為您保駕護航

Zendesk 主要將服務資料託管於已通過 ISO 27001、PCI DSS 服務提供者層級 1 以及/或者 SOC 2 認證的 AWS 資料中心。 瞭解關於AWS 法規遵循的資訊。

AWS 基礎結構服務包括備用電源、HVAC 系統，以及滅火裝置，有助於保護伺服器，最終保護您的資料安全。 瞭解關於 AWS 資料中心控制的資訊。

AWS 現場安全性包括多种功能，例如保全防護、圍牆保护、安全摘要、入侵偵測技術以及其他安全措施。 瞭解關於 AWS 實體安全性的資訊。

Zendesk 使用位於美國、歐洲和亚太的 AWS 資料中心。 瞭解關於您的 Zendesk 服務資料的資料託管位置的資訊。

Zendesk 提供多個資料位置選擇，包括美國（簡稱 US）、澳洲（簡稱AU）、日本（簡稱JP）或歐洲經濟區（簡稱EEA）。 關於更多產品、計畫及區域產品資訊，請參閱 區域資料託管政策。

我們遍佈全球的安全性團隊 24/7 隨叫隨到，以回應安全性警示和事件。

我們的網路透過使用關鍵 AWS 安全性服務、與我們的 Cloudflare 邊緣防護網路整合、定期審核，以及監控並/或封鎖已知惡意流量和網路攻擊的網路智慧技術而受到保護。

我們的網路安全性架構由多個安全區域組成。 而更敏感的系統，如資料庫伺服器，在我們最受信任的安全區域中得到保護。 其他系統根據其功能、資訊分類和風險，安置在與其敏感度相適應的區域中。 根據區域的不同，將採用其他的安全性監控和存取控制。 您可在網際網路之間，以及在您內部網路的不同受信任安全區域之間設定 DMZ。

網路安全性掃描使我們能夠深入瞭解並快速識別不符合要求或可能存在漏洞的系統。

除了全面的內部掃描和測試計畫之外，每年，Zendesk 都會透過第三方安全專家來對整個 Zendesk 生產與企業網路進行廣泛的滲透測試。

我們的安全事故事件管理（簡稱 SIEM）系統從重要的網路裝置和主機系統蒐集大量紀錄檔。 SIEM 可就根據相關事件通知安全性團隊的觸發程式發出警示，以便於調查與回應。

服務進出點皆設有檢測程式並受監控，以偵測異常行為。 這些系統經設定，可於事件和數值超過預定的臨界值時，發出警示，並根據新的威脅，採用定期更新的簽章。 這包括 24/7 的系統監控。

Zendesk 參與多項威脅情資共用計畫。 我們監控發佈於這些威脅情報網路的威脅，並依風險程度採取行動。

Zendesk 已構建一個多層方法來降低分散式阻斷服務（簡稱 DDoS）的損失。 與 Cloudflare 建立核心技術合作關係來提供網路邊緣防禦，而AWS 擴容與防護工具的使用，以及我們對 AWS DDoS 特定服務的使用則提供了更深層的防護。

將對 Zendesk 生產網路的存取限制在明確「需要瞭解」的基礎上，使用最少的特權，定期進行審核和監控，並由我們的運營團隊進行控制。 存取 Zendesk 生產網路的僱員必須使用多因素驗證。

如系統發生警示，事件將上報給我們的 24/7 團隊，以保障作業、網路工程和安全性。 僱員會進行安全性事件回應流程方面的培訓，包括溝通管道和上報途徑。

與 Zendesk UI 及 API 的所有通訊均透過行業標準 HTTPS/TLS（TLS 1.2 或更高）在公共網路上加密。 這樣可以確保您與 Zendesk之間的所有通訊在傳輸過程中都是安全的。 此外，針對電子郵件，我們的產品預設使用隨機 TLS。 傳輸層安全性（簡稱 TLS）對電子郵件加密並保證電子郵件安全傳送，當對等服務支援此協定時，可減少郵件伺服器間的竊聽。 加密之例外狀況可能包括使用產品內簡訊功能、任何其他第三方應用程式、整合，或訂閱者可能自行選擇使用之服務。

服務資料在 AWS 中使用 AES-256 金鑰加密進行待用加密。

Zendesk 維護一個公開的系統狀態網頁，其中包括系統可用性的詳細資訊、定期維護、服務事故記錄，以及相關的安全事件。

Zendesk 使用服務群集和網路冗余以避免單點故障。 我們嚴格的備份制度和/或增強型嚴重損壞修復服務使我們得以提供高水準的服務可用性，這是因為服務資料將在可用性區域之間進行複製。

我們的嚴重損壞修復 (簡稱 DR) 計畫確保在發生嚴重損壞的情況下，我們的服務仍然可用且易於還原。

這是透過建置穩健的技術環境、建立嚴重損壞修復計畫，以及測試活動來實現。

我們的增強型嚴重損壞修復套餐為復原時間目標（簡稱RTO）與復原點目標（簡稱RPO）加入了契約式目標。 在任何已宣告的嚴重損壞事件期間，我們能夠優先處理具備增強型嚴重損壞修復功能的訂閱者的運營業務，從而為這些目標提供了支援。

Zendesk 使用具有安全性控制的現代、安全開放原始碼架構來限制受到 OWASP前 10 大安全性風險的影響。 這些固有控制減少了受 SQL 插入（簡稱 SQLi）、跨網站指令碼（簡稱 XSS）與跨網站偽造要求（簡稱 CSRF）等等攻擊的影響。

我們的品質保證（簡稱 QA）部門審查並測試我們的程式碼庫。 專職應用程式安全性工程師負責識別、測試並對程式碼中的安全性漏洞分級。

測試和預備環境邏輯上與生產環境分離。 我們的開發或測試環境未使用服務資料。

我們採用第三方安全性工具，針對常見的網路應用程式安全性風險（包括但不限於 OWASP 前 10 大安全性風險），持續和動態掃描我們的核心應用程式。 我們擁有專門的內部產品安全性團隊，負責測試和與工程師團隊合作，以糾正任何發現的問題。

我們掃描用於產品的程式庫和依賴項，以識別漏洞並確保漏洞得到管理。

除我們廣泛的內部掃描和測試計畫外，Zendesk 聘請第三方安全性專家對我們產品系列中的不同應用程式進行詳細的滲透測試。

我們的負責任揭露計畫為安全研究人員以及訂閱者提供了一個途徑，以便安全地進行測試並將安全性漏洞通知給 Zendesk，這是透過我們與HackerOne的合作實現的。

Zendesk 有幾個不同的驗證選項：訂閱者可啟用原生 Zendesk 驗證、社交媒體單一登入（簡稱SSO）（Facebook、Twitter、Google）和／或企業單一登入（SAML、JWT），以進行最終使用者和／或代理人驗證。 瞭解使用者存取相關資訊。

Zendesk 針對透過管理中心提供的產品的原始驗證提供以下三種密碼安全性層級：低、中、高，並可為代理和管理員設定自訂密碼規則。 Zendesk 也允許針對最終使用者與代理和管理員設定不同密碼安全性層級。 只有管理員可以變更密碼安全性層級。 瞭解可設定密碼政策相關資訊。

管理中心提供的 Zendesk 產品原生驗證，可讓代理人和管理員透過簡訊或驗證器應用程式來完成雙因素驗證（簡稱2FA）。 瞭解雙因素驗證（簡稱2FA）相關資訊。

Zendesk 遵循安全憑證儲存最佳實務，從不以人類看得懂之格式儲存密碼，並僅作為安全、有經驗和單向雜湊結果。

對於需要更高層級的資料隱私和安全性的企業，Zendesk 提供進階資料隱私權和保護附加元件。 該附加包括 BYOK 加密、可自訂的資料保留策略、資料遮罩、PII 編輯和存取日誌等功能。

於 Zendesk 應用程式內存取資料受制於角色型存取控制（簡稱RBAC）並可對其進行設定，以定義細微存取權限。 Zendesk 為各種用戶（所有者、管理員、代理人、最終使用者等）權限等級提供支援。

瞭解使用者角色：

• 支援預設角色

• 支援自訂角色 *僅限企業

• 聊天預設角色

• 聊天自訂角色 *僅限企業

• 探索預設角色

• 指南預設角色

• 談話預設角色

• 工作階段時間

任何 Zendesk 帳戶均可限制特定 IP 位址範圍內的使用者對其 Zendesk 支援的存取。 只有來自允許的 IP 位址的使用者能夠登入您的 Zendesk 帳戶。 您可允許訂閱者（非代理人或管理員）繞過此限制。 更多資訊，請參閱使用 IP 限制措施限制對 Zendesk 支援及您的說明中心的存取以及在聊天中使用 IP 存取限制。

Zendesk 為主機對應的指南說明中心提供免費 TLS 加密。 Zendesk 利用 Let’s Encrypt 請求憑證並在憑證到期前自動更新憑證。

如果您願意，也可上傳自己的憑證。

欲瞭解有關為指南說明中心設定加密憑證的更多資料，請參閱設定代管的 TLS 加密憑證。

Zendesk Chat 允許限制發送代理人的檔案類型。 或者，您可以選擇在 Chat 產品中完全關閉檔案傳送功能。 為瞭解此功能，可查看管理即時聊天中的檔案傳送。

Zendesk 為 Enterprise/Enterprise Plus 計畫帳戶提供稽核記錄。 這些記錄包括帳戶變更、使用者變更、應用程式變更、商務規則、票證刪除和設定。 稽核記錄可於Admin Center和Support API查閲。 為瞭解更多有關稽核記錄的資訊和查看記錄中可用的資料，請查看檢視稽核記錄中的資料變更。

訂閱者可以配置他們的實例，以要求使用者登入以檢視票證附件。 瞭解私密附件。

Zendesk 有兩種移除敏感資料的編輯方式： 手動編輯功能可以編輯或移除 Support 票證評論中的敏感資料，並安全地刪除附件，以便保護機密資訊。 票證中的資料將透過 UI 或 API 予以編輯，以防止敏感資訊被儲存在 Zendesk 中。 透過UI或API瞭解編輯功能。

自動編輯功能允許從訂閱者提交的票證中自動編輯信用卡號碼。 啓用該功能時，票證中的信用卡號碼部分更換為空白方塊。 也能從記錄和資料庫項目中編輯號碼。 為瞭解更多有關如何啓用此功能和識別信用卡號碼的資訊，可查看自動編輯票證 和聊天中的信用卡號碼。

Zendesk的垃圾郵件篩選服務可用於防止最終使用者的貼文發佈到您的指南說明中心。 在指南中瞭解如何篩選垃圾郵件。

當您需要在 Zendesk 中設定外部電子郵件網域時，Zendesk 提供DKIM （網域金鑰識別郵件）和 DMARC（網域型訊息驗證、報告和一致性），用於簽署從 Zendesk 寄出的電子郵件。 使用支援這些功能的電子郵件服務可使您避免電子郵件欺騙。 瞭解關於電子郵件數位簽章的資訊。

Zendesk 追蹤用於登入每個使用者帳戶的裝置。 當使用者從一個新裝置登入帳戶時，它會被新增到該使用者個人檔案的裝置清單中。 使用者可收到新增裝置的電子郵件通知，並且如果該活動可疑，則應後續跟進。 可疑活動可在代理 UI 予以終止。 瞭解裝置追蹤功能。

Zendesk 開發出涵蓋一系列主題的全面安全性政策。 這些政策與所有具備 Zendesk 資訊資產存取權限的僱員和承包商共用。

所有僱員皆參與安全性意識培訓，入職時進行一次培訓，爾後每年進行一次。 所有工程師每年進行一次安全程式碼培訓。 安全性團隊透過電子郵件、部落格文章和內部活動期間的報告來提供額外的安全性意識更新資訊。

Zendesk 根據當地法律對所有新進僱員進行背景調查。 承包商也必須完成這些調查。 背景調查包括犯罪、教育和就職紀錄驗證。 清潔人員包括在內。

所有新入職的僱員必須簽署不揭露及保密協議。