Introdução
Uma plataforma UCaaS afeta quase todas as conversas internas de uma empresa, chamadas telefônicas, videoconferências, conversas de bate-papo, o que a torna uma superfície de segurança maior do que a maioria das equipes de TI considera. As taxas de fraude em plataformas de comunicação em nuvem têm aumentado nos últimos anos, e as chamadas vishing que falsificam um número confiável para extrair informações confidenciais estão cada vez mais difíceis de distinguir das reais.
A segurança UCaaS refere-se às práticas, padrões de criptografia, controles de acesso e certificações de conformidade que protegem uma plataforma de comunicações unificadas como serviço e as chamadas, mensagens e reuniões realizadas por meio dela. Abrange tudo, desde como o tráfego de voz é criptografado em trânsito até se o fornecedor pode provar que atende a estruturas como SOC 2 ou HIPAA.
Este guia cobre os maiores riscos específicos do UCaaS, como é a criptografia adequada, quais padrões de conformidade realmente importam, como funcionam a fraude tarifária e o vishing e o que verificar antes de confiar a um fornecedor as comunicações internas de uma empresa.
O que a “Segurança UCaaS” realmente cobre?
A segurança UCaaS não é uma configuração que uma empresa ativa. Ele abrange os mesmos quatro componentes que compõem a própria definição de UCaaS: telefonia empresarial, conectividade PSTN, videoconferências e mensagens, e cada um carrega sua própria exposição. Uma chamada telefônica pode ser interceptada. Um tópico de mensagens pode ser acessado pela conta errada. Um link de videoconferência pode ser compartilhado fora do grupo pretendido. Uma conexão PSTN pode ser sequestrada por fraude tarifária.
Como um único login UCaaS geralmente controla todos os quatro canais ao mesmo tempo, uma única conta comprometida pode expor mais do que uma violação típica de e-mail, incluindo gravações de voz, histórico de bate-papo e conteúdo de reunião.
Quais são os maiores riscos de segurança no UCaaS?
Os riscos que surgem com mais frequência nas avaliações de segurança de plataformas UCaaS incluem:
- Controles de acesso fracos — contas sem autenticação multifator ou permissões excessivamente amplas
- Criptografia incompleta — tráfego de voz ou vídeo deixado sem criptografia em parte de sua rota
- Escuta e interceptação — chamadas não criptografadas interceptadas em redes públicas ou não seguras
- Phishing e vishing — invasores que usam e-mail ou chamadas falsificadas para extrair credenciais ou dados confidenciais
- Malware introduzido por meio de integrações — aplicativos de terceiros conectados à plataforma UCaaS criando novos pontos de entrada
- Fraude de pedágio — uso não autorizado do sistema telefônico de uma empresa para encaminhar chamadas caras às suas custas
A maioria deles remonta a lacunas de configuração e autenticação, e não a falhas na própria infraestrutura de nuvem, e é também por isso que são amplamente evitáveis com as configurações corretas ativadas desde o primeiro dia. Revendo o público de um fornecedor Segurança página e confirmar que o que realmente está documentado ali corresponde ao que foi prometido em uma ligação de vendas é uma das maneiras mais rápidas de identificar a lacuna entre o marketing e a realidade.
Como os dados UCaaS devem ser criptografados?
A criptografia UCaaS adequada abrange dois estados diferentes em que os dados podem estar. Dados em trânsito, ou seja, chamadas, mensagens e vídeos em movimento ativo pela rede, devem ser criptografados usando TLS 1.3 ou uma versão posterior. Os dados em repouso, ou seja, gravações armazenadas, transcrições e informações de conta, devem ser criptografados usando AES-256.
O tráfego de voz e vídeo merece atenção específica aqui, já que é tentador para os fornecedores tratá-los como algo secundário em relação aos dados baseados em texto. Uma chamada deixada sem criptografia em qualquer lugar ao longo de seu caminho, mesmo que brevemente, é uma chamada que pode ser interceptada em uma rede não segura. As empresas que avaliam um fornecedor devem perguntar diretamente se a criptografia se aplica de ponta a ponta em todos os canais, não apenas nos arquivos armazenados.
Quais padrões de conformidade se aplicam ao UCaaS?
Três estruturas surgem com mais frequência ao avaliar a postura de segurança de um fornecedor de UCaaS:
- 1SOC 2 Tipo II abrange segurança, disponibilidade, integridade de processamento, confidencialidade e controles de privacidade, verificados por um auditor independente durante um período de meses, em vez de uma única verificação pontual.
- 2HIPAA aplica-se a qualquer plataforma UCaaS que lida com informações de saúde protegidas. As plataformas compatíveis precisam de um acordo de parceria comercial assinado e de salvaguardas técnicas que mantenham as PHI segregadas das comunicações empresariais gerais, em vez de misturadas nos mesmos fluxos de dados.
- 3GDPR aplica-se às plataformas UCaaS que tratam dados pessoais de indivíduos na União Europeia, abrangendo como esses dados são armazenados, processados e, quando necessário, excluídos.
Nenhuma dessas certificações garante que uma plataforma seja inviolável, mas é razoável questionar um fornecedor que não consiga produzir documentação atualizada para a estrutura relevante para seu setor antes de assinar um contrato.
O que são Toll Fraud e Vishing e como eles visam o UCaaS?
A fraude tarifária acontece quando alguém obtém acesso não autorizado ao sistema telefônico de uma empresa, geralmente por meio de uma senha fraca ou de uma conta não monitorada, e o utiliza para fazer chamadas internacionais caras ou com tarifa premium pelas quais a empresa acaba pagando. Tem sido um problema crescente nas plataformas UCaaS nos últimos anos, em parte porque alguns fornecedores ainda estão a desenvolver as capacidades de detecção de fraude que as operadoras de telecomunicações tradicionais desenvolveram ao longo de décadas.
Vishing funciona de maneira diferente. Um invasor liga para um funcionário, muitas vezes falsificando um número de telefone que parece pertencer a um banco, fornecedor ou colega de trabalho, e convence o alvo a revelar uma senha, número de conta ou outros detalhes confidenciais por telefone, em vez de por e-mail. Como as plataformas UCaaS facilitam a ligação de um número comercial reconhecível, elas podem ser facilmente usadas para falsificar um.
Esta combinação exata de fraude tarifária e risco de vishing dentro de ambientes UCaaS é examinada detalhadamente por Teligística, uma empresa de pesquisa em despesas de telecomunicações e segurança que rastreia tendências de fraude em plataformas de comunicação em nuvem.
O que as empresas devem procurar em um fornecedor seguro de UCaaS?
Algumas verificações práticas separam um fornecedor de UCaaS genuinamente preocupado com a segurança daquele que apenas diz as palavras certas em uma apresentação de vendas:
- Autenticação multifator disponível e aplicável para cada conta de usuário
- Controles de permissão granulares para que os funcionários só tenham acesso ao que sua função exige
- Login e rastreamento de atividades com registros, uma empresa pode realmente auditar após o fato
- Alertas de anomalias em tempo real para volume de chamadas incomum, locais de login ou comportamento da conta
- Documentação de conformidade atual para SOC 2, HIPAA ou GDPR, o que for aplicável
- Auditorias regulares de segurança de terceiros, não apenas autoavaliação interna
O treinamento dos funcionários é tão importante quanto qualquer configuração no painel de administração, já que vishing e phishing dependem de uma pessoa, e não de um sistema, que toma a decisão errada.
O Ringflow enfrenta as mesmas considerações de segurança?
Sim, em princípio, embora o Ringflow não seja uma plataforma UCaaS. Ele foi construído como um Contact Center em nuvem e uma plataforma de vendas de IA, o que significa que carrega uma superfície de segurança semelhante ao UCaaS em alguns aspectos, chamadas criptografadas, controles de acesso à conta, Empresanecessidades de conformidade de alto nível, e diferentes em outras, dado seu foco no volume de chamadas voltadas para o cliente e na otimização de chamadas orientada por IA, em vez de mensagens internas da equipe.
Os critérios de avaliação subjacentes, criptografia em trânsito e em repouso, autenticação forte e certificações de conformidade verificáveis, aplicam-se a qualquer plataforma de comunicações em nuvem, independentemente da categoria. As empresas devem confirmar os detalhes atuais da certificação do Ringflow diretamente com o Ringflow, em vez de presumir que eles refletem o que é típico especificamente para fornecedores de UCaaS.
Conclusão
A segurança do UCaaS se resume a uma pequena lista que é fácil de declarar e mais difícil de verificar: tudo está criptografado de ponta a ponta, as contas são protegidas por mais do que uma senha, o fornecedor pode provar suas reivindicações de conformidade com a documentação atual e tem defesas reais contra fraudes de tarifas e vishing, em vez de apenas uma página em seu site mencionando-as. Nada disso é exótico. A maior parte é prática padrão de segurança na nuvem aplicada a chamadas telefônicas em vez de arquivos, e é exatamente por isso que é fácil para uma empresa avaliar recursos e preços esquecer de perguntar sobre isso até que algo dê errado.
Pronto quando você estiver
Avaliando a segurança antes de escolher uma plataforma de comunicações?
Veja como o Cloud Contact Center e a AI Sales Platform da Ringflow abordam a criptografia, os controles de acesso e a conformidade para chamadas voltadas para o cliente.
Perguntas frequentes
Os riscos de segurança UCaaS mais comuns incluem controles de acesso fracos, criptografia incompleta, espionagem de chamadas não criptografadas, ataques de phishing e vishing, fraude de tarifas e vulnerabilidades introduzidas por meio de integrações de terceiros. A maioria desses riscos resulta de configuração incorreta ou autenticação fraca, e não de falhas na própria infraestrutura de nuvem subjacente.
Provedores de UCaaS respeitáveis criptografam dados em trânsito usando TLS 1.3 ou superior e criptografam dados armazenados usando AES-256. O tráfego de voz e vídeo também deve ser criptografado de ponta a ponta, em vez de ser deixado como simples fluxos de áudio, uma vez que chamadas não criptografadas podem ser interceptadas em redes não seguras.
Depende do fornecedor e da configuração, não da categoria em si. Uma plataforma UCaaS pode se tornar compatível com HIPAA se isolar informações de saúde protegidas das comunicações comerciais gerais, assinar um contrato de parceria comercial e aplicar a criptografia necessária e os controles de acesso. Nem todo fornecedor de UCaaS oferece isso por padrão.
A fraude tarifária acontece quando os invasores obtêm acesso não autorizado ao sistema telefônico de uma empresa e encaminham chamadas internacionais caras ou com tarifa premium por meio dele, deixando a empresa arcar com as despesas. As plataformas UCaaS têm registado taxas crescentes de fraude nos últimos anos, em parte porque alguns fornecedores ainda estão a desenvolver capacidades de deteção de fraudes.
Vishing é phishing de voz: um invasor liga fingindo ser um contato, banco ou fornecedor confiável, muitas vezes falsificando um identificador de chamada familiar, para convencer alguém a compartilhar senhas, números de contas ou outras informações confidenciais por telefone, em vez de e-mail ou texto.
Procure o SOC 2 Tipo II, que cobre controles de segurança, disponibilidade e confidencialidade, juntamente com conformidade com HIPAA se estiver lidando com dados de saúde e alinhamento com GDPR para usuários da UE. Essas certificações não garantem segurança perfeita, mas sua ausência é um motivo razoável para fazer mais perguntas ao fornecedor antes de assinar um contrato.
Sim, em princípio. Qualquer plataforma de comunicação em nuvem, seja UCaaS ou um Contact Center em nuvem e plataforma de vendas de IA como o Ringflow, deve ser avaliada em relação à mesma linha de base: criptografia em trânsito e em repouso, controles de acesso fortes e certificações de conformidade relevantes. As empresas devem confirmar os detalhes da certificação atual diretamente com o Ringflow, em vez de presumir que eles são provenientes da categoria UCaaS.
