowa pomaga w przywracaniu stanu sprzed zmiany, ale nie zastąpi właściwego planu jej wycofania.

Krok 6. Udokumentuj wyniki i plan działań

Po przeprowadzeniu Salesforce Health Check zespół powinien dysponować czymś więcej niż wynikiem procentowym i zrzutem ekranu. Zapisz:

Dobry raport z Salesforce Health Check zawiera konkretne uzasadnienia. Dokumentuje, dlaczego zespół zmienił jedno ustawienie, odłożył zmianę innego i zaakceptował trzecie. Pozwala to uniknąć wielu domysłów podczas kontroli zgodności z wymogami, przekazywania obowiązków administratora i późniejszych przeglądów.

Jak interpretować raport z Salesforce Health Check

Wynik kontroli Health Check udostępniany przez Salesforce powinien wskazywać, co wykrył Salesforce, dlaczego ma to znaczenie i co należy zrobić dalej. Zacznij od pięciu informacji w wynikach wbudowanego narzędzia:

Techniczne sformułowania mogą sprawiać, że wykryty problem wydaje się mniej istotny, niż jest w rzeczywistości. Zbyt łagodne ustawienie limitu czasu sesji może pozostawiać uwierzytelnioną sesję bez nadzoru otwartą dłużej, niż pozwalają na to zasady firmy. Ma to znaczenie na współdzielonych komputerach, zgubionych urządzeniach i komputerach znajdujących się w miejscach publicznych.

Podziel wykryte problemy na trzy kategorie działań:

Wyniki wbudowanego narzędzia nie przypiszą osób odpowiedzialnych, nie oszacują kosztów, nie określą zależności biznesowych ani nie ustalą kolejności działań naprawczych. Dlatego gotowy raport musi być czymś więcej niż zrzutem ekranu z zakreślonym wynikiem u góry.

Czego nie obejmuje wbudowane narzędzie Salesforce Health Check

Wbudowane narzędzie Security Health Check udostępniane przez Salesforce jest przydatne, ale ma wąski zakres działania. Porównuje wybrane ustawienia bezpieczeństwa ze wzorcem odniesienia. Wysoki wynik nie dowodzi, że instancja Salesforce jest dobrze zaprojektowana, łatwa w utrzymaniu, działa bezproblemowo, rozsądnie wykorzystuje licencje ani że jest gotowa na kolejnych kilkuset użytkowników.

Wiele kwestii może pozostawać poza tym wynikiem procentowym:

Workflow Rules i Process Builder to dobry przykład ostrzegawczy. Salesforce zakończył ich wsparcie 31 grudnia 2025 r., jednak stare procesy mogą nadal działać w środowisku produkcyjnym. Health Check nie poinformuje Cię, że kluczowy proces zatwierdzania nadal zależy od automatyzacji, której nikt ostatnio nie testował i której nikt nie czuje się pewnie zmieniać.

Gdy pojawiają się takie pytania, praca wykracza już poza panel bezpieczeństwa. Potrzebny jest szerszy audyt samej instancji Salesforce, co może oznaczać rozpoczęcie poszukiwań najlepszych firm konsultingowych Salesforce.

Co powinien obejmować kompleksowy przegląd stanu instancji Salesforce

Przegląd stanu Salesforce zwykle zaczyna się od poczucia, że coś jest nie tak. Być może raporty wyglądają na błędne, wdrożenia trwają zbyt długo albo nikt nie wie, kto odpowiada za integrację. Pełny przegląd podąża za tymi sygnałami, obejmując uprawnienia, dane, automatyzację, koszty i wydajność.

W rozbudowanych ekosystemach integracji warto rozważyć najlepsze usługi integracji Salesforce, aby ustalić, czy rozwiązanie problemu wymaga zmian konfiguracji, oprogramowania pośredniczącego czy przebudowy. Zainstalowane produkty zasługują na równie wnikliwą analizę.

Narzędzia do oceny kondycji środowiska Salesforce

Warto zaznaczyć, że nie ma jednego narzędzia do oceny kondycji Salesforce, które powie, czy całe środowisko jest bezpieczne, szybkie, niedrogie, możliwe do odtworzenia i wygodne w utrzymaniu. Każde rozwiązanie wychwytuje inny rodzaj problemów. Praktyczna wartość pojawia się wtedy, gdy połączymy zebrane dowody, a następnie odniesiemy je do tego, jak firma faktycznie działa.

Wcześniej dostępny był również Salesforce Optimizer, ale Salesforce wycofał go 1 czerwca 2026 roku, po wcześniejszym usunięciu go ze środowisk Hyperforce i środowisk niekorzystających z Hyperforce.  

Security Center Essentials jest bezpłatny we wszystkich edycjach Salesforce i przechowuje historię Health Check z 30 dni. Scale Center jest również bezpłatny w obsługiwanych środowiskach produkcyjnych i pełnych środowiskach sandbox dla klientów Professional, Enterprise, Unlimited, Signature i Scale Test. 

Jeśli współpracujesz z partnerem takim jak Routine Automation w zakresie usług wdrażania Salesforce, może on pomóc w wyborze odpowiednich narzędzi do oceny kondycji Salesforce. RA nie sprzedaje własnego skanera, ale może dobrać odpowiednie narzędzia, uzupełnić je o ręczne kontrole, których te narzędzia nie potrafią przeprowadzić, i przekształcić ustalenia w plan możliwy do wykorzystania w praktyce.

Jak często przeprowadzać ocenę kondycji Salesforce?

Sprawdzaj wbudowaną stronę kontroli bezpieczeństwa co miesiąc lub co kwartał. Szerszy przegląd środowiska przeprowadzaj co najmniej raz w roku, jeśli konfiguracja jest stabilna, i skracaj ten odstęp, gdy Salesforce szybko się zmienia lub wiąże się z większym ryzykiem. Warto też rozważyć dodatkowe kontrole po dodaniu do systemu najlepszych aplikacji Salesforce.

Te terminy nie są zasadami Salesforce. To praktyczne odstępy między kontrolami. Właściwa częstotliwość zależy od liczby wdrażanych zmian, niestandardowego kodu, połączonych systemów, wymogów zgodności, rotacji pracowników i tego, jak dotkliwie firma odczułaby nieprawidłowe działanie Salesforce.

Dobre praktyki oceny kondycji Salesforce obejmują również przeglądy wywoływane konkretnymi zdarzeniami. Coroczne przypomnienie w kalendarzu niewiele pomoże, jeśli trzy tygodnie później nowe połączenie z ERP, przejęcie firmy, przebudowa uprawnień lub masowa migracja zmienią środowisko.

Czy można samodzielnie przeprowadzić ocenę kondycji Salesforce?

Do przeprowadzenia kontroli wbudowanym narzędziem nie jest potrzebny zewnętrzny usługodawca. Administrator Salesforce z odpowiednimi uprawnieniami może otworzyć pulpit, sprawdzić wynik, porównać bieżące ustawienia z konfiguracją bazową, rozwiązać problemy o ograniczonym zakresie i udokumentować rezultat.

Wewnętrzny administrator zwykle może zająć się następującymi zadaniami:

Praca staje się trudniejsza, gdy analiza wyniku prowadzi do pozostałych obszarów środowiska. Rozbudowany kod Apex, kilka rozwiązań chmurowych Salesforce, wiele środowisk, dziesiątki integracji lub rygorystyczne wymogi zgodności wymagają zaangażowania w przegląd większej liczby osób. To samo dotyczy sytuacji, w której nikt nie odpowiada za całą architekturę lub poprawka bezpieczeństwa mogłaby zakłócić SSO, rozliczenia, obsługę klienta albo inny krytyczny proces.

Znaczenie ma również czas. Kompetentny administrator może dokładnie wiedzieć, co należy sprawdzić, a mimo to nie mieć czasu na przeanalizowanie uprawnień, wersji Flow, dzienników integracji i porzuconych pakietów nagromadzonych przez lata.

Pomoc z zewnątrz nie jest obowiązkowa, ale wsparcie konsultanta oferującego usługi oceny kondycji Salesforce może się przydać, gdy ryzyko, nakład pracy lub stopień złożoności technicznej przekraczają możliwości, z którymi wewnętrzny zespół może bezpiecznie sobie poradzić.

Czego oczekiwać od usług oceny kondycji Salesforce

Profesjonalne usługi oceny kondycji Salesforce powinny zapewniać więcej niż automatycznie wyliczony wynik i długi wyeksportowany wykaz ostrzeżeń. Ustalenia muszą odnosić się do rzeczywistych przepływów pracy, konkretnych osób odpowiedzialnych, zależności technicznych i planu naprawczego, który firma może sfinansować i uwzględnić w harmonogramie.

Standardowe zlecenie powinno obejmować cztery etapy:

Warto też wiedzieć, kto przeprowadza przegląd środowiska, jak chronione są eksportowane materiały dowodowe i jakie dokładnie raporty otrzymasz.

Jak wygląda ocena kondycji środowiska Salesforce w Routine Automation

Firmy takie jak Routine Automation przeprowadzają kontrole bezpieczeństwa w Salesforce, a szerszy przegląd środowiska odbywa się według starannie zaplanowanego procesu, krok po kroku. Zespół łączy diagnostykę Salesforce z ręczną analizą i rozmowami z osobami, które wiedzą, gdzie CRM sprawia problemy.

Przegląd obejmuje siedem etapów:

1. Określenie przedmiotu przeglądu: Potwierdzenie problemu biznesowego, objętych przeglądem środowisk, kluczowych procesów, znanych zagrożeń i prac już uwzględnionych w planie działań. 

2. Wysłuchanie osób korzystających z Salesforce: Rozmowy z administratorami, programistami, zespołami IT i bezpieczeństwa, kierownikami działów oraz osobami korzystającymi z systemu na co dzień. 

3. Rozłożenie środowiska na czynniki pierwsze: Analiza zabezpieczeń, uprawnień, rekordów, architektury, automatyzacji, kodu, integracji, przestrzeni dyskowej, pakietów, licencji i raportowania. 

4. Ustalenie, co ma znaczenie: Oddzielenie nieszkodliwego nieporządku od problemów, które narażają dane, obniżają jakość raportów, opóźniają pracę, podnoszą koszty lub zagrażają wdrażaniu nowych wersji.

5. Przygotowanie raportu z oceny kondycji Salesforce: Dodanie dowodów, osób odpowiedzialnych, zależności, szacunków nakładu pracy, priorytetów i zalecanych działań. 

6. Zaplanowanie poprawek: Oddzielenie pilnych napraw od porządkowania, zmian w kodzie, prac nad architekturą i zarządzania środowiskiem. 

7. Dalsze wsparcie przy naprawach: Routine Automation może zająć się konfiguracją, programowaniem, testowaniem, wdrożeniem i późniejszymi przeglądami, gdy będzie to potrzebne.

Celem nie jest lepszy wynik we wbudowanym narzędziu. Chodzi o środowisko, które chroni właściwe dane, wspiera obecny sposób działania firmy i pozwala wprowadzać zmiany bez zamieniania każdego wdrożenia w wykopaliska archeologiczne.

Zadbaj o kondycję swojej strategii Salesforce

Warto uwzględnić Salesforce Health Check w rutynowych zadaniach administratora. Szybko wykrywa słabe ustawienia zabezpieczeń i daje zespołowi konkretny punkt wyjścia do analizy. Nie pozwól jednak, by wynik 95% zakończył rozmowę.

Ten procent mówi bardzo niewiele o zduplikowanych rekordach, starym kodzie Apex, kolidujących ze sobą automatyzacjach Flow, problemach z przekazywaniem zadań, marnowanych licencjach czy raportach, którym użytkownicy przestali ufać wiele miesięcy temu. Korzystaj z wbudowanego narzędzia do regularnego monitorowania, a następnie zorganizuj dogłębny przegląd, gdy środowisko zostanie mocno dostosowane, połączone z krytycznymi systemami lub wprowadzanie w nim zmian zacznie wywoływać zaskakująco duży stres. To ostatnie zwykle zdradza problem.

Routine Automation może pomóc w szerszym przeglądzie, a następnie kontynuować współpracę przy warsztatach, planowaniu technicznym, testowaniu i dalszych pracach w Salesforce.