Bezpieczeństwo UCaaS: objaśnienie zagrożeń, szyfrowania i zgodności

Wstęp

Platforma UCaaS dotyka niemal każdej wewnętrznej rozmowy w firmie, rozmów telefonicznych, spotkań wideo, wątków na czacie, co czyni ją większą powierzchnią bezpieczeństwa, niż traktuje ją większość zespołów IT. W ostatnich latach rośnie liczba oszustw związanych z opłatami na platformach komunikacyjnych w chmurze, a połączenia typu „vishing” podszywające się pod zaufany numer w celu wydobycia poufnych informacji są coraz trudniejsze do odróżnienia od prawdziwych.

Bezpieczeństwo UCaaS odnosi się do praktyk, standardów szyfrowania, kontroli dostępu i certyfikatów zgodności, które chronią platformę Unified Communications as a Service oraz przebiegające przez nią połączenia, wiadomości i spotkania. Obejmuje wszystko, od sposobu szyfrowania ruchu głosowego podczas przesyłania po to, czy dostawca może udowodnić, że spełnia standardy takie jak SOC 2 lub HIPAA.

W tym przewodniku omówiono największe zagrożenia charakterystyczne dla UCaaS, jak wygląda prawidłowe szyfrowanie, jakie standardy zgodności faktycznie mają znaczenie, jak działają oszustwa związane z opłatami drogowymi i vishing oraz co należy sprawdzić, zanim zaufasz dostawcy w zakresie wewnętrznej komunikacji firmy.

Co właściwie obejmuje „bezpieczeństwo UCaaS”?

Bezpieczeństwo UCaaS nie jest ustawieniem, które interesuje firmę. Obejmuje te same cztery komponenty, które składają się na samą definicję UCaaS, telefonię biznesową, łączność PSTN, spotkania wideo i przesyłanie wiadomości, a każdy z nich ma własną ekspozycję. Rozmowa telefoniczna może zostać przechwycona. Dostęp do wątku wiadomości można uzyskać z niewłaściwego konta. Link do spotkania wideo można udostępnić poza wybraną grupą. Połączenie PSTN może zostać przejęte w celu oszustwa związanego z opłatami drogowymi.

Ponieważ pojedynczy login UCaaS często kontroluje wszystkie cztery kanały jednocześnie, pojedyncze zhakowane konto może ujawnić więcej niż typowe naruszenie poczty e-mail, łącznie z nagraniami głosowymi, historią czatów i treścią spotkań.

Jakie są największe zagrożenia bezpieczeństwa w UCaaS?

Do zagrożeń, które pojawiają się najczęściej w ocenach bezpieczeństwa platform UCaaS należą:

• Słaba kontrola dostępu — konta bez uwierzytelniania wieloskładnikowego lub zbyt szerokich uprawnień
• Niekompletne szyfrowanie — ruch głosowy lub wideo pozostawiony na części trasy niezaszyfrowany
• Podsłuchiwanie i przechwytywanie — przechwytywanie nieszyfrowanych połączeń w sieciach niezabezpieczonych lub publicznych
• Phishing i vishing — osoby atakujące korzystające z poczty e-mail lub fałszywych połączeń telefonicznych w celu wydobycia danych uwierzytelniających lub wrażliwych danych
• Złośliwe oprogramowanie wprowadzone w wyniku integracji — aplikacje innych firm połączone z platformą UCaaS tworzące nowe punkty wejścia
• Oszustwa związane z opłatami — nieuprawnione użycie systemu telefonicznego firmy w celu kierowania kosztownych połączeń na jej koszt

Większość z nich ma swoje źródło w lukach w konfiguracji i uwierzytelnianiu, a nie w samej infrastrukturze chmury, dlatego też można im w dużej mierze zapobiec, włączając odpowiednie ustawienia od pierwszego dnia. Przeglądanie opinii publicznej dostawcy Bezpieczeństwo stronie i potwierdzenie, że to, co jest tam rzeczywiście udokumentowane, zgadza się z obietnicą przedstawioną podczas rozmowy telefonicznej, to jeden z najszybszych sposobów dostrzeżenia rozbieżności między marketingiem a rzeczywistością.

W jaki sposób należy szyfrować dane UCaaS?

Prawidłowe szyfrowanie UCaaS obejmuje dwa różne stany, w jakich mogą znajdować się dane. Przesyłane dane, czyli połączenia, wiadomości i wideo aktywnie przesyłane w sieci, powinny być szyfrowane przy użyciu protokołu TLS 1.3 lub nowszego. Dane w spoczynku, czyli przechowywane nagrania, transkrypcje i informacje o koncie, powinny być szyfrowane przy użyciu AES-256.

Ruch głosowy i wideo zasługuje tutaj na szczególną uwagę, ponieważ dostawcy kuszą, aby traktować go jako refleksję obok danych tekstowych. Połączenie pozostawione niezaszyfrowane gdziekolwiek na swojej drodze, nawet na krótko, może zostać przechwycone w niezabezpieczonej sieci. Firmy oceniające dostawcę powinny bezpośrednio zapytać, czy szyfrowanie ma zastosowanie kompleksowo w każdym kanale, a nie tylko w przypadku przechowywanych plików.

Które standardy zgodności mają zastosowanie do UCaaS?

Podczas oceny stanu bezpieczeństwa dostawcy UCaaS najczęściej pojawiają się trzy ramy:

1. 1SOC 2 Typ II obejmuje kontrolę bezpieczeństwa, dostępności, integralności przetwarzania, poufności i prywatności, weryfikowaną przez niezależnego audytora na przestrzeni miesięcy, a nie w ramach pojedynczej kontroli w określonym momencie.
2. 2HIPAA dotyczy każdej platformy UCaaS obsługującej chronione informacje zdrowotne. Zgodne platformy wymagają podpisanej umowy o partnerstwie biznesowym i zabezpieczeń technicznych, które oddzielają PHI od ogólnej komunikacji biznesowej, a nie mieszają się z tymi samymi strumieniami danych.
3. 3RODO dotyczy platform UCaaS obsługujących dane osobowe osób fizycznych w Unii Europejskiej i obejmuje sposób przechowywania, przetwarzania i w razie potrzeby usuwania tych danych.

Żaden z tych certyfikatów nie gwarantuje, że platforma jest nienaruszalna, ale dostawca, który nie jest w stanie przedstawić aktualnej dokumentacji dotyczącej platformy odpowiedniej dla jego branży, ma uzasadnione podstawy, aby zadać dalsze pytania przed podpisaniem umowy.

Czym są oszustwa związane z opłatami drogowymi i Vishing i w jaki sposób atakują UCaaS?

Oszustwa związane z opłatami mają miejsce, gdy ktoś uzyskuje nieautoryzowany dostęp do systemu telefonicznego firmy, często za pomocą słabego hasła lub niemonitorowanego konta, i wykorzystuje go do wykonywania kosztownych połączeń międzynarodowych lub połączeń o podwyższonej stawce, za które firma ostatecznie płaci. W ostatnich latach stanowi to coraz większy problem na platformach UCaaS, po części dlatego, że niektórzy dostawcy wciąż rozwijają możliwości wykrywania oszustw, które tradycyjni operatorzy telekomunikacyjni rozwijali przez dziesięciolecia.

Vishing działa inaczej. Osoba atakująca dzwoni do pracownika, często podszywając się pod numer telefonu, który wygląda na należący do banku, dostawcy lub współpracownika, i namawia ofiarę, aby ujawniła hasło, numer konta lub inne poufne szczegóły przez telefon, a nie e-mail. Ponieważ platformy UCaaS ułatwiają dzwonienie z rozpoznawalnego numeru firmowego, można je równie łatwo wykorzystać do sfałszowania numeru.

To dokładne połączenie oszustw związanych z opłatami drogowymi i ryzyka vishingu w środowiskach UCaaS jest szczegółowo badane przez Teligistyka, firma zajmująca się badaniem wydatków telekomunikacyjnych i bezpieczeństwa, która śledzi trendy w zakresie oszustw na platformach komunikacyjnych w chmurze.

Czego firmy powinny szukać u bezpiecznego dostawcy UCaaS?

Kilka praktycznych testów odróżnia dostawcę UCaaS rzeczywiście dbającego o bezpieczeństwo od tego, który po prostu wypowiada właściwe słowa w talii sprzedażowej:

• Uwierzytelnianie wieloskładnikowe dostępne i wykonalne dla każdego konta użytkownika
• Szczegółowa kontrola uprawnień dzięki czemu pracownicy mają dostęp tylko do tego, czego wymaga ich rola
• Logowanie i śledzenie aktywności z dziennikami, które firma może faktycznie kontrolować po fakcie
• Alerty o anomaliach w czasie rzeczywistym w przypadku nietypowej liczby połączeń, lokalizacji logowania lub zachowania konta
• Aktualna dokumentacja zgodności dla SOC 2, HIPAA lub RODO, w zależności od tego, co ma zastosowanie
• Regularne audyty bezpieczeństwa przeprowadzane przez strony trzecie, a nie tylko wewnętrzną samoocenę

Szkolenie pracowników jest tak samo ważne, jak dowolne ustawienie w panelu administracyjnym, ponieważ zarówno vishing, jak i phishing opierają się na osobie, a nie systemie, wykonującej niewłaściwe połączenie.

Czy Ringflow ma takie same względy bezpieczeństwa?

W zasadzie tak, mimo że Ringflow nie jest platformą UCaaS. Jest zbudowany jako Cloud Contact Center i platforma sprzedaży AI, co oznacza, że ​​pod pewnymi względami zapewnia podobną powierzchnię zabezpieczeń jak UCaaS, szyfrowane połączenia, kontrolę dostępu do konta, Przedsiębiorstwopotrzeby w zakresie zgodności na najwyższym poziomie, a inne w innych, biorąc pod uwagę skupienie się na liczbie połączeń kierowanych do klientów i optymalizacji połączeń opartej na sztucznej inteligencji, a nie na przesyłaniu wiadomości wewnątrz zespołu.

Podstawowe kryteria oceny, szyfrowanie podczas przesyłania i przechowywania, silne uwierzytelnianie i weryfikowalne certyfikaty zgodności mają zastosowanie do każdej platformy komunikacji w chmurze, niezależnie od kategorii. Firmy powinny potwierdzić aktualne szczegóły certyfikacji Ringflow bezpośrednio w Ringflow, zamiast zakładać, że odzwierciedlają one to, co jest typowe dla dostawców UCaaS.

Wniosek

Bezpieczeństwo UCaaS sprowadza się do krótkiej listy, którą łatwo określić, a trudniej zweryfikować: czy wszystko jest szyfrowane od początku do końca, czy konta są chronione czymś więcej niż hasłem, czy sprzedawca może udowodnić swoje twierdzenia o zgodności za pomocą aktualnej dokumentacji i czy posiada rzeczywiste zabezpieczenia przed oszustwami związanymi z opłatami drogowymi i vishingiem, a nie tylko stroną w swojej witrynie, w której o tym mowa. Nic z tego nie jest egzotyczne. Większość z nich to standardowa praktyka bezpieczeństwa w chmurze stosowana w przypadku połączeń telefonicznych zamiast plików i właśnie dlatego firma oceniająca funkcje i ceny łatwo zapomnieć o pytanie, dopóki coś nie pójdzie nie tak.

Często zadawane pytania