Das Zendesk-Modell der geteilten Verantwortung

Das Zendesk-Modell der geteilten Verantwortung

Zendesk stellt eine in hohem Maße konfigurierbare und rasch skalierbare Kundenserviceplattform für viele der weltweit führenden Unternehmen in den unterschiedlichsten Branchen bereit. Mit unserer Cloud-Plattform können Kunden ihren Verwaltungsaufwand reduzieren, ihren Kundenservice an die jeweilige Nachfrage anpassen und für traumhaft einfache Kundenservice-Interaktionen sorgen.

Die Verlagerung des Geschäfts in die Cloud bringt nicht nur die oben beschriebenen Vorteile mit sich, sondern kann auch zu Unsicherheiten darüber führen, welche Partei für welche Sicherheitsfunktionen verantwortlich ist. Die Zuständigkeiten sind in unserem hier beschriebenen Modell der geteilten Verantwortung klar geregelt. Dieses Modell zeigt auf, welche Partei für welche Sicherheits- und Datenschutzfunktionen verantwortlich ist. Ganz gleich, ob Sie als gewissenhafter Administrator, als Sicherheits-, Compliance- oder Datenschutzbeauftragter Ihres Unternehmens oder in einer anderen Funktion für die Einrichtung angemessener Kontrollen für die Nutzung der Zendesk-Services in Ihrer Umgebung zuständig sind, die folgenden Vorgaben dürften zweifelsfrei klären, welche Bereiche in Ihre Zuständigkeit fallen.

Um es in einem Satz zusammenzufassen: Zendesk kümmert sich um die Sicherheit des Service an sich, während Sie für die Sicherheit in Ihrer jeweiligen Service-Instanz zuständig sind.

Zugangskontrollen und Hygiene
Integrationen
Daten, Datenschutz, Compliance und Vorschriften
Überwachung
Sicherheitsvorfälle (Rollen und Verantwortlichkeiten)
Hilfreiche Links

Die in dieser Vereinbarung verwendeten Begriffe sind im Zendesk Rahmen-Abonnementvertrag definiert.

I. Zugangskontrollen und Hygiene
Die Kontrolle des Zugriffs auf sensible Systeme und die darin enthaltenen Daten ist ein zentraler Aspekt der Sicherheitsgrundsätze.

Der Abonnent ist verantwortlich für alle Zugangskontrollen im Hinblick auf seine Instanzen des Service. Hierzu gehören:
1. Erteilung, Änderung, laufende Hygiene und Überprüfung sowie Entziehung der Berechtigungen aller Benutzer, einschließlich Endbenutzer und Agenten (On-Premises, Remote und externe Mitarbeiter)
2. Auswahl und Konfiguration der Authentifizierungsmethoden für den jeweiligen Service aus dem unterstützten Angebot (Kennwörter, MFA, SSO usw.)
3. Konfiguration und Überwachung von Abmeldungen, angemeldeten Geräten und anderen Aspekten der Sitzungsverwaltung
4. Genehmigung oder Verweigerung des Zugangs unserer Supportmitarbeiter zu Ihrer Support-Instanz
5. Konfiguration des Zugriffs und Verwaltung der Nutzung der Zendesk REST-API-Services (sofern zutreffend, einschließlich Integrationen, Nutzung der Zendesk Sunshine Services usw.)
6. Konfiguration vom Produkt unterstützter IP-Beschränkungen (falls gewünscht)
7. Einsatz weiterer, nicht produktbezogener Zugangskontrollen (z. B. der für den Agentenzugriff auf Ihre Instanz zulässigen Gerätetypen) sowie anwendbarer physischer, logischer oder richtliniengestützter Kontrollen hinsichtlich Ihrer Benutzer oder zulässiger Geräte
Zendesk ist verantwortlich für alle Zugangskontrollen im Hinblick auf die dem Service zugrundeliegenden Systeme. Hierzu gehören:
1. Verwaltung von Richtlinien und Prozeduren für die sichere Erteilung, Änderung, laufende Hygiene und Überprüfung sowie Entziehung der Berechtigungen aller Benutzer (On-Premises, Remote und externe Mitarbeiter)
2. Anwendung der rollenbasierten Zugriffskontrolle (RBAC), des Prinzips der geringsten Privilegien (PLP) und einer hinreichend sicheren Benutzeranmeldung mit Multi-Faktor-Authentifizierung (MFA) aller Mitarbeiter und Vertragsnehmer für den Zugriff auf kritische Systeme und Anwendungen, die Servicedaten der Abonnenten enthalten
3. Regelmäßige Überprüfung der oben genannten Sicherheitsfunktionen

II. Integrationen
Die Einbindung externer Programme kann die Effizienz erheblich steigern, ist zugleich aber mit Sicherheitsrisiken verbunden.

Der Abonnent ist verantwortlich für alle im Hinblick auf die Nutzung externer Integrationen in den Service erforderlichen Sicherheitsmaßnahmen. Hierzu gehören:
1. Integrationen mittels API
2. Integrationen durch die Installation von Marketplace-Apps
3. Integrationen externer Dienstleister zur Bereitstellung von Mitarbeitern, Werkzeugen und Code oder Bedienung von Zendesk-Instanzen
Zendesk ist verantwortlich für die sorgfältige Integration externer Produkte und Partner in den Service. Hierzu gehören:
1. Sorgfältige Auswahl und laufende Überprüfung aller Unterauftragsverarbeiter
2. Sichere Integration von Akquisitionen in den Service
3. Anwendung geeigneter Sicherheitsmaßnahmen im Hinblick auf alle Produkt- und/oder Servicepartnerschaften mit externen Anbietern

III. Daten, Datenschutz, Compliance und Vorschriften
Die Verwaltung der verwendeten Daten, ihre ordnungsgemäße Verarbeitung, die Berücksichtigung der einschlägigen Vorschriften und die Einholung der Zusicherungen von Drittanbietern sind unerlässlich.

Der Abonnent ist verantwortlich für die ordnungsgemäße Verarbeitung der erfassten und verwendeten Daten. Hierzu gehören:
1. Korrekte Klassifizierung der jeweils verwendeten Datentypen
2. Behandlung der Daten entsprechend ihrer jeweiligen Klassifizierung und in Übereinstimmung mit den Datenschutzrichtlinien seines Unternehmen, den für die Daten selbst geltenden Gesetzen, den Vorgaben der Benutzer, die sie bereitstellen, und der Branche des Abonnenten sowie allen einschlägigen Rechtsvorschriften
3. Auswahl der für die Kommunikation mit seiner Instanz des Service zulässigen Kanäle
4. Wartung und Pflege der Instanzen und Servicedaten in Übereinstimmung mit den für die Branche, Benutzer oder Anwendung des Abonnenten geltenden Compliance-, Rechts- oder Regulationsvorschriften
5. Bereitstellung alternativer TLS-Zertifikate, sofern für die Verschlüsselung der Datenkommunikation mit Zendesk-UIs oder -APIs ein Host-Mapping zu einer nicht von Zendesk verwalteten übergeordneten Domäne gewünscht wird
6. Ordnungsgemäße Behandlung von Kanälen oder Protokollen, die möglicherweise keine verschlüsselte Übertragung von Daten zulassen (insbesondere E-Mail, SMS oder vom Abonnenten eigenständig eingerichtete Drittanbieter-Integrationen ohne Unterstützung für Verschlüsselung)
7. Einhaltung der Bestimmungen des Zendesk Rahmen-Abonnementvertrags im Hinblick auf die in der Instanz des Abonnenten verwendeten Datentypen
8. Auswahl der Verfügbarkeits- und Disaster Recovery-Stufe entsprechend den für den Abonnenten geltenden Richtlinien oder Vorschriften
Zendesk ist verantwortlich für:
1. Ordnungsgemäßer Schutz aller Servicedaten vor Offenlegung gemäß dem Service-Level (d. h. Infrastruktur oder Code)
2. Verschlüsselte Übertragung von Daten an oder von Zendesk-UIs oder -APIs über öffentliche Netzwerke
3. Verschlüsselte Speicherung aller Servicedaten
4. Informieren des Abonnenten über die durch produktinterne Cookies und im Rahmen der üblichen Nutzung der Services erfassten Daten
5. Genaue Beschreibung der Nutzung personenbezogener Informationen und anderer Servicedaten in anonymisierter und nicht anonymisierter Weise zur Bereitstellung unserer Services oder zu anderen Zwecken
6. Bereitstellung von Tools und Funktionen, die dem Abonnenten helfen, seinen Verpflichtungen im Hinblick auf die ordnungsgemäße Behandlung personenbezogener oder regulierter Daten nachzukommen
7. Einhaltung der für unsere Serviceangebote und Geschäftsstandorte geltenden Gesetze und Vorschriften
8. Einholung und Bereitstellung von Compliance-Zusicherungen der an unseren Serviceangeboten beteiligten Drittanbieter.

IV. Überwachung
Ordnungsgemäße Sicherheit erfordert Einblick in Prozesse und Aktivitäten.

Der Abonnent ist verantwortlich für die Überwachung aller Aktivitäten in seinen Instanzen des Service. Hierzu gehören:
1. Überwachung der Benutzeraktivität (mittels UI-Ansichten oder API-Protokollen)
2. Höchste Vorsicht im Hinblick auf die Kommunikation mit unbekannten Personen oder die Nutzung nicht vertrauenswürdiger Inhalte über den Service
3. Einhaltung aller einschlägigen Vorschriften im Hinblick auf die Speicherung von Protokollen oder aus dem Service extrahierten Daten
Zendesk ist verantwortlich für die Überwachung der Prozesse und Aktivitäten des Service an sich. Hierzu gehören.
1. Berechtigte Zugriffe und Aktivitäten innerhalb des Produktionsnetzwerks
2. Eingehender Datenverkehr zur Meldung von Sicherheitsproblemen und Blockierung böswilliger Übertragungen oder IP-Adressen
3. Serviceverfügbarkeit
4. Anomales Verhalten in Assets des Unternehmens- oder Produktionsnetzwerks
5. Sicherheit von Code, Infrastruktur, Datenverkehr sowie relevanten Mitarbeitern und Arbeitskräften von Vertragsnehmern

V. Sicherheitsvorfälle
Trotz größter Anstrengungen kann auch einmal etwas schiefgehen. Wie Sie einen Sicherheitsvorfall erkennen, auf ihn reagieren und sich von ihm erholen, ist entscheidend für eine erfolgreiche Schadensbegrenzung und den Erhalt des Kundenvertrauens. In diesem Abschnitt sind die Rollen und Verantwortlichkeiten der beiden Parteien während eines Sicherheitsvorfalls aufgeführt.

Der Abonnent ist verantwortlich für alle Sicherheitsvorfälle oder Sicherheitsverletzungen in seinen eigenen Instanzen, die nicht durch Schwachstellen oder Vorfälle im Service selbst verursacht wurden oder erfolgten. Hierzu gehören:

Untersuchung und Behebung vermuteter oder tatsächlicher Sicherheitsverletzungen in der jeweiligen Instanz, die durch (i) ungenügende Zugangskontrolle oder Hygiene, (ii) ungenügende Überwachung der Benutzeraktivitäten, (iii) ungenügende Sorgfalt bei der Kommunikation oder der Nutzung nicht vertrauenswürdige Inhalte aus Interaktionen mit Benutzern oder (iv) die eigenständige Integration eines Drittanbieters durch den Abonnenten verursacht wurde
Benachrichtigung von Regierungs- oder Strafverfolgungsbehörden bzw. Endbenutzern über Verstöße, die durch Handlungen des Abonnenten oder integrierter Drittanbieter verursacht wurden, oder über von Zendesk gemeldeten Servicedatenschutzverletzungen in der Instanz des Abonnenten

Zendesk ist verantwortlich für Kontrollen zur Untersuchung von Sicherheitsvorfällen sowie die Benachrichtigung betroffener Abonnenten über Servicedatenschutzverletzungen im Service selbst. Hierzu gehören:
1. Bereitstellung einer dokumentierten Richtlinie für die Reaktion auf Sicherheitsvorfälle sowie von Mitarbeitern mit entsprechenden Sicherheitsrollen und -verantwortungen.
2. Untersuchung anomaler Aktivitäten
3. Eindämmung bestätigter Servicedatenschutzverletzungen
4. Benachrichtigung der betroffenen Abonnenten bzw. der zuständigen Regierungs- oder Strafverfolgungsbehörden im gesetzlich vorgeschriebenen Rahmen
5. Bereitstellung robuster und erprobter Backup- und Disaster Recovery-Prozesse