情報セキュリティへの取り組み

ZendeskはISO 27001、PCI DSSサービスプロバイダーレベル1、SOC 2のいずれか、またはすべてに準拠したAWSデータセンターでサービスデータを保護しています。 AWSのコンプライアンスについて知る。

AWSインフラストラクチャサービスには、バックアップ電源、HVACシステム、防火設備が含まれ、サーバーとお客様のデータを保護しています。 AWSのデータセンター管理について知る。

AWSオンサイトセキュリティには、警備員、フェンス、監視カメラ、侵入検知技術、およびその他のセキュリティ対策が含まれます。 AWSのフィジカルセキュリティの情報。

Zendeskは米国、EUおよびアジア太平洋地域にあるAWSデータセンターを利用しています。 貴社のZendeskサービスデータのデータホスティング地について知る。

Zendeskでは、米国（US）、オーストラリア（AU）、日本（JP）、または欧州経済地域（EA）をはじめとする様々なデータホスティング地域のオプションを提供しています。 製品、プラン、地域のサービスの詳細は地域データホスティングポリシーをご覧ください。

世界各地に配備されたZendeskのセキュリティチームは、セキュリティアラートやセキュリティイベントの発生に備え、24時間年中無休で待機しています。

Zendeskのネットワークは、AWSの主要なセキュリティサービス、Cloudflareのエッジ保護ネットワーク、定期的な監査、既知の悪意あるトラフィックとネットワーク攻撃を監視して防御するネットワークインテリジェンス技術により、保護されています。

Zendeskのネットワークセキュリティアーキテクチャは、複数のセキュリティゾーンで構成されています。 データベースサーバーのような機密性のより高いシステムは、最も信頼性の高いゾーンで保護されます。 他のシステムは、機能や情報分類、リスクに応じて、機密性に見合ったゾーン内に格納されます。 ゾーンに応じて、追加のセキュリティ監視およびアクセス制御が適用されます。 DMZは、インターネットと内部ネットワークとの間、および信頼性の高さが異なるゾーン間で利用できます。

ネットワークセキュリティスキャンにより、コンプライアンスに準拠していないシステムや潜在的に脆弱なシステムをすばやく特定するためのインサイトを取得できます。

社内で広範に実施するスキャニングとテストプログラムに加えて、毎年サードパーティのセキュリティ専門家に依頼し、Zendeskの制作部門や企業ネットワーク全体で幅広い侵入テストを実行しています。

Zendeskのセキュリティインシデントイベント管理（SIEM）システムは、重要なネットワークデバイスとホストシステムから膨大なログを収集します。 SIEMは、調査と対応のための相関イベントに基づいて、セキュリティチームに通知するトリガに警告します。

サービスの入力ポイントと出力ポイントが装備されており、変則的挙動を監視・検知します。 ここに挙げたシステムはすべて、インシデントと値が所定のしきい値を超えたときに警告を生成し、新たな脅威に基づいて定期的に更新される署名を使用するように構成されています。 これには、24時間年中無休のシステム監視も含まれます。

Zendeskは、様々な脅威インテリジェンス共有プログラムに参加しています。 脅威インテリジェンスネットワークに投稿された脅威を監視し、リスクに基づいて対応します。

Zendeskは多層アプローチを構築し、DDoS攻撃を軽減しています。 Cloudflareとのコア技術を連携させることでネットワークエッジを防御するだけでなく、AWSのスケーリングと保護ツール、またはAWS DDoS特定サービスを併せて使用することにより、さらに強靭な保護を提供します。

Zendeskの本番ネットワークへのアクセスは、明らかに知る必要のある人に制限され、最小限の特権の原則で運用され、頻繁に監査、監視されており、Zendeskのオペレーションチームが管理しています。 Zendeskの本番ネットワークにアクセスする従業員は、多要素認証を実行する必要があります。

システムアラートが発生すると、オペレーション、ネットワークエンジニアリング、セキュリティ保証を提供するZendeskの24時間年中無休セキュリティチームにイベントがエスカレーションされます。 従業員は、コミュニケーションチャネルおよびエスカレーションパスを含む、セキュリティインシデント対応プロセスのトレーニングを受けています。

Zendesk UIとAPIにおける通信はすべて、パブリックネットワークを介した業界標準のHTTPS/TLS（TLS 1.2以上）を通じて暗号化されます。 これにより、お客様とZendeskとの間に発生するすべてのトラフィックが、転送時も安全に保護されます。 またメールについては、デフォルトでTLSによる日和見暗号化を採用しています。 Transport Layer Security（TLS）は、メールを暗号化して安全に配信するプロトコルです。同等のサービスによってこのプロトコルがサポートされているメールサーバー間において、盗聴を軽減します。 例外として、SMS機能、サードパーティのアプリ、インテグレーション、サブスクライバーが任意で導入するサービスの利用時は暗号化が行われない場合があります。

サービスデータはAWSへの保存時に、AES-256暗号鍵を使用して暗号化されます。

Zendeskは、誰でもアクセス可能なシステムステータスWebページを公開しており、システム可用性の詳細情報、保守スケジュール、サービスインシデント履歴、関連するセキュリティイベントなどを掲載しています。

Zendeskは、サービスクラスタリングおよびネットワーク冗長化により、単一障害点を解消しています。 厳格なバックアップ体制と拡張ディザスタリカバリサービスにより、サービスデータがアベイラビリティゾーンを超えて複製されるため、お客様にハイレベルなサービスを提供できます。

Zendeskのディザスタリカバリ（DR）プログラムは、災害発生時にもZendeskのサービスの稼働を維持すること、あるいは速やかに復旧させることを保証するものです。

堅牢な技術環境の構築、災害復旧計画の策定、様々なテストの実施などにより実現されています。

当社の拡張ディザスタリカバリパッケージには、契約上の目標復旧時間（RTO）と目標復旧時点（RPO）が含まれています。 これらの契約上の目標は、災害宣言が出された場合に、拡張ディザスタリカバリのサブスクライバーの業務を優先的に遂行する機能と連動します。

Zendeskはセキュリティ制御機能を備えた最新かつ安全なオープンソースを活用し、OWASP Top 10のセキュリティリスクにさらされないよう対応しています。 このような固有の制御機能は、SQLインジェクション（SQLi）、クロスサイトスクリプティング（XSS）、クロスサイトリクエストフォージェリ（CSRF）への露出を削減しています。

Zendeskの品質保証（QA）部門がコードベースをレビューし、テストします。 アプリケーションセキュリティ専任のエンジニアが、コード内のセキュリティ脆弱性を特定し、テストし、トリアージします。

テスト環境およびステージング環境は、論理的に本番環境と分離されています。 サービスデータは、開発環境やテスト環境では一切使用されません。

Zendeskはサードパーティ製のセキュリティツールを導入し、OWASP Top 10のセキュリティリスクに対し、主要アプリケーションの動的スキャンを継続的に行っています。 社内に専任の製品セキュリティチームを置いてテストを実施し、エンジニアリングチームと協力して、検知された問題の修正を行っています。

当社の製品で使用されるライブラリと従属要素をスキャンして脆弱性を特定し、脆弱性に対応するよう確保します。

社内で広範に実施するスキャニングとテストプログラムに加えて、Zendeskはサードパーティのセキュリティ専門家に依頼し、Zendeskファミリーの複数のアプリケーションに対しても精密な侵入テストを実施しています。

Zendeskの責任ある開示プログラムは、HackerOneとのパートナーシップを通じて、Zendeskのセキュリティ脆弱性をテストおよび通知するための手段を、サブスクライバーとセキュリティ研究者に提供します。

Zendeskにはいくつかの認証オプションがあり、サブスクライバーは、エンドユーザーとエージェントの認証のため、Zendeskネイティブ認証、ソーシャルメディアのシングルサインオン（SSO）（Facebook、Twitter、Google）、およびエンドユーザー向けエンタープライズSSO（SAML、JWT）を利用できます。 ユーザーアクセスの詳細情報。

管理センターから入手できるZendeskネイティブ認証は、低、中、高の3段階のパスワードセキュリティレベルがあります。またエージェントと管理者向けにカスタムパスワードルールをカスタマイズすることも可能です。 また、エンドユーザー向けのパスワードセキュリティレベルと、管理者とエージェント向けのパスワードのセキュリティレベルには、それぞれ異なるレベルを設定できます。 パスワードセキュリティレベルを変更できるのは管理者のみです。 設定可能パスワードポリシーの説明。

管理センターを通じて入手できる製品のZendeskネイティブ認証では、SMSや認証アプリを通じてエージェントや管理者向けの2要素（2FA）認証をご利用いただけます。 2FAについて知る。

Zendeskは、認証情報の安全な保管に関するベストプラクティスにしたがい、人間が読める形式でパスワードを格納することはありません。パスワードは、安全で暗号化された一方向のハッシュ値として格納されます。

Zendeskは、より高度なデータプライバシー保護とセキュリティ対策を必要とするお客様向けに、高度なデータプライバシーと保護アドオンを用意しています。 このアドオンには、BYOK（暗号鍵の管理）、カスタマイズ可能なデータ保持ポリシー、データのマスキング、PII（個人情報）墨消し、アクセスログなどの機能が含まれます。

Zendeskアプリケーション内のデータへのアクセスはロールベースアクセスコントロール（RBAC）で管理され、きめ細かなアクセス権を定義するよう構成できます。 Zendeskにはオーナー、管理者、エージェント、エンドユーザーなどのユーザーのタイプごとに、様々な権限レベルが用意されています。

ユーザーロールについて知る：

• Supportデフォルトロール
• Supportカスタムロール *Enterpriseのみ
• Chatデフォルトロール
• Chatカスタムロール *Enterpriseのみ
• Exploreデフォルトロール
• Guideデフォルトロール
• Talkデフォルトロール
• セッションタイム

Zendeskアカウントは、Zendeskサポートへのアクセスを、特定の範囲のIPアドレスのユーザーへ制限できます。 許可されたIPアドレスのユーザーだけが、Zendeskアカウントにサインインできます。 サブスクライバー（エージェントやシステム管理者ではなく）に対し、この制限を回避するように設定することができます。 詳細は、「IP制限を使用してZendeskサポートとヘルプセンターへのアクセスを制限する」と「チャットにIPアドレス制限を使用する」をご覧ください。

Zendeskは、ホストマッピングされたGuideヘルプセンター向けTLS暗号化通信を、無料で提供します。 Zendeskは、証明書の期限が切れる前に証明書を請求し自動更新するLet’s Encryptを使用しています。

ご希望の場合は、お客様自身の証明書をアップロードできます。

Guideヘルプセンター向けに暗号化証明書を設定する方法の詳細は、「ホストされたTLS暗号化証明書を設定する」をご覧ください。

Zendesk Chatを使うと、エージェントに送付されるファイルの種類を制限できます。 または、Chat製品内でのファイル送信を、完全にオフにすることも選択できます。 この機能の詳細は「チャット内のファイル送信を管理する」をご覧ください。

Zendeskは、Enterprise/Enterprise Plusプランのアカウントに監査ログを提供しています。 これらのログには、アカウントの変更、ユーザーの変更、アプリの変更、ビジネスルール、チケットの削除と設定が含まれます。 監査ログは、「管理センター」と「サポートAPI」の両方で閲覧できます。 監査ログの詳細と、ログ内で提供されている情報の種類を確認するには、「監査ログを閲覧して変更点を確認する」をご覧ください。

サブスクライバーは、チケットの添付ファイルを閲覧する際にユーザーにサインインを要求するようインスタンスを設定できます。 プライベート添付ファイルについて知る。

Zendeskには、機密データを削除するための2種類の非表示機能があります。 手動の非表示機能では、Supportのチケットに入力された機密データの非表示や削除、および添付ファイルを安全に削除することにより、機密情報を保護することができます。 チケットからのデータの削除はUIまたはAPIを通じて行われ、機密情報がZendeskに保存されることはありません。 UIまたはAPI経由の非表示機能について知る

自動非表示機能は、サブスクライバーが提出したチケットからクレジットカード番号を自動削除する機能です。 この機能を有効にすると、チケット上のクレジットカード番号の部分は、空欄で置き換えられます。 クレジットカード番号は、ログとデータベース入力からも非表示にされます。 この機能を有効にする方法と、クレジットカード番号を特定する方法の詳細は、「チケットから自動的にクレジット番号を非表示にする」と「chats」をご覧ください。

Zendesk のスパムフィルタリングサービスでは、エンドユーザーのスパム投稿がヘルプセンター内で公開されないように設定することができます。 ヘルプセンターでのスパムのフィルタリングについて知る。

Zendeskは、お客様が、ご自分のZendesk上に外部Eメールドメインを設定する必要がある場合、お客様のZendeskからの送信Eメールに署名を行う、DKIM（Domain Keys Identified Mail）およびDMARC（Domain-based Message Authentication, Reporting, Conformance）機能を提供しています。 これらの機能に対応するEメールサービスを利用いただくことで、なりすましのEメールを阻止できます。 メールへのデジタル署名について知る。

Zendeskは各ユーザーアカウントのサインインに使用されたデバイスを追跡します。 ユーザーが新しいデバイスからアカウントにサインインした場合、そのデバイスがユーザープロフィールのデバイスリストに追加されます。 新しいデバイスが追加されるとユーザーにEメール通知が届きます。疑わしいアクティビティには対応する必要があります。 疑わしいセッションはエージェントの UI から終了させることができます。 デバイス追跡について知る。

Zendeskは、幅広いトピックに対応する包括的なセキュリティポリシーを策定しています。 これらのポリシーは、Zendeskの情報資産へのアクセス権を持つ全従業員と請負業者に公開および提供されています。

全従業員が入社時から毎年、セキュリティ意識向上トレーニングに参加しています。 また全てのエンジニアが毎年セキュアコードトレーニングを受けています。 さらにセキュリティチームは、メールやブログ投稿、社内イベントにおけるプレゼンテーションを通じて、セキュリティ意識に関する最新情報を提供しています。

Zendeskは現地の法律に従い、新しい従業員全員を対象に身元調査を行います。 これらの調査は、請負業者についても必要となります。 身元調査には、犯罪歴、学歴、就労資格証明などの調査が含まれます。 清掃スタッフも身元調査の対象です。

新入社員は全員、秘密保持契約への署名が求められます。