UCaaS セキュリティ: リスク、暗号化、およびコンプライアンスの説明

導入

UCaaS プラットフォームは、企業内のほぼすべての社内会話、電話、ビデオ会議、チャット スレッドに影響を与えるため、ほとんどの IT チームが扱うよりも大きなセキュリティ面になります。クラウド通信プラットフォームでの電話料金詐欺の発生率は近年上昇しており、信頼できる電話番号になりすまして機密情報を抜き出す勧誘電話は、本物と区別することがますます困難になっています。

UCaaS セキュリティとは、サービスとしてのユニファイド コミュニケーション プラットフォームと、そこで実行される通話、メッセージ、会議を保護する実践、暗号化標準、アクセス制御、およびコンプライアンス認定を指します。これは、音声トラフィックが転送中にどのように暗号化されるかから、ベンダーが SOC 2 や HIPAA などのフレームワークを満たしていることを証明できるかどうかまで、あらゆる点に及びます。

このガイドでは、UCaaS に特有の最大のリスク、適切な暗号化とはどのようなものか、実際に重要なコンプライアンス標準はどれか、料金詐欺やビッシングがどのように機能するか、企業の内部通信でベンダーを信頼する前に何を確認すべきかについて説明します。

「UCaaSセキュリティ」は実際に何をカバーするのですか？

UCaaS セキュリティは、企業が有効にする設定ではありません。これは、UCaaS 定義自体を構成する同じ 4 つのコンポーネント、ビジネス テレフォニー、PSTN 接続、ビデオ会議、およびメッセージングにまたがっており、それぞれが独自のエクスポージャーを持ちます。電話が傍受される可能性があります。メッセージング スレッドには、間違ったアカウントがアクセスする可能性があります。ビデオ会議リンクは、対象のグループ外で共有できます。 PSTN 接続は、料金詐欺のためにハイジャックされる可能性があります。

多くの場合、単一の UCaaS ログインで 4 つのチャネルすべてが同時に制御されるため、単一のアカウントが侵害されると、音声録音、チャット履歴、会議コンテンツなど、通常の電子メール侵害以上の情報が漏洩する可能性があります。

UCaaS における最大のセキュリティ リスクは何ですか?

UCaaS プラットフォームのセキュリティ評価で最も頻繁に浮上するリスクは次のとおりです。

• 弱いアクセス制御 — 多要素認証または過度に広範な権限を持たないアカウント
• 不完全な暗号化 — ルートの一部で音声またはビデオのトラフィックが暗号化されずに残される
• 盗聴と傍受 — セキュリティで保護されていないネットワークまたはパブリック ネットワーク上で暗号化されていない通話が傍受される
• フィッシングとビッシング — 攻撃者が電子メールまたはなりすまし通話を使用して認証情報や機密データを抽出する
• 統合によって導入されたマルウェア — UCaaS プラットフォームに接続されたサードパーティ アプリが新しいエントリ ポイントを作成
• 料金詐欺 — 企業の電話システムを不正に使用して、企業の負担で高価な通話をルーティングすること

これらのほとんどは、クラウド インフラストラクチャ自体の欠陥ではなく、構成と認証のギャップに遡ります。そのため、初日から適切な設定を有効にしておけば、ほとんどの場合回避可能です。ベンダーの公開情報を確認する 安全 ページを参照し、そこに実際に文書化されている内容が営業電話での約束と一致していることを確認することは、マーケティングと現実の間のギャップを見つける最も簡単な方法の 1 つです。

UCaaS データはどのように暗号化されるべきですか?

適切な UCaaS 暗号化は、データが取り得る 2 つの異なる状態に対応します。転送中のデータ、つまりネットワーク上をアクティブに移動する通話、メッセージ、およびビデオは、TLS 1.3 以降のバージョンを使用して暗号化する必要があります。保存データ、つまり保存された録音、トランスクリプト、アカウント情報は、AES-256 を使用して暗号化する必要があります。

音声とビデオのトラフィックは、ベンダーにとってテキストベースのデータの次に後回しにされる傾向があるため、ここでは特に注意する必要があります。コールがパス上のどこにでも、たとえ短時間であっても暗号化されずに放置されると、安全でないネットワーク上でコールが傍受される可能性があります。ベンダーを評価する企業は、保存されているファイルだけでなく、すべてのチャネルにわたって暗号化がエンドツーエンドで適用されるかどうかを直接尋ねる必要があります。

UCaaS にはどの準拠基準が適用されますか?

UCaaS ベンダーのセキュリティ体制を評価する場合、次の 3 つのフレームワークが最も頻繁に登場します。

1. 1SOC 2 タイプ II セキュリティ、可用性、処理の完全性、機密性、プライバシー管理をカバーしており、単一の時点でのチェックではなく、独立した監査人によって数カ月にわたって検証されます。
2. 2ヒパア 保護された医療情報を扱うすべての UCaaS プラットフォームに適用されます。準拠したプラットフォームには、署名済みの業務提携契約と、PHI を同じデータ ストリームに混ぜるのではなく、一般的なビジネス通信から分離するための技術的保護手段が必要です。
3. 3GDPR 欧州連合内の個人の個人データを扱う UCaaS プラットフォームに適用され、そのデータがどのように保存、処理され、必要に応じて削除されるかがカバーされます。

これらの認定はいずれもプラットフォームが侵害されないことを保証するものではありませんが、業界に関連するフレームワークに関する最新のドキュメントを作成できないベンダーは、契約に署名する前にさらに質問するのが合理的です。

料金詐欺とビッシングとは何ですか?また、UCaaS をどのように標的にするのでしょうか?

電話料金詐欺は、多くの場合、脆弱なパスワードや監視されていないアカウントを介して、誰かが企業の電話システムに不正にアクセスし、それを使用して高額な国際電話や割増料金の通話を発信し、その料金を企業が支払うことになるときに発生します。近年、UCaaS プラットフォーム全体でこの問題が深刻化しています。その理由の 1 つは、一部のプロバイダーが、従来の通信事業者が数十年かけて開発した不正検出機能をまだ構築していることです。

ビッシングの動作は異なります。攻撃者は従業員に電話をかけ、多くの場合、銀行、ベンダー、または同僚のものであるかのように見せかけて電話番号を偽装し、電子メールではなく電話でターゲットを説得してパスワード、口座番号、その他の機密情報を明らかにさせます。 UCaaS プラットフォームを使用すると、認識可能な企業番号から簡単に電話をかけることができるため、なりすましにも同様に簡単に使用できます。

UCaaS 環境内での料金詐欺とビッシング リスクのこの正確な組み合わせは、次の方法で詳細に調査されています。 テリジスティクスは、クラウド通信プラットフォーム全体にわたる不正行為の傾向を追跡する通信費とセキュリティの調査会社です。

企業は安全な UCaaS ベンダーに何を求めるべきでしょうか?

いくつかの実践的なチェックによって、真にセキュリティを意識した UCaaS ベンダーと、単にセールスデッキで正しい言葉を言っているだけの UCaaS ベンダーを区別します。

• 多要素認証 すべてのユーザーアカウントで利用可能かつ強制可能
• きめ細かな権限制御 そのため、従業員は自分の役割に必要なものにのみアクセスできるようになります
• ログインとアクティビティの追跡 ログを使用すると、企業は事後に実際に監査できる
• リアルタイムの異常アラート 異常な通話量、ログイン場所、またはアカウントの動作について
• 現在のコンプライアンス文書 SOC 2、HIPAA、または GDPR のいずれか適用されるもの
• 第三者による定期的なセキュリティ監査内部の自己評価だけではなく

従業員のトレーニングは、管理パネルの設定と同じくらい重要です。ビッシングとフィッシングはどちらも、システムではなく人間に依存して間違った呼び出しを行うためです。

Ringflow も同様のセキュリティ上の考慮事項に直面していますか?

はい、Ringflow は UCaaS プラットフォームではありませんが、原則として可能です。これは、クラウド コンタクト センターおよび AI セールス プラットフォームとして構築されており、暗号化された通話、アカウント アクセス制御など、いくつかの点で UCaaS と同様のセキュリティ面を備えています。 企業内部チームのメッセージングではなく、顧客対応の通話量と AI を活用した通話の最適化に焦点を当てているため、レベルのコンプライアンス ニーズと他のニーズは異なります。

基盤となる評価基準、転送中および保存中の暗号化、強力な認証、検証可能なコンプライアンス認証は、カテゴリに関係なく、あらゆるクラウド通信プラットフォームに適用されます。企業は、特に UCaaS ベンダーの典型的なものを反映していると考えるのではなく、Ringflow の現在の認定の詳細を Ringflow に直接確認する必要があります。

結論

UCaaS のセキュリティは、述べるのは簡単だが検証するのは難しい短いリストにまとめられます。すべてがエンドツーエンドで暗号化されているか、アカウントはパスワード以上のもので保護されているか、ベンダーは現在の文書でコンプライアンスの主張を証明できますか、料金詐欺やビッシングについて言及している Web サイトのページだけではなく、実際の防御策を備えているかどうかです。どれもエキゾチックではありません。そのほとんどは、ファイルではなく電話に適用される標準的なクラウド セキュリティ慣行です。機能や価格を評価する企業が、何か問題が発生するまで質問することを忘れがちなのはまさにこのためです。

よくある質問