Garantice su seguridad y cumplimiento

Nos sometemos a auditorías de seguridad periódicas para recibir informes de SOC Tipo II actualizados, disponibles previa solicitud y después de firmar un acuerdo de confidencialidad. Solicitar el último informe SOC 2 Tipo II.

Zendesk cuenta con el certificado ISO 27001:2013. Descargar el certificado.

Zendesk cuenta con el certificado ISO 27018:2014. El certificado puede descargarse aquí.

Zendesk cuenta con el certificado ISO 27701:2019. El certificado puede descargarse aquí.

Zendesk cuenta con la autorización del FedRAMP para utilizar el software como servicio de bajo impacto (LI-SaaS) y figura en el Marketplace de FedRAMP. Los clientes de las agencias gubernamentales de los Estados Unidos pueden solicitar acceso al paquete de seguridad de Zendesk FedRAMP rellenando un formulario de solicitud de acceso al paquete aquí o enviando una solicitud a fedramp@zendesk.com.

Zendesk Support ofrece un campo de tarjeta de crédito configurable que censura todos los dígitos menos los cuatro últimos y, por lo tanto, cumple la normativa PCI. Más información sobre Zendesk y el cumplimiento de la normativa PCI.

Para mayor información sobre nuestro programa HIPAA y nuestro BAA

Para mayor información sobre nuestro programa HDS

Zendesk recibió el McAfee CloudTrust Program. El programa presenta el sello McAfee Enterprise-Ready únicamente para los servicios que tengan la evaluación CloudTrust™ más elevada posible. Estos se encuentran entre los servicios que han obtenido el CloudTrust™ de McAfee y una evaluación de McAfee Enterprise-Ready basada en sus atributos en las categorías de datos, usuario y dispositivo, seguridad, empresa y evaluación legal.

Zendesk es miembro de Cloud Security Alliance (CSA), una organización sin ánimo de lucro con la misión de promover el uso de las mejores prácticas para ofrecer garantías de seguridad en el ámbito de la informática en la nube. CSA ha publicado el Registro de Seguridad, Confianza y Garantía (Security, Trust & Assurance Registry, STAR), un registro accesible públicamente que documenta los controles de seguridad de diversas ofertas de informática en la nube. Con base en los resultados de nuestra autoevaluación de diligencia debida, Zendesk completó un Cuestionario de Iniciativa de Evaluación de Consenso (Consensus Assessment Initiative, CAI), que se encuentra disponible públicamente.

El CSA CAIQ está disponible aquí.

Zendesk es miembro de IT-ISAC, un grupo que engloba un conjunto diverso de empresas del sector privado cuyo objetivo es aprovechar las nuevas tecnologías y mantener un compromiso común con la seguridad. IT-ISAC facilita la colaboración y el intercambio de información relevante y aplicable sobre amenazas. Modera grupos de intereses especiales que se centran en la información de inteligencia, las amenazas internas, la seguridad física y otras áreas específicas para contribuir a nuestra misión de proteger Zendesk.

Zendesk es miembro de FIRST, una confederación internacional de equipos de respuesta a incidencias que cooperan para dar respuesta a las incidencias de seguridad informática y promover programas de prevención de incidencias. Los miembros de FIRST desarrollan y comparten datos técnicos, herramientas, metodologías, procesos y buenas prácticas. Como miembro de FIRST, Zendesk Security comparte con otros miembros sus conocimientos, habilidades y experiencia combinados para promover un entorno electrónico mundial más seguro y protegido.

Zendesk ha cumplido todos los requisitos (etapa y etapa ) para inscribirse en el sistema de calificación de proveedores FSQS (Financial Services Qualification System), según lo establecido por las organizaciones compradoras. Solicite el último Certificado FSQS aquí.

Más detalles sobre FSQS https://hellios.com/fsqs/.

Zendesk aloja los datos del servicio principalmente en centros de datos de AWS que poseen la certificación de conformidad con ISO (proveedor de servicios de nivel según la normativa PCI DSS) o de SOC tipo . Más información sobre Cumplimiento en AWS.

Los servicios de infraestructura de AWS incluyen alimentación de reserva, sistemas de calefacción, ventilación y aire acondicionado (HVAC) y equipos de lucha contra incendios para ayudar a proteger los servidores y, en última instancia, tus datos. Más información sobre los controles de los centros de datos en AWS.

La seguridad en las instalaciones de AWS incluye prestaciones como vigilantes de seguridad, barreras, fuentes de información sobre seguridad, tecnología de detección de intrusiones y otras medidas de protección. Más información sobre la seguridad física de AWS.

Zendesk utiliza los centros de datos de AWS de Estados Unidos, Europa y Asia-Pacífico. Más información sobre las ubicaciones de alojamiento de datos para tus datos de servicio de Zendesk.

Zendesk ofrece múltiples elecciones de localización de datos, incluidos los Estados Unidos (EE. UU.), Australia (AU), Japón, (JP) o el Espacio Económico Europeo (EEE). Para mayor información sobre las ofertas de producto, de plan y regionales, puede consultar nuestra Política de alojamiento de datos regional.

Nuestro Equipo de Seguridad distribuido a nivel mundial está disponible las 24 horas y los 7 días de la semana para responder a alertas y eventos de seguridad.

Nuestra red está protegida a través del uso de servicios de seguridad clave de AWS, de la integración con nuestras redes de protección de perímetro de Cloudflare, auditorías frecuentes y tecnologías de información de red, que supervisan y/o bloquean el tráfico malicioso conocido y los ataques de red.

Nuestra arquitectura de seguridad de red consiste en múltiples zonas de seguridad. Los sistemas más sensibles, como servidores de bases de datos, están protegidos en nuestras zonas de mayor confianza. Otros sistemas están albergados en zonas proporcionales a su sensibilidad, dependiendo de la función, la clasificación de la información y el riesgo. En función de la zona, se aplicarán controles adicionales de acceso y monitorización de la seguridad. Se utilizan DMZ en Internet e internamente entre las distintas zonas de confianza.

El examen de seguridad de red proporciona un análisis profundo para la identificación rápida de sistemas no conformes o potencialmente vulnerables.

Además de contar con un extenso programa de pruebas y análisis interno, Zendesk también contrata todos los años a expertos en seguridad independientes para realizar pruebas de penetración exhaustivas en todas las redes de producción y corporativas de Zendesk.

Nuestro sistema de gestión de eventos de incidentes de seguridad (Security Incident Event Management, SIEM) reúne amplios registros de importantes dispositivos de red y de sistemas de alojamiento. El SIEM alerta al Equipo de Seguridad de factores desencadenantes en función de eventos correlacionados para su investigación y respuesta.

Los puntos de ingreso y salida del servicio se instrumentan y monitorizan para detectar comportamientos anómalos. Estos sistemas están configurados para generar alertas cuando los incidentes y los valores superan determinados umbrales y usan firmas actualizadas con regularidad basadas en nuevas amenazas. Esto incluye una monitorización del sistema las 24 horas, los 7 días de la semana.

Zendesk participa en varios programas de intercambio de información sobre amenazas. Supervisamos las amenazas publicadas en esas redes de información sobre amenazas y adoptamos medidas en función de los riesgos.

Zendesk ha concebido un enfoque multicapa para la mitigación de DDoS. Una cooperación tecnológica esencial con Cloudflare ofrece defensas para el perímetro de red, mientras que el uso de las herramientas de escalabilidad y protección de AWS proporcionan una protección más profunda junto con nuestro uso de servicios específicos de DDoS de AWS.

El acceso a la red de producción de Zendesk se limita a una necesidad de conocimiento explícita, utiliza el enfoque de privilegio mínimo, se somete a auditorías y supervisiones frecuentes y está controlado por nuestro Equipo de Operaciones. Los empleados que acceden a la red de producción de Zendesk tienen que usar múltiples factores de autenticación.

En caso de alerta del sistema, los eventos se remiten a nuestros equipos activos las 24 horas y los 7 días de la semana, que ofrecen cobertura en operaciones, ingeniería de redes y seguridad. Los empleados reciben formación sobre los procesos de respuesta a incidentes de seguridad, incluidos los canales de comunicación y las vías de remisión.

Todas las comunicaciones con UI y las API de Zendesk están cifradas mediante HTTPS/TLS (TLS 1.2 o mayor) estándar del sector en las redes públicas. Esto garantiza que todo el tráfico entre usted y Zendesk esté protegido durante su tránsito. Para el correo electrónico, nuestro producto además hace uso de un TLS oportunista por defecto. El protocolo de seguridad de la capa de transporte (Transport Layer Security, TLS) cifra y entrega el correo electrónico de forma segura, mitigando el entrometimiento entre servidores de correo cuando servicios homólogos den soporte a este protocolo. Las excepciones de cifrado pueden incluir cualquier uso de la funcionalidad SMS en el producto, otra aplicación o integración de terceros, o bien los suscriptores de servicio pueden optar por hacer uso de ello según su propio criterio.

Los datos de servicio están cifrados en reposo en AWS mediante el cifrado clave AES-256.

Zendesk mantiene una página web de acceso público con el propósito de proporcionar datos de disponibilidad del sistema, información sobre tareas de mantenimiento programadas, el historial de los incidentes de mantenimiento y reparación, y los eventos de seguridad importantes.

Zendesk emplea el agrupamiento de servicios y las redundancias de red para eliminar puntos únicos de error. Nuestro estricto régimen de copia de seguridad o nuestra oferta de servicios de recuperación ante desastres mejorada nos permiten ofrecer un alto nivel de disponibilidad del servicio, ya que los datos del servicio se replican en las zonas de disponibilidad.

Nuestro programa de recuperación ante desastres garantiza que nuestros servicios seguirán estando disponibles y que la recuperación se podrá realizar fácilmente ante la eventualidad de un desastre. Este objetivo se alcanza creando un entorno técnico de gran solidez, elaborando planes de recuperación en casos de desastre y llevando a cabo actividades de prueba.

Nuestro paquete de recuperación ante desastres mejorada incluye objetivos contractuales de tiempo objetivo de recuperación (RTO) y de punto objetivo de recuperación (RPO). Dichos objetivos se alcanzan gracias a nuestra capacidad para dar prioridad a las operaciones de los clientes de recuperación ante desastres mejorada durante cualquier desastre declarado.

Obtenga más información sobre Garantías de recuperación ante desastres.

Formación sobre código seguro anual para todos los ingenieros, basada en los 10 principales riesgos de seguridad de OWASP.

Zendesk hace uso de marcos de código abierto modernos y seguros con controles de seguridad para limitar la exposición a los 10 principales riesgos de seguridad de OWASP. Estos controles inherentes reducen nuestra exposición a SQL Injection (SQLi), Cross Site Scripting (XSS), y Cross Site Request Forgery (CSRF), entre otros.

Nuestra área de Garantía de Calidad (Quality Assurance, QA) revisa y prueba nuestro código base. Los ingenieros que se dedican a la seguridad de las aplicaciones detectan, prueban y filtran vulnerabilidades de seguridad en código.

Los entornos de prueba y de simulación están lógicamente separados del entorno de producción. No se usan datos de servicio en nuestros entornos de desarrollo o de prueba.

Recurrimos a herramientas de seguridad externas para examinar continua y dinámicamente nuestras aplicaciones centrales en relación con riesgos comunes de seguridad en aplicaciones web, incluidos, a modo de ejemplo, los 10 mayores riesgos de seguridad de OWASP. Contamos con un Equipo de Seguridad de productos interno que realiza pruebas y trabaja con equipos de ingeniería a fin de subsanar cualquier problema que se detecte.

Examinamos las bibliotecas y dependencias utilizadas en nuestros productos para detectar vulnerabilidades y asegurarnos de que estas se gestionan.

Además de nuestro extensivo programa interno de pruebas y exámenes, Zendesk emplea a expertos en seguridad externos para realizar pruebas de penetración detalladas en distintas aplicaciones dentro de nuestra familia de productos.

Nuestro programa de revelación responsable ofrece a los investigadores de seguridad y a los clientes un medio para hacer pruebas sin riesgo y notificar a Zendesk cualquier vulnerabilidad de seguridad mediante nuestra alianza con HackerOne.

Zendesk proporciona varias opciones de autenticación: los suscriptores pueden activar la autenticación Zendesk nativa, el inicio de sesión único (single sign-on, SSO) mediante redes sociales (Facebook, Twitter, Google) y/o SSO de empresa (SAML, JWT) para la autenticación de usuarios finales y/o agentes. Más información sobre el acceso del usuario.

La autenticación nativa de Zendesk en los productos, que se obtiene con el Centro de administración, proporciona los niveles de seguridad de contraseñas bajo, mediano y alto, además de reglas de contraseña personalizadas para agentes y administradores. Con Zendesk se puede configurar un nivel de seguridad de contraseñas para los usuarios finales y otro diferente para los administradores y agentes. Solo los administradores pueden cambiar el nivel de seguridad de las contraseñas. Más información sobre las políticas de contraseña configurables.

La autenticación nativa de Zendesk en los productos, que se obtiene con el Centro de administración, ofrece  factores (FA) para los agentes y administradores mediante SMS o una aplicación de autenticación. Más información sobre 2FA.

Zendesk respeta las mejores prácticas de almacenamiento seguro de credenciales al no almacenar nunca contraseñas en formato legible para humanos, sino solo cifradas de manera aleatorizada, segura y unidireccional.

El acceso a datos en las aplicaciones Zendesk está regido por el control de acceso por función (role-based access control, RBAC) y puede configurarse para definir privilegios de acceso detallados. Zendesk admite varios niveles de permiso para los usuarios (propietario, administrador, agente, usuario final, etc.).

Más información sobre funciones de usuario:

• Funciones de soporte predeterminadas
• Funciones de soporte personalizado *Solo empresas
• Funciones predeterminadas de chat
• Funciones personalizadas de chat *Solo empresas
• Funciones predeterminadas de Explore
• Funciones predeterminadas de Guide
• Funciones predeterminadas de Talk
• Tiempo de sesión

Detalles sobre seguridad global y acceso del usuario

Cualquier cuenta de Zendesk puede limitar el acceso a su soporte Zendesk a usuarios dentro de un rango específico de direcciones IP. Solo podrán registrarse en su cuenta Zendesk los usuarios procedentes de las direcciones IP permitidas. Puede permitir que los suscriptores (no agentes ni administradores) se salten esta limitación. Para mayor información, consulte Limitar el acceso al soporte de Zendesk y a su centro de ayuda mediante limitaciones de IP y Limitar el acceso al chat según la IP.

Zendesk ofrece cifrado TLS gratuito para centros de ayuda Guide con alojamiento mapeado. Zendesk utiliza Let’s Encrypt para solicitar certificados y renueva automáticamente el certificado antes de que caduque.

También puede subir su propio certificado, si así lo decide.

Para mayor información sobre el establecimiento de certificados de cifrado para un centro de ayuda Guide, consulte Establecer un certificado de cifrado TLS alojado.

Zendesk Chat ofrece la posibilidad de limitar qué tipos de archivos se envían a los agentes. De forma alternativa, puede optar por desactivar totalmente el envío de archivos a través del chat. Para saber más sobre esta función, consulte Gestionar el envío de archivos en el chat en directo.

Zendesk ofrece Registros de auditoría a cuentas con planes Enterprise/Enterprise Plus. Estos registros incluyen cambios de cuenta, cambios de usuario, cambios de aplicación, reglas profesionales, supresión de tickets y configuraciones. El Registro de auditoría está disponible tanto en el Centro de administración como en la API de soporte. Para saber más sobre los Registros de auditoría y ver qué información está disponible en el registro, consulte Ver cambios en el registro de auditoría.

Los suscriptores pueden configurar su instancia de modo que los usuarios tengan que iniciar sesión para visualizar los adjuntos de tickets. Más información sobre Adjuntos privados.

Zendesk proporciona dos tipos de ocultación para eliminar datos sensibles: La censura manual permite censurar, o suprimir, los datos confidenciales incluidos en los comentarios de los tickets de Support, así como borrar los archivos adjuntos, con el fin de proteger la información confidencial. Los datos se censuran en los tickets desde la IU o la API para evitar que se guarde información confidencial en Zendesk. Más información sobre la ocultación a través de UI o API.

La ocultación automática permite ocultar automáticamente los números de tarjetas bancarias en los tickets que envíe el suscriptor. Cuando se active, los números de tarjetas bancarias se sustituirán parcialmente con casillas en blanco en el ticket. También se ocultan en los registros y entradas en bases de datos. Para saber más sobre cómo activar esta función y cómo se detectan los números de tarjetas bancarias, consulte Ocultación automática de números de tarjetas bancarias en tickets y en chats.

El servicio de filtrado de spam de Zendesk impide que los usuarios finales publiquen spam en el Centro de ayuda. Más información sobre filtrado de spam en Guide.

Zendesk ofrece DKIM (correo identificado por claves de dominio) y DMARC (autenticación de mensajes, informes y conformidad basada en dominios) para firmar los mensajes de correo electrónico que envía Zendesk, siempre que se haya configurado un dominio de correo electrónico externo en la cuenta de Zendesk. Los servicios de correo electrónico que admiten estas funciones permiten prevenir el spoofing del correo. Más información sobre cómo firmar digitalmente el correo electrónico.

Zendesk lleva un seguimiento de los dispositivos que se utilizan para iniciar sesión en las cuentas de los usuarios. Cuando una persona inicia sesión en una cuenta desde un dispositivo nuevo, este se añade a la lista de dispositivos en el perfil del usuario. El usuario recibe una notificación por correo electrónico cuando se añade un dispositivo nuevo y debe investigar este hecho si la actividad le parece sospechosa. Las sesiones sospechosas pueden cerrarse desde la IU del agente. Más información sobre el seguimiento de dispositivos.

Zendesk ha desarrollado un exhaustivo conjunto de políticas de seguridad que cubren una amplia variedad de temas. Estas políticas se comparten y se ponen a disposición de todos los empleados y contratistas con acceso a los activos de información de Zendesk.

Todos los empleados asisten a una Formación de concienciación sobre seguridad, que se imparte tras la contratación y con carácter anual en lo sucesivo. Todos los ingenieros reciben una Formación de código seguro anual. El Equipo de Seguridad ofrece actualizaciones adicionales en materia de concienciación sobre seguridad por correo electrónico, en publicaciones de blogs y en presentaciones durante eventos internos.

Zendesk lleva a cabo comprobaciones de antecedentes de todos los nuevos empleados de acuerdo con las leyes locales. Estas comprobaciones también son necesarias para los contratistas. Las comprobaciones de antecedentes incluyen verificaciones de carácter penal, formativo y laboral. Los equipos de limpieza también están incluidos.

Todos los nuevos empleados tienen que firmar acuerdos de no divulgación y de confidencialidad.

Información detallada sobre cómo y cuándo usamos cookies en los sitios web de Zendesk.

Ofrece información sobre cómo y cuándo Zendesk usa cookies en los servicios Zendesk.

Cómo se suprimen los datos de servicio de nuestros suscriptores en relación con la cancelación, rescisión o migración de una cuenta en los Servicios Zendesk.

Este marco aclara las responsabilidades de cada parte con respecto a los controles relacionados con la seguridad y la privacidad de sus datos.

Los suscriptores pueden hacer uso de nuestra Plantilla de accesibilidad de producto voluntaria al realizar sus valoraciones preliminares.

Los niveles mínimos que esperamos de nuestros directivos, directores, empleados y trabajadores temporales en el desempeño de nuestras actividades.

Información detallada sobre cómo y cuándo usamos cookies en los sitios web de Zendesk.

Ofrece información sobre cómo y cuándo Zendesk usa cookies en los servicios Zendesk.

Cómo gestiona Zendesk las notificaciones de infracción.

Cómo se suprimen los datos de servicio de nuestros suscriptores en relación con la cancelación, rescisión o migración de una cuenta en los Servicios Zendesk.

Aborda el procedimiento de Zendesk para responder a una solicitud recibida de una autoridad de aplicación de la ley o gubernamental de otro tipo.

Describe cómo Zendesk recopila, utiliza, comparte y protege los datos personales.

Dónde pueden alojarse los datos de servicio de Zendesk si un suscriptor compra o activa el complemento de ubicación del centro de datos.

Programas mediante los que los investigadores de seguridad informan que detectaron vulnerabilidades de seguridad en los servicios Zendesk.