概要
このページでは、Cariotの基盤となっているSalesforceのセキュリティ強化のための依頼事項についてまとめています。
目次
A. セキュリティ強化の背景
弊社では、「お客様に安心・安全にサービスをお使いいただくこと」を最重要事項として捉えており、日々のシステム運用およびセキュリティ体制の強化に努めております。
Cariotは、世界トップ水準の実績と堅牢性を誇る「Salesforce Platform」を基盤として利用しており、プラットフォーム自体は常に高い安全性を維持するよう努めています。しかしながら現在、AIの悪用による攻撃の高度化・複雑化に加え、人間の心理的な隙を突く「ソーシャルエンジニアリング」や「認証情報の窃取」など、これまでにないスピードでサイバー脅威が急速に高まっています。
このような高度化する外部の脅威から、お客様の大切なデータとCariotの安全な運用環境を守り抜くためには、基盤であるSalesforce Platform上での適切な設定と、実際にシステムをご利用になるユーザーの皆様による対策が極めて重要な鍵となります。
つきましては、Cariotを今後とも安心・安全に、かつ安定してご利用いただくため、大変お手数をおかけいたしますが、貴社のSalesforce環境において、セキュリティ対策の実施を強くお願い申し上げます。
B. お客様へのお願い事項
|
（ご注意） 本内容は全世界のSalesforce組織を対象とした必須の対応となります。期日までにご対応がない場合は、ログインができなくなるなどの重大な影響が発生する可能性がございます。 大変お手数をおかけしますが、余裕をもったご準備・ご対応をお願いいたします。 |
なお、本内容は2026年5月15日時点の情報をもとにしています。Salesforce社側の事情により、期限・内容が変更される場合があります。
| # | 内容 | 期限 | 対象 |
| ① | システム管理者ユーザーへのフィッシング耐性のあるMFA登録への変更 | 2026年6月19日 | システム管理者ユーザー |
| ② | モバイルアプリを最新版（v3.9.1以上）へアップグレード | 2026年6月19日 | モバイルアプリをご利用のお客様（ドライバー） |
| ③ | 全ユーザーへのMFA有効化 | 2026年7月17日 | すべてのお客様（すべてのユーザー） |
① システム管理者ユーザーへのフィッシング耐性のあるMFA登録への変更（期限：2026年6月19日）
以下のマニュアル記事を参考にシステム管理者の方はフィッシング耐性のあるMFAのご登録をお願いいたします。
※プロファイルが「Cariot管理者」「Cariotユーザー」「Cariotドライバー」となっているユーザーは対応不要です
手順：組み込みAuthenticatorの登録
② モバイルアプリを最新版へのアップグレード（期限：2026年6月19日）
Cariotモバイルアプリの最新バージョンへのアップグレードをお願いします。今回のセキュリティ要件を満たすためには、iOS 3.9.1以上 / Android 3.9.2以上が必要となります。
※モバイルアプリのセキュリティ強化により、スマートフォンのブラウザを使った認証が新しく追加されます。端末のアクセス制限（MDM管理）を行っている環境ではアプリへログインできなくなる可能性があるため、該当する場合は事前に、Cariotカスタマーサポート までご連絡ください。
③ 全ユーザーへのMFA有効化（期限：2026年7月17日）
以下のマニュアル記事を参考にシステム管理者を除くすべてのユーザー（Cariot管理者/Cariotユーザー、Cariotドライバー）でMFAのご登録をお願いいたします。
- パソコンからご利用の場合
- モバイルアプリをご利用の場合
また、SSO（シングルサインオン）を設定しているお客様は、同じく2026年7月17日までに、IdP側でMFAを適用するようにお願いいたします。
C. 通常利用に関する変更のご案内
今回のセキュリティ強化に伴い、一般的なご利用において以下の点が変更となります。
- システム管理者の方のMFAによるログイン方法が変わります。
- 適用時期：「① システム管理者ユーザーへのフィッシング耐性のあるMFA登録への変更」実施以降
-
レポートの表示・実行・エクスポートなどの操作時にID検証（MFA）が追加で要求される場合があります。レポート機能をご利用になる場合は、MFAを登録した端末やメールが受信できる環境がある状態でお願いいたします。
- 適用時期：2026年6月3日からお客様の組織ごとに段階的に適用
-
モバイルアプリに30日以上ログインしていない場合、再ログインが必要になることがあります。
- 適用時期：2026年6月22日以降
|
（アカウント凍結の可能性） 【万が一ユーザーが凍結された場合の対処法】
なお万が一、システム管理者ユーザーが全員凍結されてしまいログインできなくなった場合は、大変お手数ですがCariotカスタマーサポート窓口までお問い合わせください。 |
D. 補足事項（Salesforceからの要求事項に対する詳細）
下記のSalesforce公式記事に基づき、ご対応が必要になります。
2026年6月から開始される新しいセキュリティコントロール要件への準備
| ＃ | お客様への影響・対応の要否 | 詳細 |
| 多要素認証（MFA）の要求 | すべてのお客様で確認と対応が必要です。 | 「③ 全ユーザーへのMFA有効化（期限：2026年7月17日）」のご対応をお願いいたします。 |
| すべてのシステム管理者ユーザーのログイン認証にフィッシング耐性のMFAを採用していることを確認 | すべてのお客様で確認と対応が必要です。 | 「① システム管理者ユーザーへのフィッシング耐性のあるMFA登録への変更（期限：2026年6月19日）」のご対応をお願いいたします。 |
| プロファイルでのIPアドレスの制限 | お客様側での対応は任意です。 | |
| 大規模データエクスポートを制限するトランザクションセキュリティポリシー（TSP）の有効化 | お客様側での対応は不要です。 | |
| 匿名化プロキシおよび高リスクIPアドレスからの接続回避 | お客様側での対応は不要です。 |
下記のSalesforce公式記事に基づき、ご対応が必要になります。
Mandatory Security Updates for Connected Apps and ECAs（接続アプリケーションと外部クライアントアプリケーションに対する必須のセキュリティ更新）
Cariotモバイルアプリでは「接続アプリケーション」という仕組みを用いてモバイル端末とSalesforceを接続しています。今回の要求では接続アプリケーションに対するより厳しいセキュリティ設定が要求されたものであり、対応したモバイルアプリの新しいバージョンが必要になっているというのが背景です。
| ＃ | お客様への影響・対応の要否 | 詳細 |
| 接続アプリケーションに対する4つの設定の有効化： 1. PKCE(Proof Key for Code Exchange)の有効化 2. リフレッシュトークンローテーションの有効化 3. リフレッシュトークンのアイドルタイムアウトの有効化 4. リフレッシュトークンのIP許可リストの有効化 |
Cariotモバイルアプリをご利用中のすべてのお客様で確認と対応が必要です。 | 「② モバイルアプリを最新版へのアップグレード（期限：2026年6月19日）」のご対応をお願いいたします。 |