資訊安全措施 (檔案資料)
本譯文僅供參考，若與英文版本牴觸，應以英文版本為準。
生效日期：2018 年 5 月 24 日
Slack 非常重視資料安全性。由於公開透明是本公司的立業原則，因此在安全做法方面，我們亦秉持這項原則，盡可能確保一切公開透明。
如有其他安全方面的問題，我們很樂意回答。請寫信至 feedback@slack.com，我們將盡快回覆。
保密
我們對於員工存取您或使用者透過 Slack 服務提供的資料 (以下稱「客戶資料」)，設有嚴格的控管措施，詳細規定記載於您與 Slack 就使用 Slack 服務訂立的協議。為使 Slack 服務順利運作，部分員工必須存取儲存與處理客戶資料的系統。舉例來說，為診斷您在使用 Slack 服務時遇到的問題，我們可能需要存取您的客戶資料。若非必要，員工不得利用這類權限檢視客戶資料。 我們設有技術控管措施及稽核政策，確保所有存取客戶資料的操作均留有記錄。
所有員工及約聘人員均必須遵守我們的客戶資料相關政策，我們也將這些問題視為公司內部的首要重任。
人員措施
Slack 會在錄用前對所有員工進行背景調查，並要求員工接受關於隱私及安全的就職及在職訓練。所有員工都必須詳閱並簽署 Slack 全面性資訊安全政策，其中涵蓋 Slack 服務的安全性、可用性及保密相關事項。
法規遵循
Slack 服務適用以下資安相關稽核及認證：
- ISO 27001 及 ISO 27018：Slack 符合 ISO 27001 與 ISO 27018 合規性要求。您可從這裡下載 ISO 27001 認證，並從這裡下載 ISO 27018 認證。如需適用性聲明，請向帳戶管理員索取。
- 服務組織控制 (SOC) 報告：Slack 已完成 SOC 2 稽核，如需 Slack 的最新報告，請向帳戶管理員索取。Slack 的 SOC 3 報告可從這裡下載。
- PCI：Slack 屬於 PCI 第 4 級廠商，已填寫支付卡產業資料安全標準之 SAQ-A 問卷。Slack 委託第三方以安全的方式處理信用卡資訊，Slack 目前並非取得 PCI 認證的服務供應商。
託管 Slack 服務的環境具有多項資料中心認證，包括 ISO 27001 合規、FedRAMP 授權、PCI 認證及 SOC 報告。如果想要深入瞭解認證及合規相關資訊，請造訪 AWS 資訊安全網站、AWS 合規網站、Google 資訊安全網站及 Google 合規網站。
團隊成員及管理員的安全功能
除基礎架構措施外，我們另為 Slack 服務付費版本的團隊管理員提供附加工具，讓使用者有能力保護客戶資料。
存取日誌
付費團隊的使用者及管理員都能取得詳細的存取日誌。我們在每次帳號登入時均進行記錄，包括記錄使用的裝置類型及連線的 IP 位址。
付費團隊的管理員及擁有者可檢視整個團隊的整合存取日誌。我們也讓管理員能隨時根據需求，輕鬆地遠端終止所有連線，並登出所有已通過 Slack 服務驗證的裝置。
全團隊雙因素驗證
團隊管理員可要求所有使用者為帳號設定雙因素驗證。設定方法請見說明中心。
單一登入
付費團隊管理員可將其 Slack 服務執行個體與各類單一登入提供者整合。「標準版」方案團隊可啟用 Google Apps for Domains 做為認證提供者，「增強版」方案團隊可透過 OneLogin、Okta、Centrify、Ping Identity 等提供者啟用 SAML SSO。
資料保留
Slack 付費團隊擁有者可針對整個團隊及個別頻道設定自訂訊息保留政策。 若自訂保留期限，系統將每天晚上刪除超過自訂期限的訊息或檔案。
刪除客戶資料
Slack 提供相關選項，讓工作空間主要擁有者可於訂閱期內隨時刪除客戶資料。在工作空間主要擁有者啟動刪除作業後 24 小時內，Slack 將從目前運作中的生產系統徹底刪除所有資訊 (不含團隊及頻道名稱，以及網路伺服器存取日誌中，網址所嵌入的搜尋字詞)。 Slack 服務備份將在 14 天內銷毀。*
歸還客戶資料
Slack 服務的匯出功能相關資訊請見說明中心。
傳輸中資料與待用資料加密
Slack 服務支援最新建議安全密碼套件及協定，可將所有傳輸中資料加密。客戶資料則進行靜態加密。
我們密切追蹤不斷變化的加密發展趨勢，在發現新的加密弱點時立即進行服務升級，並隨著最佳做法的演進採納最新最新標準。在將傳輸中資料加密時，我們亦注意平衡原有客戶的相容性需求。
可用性
我們瞭解您依靠 Slack 服務完成工作，因此致力於打造 Slack 成為值得信賴的高可用性服務。 我們的基礎架構架設於容錯系統上，無論是個別伺服器或整個資料中心出現故障皆可應對。 我們的營運團隊定期測試災難復原措施，並設有全年無休的待命團隊，可迅速解決各項意外事件。
災難復原
為確保可用性，我們將客戶資料重複儲存於代管供應商的多處資料中心。我們設有經過充分測試的備份及回復程序，可在重大災難發生後順利復原。我們每天晚上都會自動備份客戶資料及原始碼。若此系統發生故障，營運團隊將會收到警示。備份每 90 天接受一次完整測試，以確認我們的流程及工具皆運作正常。
網路保護
除了複雜的系統監控及記錄外，我們更在每次有伺服器在生產環境中進行存取時執行雙因素驗證。 我們的防火牆依照業界最佳做法設定，並使用 AWS 安全群組封鎖不需要的連接埠。
主機管理
我們會自動掃描生產環境主機的漏洞。如果發現 Slack 環境存在風險，將會修正相關問題。我們針對公司筆電執行螢幕鎖定及全磁碟加密。
記錄
Slack 在生產環境中，維持全面集中式記錄環境，其中涵蓋 Slack 服務的安全、監控、可用性、存取及其他指標相關資訊。相關日誌將由自動監控軟體進行資安事件分析，並由資安團隊負責監督把關。
事件管理與回應
若發生資安事件，且您的客戶資料遭到未經授權存取，Slack 將立即通知您。 Slack 設有事件管理政策及程序，有能力處理此類情況。
外部資安稽核
我們委託知名外部資安業者，定期針對 Slack 服務進行稽核，以確保資安措施健全無虞，並密切追蹤 Slack 服務是否存在資安研究界發現的新漏洞。除針對 Slack 服務及功能的定期及特定稽核外，我們亦持續針對網路平台進行混合自動掃描。
產品安全措施
新功能推出及設計變更前，資安團隊將進行安全檢查。 此外，程式碼在部署到生產環境前，必須經過自動化靜態分析軟體的檢查與測試，並由真人進行同儕審查。安全團隊與開發團隊密切合作，解決開發過程中可能會出現的其他安全問題。
Slack 亦實施安全程式異常回報獎勵方案。全球各地的資安研究人員持續測試 Slack 服務的安全性，並透過本方案回報問題。 有關本方案的詳細資訊請見回報獎勵網站。
*Slack 服務備份將在 14 天內銷毀，但若事件調查尚未完結，此期限可能會暫時延長。