Skydd från grunden

Zendesk placerar tjänstdata huvudsakligen i AWS-datacenter som har certifierats enligt ISO 27001, PCI DSS Service Provider Level 1 och/eller SOC 2. Läs mer om efterlevnad på AWS.

AWS infrastrukturtjänster är exempelvis reservkraft, VVS-system och brandsläckningsutrustning som skyddar servrarna och i slutänden dina data. Läs mer om datacenterkontroller på AWS.

I AWS lokala säkerhet ingår ett antal funktioner som säkerhetsvakter, avgränsningar, säkerhetsfeeds, intrångsidentifieringsteknik och andra säkerhetsåtgärder. Läs mer om AWS fysiska säkerhet.

Zendesk använder AWS-datacenter i USA, Europa och Asien och Stillahavsområdet. Läs mer om värdplatser för Zendesk-tjänsters data.

Zendesk erbjuder flera alternativ för datalagring, bland annat USA (US), Australien (AU), Japan (JP) eller Europeiska ekonomiska samarbetsområdet (EEA). För mer information om produkter, planer och regionala erbjudanden se vår policy om regionala värdplatser.

Vårt globalt distribuerade säkerhetsteam är tillgängligt dygnet runt, alla dagar för att hantera varningar och händelser som rör säkerheten.

Vårt nätverk är skyddat genom användningen av AWS-säkerhetstjänster, integration med våra kantskyddsnätverkt Cloudflare, regelbundna granskningar och nätverksintelligenstekniker som övervakar och blockerar känd skadlig trafik och nätverksattacker.

Vår arkitektur för nätverkssäkerhet består av flera säkerhetszoner. Känsligare system som databasservrar skyddas i våra mest betrodda zoner. Andra system är placerade i zoner som står i proportion till deras känslighet, beroende på funktion, informationsklassificering och risk. Beroende på zon används ytterligare säkerhetsövervakning och åtkomstkontroller. DMZ används mellan internet och internt mellan de olika tillförlitlighetszonerna.

Skanning av nätverkssäkerheten ger oss omfattande insikter för snabb identifiering av system som saknar efterlevnad eller är potentiellt sårbara.

Utöver omfattande interna skanningar och testprogram anlitar Zendesk varje år säkerhetsexperter från tredje part för att genomföra ett brett penetrationstest i Zendesks produktions- och företagsnätverk.

Vårt SIEM-system (Security Incident Event Management) samlar in omfattande loggar från viktiga nätverksenheter och vårdsystem. SIEM varnar vid utlösare baserade på korrelerade händelser och meddelar säkerhetsteamet för undersökning och åtgärder.

In- och utgångspunkterna till tjänsten är utrustade med mätinstrument och övervakas för att identifiera onormalt beteende. Systemen är konfigurerade för att generera varningar när incidenter och värden överstiger förutbestämda tröskar och använder regelbundet uppdaterade signaturer baserade på nya hot. Här ingår också systemövervakning dygnet runt, alla dagar.

Zendesk deltar i flera program för delning av hotinformation. Vi övervakar hot som publiceras i de här hotinformationsnätverken och vidtar åtgärder baserat på risk.

Zendesk har utformat en flerskiktad metod för DDoS-reducering. Ett teknikpartnerskap med Cloudflare ger skydd för nätverkskanterna och användningen AWS verktyg för skalning och skydd ger ett djupare skydd tillsammans med användningen av AWS DDoS-specifika tjänster.

Åtkomsten till Zendesks produktionsnätverk är uttryckligen begränsad till need-to-know, använder lägsta behörighet, granskas och övervakas ofta och kontrolleras av vårt Operations Team. Medarbetare som använder Zendesks produktionsnätverk måste använda flera autentiseringsfaktorer.

Vid systemvarningar eskaleras händelserna till våra drift-, nätverksteknik- och säkerhetsteam som arbetar dygnet runt, alla dagar. Medarbetarna är utbildade i processerna för säkerhetsincidentrespons, inklusive kommunikationskanaler och eskaleringsvägar.

All kommunikation med Zendesks användargränssnitt och API:er krypteras enligt branschsstandarden HTTPS/TLS (TLS 1.2 eller senare) via publika nätverk. På så sätt säkerställs att all trafik mellan dig och Zendesk är säker under transit. För e-post använder vår produkt opportunistisk TLS som standard. TLS (Transport Layer Security) krypterar och levererar e-post säkert och reducerar tjuvlyssning mellan e-postservrar där peer-tjänster stöder det här protokollet. Undantag från kryptering kan vara användning av sms-funktionen i en produkt, tredjpartsappar, integration och tjänster som abonnenter kan välja att använda på egen risk.

Tjänstdata krypteras i vila i AWS med AES-256-kryptering.

Zendesk har en offentligt tillgänglig webbsida med systemstatus med bland annat information om systemtillgänglighet, planerat underhåll, historik över serviceincidenter och relevanta säkerhetshändelser.

Zendesk använder tjänstkluster och nätverksredundans för att undvika systemkritiska felpunkter. Vår strikta säkerhetskopiering och/eller vår tjänst Förbättrad katastrofåterställning gör att vi kan erbjuda mycket tillgängliga tjänster, eftersom tjänstdata replikeras i flera tillgänglighetszoner.

Vårt program för katastrofåterställning (DR, Disaster Recovery) säkerställer att våra tjänster förblir tillgängliga och är enkla att återställa i händelse av en katastrof.

Vi uppnår det genom att bygga en robust teknisk miljö, utforma katastrofåterställningsplaner och testa aktiviteter.

Med vårt paket Förbättrad katastrofåterställning får man avtalade mål för längsta tid för återställning (RTO) och längsta tid för dataförlust (RPO). Målen stöds genom att vi prioriterar driften för Förbättrad katastrofåterställning-kunder under en katastrofhändelse.

Zendesk använder moderna och säkra ramverk med öppen källkod och säkerhetskontroller för att begränsa exponeringen för OWASP Top 10-säkerhetsriskerna. De inbyggda kontrollerna minskar exponeringen för bland annat SQL Injection (SQLi), Cross Site Scripting (XSS) och Cross Site Request Forgery (CSRF).

Vår kvalitetssäkringsavdelning (QA) granskar och testar vår kodbas. Särskilda programsäkerhetstekniker identifierar, testar och sorterar sårbarheter i koden.

Test- och stagingmiljöer är logiskt separerade från produktionsmiljön. Inga tjänstdata används i våra utvecklings- eller testmiljöer.

Vi använder tredjeparts säkerhetsverktyg för att kontinuerligt och dynamiskt söka igenom våra centrala program på jakt efter vanliga säkerhetsrisker för webbprogram, inklusive men inte begränsat till de tio främsta säkerhetsriskerna på OWASP-listan. Vi har ett dedikerat internt produktsäkerhetsteam som testar och samarbetar med teknikteamen för att åtgärda alla problem som upptäcks.

Vi söker igenom de bibliotek och beroenden som används i våra produkter för att upptäcka sårbarheter och se till att sårbarheterna hanteras.

Utöver de interna skannings- och testningsprogrammen anlitar Zendesk säkerhetsexperter från tredje part för att utföra detaljerade penetrationstester på olika program i vår produktfamilj.

Med vårt program för ansvarsfullt avslöjande kan säkerhetsforskare och kunder på ett säkert sätt testa och meddela Zendesk om sårbarheter via vårt partnerskap med HackerOne.

Zendesk erbjuder flera autentiseringsalternativ: Kunder kan aktivera Zendesks inbyggda autentisering, använda enkel inloggning via sociala medier (SSO), (Facebook, Twitter, Google) och eller enkel företagsinloggning (SSO) (SAML, JWT) för autentisering av slutanvändare och/eller medarbetare. Läs mer om användaråtkomst.

Zendesks inbyggda autentisering för produkter är tillgänglig via administratörscentret och har följande nivåer av lösenordssäkerhet: låg, medium och hög. Den har även lösenordsregler för medarbetare och administratörer. Zendesk erbjuder också olika nivåer av lösenordssäkerhet för slutanvändare respektive medarbetare och administratörer. Bara administratörer kan ändra lösenordets säkerhetsnivå. Läs mer om konfigurerbara lösenordspolicyer.

Zendesks inbyggda autentisering för produkter, som är tillgänglig via administratörscentret, erbjuder tvåfaktorsautentisering (2FA) för medarbetare och administratörer via SMS eller en autentiseringsapp. Läs mer om 2FA.

Zendesk följer säker best practice för lagring av inloggningsuppgifter genom att aldrig lagra lösenord i format som kan läsas av människor, och bara som resultatet av en säker, saltad enkelriktad hash-funktion.

För företag som behöver en högre nivå av datasekretess och säkerhet erbjuder Zendesk tillägg för avancerad dataintegritet och avancerat dataskydd. Tillägget ger möjlighet till BYOK-kryptering, anpassningsbara datalagringspolicyer, datamaskering, PII-bortredigering och åtkomstloggar.

Åtkomsten till data i Zendesk-program styrs av rollbaserad åtkomstkontroll (RBAC) och man kan definiera detaljerade åtkomstprivilegier. Zendesk har olika behörighetsnivåer för olika användare (ägare, administratör, medarbetare, slutanvändare osv.).

Läs mer om användarroller:

• Standardroller för Support
• Anpassade roller Support * Endast Enterprise
• Standardroller för Chat
• Anpassade roller Chat * Endast Enterprise
• Utforska standardroller
• Standardroller för Guide
• Standardroller för Talk
• Sessionstid

I alla Zendesk-konton går det att begränsa åtkomsten till Zendesk Support till användare inom ett visst IP-adressintervall. Då kan bara användare med tillåtna IP-adresser logga in på ditt Zendesk-konto. Du kan ge abonnenter möjlighet att kringgå den här restriktionen. För mer information se Begränsa åtkomst till Zendesk Support och ditt hjälpcenter med hjälp av IP-restriktioner och Använda IP-åtkomstbegränsning i Chatt.

Zendesk erbjuder kostnadsfri TLS-kryptering för värdmappade Guide-hjälpcenter. Zendesk använder Let’s Encrypt för att begära certifikat och förnyar automatiskt certifikatet innan det löper ut.

Du kan också överföra ditt eget certifikat, om du vill.

Läs mer om hur du konfigurerar krypteringscertifikat för Guide-hjälpcenter i Konfigurera ett värdbaserat certifikat för TLS-kryptering.

I Zendesk Chat kan du begränsa vilka filtyper som får skickas till medarbetare. Du kan även välja att helt stänga av möjligheten att skicka filer i Chat-produkten. Lär dig mer om den här funktionen i Hantera filöverföring i livechattar.

Zendesk erbjuder granskningsloggar till konton med planerna Enterprise/Enterprise Plus. Loggarna innehåller bland annat kontoändringar, användarändringar, appändringar, affärsregler, borttagna ärenden och inställningar. Granskningsloggen är tillgänglig i både administrationscentret och Support-API:n. Läs mer om granskningsloggar och se vilken information som är tillgänglig i loggen i Visa granskningsloggen för ändringar.

Abonnenter kan konfigurera sin instans, så att användarna måste logga in för att visa ärendebilagor. Läs mer om privata bilagor.

Zendesk erbjuder två funktioner för bortredigering av känsliga uppgifter: Med manuell bortredigering kan du ta bort känsliga uppgifter från kommentarer till supportärenden och på ett säkert sätt ta bort bilagor för att skydda konfidentiell information. Data bortredigeras från ärenden via användargränssnittet eller API:et för att förhindra att känslig information lagras i Zendesk. Läs mer om bortredigering via användargränssnittet eller API:t.

Automatisk bortredigering gör det möjligt att automatiskt bortredigera kreditkortsnummer i ärenden som skickas in av abonnenter. Om funktionen är aktiverad ersätts kreditkortsnummer delvis av tomma rutor i ärendet. De redigeras även bort från loggar och databasposter. Läs mer om hur du aktiverar funktionen och hur kreditkortsnummer identifieras i Automatiskt bortredigera kreditkortsnummer från ärenden och från chattar.

Zendesks spamfiltreringstjänst används för att förhindra att slutanvändares spaminlägg publiceras i ditt Guide-hjälpcenter. Läs mer om hur du filtrerar spam i Guide.

Zendesk erbjuder DKIM (Domain Keys Identified Mail) och DMARC (Domain-based Message Authentication, Reporting & Conformance) för signering av utgående e-post från Zendesk när du har konfigurerat en extern e-postdomän i Zendesk. Genom att använda en e-posttjänst som stöder de här funktionerna kan du stoppa förfalskade e-postmeddelanden. Läs mer om att signera e-post digitalt.

Zendesk följer upp de enheter som används för att logga in på användarkonton. När någon loggar in på ett konto från en ny enhet läggs den till i enhetslistan i användarens profil. Användaren får en e-postavisering när en ny enhet läggs till och bör kontrollera om aktiviteten verkar misstänkt. Misstänkta sessioner kan avslutas från medarbetarens användargränssnitt. Läs mer om uppföljning av enheter.

Zendesk har tagit fram en uppsättning säkerhetspolicies som täcker ett antal områden. Dessa policyer delas med och görs tillgängliga för alla medarbetare och leverantörer som har åtkomst till Zendesks informationstillgångar.

Alla medarbetare genomgår en utbildning i säkerhetsmedvetande när de anställs och därefter en gång om året. Allt tekniker får en årlig utbildning i säker kod. Säkerhetsteamet bidrar till säkerhetsmedvetandet genom uppdateringar via e-post, blogginlägg och presentationer under interna evenemang.

Zendesk gör bakgrundskontroller av alla nya medarbetare i enlighet med lokal lagstiftning. De här kontrollerna krävs även för underleverantörer. Under bakgrundskontrollerna kontrollerar man brottsregister, utbildning och anställningar. Även städpersonal kontrolleras.

Alla nyanställda måste underteckna sekretessavtal.