資訊安全措施
本譯文僅供參考，若與英文版本牴觸，應以英文版本為準。
發布日期：2021 年 10 月 1 日
Slack 非常重視資料安全性。由於公開透明是本公司賴以建立的原則，因此我們在安全處理方面儘可能保持公開透明。如果您對安全方面有其他疑問，我們很樂意回答。請寫信至 feedback@slack.com，我們將儘快回覆。
平台控制
架構和資料區隔
Slack 服務在平台和基礎架構層的多租戶架構上運作，旨在區隔和限制對您和您的使用者存取透過 Slack 服務提供的資料，明確規定請見您與 Slack (或其關係企業) 根據業務需要就 Slack 服務 (「客戶資料」) 之使用所達成的協議。該架構會透過專屬識別碼為每一位客戶提供邏輯資料區隔。
公有雲基礎架構
Slack 服務託管於網際網路託的「公有雲」上，由第三方供應商向任何想要使用或購買運算服務的人提供。如同所有雲端服務，公有雲服務在供應商管理的遠端伺服器上運作。
稽核
Slack 服務由內部人員和知名外部資安業者，定期針對 Slack 服務進行稽核，以確保資安措施健全無虞，並檢查 Slack 服務是否存在資安研究界發現的新漏洞。除針對 Slack 服務及功能的定期及特定稽核外，我們亦持續針對網路平台進行混合自動掃描。客戶如需相關外部稽核報告，請從這裡下載。
認證
認證會在 Slack 服務上進行，客戶可在這裡下載相關認證。
安全性控制
Slack 將實施並維護適當的技術和組織措施，以保護您的客戶資料，避免遭受意外或非法破壞、遺失、竄改及未經授權揭露或存取透過 Slack 服務處理或傳輸的客戶個人資料。Slack 服務提供多項安全性控制，包括但不限於：
- 存取記錄。詳細存取日誌可供付費團隊的使用者及管理員取得。我們在每次帳戶登入時，均加以記錄，包括使用裝置類型及連線的 IP 位址。付費團隊的團隊管理員及擁有者，可檢視整個團隊的合併存取日誌。
- 存取管理。若經要求，管理員可隨時於遠端終止所有連線，並登出透過 Slack 服務認證的所有裝置。
- 資料保留。付費 Slack 團隊擁有者可針對整個團隊及個別頻道設定自訂訊息保留政策。若自訂保留期間，系統將每日從 Slack 服務的生產伺服器上刪除超過自訂期間的訊息或檔案。
- 主機管理。我們針對生產主機進行自動漏洞掃描，若發現 Slack 環境存在風險，將會進行修補。我們針對公司筆電執行螢幕鎖定並採用安全磁碟加密。
- 網路保護。除複雜的系統監控及記錄外，我們更針對生產環境的所有伺服器存取進行雙因素驗證。防火牆的配置比照業界最佳實務採用 AWS 安全群組。
- 產品安全措施。新功能、重大功能推出及設計變更前，資安團隊將進行安全檢查。此外，程式碼用於生產環境前，必須經過自動靜態分析軟體檢查、測試與同儕審查。資安團隊與開發團隊密切合作，解決開發過程中產生的安全疑慮。Slack 亦實施安全漏洞回報獎勵方案。全球各地的資安研究人員持續測試 Slack 服務，並透過本方案回報問題。有關本方案的詳細資訊請見回報獎勵網站。
- 全團隊雙因素驗證。團隊管理員可要求所有使用者為帳戶設定雙因素驗證。設定方法請見說明中心。
這些控制措施中，有些是客戶無法自行停用；有些則提供客戶自訂 Slack 服務的安全性，以供其自己使用。因此，保護客戶資料是客戶和 Slack 的共同責任。Slack 至少會符合 ISO 27001、ISO 27002 和 ISO 27018 等現行業界標準或任何後續或替代標準。
入侵偵測
Slack 或獲得授權的外部實體將監控 Slack 服務是否遭到未經授權的入侵。
資訊安全日誌
將 Slack 服務日誌資訊提供到其各自系統記錄設施或集中式記錄服務 (適用於網路系統) 時使用的系統，以便進行安全審查和分析。Slack 在生產環境中，維持全面集中式記錄環境，其中涵蓋 Slack 服務的安全、監控、可用性、存取及其他指標相關資訊。相關日誌將由自動監控軟體進行資安事件分析，並由資安團隊負責管理。
事件管理
Slack 會妥善維護資安事件管理政策和程序。若 Slack 在法律允許的範圍內知悉 Slack 或其代理人未經授權揭露其各自客戶資料，Slack 會立即通知受影響的客戶，不會無故拖延。Slack 會在 Salesforce Trust 網站和/或 Slack 系統狀態頁面上發布系統狀態資訊。針對重大系統事件，Slack 通常會透過電子郵件通知客戶，如果是持續時間超過一小時的事件，Slack 可能會邀請受影響的客戶加入會議通話以討論該事件和 Slack 的因應措施。
資料加密
Slack 服務採用業界認可的加密產品，在以下期間保護客戶資料：(1) 在客戶網路與 Slack 服務進行傳輸期間；(2) 閒置時。Slack 服務支援最新建議安全密碼套件及協定，可將所有傳輸中資料加密。我們密切追蹤不斷變化的密碼狀況，立即針對密碼弱點進行服務升級，並採納最佳實務。在加密傳輸中資料時，我們亦注意平衡原有客戶的相容性需求。
可靠性、備份和業務連續性
我們瞭解您依靠 Slack 服務完成工作，因此致力打造 Slack 服務成為值得信賴的高可用性服務。我們的基礎架構屬於容錯系統，無論是個別伺服器或整個資料中心出現故障皆可應對。我們的運作團隊定期測試災難復原措施，並設有 24 小時待命團隊，可迅速解決各項意外事件。符合業界標準的可靠性和備份最佳實務幫助我們塑造 Slack 服務設計。Slack 會定期執行備份，在必要時推出軟體復原和系統變更，並按需要複製資料。Slack 將儘可能協助客戶進行重大災難事件的資料復原，但須受限於當地資料常駐要求以及在該區提供的功能。「重大災難事件」是指三大類型的事件：(1) 水災、颶風、龍捲風、地震、流行病等自然事件；(2) 管道爆炸、運輸事故、公用設施中斷、水壩潰堤、有害物質意外洩漏等系統和結構故障等技術事件；(3) 人為事件，例如主動攻擊、化學或生物攻擊、對資料或基礎架構的網路攻擊及破壞行為。重大災難事件不包括程式異常、操作問題或其他常見的軟體相關錯誤。
為確保可用性，我們將客戶資料重複儲存於代管供應商的多處資料中心。我們設有經過充分測試的備份及回復程序，可在重大災難發生後順利復原。我們每日自動備份客戶資料及原始程式碼，若此系統故障，運作團隊將會收到警示。備份將每 90 天接受一次完整測試，以確認我們的流程及工具運作符合預期。
閒置資料
除非您在訂單中另行約定，否則 Slack 會將客戶閒置資料儲存在特定主要地理區域內。
歸還客戶資料
在合約終止後 30 天內，客戶可以要求退還其個別提交給 Slack 服務的客戶資料 (在客戶未刪除此類資料的範圍內)。Slack 服務的匯出資格相關資訊請見 Slack 說明中心。
刪除客戶資料
Slack 服務提供工作空間主要擁有者選項，可於訂閱期間內，隨時刪除客戶資料。Slack 將在工作空間主要擁有者刪除後 24 小時內，自運作中生產系統永久刪除所有資訊 (不含團隊及頻道名稱，以及網路伺服器存取日誌中，網址所嵌入的搜尋詞彙)。Slack 服務備份將在 14 天內銷毀 (備份將在 14 天內銷毀，但若事件調查尚未完結，此期限可暫時延展)。
當客戶終止 Enterprise Grid 付費訂閱時，如果客戶未選擇刪除其帳號，Slack 將在訂閱終止後 90 天內刪除所有客戶資料的副本，並確保其所有關係企業和相關第三方託管服務供應商在 Slack 開始刪除客戶帳號後 14 天內刪除所有客戶資料的副本 (不含團隊和頻道名稱，以及內嵌於網路伺服器存取日誌中網址的搜尋詞)。當客戶終止 Enterprise Grid 以外的 Slack 服務付費訂閱時，客戶的訂閱將在 Slack 服務的免費使用層級下繼續，並受當時的線上客戶服務條款或適用於此類服務免費使用層級 (「免費訂閱條款」) 的其他主要線上訂閱協議的約束，而且在 (i) 客戶自行刪除工作空間，(ii) 客戶指示 Slack 刪除其客戶資料，或 (iii) 任何一方終止免費訂閱條款之前，客戶資料不會刪除。發生此類事件後，Slack 應在 14 天內刪除所有客戶資料的副本，並確保其所有關係企業和取得許可的第三方託管服務供應商刪除客戶資料的所有副本 (不含團隊和頻道名稱，以及內嵌於網路伺服器存取日誌中網址的搜尋詞)。
保密
我們嚴格控制員工對客戶資料的存取。為使 Slack 服務順利運作，部分員工必須存取儲存與處理客戶資料的系統。舉例而言，為診斷您在使用 Slack 服務時出現的問題，我們可能需要存取您的客戶資料。若非必要，員工不得利用此權限檢視客戶資料。我們設有技術控管措施及稽核政策，確保所有客戶資料存取均留有記錄。
所有員工及委外人員均必須遵守本公司的客戶資料相關政策，我們認為這是 Slack 的首要任務。
人員措施
Slack 在僱用員工前進行背景調查，並要求所有員工接受關於隱私及安全的到職及在職訓練。員工必須詳閱並簽署 Slack 資訊安全政策，其中涵蓋 Slack 服務的安全性、可用性及保密相關事項。
基礎架構
Slack 使用 Amazon Web Services, Inc. (「AWS」) 提供的基礎架構來託管或處理提交給 Slack 服務的客戶資料。如需瞭解 AWS 提供的安全性，請造訪 AWS 資訊安全網站。如需瞭解 AWS 所取得與安全性和隱私相關的稽核和認證，包括 ISO 27001 認證和 SOC 報告，請造訪 AWS 合規網站。