Introduzione
Una piattaforma UCaaS tocca quasi tutte le conversazioni interne di un'azienda, telefonate, riunioni video, thread di chat, il che la rende una superficie di sicurezza più ampia di quanto la consideri la maggior parte dei team IT. I tassi di frode telefonica sulle piattaforme di comunicazione cloud sono aumentati negli ultimi anni e le chiamate vishing che falsificano un numero attendibile per estrarre informazioni sensibili diventano sempre più difficili da distinguere da quelle reali.
La sicurezza UCaaS si riferisce alle pratiche, agli standard di crittografia, ai controlli di accesso e alle certificazioni di conformità che proteggono una piattaforma Unified Communications as a Service e le chiamate, i messaggi e le riunioni che la attraversano. Copre tutto, dal modo in cui il traffico vocale viene crittografato in transito alla capacità del fornitore di dimostrare di soddisfare framework come SOC 2 o HIPAA.
Questa guida copre i maggiori rischi specifici dell'UCaaS, come si presenta la crittografia corretta, quali standard di conformità contano effettivamente, come funzionano le frodi tariffarie e il vishing e cosa controllare prima di affidare a un fornitore le comunicazioni interne di un'azienda.
Cosa copre effettivamente la "Sicurezza UCaaS"?
La sicurezza UCaaS non è un'impostazione che accende un'azienda. Comprende gli stessi quattro componenti che costituiscono la stessa definizione UCaaS, telefonia aziendale, connettività PSTN, riunioni video e messaggistica, e ognuno ha la propria esposizione. Una telefonata può essere intercettata. È possibile accedere a un thread di messaggi dall'account sbagliato. Un collegamento a una riunione video può essere condiviso all'esterno del gruppo previsto. Una connessione PSTN può essere compromessa per frode telefonica.
Poiché un singolo accesso UCaaS spesso controlla tutti e quattro i canali contemporaneamente, un singolo account compromesso può esporre più di quanto farebbe una tipica violazione della posta elettronica, registrazioni vocali, cronologia chat e contenuti delle riunioni inclusi.
Quali sono i maggiori rischi per la sicurezza nell'UCaaS?
I rischi che emergono più spesso nelle valutazioni della sicurezza delle piattaforme UCaaS includono:
- Controlli di accesso deboli — account senza autenticazione a più fattori o autorizzazioni eccessivamente ampie
- Crittografia incompleta — traffico vocale o video lasciato non crittografato su una parte del suo percorso
- Ascoltazioni e intercettazioni — chiamate non criptate intercettate su reti pubbliche o non protette
- Phishing e vishing — aggressori che utilizzano e-mail o chiamate contraffatte per estrarre credenziali o dati sensibili
- Malware introdotto tramite integrazioni — app di terze parti connesse alla piattaforma UCaaS creando nuovi entry point
- Frode tariffaria — utilizzo non autorizzato del sistema telefonico di un'azienda per instradare chiamate costose a sue spese
La maggior parte di questi sono riconducibili a lacune di configurazione e autenticazione piuttosto che a difetti nell'infrastruttura cloud stessa, motivo per cui sono in gran parte prevenibili con le giuste impostazioni attivate fin dal primo giorno. Revisione del pubblico di un fornitore Sicurezza pagina e verificare che ciò che è effettivamente documentato corrisponda a ciò che è stato promesso in una chiamata di vendita, è uno dei modi più rapidi per individuare il divario tra marketing e realtà.
Come dovrebbero essere crittografati i dati UCaaS?
La crittografia UCaaS corretta copre due diversi stati in cui possono trovarsi i dati. I dati in transito, ovvero chiamate, messaggi e video che si muovono attivamente attraverso la rete, devono essere crittografati utilizzando TLS 1.3 o versione successiva. I dati inattivi, ovvero le registrazioni archiviate, le trascrizioni e le informazioni sull'account, devono essere crittografati utilizzando AES-256.
Il traffico voce e video merita un'attenzione specifica in questo caso, poiché è forte la tentazione per i fornitori di trattarli come un ripensamento accanto ai dati basati su testo. Una chiamata lasciata non crittografata ovunque lungo il suo percorso, anche per breve tempo, è una chiamata che può essere intercettata su una rete non protetta. Le aziende che valutano un fornitore dovrebbero chiedere direttamente se la crittografia viene applicata end-to-end su ogni canale, non solo sui file archiviati.
Quali standard di conformità si applicano a UCaaS?
Tre framework emergono più spesso quando si valuta il livello di sicurezza di un fornitore UCaaS:
- 1SOC2 Tipo II copre la sicurezza, la disponibilità, l'integrità del trattamento, la riservatezza e i controlli sulla privacy, verificati da un revisore indipendente per un periodo di mesi anziché un singolo controllo puntuale.
- 2HIPAA si applica a qualsiasi piattaforma UCaaS che gestisce informazioni sanitarie protette. Le piattaforme conformi necessitano di un contratto di società in affari firmato e di garanzie tecniche che mantengano le PHI separate dalle comunicazioni aziendali generali anziché mescolate negli stessi flussi di dati.
- 3GDPR si applica alle piattaforme UCaaS che gestiscono i dati personali degli individui nell'Unione Europea, coprendo il modo in cui tali dati vengono archiviati, elaborati e, quando richiesto, cancellati.
Nessuna di queste certificazioni garantisce che una piattaforma sia inviolabile, ma è ragionevole interrogare ulteriormente un fornitore che non è in grado di produrre la documentazione aggiornata per il framework rilevante per il proprio settore prima di firmare un contratto.
Cosa sono le frodi tariffarie e il Vishing e come prendono di mira l'UCaaS?
Le frodi tariffarie si verificano quando qualcuno ottiene l'accesso non autorizzato al sistema telefonico di un'azienda, spesso tramite una password debole o un account non monitorato, e lo utilizza per effettuare costose chiamate internazionali o a tariffa maggiorata che l'azienda finisce per pagare. Negli ultimi anni è stato un problema crescente tra le piattaforme UCaaS, in parte perché alcuni fornitori stanno ancora sviluppando le capacità di rilevamento delle frodi che gli operatori di telecomunicazioni tradizionali hanno sviluppato nel corso di decenni.
Il vishing funziona diversamente. Un utente malintenzionato chiama un dipendente, spesso falsificando un numero di telefono che sembra appartenere a una banca, un fornitore o un collega, e convince la vittima a rivelare una password, un numero di conto o altri dettagli sensibili tramite telefono anziché tramite e-mail. Poiché le piattaforme UCaaS semplificano le chiamate da un numero aziendale riconoscibile, possono essere utilizzate altrettanto facilmente per falsificarne uno.
Questa esatta combinazione di frode tariffaria e rischio di vishing all'interno degli ambienti UCaaS viene esaminata in dettaglio da Teligistica, una società di ricerca sulle spese per le telecomunicazioni e sulla sicurezza che monitora le tendenze delle frodi sulle piattaforme di comunicazione cloud.
Cosa dovrebbero cercare le aziende in un fornitore UCaaS sicuro?
Una manciata di controlli pratici separano un fornitore UCaaS veramente attento alla sicurezza da uno che dice semplicemente le parole giuste in un mazzo di vendite:
- Autenticazione a più fattori disponibile e applicabile per ogni account utente
- Controlli granulari delle autorizzazioni quindi i dipendenti hanno accesso solo a ciò che richiede il loro ruolo
- Accesso e monitoraggio delle attività con i registri un'azienda può effettivamente verificare a posteriori
- Avvisi di anomalie in tempo reale per volume di chiamate, posizioni di accesso o comportamento insolito dell'account
- Documentazione di conformità attuale per SOC 2, HIPAA o GDPR, a seconda di quale si applichi
- Controlli di sicurezza regolari di terze parti, non solo autovalutazione interna
La formazione dei dipendenti è importante tanto quanto qualsiasi impostazione nel pannello di amministrazione, poiché sia il vishing che il phishing si basano su una persona, non su un sistema, che effettua la chiamata sbagliata.
Ringflow deve affrontare le stesse considerazioni sulla sicurezza?
Sì, in linea di principio, anche se Ringflow non è una piattaforma UCaaS. È costruito come un Contact Center sul cloud e una piattaforma di vendita AI, il che significa che per alcuni aspetti offre una superficie di sicurezza simile a UCaaS, chiamate crittografate, controlli di accesso all'account, Impresaesigenze di conformità di livello elevato e diverse in altri, data la sua attenzione al volume delle chiamate rivolte al cliente e all'ottimizzazione delle chiamate basata sull'intelligenza artificiale piuttosto che alla messaggistica interna del team.
I criteri di valutazione sottostanti, crittografia in transito e a riposo, autenticazione forte e certificazioni di conformità verificabili, si applicano a qualsiasi piattaforma di comunicazione cloud indipendentemente dalla categoria. Le aziende dovrebbero confermare i dettagli attuali della certificazione di Ringflow direttamente con Ringflow piuttosto che presumere che rispecchino ciò che è tipico dei fornitori UCaaS in particolare.
Conclusione
La sicurezza UCaaS si riduce a un breve elenco che è facile da dichiarare ma più difficile da verificare: è tutto crittografato end-to-end, gli account sono protetti da più di una password, il fornitore può dimostrare le sue dichiarazioni di conformità con la documentazione attuale e dispone di difese reali contro le frodi tariffarie e il vishing anziché semplicemente una pagina sul suo sito Web che li menziona. Niente di tutto ciò è esotico. Si tratta in gran parte di pratiche standard di sicurezza cloud applicate alle telefonate anziché ai file, motivo per cui è facile per un'azienda che valuta funzionalità e prezzi dimenticarsi di chiedere informazioni finché qualcosa non va storto.
Pronto quando lo sei tu
Valutare la sicurezza prima di scegliere una piattaforma di comunicazione?
Scopri come il Cloud Contact Center e la piattaforma di vendita AI di Ringflow affrontano la crittografia, i controlli di accesso e la conformità per le chiamate rivolte ai clienti.
Domande frequenti
I rischi per la sicurezza UCaaS più comuni includono controlli di accesso deboli, crittografia incompleta, intercettazioni di chiamate non crittografate, attacchi di phishing e vishing, frodi telefoniche e vulnerabilità introdotte tramite integrazioni di terze parti. La maggior parte di questi rischi deriva da un’errata configurazione o da un’autenticazione debole piuttosto che da difetti nell’infrastruttura cloud stessa.
I fornitori UCaaS affidabili crittografano i dati in transito utilizzando TLS 1.3 o versione successiva e crittografano i dati archiviati utilizzando AES-256. Anche il traffico vocale e video dovrebbe essere crittografato end-to-end anziché lasciato come semplice flusso audio, poiché le chiamate non crittografate possono essere intercettate su reti non protette.
Dipende dal fornitore e dalla configurazione, non dalla categoria stessa. Una piattaforma UCaaS può essere resa conforme a HIPAA se isola le informazioni sanitarie protette dalle comunicazioni aziendali generali, firma un accordo di società in affari e applica la crittografia e i controlli di accesso richiesti. Non tutti i fornitori UCaaS lo offrono per impostazione predefinita.
Le frodi tariffarie si verificano quando gli aggressori ottengono l'accesso non autorizzato al sistema telefonico di un'azienda e instradano attraverso di esso costose chiamate internazionali o a tariffa maggiorata, lasciando che sia l'azienda a coprire le spese. Negli ultimi anni le piattaforme UCaaS hanno registrato un aumento dei tassi di frode tariffaria, in parte perché alcuni fornitori stanno ancora sviluppando capacità di rilevamento delle frodi.
Il vishing è il phishing vocale: un utente malintenzionato chiama fingendosi un contatto fidato, una banca o un fornitore, spesso falsificando un ID chiamante familiare, per convincere qualcuno a condividere password, numeri di conto o altre informazioni sensibili al telefono anziché tramite e-mail o SMS.
Cerca SOC 2 Tipo II, che copre i controlli di sicurezza, disponibilità e riservatezza, insieme alla conformità HIPAA se si gestiscono dati sanitari e l'allineamento al GDPR per gli utenti dell'UE. Queste certificazioni non garantiscono una sicurezza perfetta, ma la loro assenza è un motivo ragionevole per porre ulteriori domande al venditore prima di firmare un contratto.
Sì, in linea di principio. Qualsiasi piattaforma di comunicazione cloud, che si tratti di UCaaS o di un Cloud Contact Center e di una piattaforma di vendita AI come Ringflow, dovrebbe essere valutata rispetto alla stessa linea di base: crittografia in transito e a riposo, forti controlli di accesso e pertinenti certificazioni di conformità. Le aziende dovrebbero confermare i dettagli attuali della certificazione direttamente con Ringflow anziché presumere che vengano trasferiti dalla categoria UCaaS.
