यूसीएएएस सुरक्षा: जोखिम, एन्क्रिप्शन और अनुपालन की व्याख्या

परिचय

यूसीएएएस प्लेटफॉर्म किसी व्यवसाय की लगभग हर आंतरिक बातचीत, फोन कॉल, वीडियो मीटिंग, चैट थ्रेड को छूता है, जो इसे अधिकांश आईटी टीमों की तुलना में एक बड़ी सुरक्षा सतह बनाता है। क्लाउड संचार प्लेटफार्मों पर टोल धोखाधड़ी की दर हाल के वर्षों में बढ़ रही है, और संवेदनशील जानकारी निकालने के लिए किसी विश्वसनीय नंबर को धोखा देने वाली विश कॉल को वास्तविक चीज़ से अलग करना कठिन होता जा रहा है।

यूसीएएएस सुरक्षा उन प्रथाओं, एन्क्रिप्शन मानकों, पहुंच नियंत्रण और अनुपालन प्रमाणपत्रों को संदर्भित करती है जो एक सेवा मंच के रूप में एकीकृत संचार और इसके माध्यम से चलने वाले कॉल, संदेश और मीटिंग की सुरक्षा करते हैं। इसमें ट्रांज़िट में ध्वनि ट्रैफ़िक को कैसे एन्क्रिप्ट किया जाता है से लेकर क्या विक्रेता यह साबित कर सकता है कि यह SOC 2 या HIPAA जैसे फ़्रेमवर्क को पूरा करता है, सब कुछ शामिल है।

यह मार्गदर्शिका यूसीएएएस के लिए विशिष्ट सबसे बड़े जोखिमों को कवर करती है, उचित एन्क्रिप्शन कैसा दिखता है, कौन से अनुपालन मानक वास्तव में मायने रखते हैं, टोल धोखाधड़ी और विशिंग कैसे काम करते हैं, और किसी व्यवसाय के आंतरिक संचार के साथ विक्रेता पर भरोसा करने से पहले क्या जांचना चाहिए।

"UCaaS सुरक्षा" वास्तव में क्या कवर करती है?

UCaaS सुरक्षा किसी व्यवसाय को चालू करने वाली सेटिंग नहीं है। इसमें वही चार घटक शामिल हैं जो स्वयं यूसीएएएस परिभाषा बनाते हैं, बिजनेस टेलीफोनी, पीएसटीएन कनेक्टिविटी, वीडियो मीटिंग और मैसेजिंग, और प्रत्येक का अपना एक्सपोजर होता है। किसी फ़ोन कॉल को इंटरसेप्ट किया जा सकता है. किसी मैसेजिंग थ्रेड को गलत खाते से एक्सेस किया जा सकता है। एक वीडियो मीटिंग लिंक को इच्छित समूह के बाहर साझा किया जा सकता है। टोल धोखाधड़ी के लिए पीएसटीएन कनेक्शन का अपहरण किया जा सकता है।

क्योंकि एक एकल यूसीएएएस लॉगिन अक्सर सभी चार चैनलों को एक साथ नियंत्रित करता है, एक एकल समझौता खाता एक सामान्य ईमेल उल्लंघन, वॉयस रिकॉर्डिंग, चैट इतिहास और मीटिंग सामग्री से कहीं अधिक उजागर कर सकता है।

UCaaS में सबसे बड़े सुरक्षा जोखिम क्या हैं?

UCaaS प्लेटफ़ॉर्म के सुरक्षा आकलन में सबसे अधिक बार सामने आने वाले जोखिमों में शामिल हैं:

• कमजोर अभिगम नियंत्रण - बहु-कारक प्रमाणीकरण या अत्यधिक व्यापक अनुमतियों के बिना खाते
• अपूर्ण एन्क्रिप्शन - ध्वनि या वीडियो ट्रैफ़िक को उसके मार्ग के कुछ भाग पर अनएन्क्रिप्टेड छोड़ दिया गया है
• छिपकर बातें सुनना और अवरोधन करना - असुरक्षित या सार्वजनिक नेटवर्क पर अनएन्क्रिप्टेड कॉल इंटरसेप्ट की गईं
• फ़िशिंग और विशिंग - क्रेडेंशियल्स या संवेदनशील डेटा निकालने के लिए हमलावर ईमेल या नकली कॉल का उपयोग करते हैं
• मैलवेयर एकीकरण के माध्यम से पेश किया गया - यूसीएएएस प्लेटफॉर्म से जुड़े तृतीय-पक्ष ऐप्स नए प्रवेश बिंदु बना रहे हैं
• टोल धोखाधड़ी - अपने खर्च पर महंगी कॉलों को रूट करने के लिए व्यवसाय के फ़ोन सिस्टम का अनधिकृत उपयोग

इनमें से अधिकांश क्लाउड इंफ्रास्ट्रक्चर में खामियों के बजाय कॉन्फ़िगरेशन और प्रमाणीकरण अंतराल का पता लगाते हैं, यही कारण है कि पहले दिन से ही सही सेटिंग्स चालू होने से इन्हें काफी हद तक रोका जा सकता है। एक विक्रेता की जनता की समीक्षा करना सुरक्षा पेज, और यह पुष्टि करना कि वहां वास्तव में जो दस्तावेज किया गया है वह बिक्री कॉल में किए गए वादे से मेल खाता है, मार्केटिंग और वास्तविकता के बीच अंतर को पहचानने के सबसे तेज़ तरीकों में से एक है।

UCaaS डेटा को कैसे एन्क्रिप्ट किया जाना चाहिए?

उचित यूसीएएएस एन्क्रिप्शन दो अलग-अलग स्थितियों को कवर करता है जिसमें डेटा हो सकता है। ट्रांज़िट में डेटा, जिसका अर्थ है कॉल, संदेश और वीडियो सक्रिय रूप से पूरे नेटवर्क में घूम रहे हैं, को टीएलएस 1.3 या बाद के संस्करण का उपयोग करके एन्क्रिप्ट किया जाना चाहिए। बाकी डेटा, जिसका अर्थ है संग्रहीत रिकॉर्डिंग, प्रतिलेख और खाता जानकारी, को AES-256 का उपयोग करके एन्क्रिप्ट किया जाना चाहिए।

ध्वनि और वीडियो ट्रैफ़िक पर यहां विशेष ध्यान देने की आवश्यकता है, क्योंकि विक्रेताओं के लिए उन्हें टेक्स्ट-आधारित डेटा के बाद बाद के विचार के रूप में व्यवहार करना आकर्षक होता है। किसी कॉल को उसके रास्ते में कहीं भी अनएन्क्रिप्टेड छोड़ दिया जाता है, यहां तक ​​कि थोड़ी देर के लिए भी, वह कॉल है जिसे असुरक्षित नेटवर्क पर इंटरसेप्ट किया जा सकता है। किसी विक्रेता का मूल्यांकन करने वाले व्यवसायों को सीधे पूछना चाहिए कि क्या एन्क्रिप्शन केवल संग्रहीत फ़ाइलों पर ही नहीं, बल्कि हर चैनल पर एंड-टू-एंड लागू होता है।

UCaaS पर कौन से अनुपालन मानक लागू होते हैं?

UCaaS विक्रेता की सुरक्षा स्थिति का मूल्यांकन करते समय तीन रूपरेखाएँ सबसे अधिक बार सामने आती हैं:

1. 1एसओसी 2 प्रकार II सुरक्षा, उपलब्धता, प्रसंस्करण अखंडता, गोपनीयता और गोपनीयता नियंत्रण को कवर करता है, जिसे एकल समय-समय पर जांच के बजाय महीनों की अवधि में एक स्वतंत्र लेखा परीक्षक द्वारा सत्यापित किया जाता है।
2. 2HIPAA संरक्षित स्वास्थ्य जानकारी को संभालने वाले किसी भी UCaaS प्लेटफ़ॉर्म पर लागू होता है। आज्ञाकारी प्लेटफार्मों को एक हस्ताक्षरित व्यापार सहयोगी समझौते और तकनीकी सुरक्षा उपायों की आवश्यकता होती है जो PHI को समान डेटा स्ट्रीम में मिश्रित करने के बजाय सामान्य व्यावसायिक संचार से अलग रखते हैं।
3. 3जीडीपीआर यूरोपीय संघ में व्यक्तियों के व्यक्तिगत डेटा को संभालने वाले यूसीएएएस प्लेटफार्मों पर लागू होता है, जिसमें उस डेटा को कैसे संग्रहीत किया जाता है, संसाधित किया जाता है और, जब आवश्यक हो, हटा दिया जाता है।

इनमें से कोई भी प्रमाणपत्र यह गारंटी नहीं देता है कि प्लेटफ़ॉर्म अप्राप्य है, लेकिन एक विक्रेता जो अपने उद्योग के लिए प्रासंगिक ढांचे के लिए वर्तमान दस्तावेज़ तैयार नहीं कर सकता है, अनुबंध पर हस्ताक्षर करने से पहले आगे सवाल करना उचित है।

टोल धोखाधड़ी और विशिंग क्या हैं, और वे यूसीएएएस को कैसे लक्षित करते हैं?

टोल धोखाधड़ी तब होती है जब कोई व्यक्ति किसी व्यवसाय के फोन सिस्टम तक अनधिकृत पहुंच प्राप्त करता है, अक्सर कमजोर पासवर्ड या बिना निगरानी वाले खाते के माध्यम से, और इसका उपयोग महंगी अंतरराष्ट्रीय या प्रीमियम-दर कॉल करने के लिए करता है जिसके लिए व्यवसाय को भुगतान करना पड़ता है। हाल के वर्षों में यूसीएएएस प्लेटफार्मों पर यह एक बढ़ती हुई समस्या रही है, आंशिक रूप से क्योंकि कुछ प्रदाता अभी भी धोखाधड़ी का पता लगाने की क्षमताओं का निर्माण कर रहे हैं जो पारंपरिक दूरसंचार वाहक दशकों से विकसित हुए हैं।

विशिंग अलग तरह से काम करता है. एक हमलावर किसी कर्मचारी को कॉल करता है, अक्सर एक फोन नंबर को स्पूफ करते हुए दिखता है जो ऐसा लगता है कि यह किसी बैंक, विक्रेता या सहकर्मी का है, और ईमेल के बजाय फोन पर पासवर्ड, खाता संख्या या अन्य संवेदनशील विवरण बताने के लिए लक्ष्य से बात करता है। क्योंकि UCaaS प्लेटफ़ॉर्म किसी पहचानने योग्य व्यावसायिक नंबर से कॉल करना आसान बनाते हैं, उनका उपयोग किसी को धोखा देने के लिए भी आसानी से किया जा सकता है।

यूसीएएएस वातावरण के अंदर टोल धोखाधड़ी और आकर्षक जोखिम के इस सटीक संयोजन की विस्तार से जांच की गई है टेलीगिस्टिक्स, एक दूरसंचार व्यय और सुरक्षा अनुसंधान फर्म जो क्लाउड संचार प्लेटफार्मों पर धोखाधड़ी के रुझानों पर नज़र रखती है।

व्यवसायों को एक सुरक्षित UCaaS विक्रेता में क्या देखना चाहिए?

मुट्ठी भर व्यावहारिक जाँचें वास्तव में सुरक्षा के प्रति जागरूक UCaaS विक्रेता को उस विक्रेता से अलग करती हैं जो बिक्री डेक में सिर्फ सही शब्द कहता है:

• बहु-कारक प्रमाणीकरण प्रत्येक उपयोगकर्ता खाते के लिए उपलब्ध और लागू करने योग्य
• बारीक अनुमति नियंत्रण इसलिए कर्मचारियों के पास केवल वही तक पहुंच है जो उनकी भूमिका के लिए आवश्यक है
• लॉगिन और गतिविधि ट्रैकिंग लॉग के साथ कोई व्यवसाय वास्तव में इस तथ्य के बाद ऑडिट कर सकता है
• वास्तविक समय विसंगति अलर्ट असामान्य कॉल वॉल्यूम, लॉगिन स्थान या खाता व्यवहार के लिए
• वर्तमान अनुपालन दस्तावेज SOC 2, HIPAA, या GDPR के लिए, जो भी लागू हो
• नियमित तृतीय-पक्ष सुरक्षा ऑडिट, सिर्फ आंतरिक आत्म-मूल्यांकन नहीं

कर्मचारी प्रशिक्षण उतना ही मायने रखता है जितना कि व्यवस्थापक पैनल में कोई भी सेटिंग, क्योंकि विशिंग और फ़िशिंग दोनों गलत कॉल करने वाले व्यक्ति पर निर्भर करते हैं, सिस्टम पर नहीं।

क्या रिंगफ़्लो को समान सुरक्षा संबंधी चिंताओं का सामना करना पड़ता है?

हां, सिद्धांत रूप में, भले ही रिंगफ्लो एक यूसीएएएस प्लेटफॉर्म नहीं है। इसे क्लाउड कॉन्टैक्ट सेंटर और एआई सेल्स प्लेटफॉर्म के रूप में बनाया गया है, जिसका अर्थ है कि यह कुछ मामलों में यूसीएएएस के समान सुरक्षा सतह प्रदान करता है, एन्क्रिप्टेड कॉलिंग, खाता पहुंच नियंत्रण, उद्यम-ग्रेड अनुपालन आवश्यकताओं, और दूसरों में भिन्न, आंतरिक टीम मैसेजिंग के बजाय ग्राहक-सामना वाले कॉल वॉल्यूम और एआई-संचालित कॉल अनुकूलन पर अपना ध्यान केंद्रित करता है।

अंतर्निहित मूल्यांकन मानदंड, पारगमन और विश्राम के दौरान एन्क्रिप्शन, मजबूत प्रमाणीकरण और सत्यापन योग्य अनुपालन प्रमाणपत्र, श्रेणी की परवाह किए बिना किसी भी क्लाउड संचार प्लेटफ़ॉर्म पर लागू होते हैं। व्यवसायों को रिंगफ्लो के वर्तमान प्रमाणन विवरण की सीधे रिंगफ्लो से पुष्टि करनी चाहिए, बजाय यह मानने के कि वे विशेष रूप से यूसीएएएस विक्रेताओं के लिए विशिष्ट हैं।

निष्कर्ष

यूसीएएएस सुरक्षा एक छोटी सूची में आती है जिसे बताना आसान है और सत्यापित करना कठिन है: क्या सब कुछ एंड-टू-एंड एन्क्रिप्टेड है, क्या खाते पासवर्ड से अधिक सुरक्षित हैं, क्या विक्रेता वर्तमान दस्तावेज़ के साथ अपने अनुपालन दावों को साबित कर सकता है, और क्या उसके पास टोल धोखाधड़ी और विशिंग के खिलाफ वास्तविक बचाव है, बजाय इसके कि उसकी वेबसाइट पर केवल एक पृष्ठ में उनका उल्लेख किया गया है। इनमें से कोई भी विदेशी नहीं है. इसमें से अधिकांश मानक क्लाउड सुरक्षा अभ्यास है जो फाइलों के बजाय फोन कॉल पर लागू होता है, यही कारण है कि सुविधाओं और मूल्य निर्धारण का मूल्यांकन करने वाले व्यवसाय के लिए इसके बारे में पूछना तब तक भूलना आसान होता है जब तक कि कुछ गलत न हो जाए।

अक्सर पूछे जाने वाले प्रश्नों