Assurez vos arrières

Zendesk héberge essentiellement les données de service dans des centres de données AWS qui ont été certifiés ISO 27001, PCI/DSS niveau fournisseur de services de niveau 1 ou SOC 2. En savoir plus sur la conformité chez AWS.

Les services d’infrastructure AWS incluent une alimentation de secours, des systèmes HVAC et un équipement d’extinction d’incendies afin de protéger les serveurs, et donc vos données. En savoir plus sur Data Center Controls chez AWS.

La sécurité sur site AWS inclut des fonctionnalités telles que les gardes de sécurité, les clôtures, les flux de sécurité, la technologie de détection des intrusions et d’autres mesures de sécurité. En savoir plus sur la sécurité physique AWS.

Zendesk exploite des centres de données AWS aux États-Unis, en Europe et dans la région Asie-Pacifique. En savoir plus sur les sites d’hébergement de données pour vos données de service Zendesk.

Zendesk offre plusieurs choix de localités de données, notamment aux États-Unis (US), en Australie (AU), au Japon (JP) ou dans l’Espace économique européen (EEE). Pour plus d’informations sur les produits, les plans et les offres régionales, veuillez consulter notre Politique d’hébergement de données régionale.

Notre équipe de sécurité, répartie à travers le monde, est disponible 24 h/24 et 7 j/7 pour réagir aux alertes et événements de sécurité

Notre réseau est protégé par l’utilisation des services de sécurité essentiels d’AWS, l’intégration avec nos réseaux de protection des entrées Cloudfare, des évaluations régulières, ainsi que des technologies de renseignement réseau, qui surveillent ou bloquent tout trafic mal intentionné ou attaque réseau.

L’archictecture de sécurité de notre réseau est composée de plusieurs zones de sécurité. Les systèmes plus sensibles tels que les serveurs de base de données sont protégés dans nos zones les plus fiables. Les autre systèmes sont hébergés dans les zones correspondant à leur niveau de sensibilité selon leur fonction, la classification des informations et leur niveau de risque. Selon la zone, des surveillances de sécurité et des contrôles d’accès supplémentaires s’appliquent. Des DMZ sont utilisées entre Internet et les différentes zones de confiance internes.

L’analyse de la vulnérabilité du réseau permet d’obtenir des informations détaillées afin d’identifier rapidement les systèmes potentiellement vulnérables ou ne répondant plus aux normes.

Outre notre vaste programme interne d’analyse et de test, Zendesk a chaque année recours à des experts en sécurité tiers pour effectuer un vaste test d’intrusion sur les réseaux de production et d’entreprise Zendesk.

Notre système de gestion des informations et des événements de sécurité (SIEM) recueille des informations détaillées sur les principaux appareils du réseau et les systèmes hôtes. En cas d’événements déclencheurs, le SIEM envoie une notification à l’équipe de sécurité pour qu’elle puisse les investiguer et y répondre.

Les points d’entrée et de sortie du service (ingress et egress) sont utilisés et surveillés pour détecter toute anomalie. Ces systèmes sont configurés de façon à générer des alertes lorsque les incidents ou les valeurs dépassent les seuils fixés. Ils utilisent des signatures actualisées en fonction des nouvelles menaces identifiées. Cela comprend une surveillance des systèmes 24 h/24 et 7 j/7.

Zendesk participe à plusieurs programmes de partage d’informations sur les menaces de sécurité. Nous surveillons les menaces publiées sur ces réseaux d’informations et prenons les mesures appropriées en fonction du niveau de risque.

Zendesk a créé et mis en place une approche multi-couches de la mitigation de DDoS. Un partenariat technologique de base avec Cloudflare fournit des défenses en périphérie du réseau, tandis que l’utilisation d’outils de mise à l’échelle et de protection AWS offre une protection plus approfondie ainsi que notre utilisation de services spécifiques à AWS DDoS.

L’accès au Réseau de production Zendesk est restreint sur la base d’un besoin explicite de savoir, utilise le privilège moindre, est fréquemment audité et surveillé, et est contrôlé par notre Équipe des opérations. Les employés qui accèdent au réseau de production Zendesk doivent utiliser plusieurs facteurs d’authentification.

En cas d’alerte sur le système, les évènements sont remontés à nos équipes qui travaillent 24 h/24 et 7 j/7 et couvrent les services opérations, développement réseau et sécurité. Les collaborateurs reçoivent une formation sur les processus de réponse aux incidents de sécurité, ce qui comprend notamment les canaux de communication et les procédures d’escalade des problèmes.

Toutes les communications avec l’interface et l’API Zendesk sont chiffrées conformément aux standards du secteur, HTTPS/TLS (TLS 1.2 ou supérieur), sur les réseaux publics. Cela permet d’assurer la sécurité de la totalité du trafic entre vous et Zendesk durant le transit. De plus, notre produit utilise par défaut le chiffrement opportuniste TLS pour les e-mails. Le protocole TLS (Transport Layer Security) chiffre et expédie les e-mails en toute sécurité, atténuant ainsi les risques d’interception entre serveurs lorsque le protocole est pris en charge par des services pairs. Il peut exister des exceptions de chiffrement : par exemple, l’utilisation de la fonctonnalité SMS intégrée au produit, ainsi que les applications, intégrations ou services que les abonnés peuvent choisir d’utiliser à leur discrétion.

Les données de service non actives sont chiffrées chez AWS à l’aide de clés de chiffrement AES-256.

Zendesk gère une page Web d’état du système accessible au public, cette page comprend les détails de disponibilité du système, la maintenance planifiée, l’historique des incidents de service et les événements de sécurité pertinents.

Zendesk utilise le regroupement des services et les redondances de réseaux pour éliminer les problèmes de point de défaillance unique. Notre programme de sauvegarde strict et/ou notre offre de services de récupération approfondie après sinistre nous permettent d’offrir un niveau élevé de disponibilité de service, en effet, les données de service sont répliquées dans toutes les zones de disponibilité.

Notre programme de récupération après sinistre (DR ou Disaster Recovery) garantit que nos services restent disponibles et sont facilement récupérables en cas de sinistre

grâce à un environnement technique solide, à la création de plans de reprise et à la réalisation de tests.

Notre forfait de récupération approfondie après sinistre ajoute des objectifs contractuels pour l’objectif de temps de récupération (RTO, Recovery Time Objective) et l’objectif de point de récupération (RPO, Recovery Point Objective). Ceux-ci sont pris en charge grâce à notre capacité à hiérarchiser les opérations des souscripteurs au forfait Récupération approfondie après sinistre lors de tout événement déclaré de sinistre.

Zendesk utilise des frameworks modernes, sécurisés et open-source qui intègrent des contrôles de sécurité pour limiter l’exposition aux 10 principaux risques identifiés par OWASP. Ces contrôles inhérents réduisent notre exposition aux injections SQL (SQLi), au cross-site scripting (XSS) et au cross-site request forgery (CSRF).

Notre service d’assurance qualité (QA) examine et teste notre code. Des développeurs dédiés à la sécurité des applications vérifient l’identité du personnel, effectuent des tests de sécurité et classent les vulnérabilités dans le code.

Les environnements de test ou de staging sont bien sûr séparés de l’environnement de production. Aucune donnée de service n’est utilisée dans nos environnements de développement ou de test.

Nous utilisons des outils de sécurité tiers pour analyser en permanence et dynamiquement nos applications de base contre les risques de sécurité courants des applications Web, notamment, mais sans s’y limiter, les 10 principaux risques de sécurité de l’OWASP. Notre équipe interne dédiée à la sécurité réalise des tests et collabore avec les développeurs pour détecter et résoudre les problèmes.

Nous analysons les bibliothèques et les dépendances utilisées dans nos produits pour identifier les vulnérabilités et nous assurer que les vulnérabilités sont gérées.

En plus de son vaste programme d’analyses et de tests internes, Zendesk fait appel à des experts tiers pour réaliser des tests de pénétration détaillés sur ses différentes applications.

Notre Programme de divulgation responsable offre aux chercheurs en sécurité ainsi qu’aux souscripteurs un moyen de tester et d’informer Zendesk en toute sécurité des vulnérabilités de sécurité, et ce grâce à notre partenariat avec HackerOne.

Zendesk dispose de plusieurs options d’authentification différentes : les souscripteurs peuvent activer l’authentification Zendesk native, l’authentification unique (SSO) sur les réseaux sociaux (Facebook, Twitter, Google) et/ou l’authentification unique d’entreprise (SAML, JWT) pour l’authentification de l’utilisateur final et/ou de l’agent. En savoir plus sur l’accès utilisateur.

L’authentification native de Zendesk pour les produits disponibles par le biais du Centre d’administration (Admin Center) offre les niveaux de sécurité par mot de passe suivants : faible, moyen et élevé, ainsi que des règles de mot de passe personnalisées pour les agents et les administrateurs. Zendesk permet également d’appliquer différents niveaux de sécurité par mot de passe aux utilisateurs finaux par rapport aux agents et aux administrateurs. Seuls les administrateurs peuvent modifier le niveau de sécurité des mots de passe. En savoir plus sur les politiques de mots de passe configurables.

L’authentification native Zendesk pour les produits disponibles par le biais du Centre d’administration (Admin Center) offre un facteur 2 (2FA) pour les agents et les administrateurs par SMS ou une application d’authentification. En savoir plus sur 2FA.

Zendesk suit les meilleures pratiques de stockage sécurisé des informations d’identification en ne stockant jamais les mots de passe dans un format lisible par l’homme, et uniquement à la suite d’un hachage sécurisé, salé et à sens unique.

Zendesk propose aux entreprises qui ont besoin d’un niveau plus élevé de confidentialité et de sécurité des données, le module supplémentaire Advanced Data Privacy and Protection. Ce module comprend des fonctionnalités de chiffrement BYOK, des politiques de conservation des données personnalisables, le masquage des données, la suppression des informations confidentielles et les journaux d’accès.

L’accès aux données dans les applications Zendesk est régi par un contrôle des accès en fonction des rôles (RBAC) et peut être configuré afin de définir des niveaux d’accès précis. Zendesk prend en charge différents niveaux d’autorisation pour les utilisateurs (propriétaire, administrateur, agent, utilisateur final, etc.).

En savoir plus sur les rôles utilisateurs :

• Rôles par défaut pour l’assistance
• Prise en charge des rôles personnalisés *Entreprise uniquement
• Rôles par défaut pour le chat
• Chat rôles personnalisés *Entreprise uniquement
• Explorez les rôles par défaut
• Guide sur les rôles par défaut
• Rôles par défaut sur Talk
• Durée de la session

Tout compte Zendesk peut restreindre l’accès à son Assistance Zendesk aux utilisateurs d’une plage spécifique d’adresses IP. Seuls les utilisateurs avec des adresses IP autorisées pourront se connecter à votre compte Zendesk. Vous pouvez autoriser les souscripteurs (et non les agents ou les administrateurs) à contourner cette restriction. Pour plus d’informations, consultez Restreindre l’accès à l’Assistance Zendesk et à votre Centre d’aide à l’aide de restrictions IP et Utiliser la restriction d’accès IP dans le Chat..

Zendesk fournit un chiffrement TLS gratuit pour les centres d’aide Guide mappés par l’hôte. Zendesk a recours à Let’s Encrypt pour demander des certificats et renouvelle automatiquement le certificat avant son expiration.

Si vous le souhaitez, vous pouvez également télécharger votre propre certificat.

Pour en savoir plus sur la configuration des certificats de chiffrement pour un centre d’aide guide, consultez Configuration d’un certificat de chiffrement TLS hébergé.

Zendesk Chat permet de restreindre les types de fichiers envoyés aux agents. Vous pouvez également choisir de désactiver totalement l’envoi de fichiers dans le produit Chat. Pour en savoir plus sur cette fonctionnalité, voir Gérer l’envoi de fichiers dans le chat en direct.

Zendesk propose des Journaux d’audit aux comptes bénéficiant des plans Enterprise/Enterprise Plus. Ces journaux incluent les modifications de compte, les modifications d’utilisateur, les modifications d’application, les règles métier, les suppressions de tickets ainsi que les paramètres. Le Journal d’audit est disponible dans le Centre d’administration ainsi que dans l’API d’assistance. Pour en savoir plus sur les Journaux d’audit et voir quelles informations sont disponibles dans le journal, veuillez consulter Afficher le journal d’audit pour les modifications.

Les souscripteurs peuvent configurer leur instance afin que les utilisateurs doivent se connecter pour afficher les pièces jointes du ticket. En savoir plus sur les Pièces jointes privées.

Zendesk dispose de deux types d’élimination pour supprimer les données sensibles : L’élimination manuelle offre la possibilité de caviarder ou de supprimer des données sensibles dans les commentaires du ticket de support et de supprimer en toute sécurité les pièces jointes, afin de vous permettre de protéger les informations confidentielles. Les données sont supprimées dans les tickets via l’interface utilisateur ou l’API pour empêcher le stockage des données sensibles dans Zendesk. En savoir plus sur l’élimination via l’interface utilisateur (UI) ou l’API.

L’élimination automatique permet l’élimination automatique des numéros de carte de crédit des tickets soumis par les souscripteurs. Quand cette option est activée, les numéros de carte de crédit sont partiellement remplacés par des cases vides dans le ticket. Ces numéros sont également expurgés des journaux et des entrées de base de données. Pour en savoir plus sur l’activation de cette fonctionnalité et l’identification des numéros de carte de crédit, consultez Élimination automatique des numéros de carte de crédit des tickets et des chats.

Le service de filtrage du courrier indésirable de Zendesk peut permettre d’empêcher la publication de messages de spam d’utilisateurs finaux dans votre centre d’aide pour le Guide. En savoir plus sur le filtrage des spams dans le Guide.

Zendesk propose d’utiliser DKIM (Domain Keys Identified Mail) et DMARC (Domain-based Message Authentication, Reporting, & Conformance) pour signer des e-mails sortants à partir de Zendesk lorsque vous devez configurer un domaine de messagerie externe sur votre Zendesk. L’utilisation d’un service de messagerie qui prend en charge ces fonctionnalités vous aide à éviter les usurpations d’e-mail. En savoir plus sur la signature numérique de vos e-mails.

Zendesk suit les appareils utilisés pour accéder à chaque compte utilisateur. Lorsque quelqu’un se connecte à un compte à partir d’un nouvel appareil, il est ajouté à la liste des appareils dans le profil de cet utilisateur. Cet utilisateur peut recevoir une notification par e-mail lorsqu’un nouvel appareil est ajouté, et doit faire un suivi si cette activité lui semble suspecte. Les sessions suspectes peuvent être interrompues via l’interface utilisateur de l’agent. En savoir plus sur le suivi des appareils.

Zendesk a développé un ensemble complet de politiques de sécurité qui couvre de nombreux sujets. Ces politiques sont partagées et mises à la disposition de tous les employés et prestataires ayant accès au contenu d’informations de Zendesk.

Tous les collaborateurs participent à une formation de sensibilisation à la sécurité, qui se déroule au moment de l’embauche, puis est renouvelée chaque année. Tous les développeurs effectuent une formation annuelle sur la sécurité du code. L’équipe de sécurité sensibilise encore davantage le personnel aux questions de sécurité par le biais d’e-mails, d’articles de bogs et de présentations au cours des événements internes.

Zendesk réalise des vérifications d’antécédents pour tous les nouveaux employés, conformément aux lois locales. Ces vérifications sont également requises pour les sous-traitants. Elles comprennent le contrôle du casier judiciaire, du parcours scolaire et des différents postes occupés. Les équipes d’entretien y sont également soumises.

Tous les nouveaux collaborateurs doivent signer des accords de non-divulgation et de confidentialité.