Introduction
Une plate-forme UCaaS touche presque toutes les conversations internes d'une entreprise, les appels téléphoniques, les réunions vidéo, les fils de discussion, ce qui en fait une surface de sécurité plus grande que celle que la plupart des équipes informatiques considèrent. Les taux de fraude aux péages sur les plateformes de communication cloud ont augmenté ces dernières années, et les appels de vishing qui usurpent un numéro fiable pour extraire des informations sensibles sont de plus en plus difficiles à distinguer des appels réels.
La sécurité UCaaS fait référence aux pratiques, aux normes de chiffrement, aux contrôles d'accès et aux certifications de conformité qui protègent une plate-forme de communications unifiées en tant que service et les appels, messages et réunions qui y transitent. Cela va de la façon dont le trafic vocal est chiffré en transit à la question de savoir si le fournisseur peut prouver qu'il respecte des cadres tels que SOC 2 ou HIPAA.
Ce guide couvre les plus grands risques spécifiques à l'UCaaS, à quoi ressemble un cryptage approprié, quelles normes de conformité sont réellement importantes, comment fonctionnent la fraude aux péages et le vishing, et ce qu'il faut vérifier avant de confier à un fournisseur les communications internes d'une entreprise.
Que couvre réellement la « sécurité UCaaS » ?
La sécurité UCaaS n’est pas un paramètre qu’une entreprise active. Il couvre les quatre composants qui composent la définition UCaaS elle-même, la téléphonie professionnelle, la connectivité PSTN, les visioconférences et la messagerie, et chacun a sa propre exposition. Un appel téléphonique peut être intercepté. Un fil de discussion est accessible par le mauvais compte. Un lien de visioconférence peut être partagé en dehors du groupe prévu. Une connexion PSTN peut être détournée à des fins de fraude au péage.
Étant donné qu’une seule connexion UCaaS contrôle souvent les quatre canaux à la fois, un seul compte compromis peut exposer plus qu’une violation de courrier électronique classique, y compris les enregistrements vocaux, l’historique des discussions et le contenu des réunions.
Quels sont les plus grands risques de sécurité dans UCaaS ?
Les risques qui reviennent le plus souvent dans les évaluations de sécurité des plateformes UCaaS comprennent :
- Contrôles d'accès faibles — comptes sans authentification multifacteur ou autorisations trop larges
- Cryptage incomplet — trafic voix ou vidéo laissé en clair sur une partie de son parcours
- Écoutes clandestines et interceptions — appels non cryptés interceptés sur des réseaux non sécurisés ou publics
- Phishing et vishing — des attaquants utilisant des e-mails ou des appels frauduleux pour extraire des informations d'identification ou des données sensibles
- Malware introduit via les intégrations — des applications tierces connectées à la plateforme UCaaS créant de nouveaux points d'entrée
- Fraude au péage — utilisation non autorisée du système téléphonique d'une entreprise pour acheminer des appels coûteux à ses frais
La plupart de ces problèmes sont dus à des lacunes de configuration et d'authentification plutôt qu'à des failles dans l'infrastructure cloud elle-même. C'est également la raison pour laquelle ils sont largement évitables avec les bons paramètres activés dès le premier jour. Examiner le public d'un fournisseur Sécurité page, et confirmer que ce qui y est réellement documenté correspond à ce qui est promis lors d'un appel commercial, est l'un des moyens les plus rapides de repérer l'écart entre le marketing et la réalité.
Comment les données UCaaS doivent-elles être cryptées ?
Un cryptage UCaaS approprié couvre deux états différents dans lesquels les données peuvent se trouver. Les données en transit, c'est-à-dire les appels, les messages et les vidéos se déplaçant activement sur le réseau, doivent être cryptées à l'aide de TLS 1.3 ou d'une version ultérieure. Les données au repos, c'est-à-dire les enregistrements, les transcriptions et les informations de compte stockées, doivent être cryptées à l'aide d'AES-256.
Le trafic vocal et vidéo mérite ici une attention particulière, car il est tentant pour les fournisseurs de les traiter après coup, à côté des données textuelles. Un appel laissé en clair n’importe où sur son parcours, même brièvement, est un appel qui peut être intercepté sur un réseau non sécurisé. Les entreprises évaluant un fournisseur devraient demander directement si le cryptage s'applique de bout en bout sur tous les canaux, et pas seulement aux fichiers stockés.
Quelles normes de conformité s’appliquent à l’UCaaS ?
Trois cadres reviennent le plus souvent lors de l'évaluation de la posture de sécurité d'un fournisseur UCaaS :
- 1SOC2 Type II couvre la sécurité, la disponibilité, l'intégrité du traitement, la confidentialité et les contrôles de confidentialité, vérifiés par un auditeur indépendant sur une période de plusieurs mois plutôt que par un seul contrôle ponctuel.
- 2HIPAA s’applique à toute plateforme UCaaS traitant des informations de santé protégées. Les plates-formes conformes nécessitent un accord de partenariat commercial signé et des garanties techniques qui maintiennent les PHI séparées des communications commerciales générales plutôt que mélangées dans les mêmes flux de données.
- 3RGPD s'applique aux plateformes UCaaS traitant les données personnelles des individus dans l'Union européenne, couvrant la manière dont ces données sont stockées, traitées et, si nécessaire, supprimées.
Aucune de ces certifications ne garantit qu'une plate-forme est inviolable, mais un fournisseur qui ne peut pas produire une documentation à jour pour le cadre pertinent pour son secteur est raisonnablement en mesure de s'interroger davantage avant de signer un contrat.
Que sont la fraude aux péages et le vishing, et comment ciblent-ils l'UCaaS ?
La fraude téléphonique se produit lorsqu'une personne obtient un accès non autorisé au système téléphonique d'une entreprise, souvent via un mot de passe faible ou un compte non surveillé, et l'utilise pour passer des appels internationaux coûteux ou à tarif majoré pour lesquels l'entreprise finit par payer. Il s'agit d'un problème croissant sur les plates-formes UCaaS ces dernières années, en partie parce que certains fournisseurs continuent de développer les capacités de détection de fraude que les opérateurs de télécommunications traditionnels ont développées au fil des décennies.
Le vishing fonctionne différemment. Un attaquant appelle un employé, usurpant souvent un numéro de téléphone qui semble appartenir à une banque, un fournisseur ou un collègue, et persuade la cible de révéler un mot de passe, un numéro de compte ou d'autres détails sensibles par téléphone plutôt que par e-mail. Parce que les plateformes UCaaS facilitent les appels à partir d’un numéro professionnel reconnaissable, elles peuvent tout aussi bien être utilisées pour usurper un numéro d’entreprise.
Cette combinaison exacte de fraude aux péages et de risque de vishing dans les environnements UCaaS est examinée en détail par Téligistique, une société de recherche sur les dépenses et la sécurité des télécommunications qui suit les tendances en matière de fraude sur les plateformes de communication cloud.
Que doivent rechercher les entreprises chez un fournisseur UCaaS sécurisé ?
Une poignée de contrôles pratiques distinguent un fournisseur d'UCaaS véritablement soucieux de la sécurité de celui qui dit simplement les bons mots dans son argumentaire de vente :
- Authentification multifacteur disponible et applicable pour chaque compte utilisateur
- Contrôles d'autorisation granulaires afin que les employés n'aient accès qu'à ce que leur rôle exige
- Connexion et suivi d'activité avec les journaux, une entreprise peut réellement auditer après coup
- Alertes d'anomalies en temps réel pour un volume d'appels inhabituel, des emplacements de connexion ou un comportement de compte inhabituel
- Documentation de conformité actuelle pour SOC 2, HIPAA ou GDPR, selon le cas
- Audits de sécurité tiers réguliers, pas seulement une auto-évaluation interne
La formation des employés est tout aussi importante que n'importe quel paramètre du panneau d'administration, car le vishing et le phishing reposent tous deux sur une personne, et non sur un système, qui passe le mauvais appel.
Ringflow est-il confronté aux mêmes considérations de sécurité ?
Oui, en principe, même si Ringflow n'est pas une plateforme UCaaS. Il est construit comme un centre de contact cloud et une plateforme de vente IA, ce qui signifie qu'il comporte une surface de sécurité similaire à celle de l'UCaaS à certains égards, des appels cryptés, des contrôles d'accès aux comptes, Entreprisebesoins de conformité de niveau supérieur, et différents dans d'autres, étant donné l'accent mis sur le volume d'appels destinés aux clients et l'optimisation des appels basée sur l'IA plutôt que sur la messagerie interne de l'équipe.
Les critères d'évaluation sous-jacents, le chiffrement en transit et au repos, l'authentification forte et les certifications de conformité vérifiables, s'appliquent à toute plateforme de communication cloud, quelle que soit sa catégorie. Les entreprises doivent confirmer les détails de la certification actuelle de Ringflow directement auprès de Ringflow plutôt que de supposer qu'ils reflètent ce qui est typique des fournisseurs UCaaS en particulier.
Conclusion
La sécurité UCaaS se résume à une courte liste facile à énoncer et plus difficile à vérifier : tout est-il crypté de bout en bout, les comptes sont-ils protégés par plus qu'un mot de passe, le fournisseur peut-il prouver ses affirmations de conformité avec la documentation actuelle et dispose-t-il de véritables défenses contre la fraude aux péages et le vishing plutôt qu'une simple page de son site Web les mentionnant. Rien de tout cela n’est exotique. Il s'agit en grande partie de pratiques standard de sécurité dans le cloud appliquées aux appels téléphoniques plutôt qu'aux fichiers, c'est exactement pourquoi il est facile pour une entreprise évaluant les fonctionnalités et les prix d'oublier de poser des questions à ce sujet jusqu'à ce que quelque chose se passe mal.
Prêt quand tu l'es
Évaluer la sécurité avant de choisir une plate-forme de communication ?
Découvrez comment le Cloud Contact Center et la AI Sales Platform de Ringflow abordent le chiffrement, les contrôles d'accès et la conformité pour les appels destinés aux clients.
Foire aux questions
Les risques de sécurité UCaaS les plus courants incluent des contrôles d'accès faibles, un cryptage incomplet, des écoutes clandestines d'appels non cryptés, des attaques de phishing et de vishing, des fraudes aux péages et des vulnérabilités introduites via des intégrations tierces. La plupart de ces risques proviennent d’une mauvaise configuration ou d’une authentification faible plutôt que de failles dans l’infrastructure cloud sous-jacente elle-même.
Les fournisseurs UCaaS réputés chiffrent les données en transit à l'aide de TLS 1.3 ou supérieur et chiffrent les données stockées à l'aide d'AES-256. Le trafic voix et vidéo doit également être crypté de bout en bout plutôt que laissé sous forme de simples flux audio, car les appels non cryptés peuvent être interceptés sur des réseaux non sécurisés.
Cela dépend du fournisseur et de la configuration, et non de la catégorie elle-même. Une plate-forme UCaaS peut être rendue conforme à la loi HIPAA si elle isole les informations de santé protégées des communications commerciales générales, signe un accord de partenariat commercial et applique le cryptage et les contrôles d'accès requis. Tous les fournisseurs UCaaS ne proposent pas cette fonctionnalité par défaut.
La fraude téléphonique se produit lorsque des attaquants obtiennent un accès non autorisé au système téléphonique d'une entreprise et y acheminent des appels internationaux coûteux ou à tarif majoré, laissant l'entreprise couvrir les frais. Les plates-formes UCaaS ont connu une augmentation des taux de fraude aux péages ces dernières années, en partie parce que certains fournisseurs continuent de développer leurs capacités de détection des fraudes.
Le vishing est du phishing vocal : un attaquant appelle en se faisant passer pour un contact, une banque ou un fournisseur de confiance, usurpant souvent l'identification d'un appelant familier, afin de convaincre quelqu'un de partager ses mots de passe, ses numéros de compte ou d'autres informations sensibles par téléphone plutôt que par e-mail ou par SMS.
Recherchez le SOC 2 Type II, qui couvre les contrôles de sécurité, de disponibilité et de confidentialité, ainsi que la conformité HIPAA lors du traitement des données de santé et l'alignement du RGPD pour les utilisateurs de l'UE. Ces certifications ne garantissent pas une sécurité parfaite, mais leur absence est une raison raisonnable pour poser davantage de questions à un fournisseur avant de signer un contrat.
Oui, en principe. Toute plateforme de communication cloud, qu'il s'agisse d'UCaaS ou d'un centre de contact cloud et d'une plateforme de vente d'IA comme Ringflow, doit être évaluée par rapport à la même base de référence : chiffrement en transit et au repos, contrôles d'accès stricts et certifications de conformité pertinentes. Les entreprises doivent confirmer les détails de la certification actuelle directement auprès de Ringflow plutôt que de supposer qu'ils sont issus de la catégorie UCaaS.
