Perkenalan
Platform UCaaS menyentuh hampir setiap percakapan internal suatu bisnis, panggilan telepon, rapat video, rangkaian obrolan, yang menjadikannya permukaan keamanan yang lebih besar daripada yang dianggap oleh sebagian besar tim TI. Tingkat penipuan pulsa pada platform komunikasi cloud telah meningkat dalam beberapa tahun terakhir, dan panggilan palsu yang memalsukan nomor tepercaya untuk mengekstrak informasi sensitif semakin sulit dibedakan dari panggilan asli.
Keamanan UCaaS mengacu pada praktik, standar enkripsi, kontrol akses, dan sertifikasi kepatuhan yang melindungi platform Komunikasi Terpadu sebagai Layanan serta panggilan, pesan, dan rapat yang berjalan melaluinya. Hal ini mencakup segalanya mulai dari bagaimana lalu lintas suara dienkripsi saat transit hingga apakah vendor dapat membuktikan bahwa trafik tersebut memenuhi kerangka kerja seperti SOC 2 atau HIPAA.
Panduan ini mencakup risiko terbesar khusus UCaaS, seperti apa enkripsi yang tepat, standar kepatuhan apa yang sebenarnya penting, cara kerja penipuan tol dan vishing, dan apa yang harus diperiksa sebelum mempercayakan komunikasi internal bisnis kepada vendor.
Apa yang Sebenarnya Dicakup oleh "Keamanan UCaaS"?
Keamanan UCaaS bukanlah pengaturan yang menghidupkan bisnis. Ini mencakup empat komponen yang sama yang membentuk definisi UCaaS itu sendiri, yaitu telepon bisnis, konektivitas PSTN, rapat video, dan perpesanan, dan masing-masing komponen memiliki paparannya sendiri. Panggilan telepon dapat disadap. Thread perpesanan dapat diakses oleh akun yang salah. Tautan video meeting dapat dibagikan ke luar grup yang dituju. Koneksi PSTN bisa dibajak untuk penipuan pulsa.
Karena satu login UCaaS sering kali mengontrol keempat saluran sekaligus, satu akun yang disusupi dapat mengungkap lebih dari sekadar pelanggaran email biasa, termasuk rekaman suara, riwayat obrolan, dan konten rapat.
Apa Risiko Keamanan Terbesar di UCaaS?
Risiko yang paling sering muncul dalam penilaian keamanan platform UCaaS meliputi:
- Kontrol akses yang lemah — akun tanpa autentikasi multifaktor atau izin yang terlalu luas
- Enkripsi tidak lengkap — lalu lintas suara atau video tidak terenkripsi pada sebagian rutenya
- Menguping dan intersepsi — panggilan tidak terenkripsi disadap di jaringan tidak aman atau publik
- Phishing dan vishing — penyerang menggunakan email atau panggilan palsu untuk mengekstrak kredensial atau data sensitif
- Malware diperkenalkan melalui integrasi — aplikasi pihak ketiga yang terhubung ke platform UCaaS menciptakan titik masuk baru
- Penipuan tol — penggunaan sistem telepon perusahaan yang tidak sah untuk mengalihkan panggilan-panggilan mahal dengan mengorbankan perusahaan
Sebagian besar masalah ini disebabkan oleh kesenjangan konfigurasi dan autentikasi, bukan karena kelemahan dalam infrastruktur cloud itu sendiri. Itulah sebabnya masalah ini sebagian besar dapat dicegah dengan mengaktifkan pengaturan yang tepat sejak hari pertama. Meninjau publik vendor Keamanan halaman, dan memastikan apa yang sebenarnya didokumentasikan di sana sesuai dengan apa yang dijanjikan dalam panggilan penjualan, adalah salah satu cara tercepat untuk menemukan kesenjangan antara pemasaran dan kenyataan.
Bagaimana Seharusnya Data UCaaS Dienkripsi?
Enkripsi UCaaS yang tepat mencakup dua status berbeda saat data berada. Data dalam transit, artinya panggilan, pesan, dan video yang bergerak secara aktif di seluruh jaringan, harus dienkripsi menggunakan TLS 1.3 atau versi yang lebih baru. Data tidak aktif, artinya rekaman, transkrip, dan informasi akun yang disimpan, harus dienkripsi menggunakan AES-256.
Lalu lintas suara dan video patut mendapat perhatian khusus di sini, karena vendor tergoda untuk memperlakukannya sebagai renungan di samping data berbasis teks. Panggilan yang dibiarkan tidak terenkripsi di mana pun sepanjang jalurnya, meskipun sebentar, adalah panggilan yang dapat disadap di jaringan yang tidak aman. Bisnis yang mengevaluasi vendor harus menanyakan secara langsung apakah enkripsi diterapkan secara end-to-end di setiap saluran, tidak hanya pada file yang disimpan.
Standar Kepatuhan Mana yang Berlaku untuk UCaaS?
Tiga kerangka kerja yang paling sering muncul ketika mengevaluasi postur keamanan vendor UCaaS:
- 1SOC 2 Tipe II mencakup kontrol keamanan, ketersediaan, integritas pemrosesan, kerahasiaan, dan privasi, yang diverifikasi oleh auditor independen selama beberapa bulan, bukan hanya satu kali pemeriksaan.
- 2HIPAA berlaku untuk platform UCaaS mana pun yang menangani informasi kesehatan yang dilindungi. Platform yang patuh memerlukan perjanjian rekanan bisnis yang ditandatangani dan perlindungan teknis yang menjaga PHI tetap terpisah dari komunikasi bisnis umum, bukannya digabungkan ke dalam aliran data yang sama.
- 3GDPR berlaku untuk platform UCaaS yang menangani data pribadi individu di Uni Eropa, yang mencakup cara data tersebut disimpan, diproses, dan, bila diperlukan, dihapus.
Tak satu pun dari sertifikasi ini yang menjamin suatu platform tidak dapat ditembus, namun vendor yang tidak dapat menghasilkan dokumentasi terkini untuk kerangka kerja yang relevan dengan industrinya adalah wajar untuk mempertanyakan lebih lanjut sebelum menandatangani kontrak.
Apa Itu Penipuan dan Vishing Tol, dan Bagaimana Mereka Menargetkan UCaaS?
Penipuan pulsa terjadi ketika seseorang mendapatkan akses tidak sah ke sistem telepon suatu bisnis, sering kali melalui kata sandi yang lemah atau akun yang tidak diawasi, dan menggunakannya untuk melakukan panggilan internasional atau tarif premium yang mahal yang akhirnya dibayar oleh bisnis tersebut. Masalah ini menjadi masalah yang berkembang di seluruh platform UCaaS dalam beberapa tahun terakhir, sebagian karena beberapa penyedia masih mengembangkan kemampuan deteksi penipuan yang dikembangkan oleh operator telekomunikasi tradisional selama beberapa dekade.
Vishing bekerja secara berbeda. Seorang penyerang menelepon seorang karyawan, sering kali memalsukan nomor telepon yang sepertinya milik bank, vendor, atau rekan kerja, dan membujuk target untuk mengungkapkan kata sandi, nomor rekening, atau detail sensitif lainnya melalui telepon, bukan melalui email. Karena platform UCaaS memudahkan panggilan dari nomor bisnis yang dapat dikenali, platform tersebut juga dapat dengan mudah digunakan untuk memalsukan nomor tersebut.
Kombinasi yang tepat antara penipuan tol dan risiko vishing dalam lingkungan UCaaS diperiksa secara rinci oleh Teligistik, sebuah firma riset pengeluaran dan keamanan telekomunikasi yang melacak tren penipuan di seluruh platform komunikasi cloud.
Apa yang Harus Diperhatikan Bisnis dalam Vendor UCaaS yang Aman?
Beberapa pemeriksaan praktis memisahkan vendor UCaaS yang benar-benar sadar akan keamanan dari vendor yang hanya mengatakan kata-kata yang tepat di dek penjualan:
- Otentikasi multi-faktor tersedia dan dapat diterapkan untuk setiap akun pengguna
- Kontrol izin terperinci jadi karyawan hanya memiliki akses terhadap apa yang dibutuhkan peran mereka
- Login dan pelacakan aktivitas dengan log, bisnis sebenarnya dapat mengaudit setelah kejadiannya
- Peringatan anomali waktu nyata untuk volume panggilan yang tidak biasa, lokasi login, atau perilaku akun
- Dokumentasi kepatuhan saat ini untuk SOC 2, HIPAA, atau GDPR, mana saja yang berlaku
- Audit keamanan pihak ketiga secara berkala, bukan hanya penilaian diri internal
Pelatihan karyawan sama pentingnya dengan pengaturan apa pun di panel admin, karena vishing dan phishing bergantung pada orang, bukan sistem, yang melakukan panggilan yang salah.
Apakah Ringflow Menghadapi Pertimbangan Keamanan yang Sama?
Ya, pada prinsipnya, meskipun Ringflow bukan platform UCaaS. Ini dibangun sebagai Pusat Kontak Cloud dan Platform Penjualan AI, yang berarti ia membawa permukaan keamanan yang serupa dengan UCaaS dalam beberapa hal, panggilan terenkripsi, kontrol akses akun, Perusahaankebutuhan kepatuhan tingkat tinggi, dan berbeda dengan kebutuhan kepatuhan lainnya, mengingat fokusnya pada volume panggilan langsung ke pelanggan dan optimalisasi panggilan berbasis AI, bukan pengiriman pesan tim internal.
Kriteria evaluasi yang mendasarinya, enkripsi saat transit dan saat disimpan, autentikasi yang kuat, dan sertifikasi kepatuhan yang dapat diverifikasi, berlaku untuk platform komunikasi cloud apa pun, apa pun kategorinya. Bisnis harus mengonfirmasi rincian sertifikasi Ringflow saat ini secara langsung dengan Ringflow daripada berasumsi bahwa rincian tersebut mencerminkan ciri khas vendor UCaaS secara khusus.
Kesimpulan
Keamanan UCaaS terbagi menjadi beberapa daftar pendek yang mudah untuk dinyatakan dan lebih sulit untuk diverifikasi: apakah semuanya dienkripsi secara end-to-end, apakah akun dilindungi oleh lebih dari sekedar kata sandi, dapatkah vendor membuktikan klaim kepatuhannya dengan dokumentasi terkini, dan apakah vendor memiliki pertahanan nyata terhadap penipuan tol dan vishing, bukan hanya satu halaman di situs webnya yang menyebutkan hal tersebut. Tak satu pun dari itu yang eksotik. Sebagian besar merupakan praktik keamanan cloud standar yang diterapkan pada panggilan telepon, bukan file, itulah sebabnya bisnis yang mengevaluasi fitur dan harga mudah lupa untuk menanyakannya hingga terjadi masalah.
Siap ketika Anda siap
Mengevaluasi Keamanan Sebelum Memilih Platform Komunikasi?
Lihat bagaimana Cloud Contact Center dan AI Sales Platform Ringflow melakukan pendekatan terhadap enkripsi, kontrol akses, dan kepatuhan untuk panggilan langsung ke pelanggan.
Pertanyaan yang Sering Diajukan
Risiko keamanan UCaaS yang paling umum mencakup kontrol akses yang lemah, enkripsi yang tidak lengkap, penyadapan panggilan tidak terenkripsi, serangan phishing dan vishing, penipuan pulsa, dan kerentanan yang ditimbulkan melalui integrasi pihak ketiga. Sebagian besar risiko ini berasal dari kesalahan konfigurasi atau autentikasi yang lemah, dan bukan karena kelemahan pada infrastruktur cloud itu sendiri.
Penyedia UCaaS terkemuka mengenkripsi data saat transit menggunakan TLS 1.3 atau lebih tinggi dan mengenkripsi data yang disimpan menggunakan AES-256. Lalu lintas suara dan video juga harus dienkripsi secara end-to-end dan bukan dibiarkan sebagai aliran audio biasa, karena panggilan yang tidak terenkripsi dapat disadap di jaringan yang tidak aman.
Hal ini bergantung pada vendor dan konfigurasinya, bukan pada kategorinya. Platform UCaaS dapat dibuat sesuai dengan HIPAA jika platform tersebut mengisolasi informasi kesehatan yang dilindungi dari komunikasi bisnis umum, menandatangani perjanjian rekanan bisnis, dan menerapkan enkripsi dan kontrol akses yang diperlukan. Tidak semua vendor UCaaS menawarkan ini secara default.
Penipuan pulsa terjadi ketika penyerang mendapatkan akses tidak sah ke sistem telepon bisnis dan meneruskan panggilan internasional atau tarif premium yang mahal melalui sistem tersebut, sehingga bisnis harus menanggung biayanya. Platform UCaaS mengalami peningkatan tingkat penipuan tol dalam beberapa tahun terakhir, sebagian karena beberapa penyedia masih mengembangkan kemampuan deteksi penipuan.
Vishing adalah phishing suara: penyerang menelepon dengan berpura-pura menjadi kontak, bank, atau vendor tepercaya, sering kali memalsukan ID penelepon yang dikenalnya, untuk meyakinkan seseorang agar membagikan kata sandi, nomor rekening, atau informasi sensitif lainnya melalui telepon, bukan melalui email atau teks.
Carilah SOC 2 Tipe II, yang mencakup kontrol keamanan, ketersediaan, dan kerahasiaan, serta kepatuhan HIPAA jika menangani data kesehatan dan penyelarasan GDPR untuk pengguna UE. Sertifikasi ini tidak menjamin keamanan yang sempurna, namun ketidakhadiran sertifikasi ini merupakan alasan yang masuk akal untuk mengajukan lebih banyak pertanyaan kepada vendor sebelum menandatangani kontrak.
Ya, pada prinsipnya. Platform komunikasi cloud apa pun, baik itu UCaaS atau Cloud Contact Center dan AI Sales Platform seperti Ringflow, harus dievaluasi berdasarkan dasar yang sama: enkripsi saat transit dan saat istirahat, kontrol akses yang kuat, dan sertifikasi kepatuhan yang relevan. Dunia usaha harus mengkonfirmasi rincian sertifikasi saat ini secara langsung dengan Ringflow daripada berasumsi bahwa rincian tersebut merupakan penerus dari kategori UCaaS.
