Introducción
Una plataforma UCaaS afecta a casi todas las conversaciones internas que tiene una empresa, llamadas telefónicas, videoconferencias e hilos de chat, lo que la convierte en una superficie de seguridad más grande de lo que la mayoría de los equipos de TI la consideran. Las tasas de fraude telefónico en plataformas de comunicaciones en la nube han aumentado en los últimos años, y cada vez es más difícil distinguir las llamadas fraudulentas que falsifican un número confiable para extraer información confidencial de la real.
La seguridad de UCaaS se refiere a las prácticas, estándares de cifrado, controles de acceso y certificaciones de cumplimiento que protegen una plataforma de Comunicaciones Unificadas como Servicio y las llamadas, mensajes y reuniones que se realizan a través de ella. Abarca todo, desde cómo se cifra el tráfico de voz en tránsito hasta si el proveedor puede demostrar que cumple con marcos como SOC 2 o HIPAA.
Esta guía cubre los mayores riesgos específicos de UCaaS, cómo se ve el cifrado adecuado, qué estándares de cumplimiento realmente importan, cómo funcionan el fraude telefónico y el vishing, y qué verificar antes de confiarle a un proveedor las comunicaciones internas de una empresa.
¿Qué cubre realmente la "seguridad UCaaS"?
La seguridad de UCaaS no es algo que active una empresa. Abarca los mismos cuatro componentes que conforman la propia definición de UCaaS: telefonía empresarial, conectividad PSTN, videoconferencias y mensajería, y cada uno tiene su propia exposición. Se puede interceptar una llamada telefónica. La cuenta incorrecta puede acceder a un hilo de mensajes. Se puede compartir un enlace de videoconferencia fuera del grupo previsto. Una conexión PSTN puede ser secuestrada para cometer fraude telefónico.
Debido a que un único inicio de sesión de UCaaS a menudo controla los cuatro canales a la vez, una sola cuenta comprometida puede exponer más de lo que lo haría una vulneración de correo electrónico típica, incluidas grabaciones de voz, historial de chat y contenido de reuniones.
¿Cuáles son los mayores riesgos de seguridad en UCaaS?
Los riesgos que surgen con mayor frecuencia en las evaluaciones de seguridad de las plataformas UCaaS incluyen:
- Controles de acceso débiles — cuentas sin autenticación multifactor o permisos demasiado amplios
- Cifrado incompleto — tráfico de voz o vídeo dejado sin cifrar en parte de su ruta
- Escuchas e interceptación — llamadas no cifradas interceptadas en redes públicas o no seguras
- Phishing y vishing — atacantes que utilizan correo electrónico o llamadas falsas para extraer credenciales o datos confidenciales
- Malware introducido a través de integraciones — aplicaciones de terceros conectadas a la plataforma UCaaS que crean nuevos puntos de entrada
- Fraude de peaje — uso no autorizado del sistema telefónico de una empresa para enrutar llamadas costosas a su costa
La mayoría de estos se remontan a brechas de configuración y autenticación en lugar de fallas en la infraestructura de la nube en sí, razón por la cual también se pueden prevenir en gran medida con la configuración correcta activada desde el primer día. Revisar el público de un proveedor Seguridad página y confirmar que lo que realmente está documentado allí coincide con lo prometido en una llamada de ventas, es una de las formas más rápidas de detectar la brecha entre el marketing y la realidad.
¿Cómo se deben cifrar los datos de UCaaS?
El cifrado UCaaS adecuado cubre dos estados diferentes en los que pueden estar los datos. Los datos en tránsito, es decir, llamadas, mensajes y videos que se mueven activamente a través de la red, deben cifrarse usando TLS 1.3 o una versión posterior. Los datos en reposo, es decir, grabaciones almacenadas, transcripciones e información de cuentas, deben cifrarse utilizando AES-256.
El tráfico de voz y vídeo merece una atención específica aquí, ya que es tentador para los proveedores tratarlos como una ocurrencia de último momento junto a los datos basados en texto. Una llamada que se deja sin cifrar en cualquier lugar de su recorrido, aunque sea brevemente, es una llamada que puede interceptarse en una red no segura. Las empresas que evalúan a un proveedor deben preguntarse directamente si el cifrado se aplica de extremo a extremo en todos los canales, no sólo en los archivos almacenados.
¿Qué estándares de cumplimiento se aplican a UCaaS?
Tres marcos surgen con mayor frecuencia al evaluar la postura de seguridad de un proveedor de UCaaS:
- 1SOC 2 Tipo II cubre controles de seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad, verificados por un auditor independiente durante un período de meses en lugar de una verificación única en un momento determinado.
- 2HIPAA se aplica a cualquier plataforma UCaaS que maneje información de salud protegida. Las plataformas compatibles necesitan un acuerdo de socio comercial firmado y salvaguardas técnicas que mantengan la PHI separada de las comunicaciones comerciales generales en lugar de mezclarla en los mismos flujos de datos.
- 3RGPD se aplica a las plataformas UCaaS que manejan datos personales de personas en la Unión Europea, y cubre cómo esos datos se almacenan, procesan y, cuando sea necesario, se eliminan.
Ninguna de estas certificaciones garantiza que una plataforma sea inviolable, pero es razonable cuestionar más a un proveedor que no puede producir documentación actual para el marco relevante para su industria antes de firmar un contrato.
¿Qué son el fraude telefónico y el vishing, y cómo se dirigen a la UCaaS?
El fraude telefónico ocurre cuando alguien obtiene acceso no autorizado al sistema telefónico de una empresa, a menudo a través de una contraseña débil o una cuenta no supervisada, y lo utiliza para realizar costosas llamadas internacionales o de tarifa superior que la empresa termina pagando. Ha sido un problema creciente en las plataformas UCaaS en los últimos años, en parte porque algunos proveedores todavía están desarrollando las capacidades de detección de fraude que los operadores de telecomunicaciones tradicionales desarrollaron durante décadas.
El vishing funciona de manera diferente. Un atacante llama a un empleado, a menudo falsifica un número de teléfono que parece pertenecer a un banco, proveedor o compañero de trabajo, y convence al objetivo para que revele una contraseña, un número de cuenta u otro detalle confidencial por teléfono en lugar de por correo electrónico. Debido a que las plataformas UCaaS facilitan las llamadas desde un número comercial reconocible, pueden usarse con la misma facilidad para falsificar uno.
Esta combinación exacta de fraude de peajes y riesgo de vishing dentro de entornos UCaaS es examinada en detalle por Teligística, una firma de investigación de seguridad y gastos de telecomunicaciones que rastrea las tendencias de fraude en plataformas de comunicaciones en la nube.
¿Qué deberían buscar las empresas en un proveedor de UCaaS seguro?
Un puñado de comprobaciones prácticas separan a un proveedor de UCaaS genuinamente preocupado por la seguridad de uno que simplemente dice las palabras correctas en una presentación de ventas:
- Autenticación multifactor Disponible y ejecutable para cada cuenta de usuario.
- Controles de permisos granulares para que los empleados solo tengan acceso a lo que requiere su función
- Inicio de sesión y seguimiento de actividad con registros que una empresa puede realmente auditar después del hecho
- Alertas de anomalías en tiempo real para volumen de llamadas, ubicaciones de inicio de sesión o comportamiento de cuenta inusuales
- Documentación de cumplimiento actual para SOC 2, HIPAA o GDPR, según corresponda
- Auditorías periódicas de seguridad de terceros, no sólo una autoevaluación interna
La capacitación de los empleados es tan importante como cualquier configuración en el panel de administración, ya que tanto el vishing como el phishing dependen de que una persona, no un sistema, tome la decisión equivocada.
¿Ringflow enfrenta las mismas consideraciones de seguridad?
Sí, en principio, aunque Ringflow no es una plataforma UCaaS. Está construido como un centro de contacto en la nube y una plataforma de ventas de IA, lo que significa que tiene una superficie de seguridad similar a UCaaS en algunos aspectos, llamadas cifradas, controles de acceso a cuentas, EmpresaNecesidades de cumplimiento de primer nivel, y diferentes en otras, dado su enfoque en el volumen de llamadas de cara al cliente y la optimización de llamadas impulsada por IA en lugar de mensajes internos del equipo.
Los criterios de evaluación subyacentes, cifrado en tránsito y en reposo, autenticación sólida y certificaciones de cumplimiento verificables, se aplican a cualquier plataforma de comunicaciones en la nube, independientemente de su categoría. Las empresas deben confirmar los detalles de certificación actuales de Ringflow directamente con Ringflow en lugar de asumir que reflejan lo que es típico de los proveedores de UCaaS específicamente.
Conclusión
La seguridad de UCaaS se reduce a una lista breve que es fácil de establecer y más difícil de verificar: ¿está todo cifrado de extremo a extremo? Nada de eso es exótico. La mayor parte es una práctica estándar de seguridad en la nube aplicada a llamadas telefónicas en lugar de archivos, que es exactamente la razón por la que es fácil para una empresa que evalúa características y precios olvidarse de preguntar al respecto hasta que algo sale mal.
Listo cuando lo estés
¿Evaluar la seguridad antes de elegir una plataforma de comunicaciones?
Vea cómo el centro de contacto en la nube y la plataforma de ventas de IA de Ringflow abordan el cifrado, los controles de acceso y el cumplimiento para las llamadas cara al cliente.
Preguntas frecuentes
Los riesgos de seguridad más comunes de UCaaS incluyen controles de acceso débiles, cifrado incompleto, escuchas ilegales de llamadas no cifradas, ataques de phishing y vishing, fraude telefónico y vulnerabilidades introducidas a través de integraciones de terceros. La mayoría de estos riesgos se deben a una mala configuración o a una autenticación débil, más que a fallas en la propia infraestructura de la nube subyacente.
Los proveedores de UCaaS acreditados cifran los datos en tránsito utilizando TLS 1.3 o superior y cifran los datos almacenados utilizando AES-256. El tráfico de voz y vídeo también debe cifrarse de extremo a extremo en lugar de dejarse como simples flujos de audio, ya que las llamadas no cifradas pueden interceptarse en redes no seguras.
Depende del proveedor y la configuración, no de la categoría en sí. Una plataforma UCaaS puede cumplir con HIPAA si aísla la información de salud protegida de las comunicaciones comerciales generales, firma un acuerdo de socio comercial y aplica el cifrado y los controles de acceso necesarios. No todos los proveedores de UCaaS ofrecen esto de forma predeterminada.
El fraude telefónico ocurre cuando los atacantes obtienen acceso no autorizado al sistema telefónico de una empresa y enrutan costosas llamadas internacionales o de tarifa superior a través de él, dejando que la empresa cubra los cargos. Las plataformas UCaaS han experimentado un aumento en las tasas de fraude telefónico en los últimos años, en parte porque algunos proveedores todavía están desarrollando capacidades de detección de fraude.
Vishing es phishing de voz: un atacante llama haciéndose pasar por un contacto, banco o proveedor de confianza, a menudo falsificando un identificador de llamada familiar, para convencer a alguien de que comparta contraseñas, números de cuenta u otra información confidencial por teléfono en lugar de por correo electrónico o mensaje de texto.
Busque SOC 2 Tipo II, que cubre controles de seguridad, disponibilidad y confidencialidad, junto con el cumplimiento de HIPAA si maneja datos de salud y la alineación con GDPR para usuarios de la UE. Estas certificaciones no garantizan una seguridad perfecta, pero su ausencia es una razón razonable para hacer más preguntas al proveedor antes de firmar un contrato.
Sí, en principio. Cualquier plataforma de comunicaciones en la nube, ya sea UCaaS o un centro de contacto en la nube y una plataforma de ventas de IA como Ringflow, debe evaluarse con la misma línea de base: cifrado en tránsito y en reposo, controles de acceso sólidos y certificaciones de cumplimiento relevantes. Las empresas deben confirmar los detalles de la certificación actual directamente con Ringflow en lugar de asumir que se transfieren de la categoría UCaaS.
