Questa è la terza e ultima installazione della nostra serie sulle prassi ottimali per la sicurezza. Fornisce un riferimento di base a livello di prodotto su come gestire in modo sicuro e corretto l’istanza di Zendesk Suite. Come sempre, ti consigliamo vivamente di prendere in considerazione l'implementazione di questi controlli e consigli sui prodotti all'inizio dell'adozione e di rivedere regolarmente le impostazioni e le best practice aziendali per garantire che siano appropriate al caso d'uso specifico e che i tuoi dipendenti rispettino correttamente. La formazione di agenti e amministratori su come applicare questi controlli sui prodotti aiuterà a ridurre al minimo l’esposizione ai rischi, in linea con il nostro Modello di responsabilità condivisa.
Per una panoramica di alto livello delle nostre prassi di sicurezza consigliate, consulta Prassi generali per la sicurezza documento. Se hai bisogno di una risorsa di sicurezza più approfondita (ma non specifica del prodotto), dai un'occhiata al nostro Guida alla sicurezza fruibile da Zendesk Suite.
Questo articolo contiene le sezioni seguenti sui controlli dei prodotti Zendesk Suite:
Prassi ottimali per la sicurezza: Controlli prodotto Zendesk Suite
Support
- Introduzione all’account. Abilita (o disabilita) i privilegi temporanei o permanenti che consentono al personale Zendesk di accedere a un account per un periodo di tempo specifico, senza influire sulla licenza o sul numero di agenti consentiti. Tieni presente che l'abilitazione delle funzioni potrebbe essere annullata da personale Zendesk specializzato in caso di emergenza o quando l'uso dell'account o dell'applicazione viola l'Accordo sui servizi principali.
- Configurazioni password personalizzate. Personalizza il tuo livello di sicurezza della password per allinearlo alle policy interne. Zendesk offre i seguenti livelli di sicurezza della password: Consigliata, Alta, Media e Bassa. Per la procedura di implementazione, consulta Impostazione del livello di sicurezza della password . Nota: Quando l’autenticazione Zendesk è abilitata, puoi impostare limitazioni per la scadenza delle sessioni/timeout di inattività e/o la scadenza della password a livello di agente/amministratore.
- Autenticazione a due fattori (2FA) Implementa un secondo livello di sicurezza dell’autenticazione. Disponibile in modo nativo nel prodotto tramite messaggio SMS o da un’app di autenticazione a 2 fattori installata sul dispositivo mobile dell’utente, oppure come soluzione 2FA da usare in caso di abbinamento a Single Sign-On nel tuo ambiente.
- Single Sign-On (“SSO”) (per account di utenti finali aziendali e social). Riduci il numero di piattaforme di attacco facendo in modo che gli utenti eseguano l’accesso una sola volta, con un unico set di credenziali.
- Limita gli indirizzi IP. Limita l’interfaccia agente solo agli utenti provenienti da un intervallo specifico di indirizzi IP approvati.
- Accesso sicuro agli allegati. Attivando gli allegati privati, richiede agli utenti di accedere al proprio account prima di accedere agli allegati.
- Scansione malware. Gli amministratori devono seguire le linee guida aziendali su come gestire gli allegati contrassegnati dalla scansione antimalware.
- Mascheramento. Maschera i dati personali o sensibili su richiesta nello spazio di lavoro agente (con accesso come amministratore/agente).
-
Email
-
- Archivia le comunicazioni dei clienti per scopi legali o di verifica.
- Disabilita i contenuti avanzati nelle email (ad es., non solo testo/HTML).
- Rimuovi dalle autorizzazioni gli indirizzi email di assistenza inutilizzati.
- Disabilita l’indirizzo email con caratteri jolly quando non è necessario.
- Abilita l’autenticazione email con SPF, DKIM e DMARC per ridurre lo spoofing e le email aziendali compromesse.
- Usa DKIM per le email in uscita per verificare l'origine delle email (ad esempio, dall'interno della tua organizzazione)
- Personalizza le email per migliorare la trasparenza e contribuire a creare fiducia tra clienti e agenti.
-
- SPAM. Assicurati che i ticket non vengano contrassegnati erroneamente come “SPAM” tramite le notifiche dei ticket sospesi.
- Monitoraggio del dispositivo. Gestisci i dispositivi degli utenti e rimuovi quelli non più in uso (con accesso di agente/amministratore).
- Sandbox. Ti consigliamo di usare un ambiente sandbox per testare e avviare il codice prima che venga inserito nell’ambiente di produzione. Tieni presente che questa opzione è disponibile solo con i piani Enterprise.
- App Support per dispositivi mobili. Decidi se consentire l'accesso agli agenti tramite l'app Support per dispositivi mobili e, in caso contrario, rimuovere l'accesso all'app per dispositivi mobili nel Centro amministrativo in "Altre impostazioni di sicurezza". Tieni presente che l’accesso all’API tramite password deve essere consentito affinché le app mobili funzionino.
- Dati della carta di credito (PCI). Nascondi automaticamente i dati delle carte di credito (potrebbero essere applicate limitazioni) o aggiungi un campo per carta di credito conforme allo standard PCI
-
Gestione dei registri.
-
- Registri di verifica. Gestisci i registri di verifica per tenere traccia delle modifiche nel tuo account. Esporta i report tramite API o in formato CSV. Disponibile solo con i piani Enterprise.
- Registri interazioni ticket/eventi. Visualizza tutte le azioni e le notifiche che si sono verificate nel tuo account.
- Registri di integrazione. Tieni traccia della sincronizzazione dei dati tra la tua istanza di Support e la tua integrazione tramite questo strumento nel Centro amministrativo.
-
- Verifica utente finale. Richiedi gli utenti finali per registrare e verificare il loro indirizzo email.
- Privilegio minimo. Limita l’accesso degli utenti per garantire che abbiano accesso solo ai prodotti dipendenti dai compiti. Ulteriori informazioni sui ruoli utente in Support.
- Ruoli personalizzati. Accesso ai delegati per ruolo/mansione. Tieni presente che questa funzione è disponibile solo con i piani Enterprise.
- Elenco consentito. Definisci chi ha l’accesso alla tua istanza per ridurre l’esposizione di dati sensibili e l’accesso non autorizzato al sistema.
- Incluso in un elenco bloccato. Sospendi, rifiuta o impedisci agli utenti di accedere alla tua istanza se/quando rilevi una minaccia per la tua sicurezza.
- Rimuovi account/utenti. Verifica regolarmente gli utenti del tuo account e sospendere o abbassare di livello gli utenti che non hanno più bisogno di accedere al tuo sistema.
- Ruoli personalizzati. Delega l’accesso in base al ruolo/descrizione del lavoro. Tieni presente che questa funzione è disponibile solo per il piano Enterprise.
- Blocco CC e follower. Impedisci ad altri di farlo essere taggati nei ticket e notificati delle conversazioni con i clienti per limitare l’accesso alle informazioni sensibili dei clienti e la vulnerabilità a una violazione dei dati.
- Limita la durata delle sessioni inattive per membri del team e utenti finali. Aiuta a limitare il periodo di tempo durante il quale una sessione può essere utilizzata, prima che l’accesso debba essere ripetuto per ridurre l’accesso non autorizzato a sistemi e dati.
- Disabilita la possibilità per gli amministratori di impostare le password per gli utenti. Applica il privilegio minimo e rimuovi la possibilità di impostare una password senza che un utente applichi l’autenticazione 2FA e verifichi il proprio indirizzo email attraverso la normale procedura di reimpostazione della password. Vedi questo documento per ulteriori informazioni sull’impostazione dei livelli di sicurezza delle password.
- Webhook. Usa il protocollo TLS/HTTPS per collegarti in sicurezzaa endpointdi terzi , comeappli cazione o sitiweb .
- Zendesk Marketplace Installa solo applicazioni di terzi affidabili. Per maggiori informazioni, consulta qui.
-
Accesso API
-
- Disabilita l’accesso all’API tramite password per limitare l’esposizione delle informazioni protette.
- Token API. Chiedi al tuo amministratore di impostare l’accesso con privilegi minimi per ridurre il numero di persone che hanno accesso alla tua API e ai dati sensibili dei clienti (ad es. PII, PHI, ecc.). Consulta i Requisiti di configurazione di sicurezza per gli account abilitati HIPAA o HDS per informazioni sulla gestione dei token API.
-
- Client OAuth . Proteggi l’accesso alla tua API (e ai dati correlati). Scegli il tipo di flusso giusto per il tuo caso d’uso e, se possibile, preferisci Concessione codice di autorizzazione o Concessione implicita anziché Concessione password. Visita OWASP per un elenco dettagliato delle best practice del settore.
- Creazione automatica di app e integrazioni Per le best practice relative alle app e all’integrazione, visita il portale della documentazione.
Guide/Gather
- Contenuti moderati. Consulta i contenuti di Guide/Gather per assicurarti che lo SPAM non venga inviato al Centro assistenza.
- API. Disabilita l’accesso tramite password all’API per ridurre al minimo l’esposizione di dati sensibili.
- Token API. Chiedi al tuo amministratore di impostare l’accesso con privilegi minimi per ridurre il numero di persone che hanno accesso alla tua API e le opportunità di compromissione dei dati.
- Limita l’accesso al Centro assistenza. Applica limitazioni relative agli indirizzi IP per limitare l’accesso degli utenti in base all’autenticazione e alla segmentazione.
- Articoli Registri interazioni/eventi. Visualizza tutte le azioni intraprese dagli agenti in un articolo per garantire la conformità alle best practice aziendali.
- Nome visualizzato agente/alias. Consenti agli agenti di personalizzare le proprie firme, aumentando la fiducia tra agenti e clienti e la sicurezza online degli agenti.
- Contenuto non sicuro. Impedisce la visualizzazione di contenuti non sicuri nel Centro assistenza.
Chat
- API Chat. Chiedi al tuo amministratore di impostare l’accesso con privilegi minimi per ridurre il numero di persone che hanno accesso a dati sensibili. Assicurati di riconoscere le seguenti limitazioni.
- Elenco consentiti allegati nativi. Limita la condivisione dei file alle sole estensioni necessarie per compiti specifici.
- Gating tramite Support. Applica configurazioni di sicurezza a catena a tutti i prodotti (applicabile solo ai piani Suite).
- Dati della carta di credito (PCI). Nascondi automaticamente i dati delle carte di credito nelle chat e nella cronologia chat (potrebbero essere applicate limitazioni) per ridurre la compromissione dei dati.
- Nome visualizzato agente/alias. Consenti agli agenti di personalizzare le proprie firme, aumentando la fiducia tra agenti e clienti e la sicurezza online degli agenti. (Chat autonomo)
- Autenticazione visitatore. Abilita l’autenticazione dei visitatori tramite token o segreto condiviso per garantire che solo gli utenti autorizzati possano accedervi.
- Controlli di autenticazione. Invia allegati di chat private con controlli di autenticazione (disponibile solo con lo Spazio di lavoro agente).
- Incluso in un elenco bloccato. Sospendi, rifiuta o impedisci agli utenti di accedere al tuo account se/quando rappresentano un rischio per la tua sicurezza o violano le policy aziendali.
- Limita il Chat Widget in base alla località (ad es., Paese o dominio) per ridurre la tua esposizione ai malintenzionati e/o agli stati-nazione.
- Ruoli personalizzati. Delega l’accesso a Chat in base al ruolo/descrizione del lavoro. Tieni presente che questa funzione è disponibile solo con i piani Enterprise.
Talk
- Registrazione delle chiamate. Attiva o disattiva la registrazione delle chiamate in base al numero, al chiamante o all’utente finale.
- Elimina registrazioni. Eliminazione automatica delle registrazioni: consente di eliminare automaticamente le registrazioni dei talk.
- Funzione di eliminazione registrazione API Talk. Usa questa funzione per gli endpoint per eliminare a livello di codice le registrazioni dai ticket, ove applicabile. L’eliminazione manuale può essere applicata anche per l’ obbligo di cancellazione, per il diritto all’oblio e per i requisiti di conformità e privacy del settore. Nota: Mascheramento automatico è una funzione separata che attualmente non può essere usata per rimuovere i dati delle carte di credito dalle trascrizioni dei messaggi di posta vocale.
Sell
- Introduzione all’account. Abilita (o disabilita) i privilegi temporanei o permanenti che consentono al personale Zendesk di accedere a un account per un periodo di tempo specifico, senza influire sulla licenza o sul numero di agenti consentiti. Tieni presente che l'abilitazione delle funzioni potrebbe essere annullata da personale Zendesk specializzato in caso di emergenza o quando l'uso dell'account o dell'applicazione viola l'Accordo sui servizi principali.
- Configurazioni password personalizzate. Personalizza il tuo livello di sicurezza della password per allinearlo alle policy interne. Zendesk offre i seguenti livelli di sicurezza della password: Consigliata, Alta, Media e Bassa. Per la procedura di implementazione, consulta Impostazione del livello di sicurezza della password .
- Scadenza/inattività sessione. Imposta un protocollo di timeout minimo affinché gli agenti riducano l’esposizione dei dati sensibili a personale non autorizzato e/o ad attacchi esterni.
- Autenticazione a due fattori (“2FA”). Implementa un secondo livello di sicurezza dell’autenticazione. Disponibile in modo nativo nel prodotto tramite messaggio SMS oppure come soluzione 2FA da usare in caso di abbinamento a Single Sign-On nel tuo ambiente.
- Single Sign-On (“SSO”) (per account di utenti finali aziendali e social). Riduci il numero di piattaforme di attacco facendo in modo che gli utenti eseguano l’accesso una sola volta, con un unico set di credenziali.
- Client OAuth in Sell . Proteggi l’accesso alla tua API (e ai dati correlati). Visita OWASP per un elenco dettagliato delle best practice del settore. Scegli il tipo di flusso più adatto al tuo caso d’uso e, se possibile, preferisci Concessione codice di autorizzazione o Concessione implicita anziché Concessione credenziali password.
- Privilegio minimo. Limita l’accesso degli utenti per garantire che gli utenti possano accedere solo ai prodotti necessari per uno specifico compito autorizzato.
- Incluso in un elenco bloccato. Sospendere, rifiutare o impedire agli utenti di accedere all’account se/quando rappresentano un rischio per la sicurezza o violano le policy aziendali.
- Account/utenti obsoleti. Verifica regolarmente gli utenti del tuo account e sospendi/abbassa gli utenti che non hanno più bisogno di accedere al tuo sistema.
Explore
- Gestisci le autorizzazioni di Explore. Abilita l’accesso a Explore in base al privilegio minimo (con accesso amministratore).
- Imposta le autorizzazioni del dataset. Imposta le autorizzazioni del dataset usando l’accesso con privilegi minimi (con accesso amministratore).
Messaggistica (nativa)
- Autenticazione utente finale. Abilita l’autenticazione degli utenti finali per il Web Widget e l’SDK per dispositivi mobili.
- Elenco consentito. Consenti il caricamento del Web Widget solo su domini specifici.
Avvertenza sulla traduzione: questo articolo è stato tradotto usando un software di traduzione automatizzata per fornire una comprensione di base del contenuto. È stato fatto tutto il possibile per fornire una traduzione accurata, tuttavia Zendesk non garantisce l'accuratezza della traduzione.
Per qualsiasi dubbio sull'accuratezza delle informazioni contenute nell'articolo tradotto, fai riferimento alla versione inglese dell'articolo come versione ufficiale.