Zendeskの責任共有モデル

Zendeskの責任共有モデル

詳細な設定が可能なZendeskは、迅速に拡張可能なカスタマーサービスプラットフォームを、幅広い業種の世界有数の大手企業に提供しています。 Zendeskのクラウドプラットフォームをカスタマーサービスのニーズに合わせて活用することで、オーバーヘッドを削減し、需要に合わせた拡張と、カスタマーと美しいまでにシンプルなやりとりが実現されます。

ビジネスをクラウドに移行すると、上記のようなメリットがもたらされる一方で、管理の責任の所在が曖昧になることがあります。そうした懸念を取り払い、シンプルな管理にするために、以下にZendeskの責任共有モデルをご紹介します。このフレームワークでは、どの当事者がお客様のデータのセキュリティとプライバシーに関連する管理に責任を持つかを明確にしています。意識の高いシステム管理者、企業のセキュリティ、コンプライアンス、機密情報の管理者、その他、企業環境でZendeskサービスを利用するうえで適切な管理体制の構築を担当している方であれば誰でも、この基準には注意すべき線引きが明確に示されていることがおわかりいただけるでしょう。

端的にいうと、「Zendeskはサービス自体のセキュリティを担当し、お客様はサービスの特定のインスタンス内のセキュリティを担当する」という役割分担です。

アクセス制御と衛生管理
インテグレーション
データ、プライバシー、コンプライアンス、法規制に関する考察
監視
セキュリティ事象（ロールと責任）
役に立つリンク

太字で表記された用語は、Zendeskマスターサブスクリプション契約（MSA）で定義された意味を持つものとします。

I. アクセス制御と衛生管理
機密性の高いシステムとその中のデータへのアクセスを制御することは、セキュリティの基本原則です。

サブスクライバー側の責任：以下のような方法で、本サービスのインスタンスへのすべてのアクセスを制御する
1. エンドユーザーやエージェント（オンプレミス、リモート、サードパーティの従業員を含む）などすべてのユーザーのプロビジョニング、変更、継続的な衛生管理、権限の正確性の維持プロビジョニング解除
2. サポートされている機能（パスワード、MFA、SSOなどを含む）からサービスへの認証方法を選択して設定
3. ログアウト、ログインしたデバイスなどのセッションの処理の設定と監視
4. サポートスタッフがサポートのためにお客様のSupportインスタンスにアクセスすることの許可または不許可
5. ZendeskのREST APIサービス（インテグレーションやZendesk Sunshine Serviceの利用など、必要に応じて）へのアクセスを設定し、その利用に伴う影響を理解
6. 必要に応じて、製品がサポートするIP制限を設定
7. インスタンスにアクセスする際にエージェントに使用を許可しているデバイスの種類や、エンドユーザーや許可されているデバイスに適用される物理的、論理的、ポリシー上のコントロールなど、製品に関連しない他のアクセスコントロールを考慮
Zendesk側の責任：以下のような方法で、サービスを支えるシステムへのすべてのアクセスを制御する
1. すべてのユーザー（オンプレミス、リモート、サードパーティの従業員を含む）の安全なプロビジョニング、変更、継続的な衛生管理、権限の正確性の維持、プロビジョニングの解除に関するポリシーと手順の維持
2. サブスクライバーのサービスデータを扱う重要なシステムおよびアプリケーションへのすべての従業員および請負業者のアクセスに対して、ロールベースのアクセス制御（RBAC）、最小特権の原則（PLP）、多要素認証（MFA）などの適切なクレデンシャルセキュリティ管理の実施
3. 上記の項目を定期的にチェック

II. インテグレーション
サードパーティの活用は、効率を大幅に向上させることができますが、セキュリティ上の配慮も必要とされます。

サブスクライバー側の責任：以下のような点について、本サービスで行うすべてのサードパーティのインテグレーションを活用することによるセキュリティへの影響を考慮する
1. API を介して行われるインテグレーション
2. マーケットプレイスアプリのインストールによるインテグレーション
3. スタッフ、ツール、コード、コード、Zendeskインスタンスの直接サービスを提供することで、サブスクライバーを支援するサードパーティとのインテグレーション
Zendesk側の責任：以下のような方法で、十分に注意しながら評価の高いサードパーティーをサービスに組み込む
1. すべてのサブプロセッサーの審査と継続的なデューデリジェンスの実施
2. 買収した技術を安全な方法でサービスに統合
3. サードパーティとの製品パートナーシップまたはサービスへの統合が適切なセキュリティ上の考慮事項であることを保証

III. データ、プライバシー、コンプライアンス、および規制上の考慮事項
使用中のデータ、その適切な処理、関連する規制上の枠組み、第三者による保証の重要性について考慮することは必須です。

サブスクライバー側の責任：以下のような方法で、取り込んで使用するデータを適切に取り扱う
1. 特定のユースケースに関わるデータタイプへの理解
2. 自社のデータ分類およびプライバシーポリシー、データ自体に関連する適用法、データを提供するユーザー、サブスクライバーの業界、および関連する法域に従って、該当するデータを取り扱う
3. サービスのインスタンスとのコミュニケーションを可能にするチャネルの選択
4. サブスクライバーの業界、ユーザー、またはユースケースが対象となる可能性のある、適用されるコンプライアンス、法律、または規制の枠組みに沿ってインスタンスおよびサービスデータを維持
5. ZendeskのUIまたはAPIとの間のトラフィックを暗号化するために、Zendesk以外の親ドメインへのホストマッピングが必要な場合に、Zendeskに代替TLS証明書を提供
6. 伝送中のデータが暗号化されていない可能性がある場所を理解し、その理解に基づいそうしたチャネルまたはプロトコルを処理（主に、メール、SMS、または暗号化をサポートしていないサブスクライバーの独自の裁量で構築されたサードパーティのインテグレーション）
7. サブスクライバーのインスタンスに関係するデータタイプが、Zendeskのマスターサブスクリプション契約（MSA）の条件に違反していないことを確認（Zendesk MSAを参照）
8. サブスクライバーが選択した連続稼働時間とディザスタリカバリのレベルが、サブスクライバーが遵守すべきポリシーや規制に準拠していることを保証
Zendesk側の責任：
1. すべてのサービスデータをサービスレベル (インフラやコードなど) での漏洩から適切に保護
2. 公共ネットワーク経由でZendeskのUIやAPIとの間で伝送中のデータを暗号化
3. 保管時のすべてのサービスデータを暗号化
4. 製品内のCookieによって収集されたデータおよびサービスのデフォルト使用に関する情報を加入者に提供
5. Zendeskがサービスを提供するために、匿名化および非匿名化またはその他の方法で、個人データを含むサービスデータをどのように使用するかを正確に記述
6. 個人データまたは規制データの適切な取り扱いに関して自身の義務を果たすのに役立つツールや機能をサブスクライバーに提供
7. Zendeskのサービス提供および事業所在地に関連する適用法および規制の枠組みを遵守
8. Zendeskが提供するサービスに関連して独立した第三者によるコンプライアンス証明書の取得と提供

IV. 監視
適切なセキュリティには、プロセスとアクティビティへの洞察が必要とされます。

サブスクライバー側の責任：以下のような方法で、サービスのインスタンス内のすべてのアクティビティを監視する
1. ユーザーのアクティビティの監視（UIのビューまたはAPIログによる）
2. 未知の個人とのコミュニケーションや、サービスを介して得られた信頼の置けないコンテンツに対するデューデリジェンスの実施
3. 適用される規則に従って、本サービスで取得したログまたはデータを保持
Zendesk側の責任：以下のような項目について、サービス自体のプロセスやアクティビティを監視する
1. 本番ネットワーク内の特権アクセスとアクティビティ
2. 既知の悪質な送信やIPアドレスに対して警告やブロックが必要とされる着信トラフィック
3. サービスの連続稼働時間
4. 企業または本番ネットワーク資産内での異常な挙動
5. コード、インフラストラクチャ、トラフィック、および関連する従業員または請負業者の要員のセキュリティ

V. セキュリティ事象
最善の努力をしていても、時にはうまくいかないこともあります。セキュリティ事象をどのように認識し、対応し、復旧させるかが、リスクの軽減を成功させ、カスタマーの信頼を維持するための鍵となります。このセクションでは、セキュリティ事象の発生時の各当事者の役割と責任について説明します。

サブスクライバー側の責任：以下のような項目に関連して、その特定のインスタンス内で発生したセキュリティ事象またはデータ漏洩（サービス自体の脆弱性や事象に起因するものではなく、脆弱性や事象を経由して引き起こされたものでもない）

特定のインスタンス内で、次のようなことが原因で引き起こされた疑いのある違反または実際の違反を調査して是正。(i) アクセス制御または衛生管理が不十分であったこと、(ii) ユーザーのアクティビティの監視が不十分であったこと、(iii) 通信またはユーザーとのやりとりに由来する信頼できないコンテンツに対するデューデリジェンスが履行されてなかったこと、(iv) サブスクライバーの独自の裁量で行われたサードパーティとの統合によってセキュリティ事象またはデータ侵害が発生したことなど。
サブスクライバーのアクション、統合されたサードパーティ、またはサブスクライバーのインスタンスに関してZendeskから受信したサービスデータ侵害の通知に関連して、政府機関、法執行機関、またはエンドユーザーに必要な通知を行う。

Zendesk側の責任：セキュリティインシデントの調査や、サービスを通じて発生した以下のようなサービスデータの侵害について、影響を受けるサブスクライバーに通知するための管理
1. 文書化されたセキュリティ事象への対応方針と、関連するセキュリティの役割と責任を持つスタッフの配置
2. 異常なアクティビティの調査
3. 確認されたサービスデータの侵害を含む
4. 法律で義務付けられている場合、影響を受けたサブスクライバー、関連する政府機関または法執行機関への通知
5. 堅牢なバックアップおよびディザスタリカバリの手順を確実に実施して、テストを実行