UCaaS-säkerhet: risker, kryptering och efterlevnad förklaras

Introduktion

En UCaaS-plattform berör nästan varje intern konversation ett företag har, telefonsamtal, videomöten, chatttrådar, vilket gör den till en större säkerhetsyta än de flesta IT-team behandlar den som. Bedrägerinivåerna för vägtullar på molnkommunikationsplattformar har ökat de senaste åren, och samtal som förfalskar ett pålitligt nummer för att extrahera känslig information blir allt svårare att skilja från den äkta varan.

UCaaS-säkerhet avser praxis, krypteringsstandarder, åtkomstkontroller och efterlevnadscertifieringar som skyddar en Unified Communications as a Service-plattform och de samtal, meddelanden och möten som går genom den. Det spänner över allt från hur rösttrafik krypteras under överföring till om leverantören kan bevisa att den uppfyller ramverk som SOC 2 eller HIPAA.

Den här guiden täcker de största riskerna som är specifika för UCaaS, hur korrekt kryptering ser ut, vilka efterlevnadsstandarder som faktiskt spelar roll, hur avgiftsbedrägeri och vishing fungerar och vad du ska kontrollera innan du litar på en leverantör med ett företags interna kommunikation.

Vad täcker "UCaaS Security" egentligen?

UCaaS-säkerhet är inte en inställning som ett företag aktiverar. Den spänner över samma fyra komponenter som utgör själva UCaaS-definitionen, företagstelefoni, PSTN-anslutning, videomöten och meddelanden, och var och en har sin egen exponering. Ett telefonsamtal kan avlyssnas. En meddelandetråd kan nås av fel konto. En videomöteslänk kan delas utanför den avsedda gruppen. En PSTN-anslutning kan kapas för avgiftsbedrägeri.

Eftersom en enda UCaaS-inloggning ofta kontrollerar alla fyra kanalerna samtidigt, kan ett enda inträngt konto avslöja mer än vad en vanlig e-postintrång skulle göra, inklusive röstinspelningar, chatthistorik och mötesinnehåll.

Vilka är de största säkerhetsriskerna i UCaaS?

De risker som oftast dyker upp i säkerhetsbedömningar av UCaaS-plattformar inkluderar:

• Svag åtkomstkontroll — konton utan multifaktorautentisering eller alltför breda behörigheter
• Ofullständig kryptering — röst- eller videotrafik lämnas okrypterad på en del av sin rutt
• Avlyssning och avlyssning — okrypterade samtal som avlyssnas på osäkrade eller offentliga nät
• Nätfiske och vishing — angripare som använder e-post eller falska samtal för att extrahera autentiseringsuppgifter eller känslig data
• Skadlig programvara introducerad genom integrationer — appar från tredje part som är anslutna till UCaaS-plattformen och skapar nya ingångspunkter
• Tullbedrägeri — obehörig användning av ett företags telefonsystem för att dirigera dyra samtal på dess bekostnad

De flesta av dessa går tillbaka till konfigurations- och autentiseringsluckor snarare än brister i själva molninfrastrukturen, vilket också är anledningen till att de till stor del går att förhindra med rätt inställningar aktiverade från dag ett. Granska en leverantörs publik Säkerhet sida, och att bekräfta att det som faktiskt finns där stämmer överens med vad som utlovats i ett säljsamtal, är ett av de snabbaste sätten att upptäcka gapet mellan marknadsföring och verklighet.

Hur ska UCaaS-data krypteras?

Korrekt UCaaS-kryptering täcker två olika tillstånd som data kan vara i. Data under överföring, vilket betyder samtal, meddelanden och video som aktivt rör sig över nätverket, bör krypteras med TLS 1.3 eller en senare version. Data i vila, det vill säga lagrade inspelningar, transkriptioner och kontoinformation, bör krypteras med AES-256.

Röst- och videotrafik förtjänar särskild uppmärksamhet här, eftersom det är frestande för leverantörer att behandla dem som en eftertanke bredvid textbaserad data. Ett samtal som lämnas okrypterat var som helst längs vägen, även kortvarigt, är ett samtal som kan avlyssnas på ett osäkrat nätverk. Företag som utvärderar en leverantör bör fråga direkt om kryptering tillämpas från början till slut över alla kanaler, inte bara för lagrade filer.

Vilka efterlevnadsstandarder gäller för UCaaS?

Tre ramverk dyker upp oftast när man utvärderar en UCaaS-leverantörs säkerhetsställning:

1. 1SOC 2 typ II täcker säkerhet, tillgänglighet, bearbetningsintegritet, konfidentialitet och integritetskontroller, verifierade av en oberoende revisor under en period av månader snarare än en enda kontroll vid tidpunkten.
2. 2HIPAA gäller för alla UCaaS-plattformar som hanterar skyddad hälsoinformation. Kompatibla plattformar behöver ett undertecknat avtal om affärspartner och tekniska säkerhetsåtgärder som håller PHI åtskild från allmän affärskommunikation snarare än blandas in i samma dataströmmar.
3. 3GDPR gäller för UCaaS-plattformar som hanterar personuppgifter för individer i Europeiska unionen, och omfattar hur dessa uppgifter lagras, behandlas och, när så krävs, raderas.

Ingen av dessa certifieringar garanterar att en plattform är okränkbar, men en leverantör som inte kan producera aktuell dokumentation för ramverket som är relevant för sin bransch är rimligt att ifrågasätta ytterligare innan han undertecknar ett kontrakt.

Vad är vägtullsbedrägeri och vishing, och hur riktar de sig mot UCaaS?

Avgiftsbedrägeri inträffar när någon får obehörig åtkomst till ett företags telefonsystem, ofta genom ett svagt lösenord eller ett oövervakat konto, och använder det för att ringa dyra internationella samtal eller betalsamtal som företaget slutar med att betala för. Det har varit ett växande problem över UCaaS-plattformar under de senaste åren, delvis på grund av att vissa leverantörer fortfarande bygger ut de bedrägeriupptäckande funktioner som traditionella telekomoperatörer utvecklat under decennier.

Vishing fungerar annorlunda. En angripare ringer en anställd, ofta förfalskar ett telefonnummer som ser ut att tillhöra en bank, leverantör eller kollega, och övertalar målet att avslöja ett lösenord, kontonummer eller annan känslig detalj via telefon i stället för via e-post. Eftersom UCaaS-plattformar gör det enkelt att ringa från ett igenkännbart företagsnummer, kan de lika gärna användas för att förfalska ett.

Denna exakta kombination av avgiftsbedrägeri och vishingrisk i UCaaS-miljöer undersöks i detalj av Teligistik, ett forskningsföretag för telekomkostnader och säkerhet som spårar bedrägerietrender över molnkommunikationsplattformar.

Vad ska företag leta efter hos en säker UCaaS-leverantör?

En handfull praktiska kontroller skiljer en genuint säkerhetsmedveten UCaaS-leverantör från en som bara säger de rätta orden i ett säljkort:

• Multi-faktor autentisering tillgängliga och verkställbara för varje användarkonto
• Granulära behörighetskontroller så att anställda bara har tillgång till vad deras roll kräver
• Inloggning och aktivitetsspårning med loggar kan ett företag faktiskt granska i efterhand
• Anomalivarningar i realtid för ovanlig samtalsvolym, inloggningsplatser eller kontobeteende
• Aktuell överensstämmelsedokumentation för SOC 2, HIPAA eller GDPR, beroende på vad som gäller
• Regelbundna säkerhetsrevisioner från tredje part, inte bara intern självbedömning

Personalutbildning är lika viktig som alla inställningar i adminpanelen, eftersom både vishing och nätfiske är beroende av att en person, inte ett system, ringer fel samtal.

Står Ringflow inför samma säkerhetsöverväganden?

Ja, i princip, även om Ringflow inte är en UCaaS-plattform. Den är byggd som ett molnkontaktcenter och AI-försäljningsplattform, vilket innebär att den har en liknande säkerhetsyta som UCaaS i vissa avseenden, krypterade samtal, kontoåtkomstkontroller, Företag-grade efterlevnadsbehov, och olika i andra, med tanke på dess fokus på kundnära samtalsvolym och AI-driven samtalsoptimering snarare än internt teammeddelande.

De underliggande utvärderingskriterierna, kryptering under överföring och i vila, stark autentisering och verifierbara efterlevnadscertifieringar, gäller för alla molnkommunikationsplattformar oavsett kategori. Företag bör bekräfta Ringflows nuvarande certifieringsdetaljer direkt med Ringflow istället för att anta att de speglar vad som är typiskt för UCaaS-leverantörer specifikt.

Slutsats

UCaaS säkerhet kommer ner till en kort lista som är lätt att ange och svårare att verifiera: är allt krypterat från början till slut, är konton skyddade av mer än ett lösenord, kan leverantören bevisa sina krav på efterlevnad med aktuell dokumentation, och har den verkliga försvar mot avgiftsbedrägerier och vishing snarare än bara en sida på sin webbplats som nämner dem. Inget av det är exotiskt. Det mesta är standardpraxis för molnsäkerhet som tillämpas på telefonsamtal istället för filer, vilket är exakt varför det är lätt för ett företag som utvärderar funktioner och prissättning att glömma att fråga om det tills något går fel.

Vanliga frågor