giriiş
Bir UCaaS platformu, bir işletmenin yaptığı neredeyse her dahili görüşmeye, telefon görüşmelerine, görüntülü toplantılara, sohbet yazışmalarına dokunur ve bu da onu çoğu BT ekibinin düşündüğünden daha büyük bir güvenlik yüzeyi haline getirir. Bulut iletişim platformlarında geçiş ücreti dolandırıcılığı oranları son yıllarda artıyor ve hassas bilgileri almak için güvenilir bir numarayı taklit eden geçici aramaların gerçeğinden ayırt edilmesi giderek zorlaşıyor.
UCaaS güvenliği, Hizmet olarak Birleşik İletişim platformunu ve bunun üzerinden yürütülen çağrıları, mesajları ve toplantıları koruyan uygulamaları, şifreleme standartlarını, erişim kontrollerini ve uyumluluk sertifikalarını ifade eder. Ses trafiğinin aktarım sırasında nasıl şifrelendiğinden satıcının SOC 2 veya HIPAA gibi çerçeveleri karşıladığını kanıtlayıp kanıtlayamayacağına kadar her şeyi kapsar.
Bu kılavuz, UCaaS'ye özgü en büyük riskleri, uygun şifrelemenin neye benzediğini, gerçekte hangi uyumluluk standartlarının önemli olduğunu, ücret dolandırıcılığı ve kaçakçılığın nasıl çalıştığını ve bir işletmenin iç iletişimleri konusunda bir satıcıya güvenmeden önce nelerin kontrol edilmesi gerektiğini kapsar.
"UCaaS Güvenliği" Aslında Neyi Kapsıyor?
UCaaS güvenliği, bir işletmenin etkinleştirildiği bir ayar değildir. UCaaS tanımının kendisini oluşturan aynı dört bileşeni (iş telefonu, PSTN bağlantısı, görüntülü toplantılar ve mesajlaşmayı) kapsar ve her biri kendi kapsamını taşır. Bir telefon görüşmesi durdurulabilir. Bir mesajlaşma dizisine yanlış hesaptan erişilebilir. Görüntülü toplantı bağlantısı hedeflenen grubun dışında paylaşılabilir. Ücretli dolandırıcılık amacıyla bir PSTN bağlantısı ele geçirilebilir.
Tek bir UCaaS girişi genellikle dört kanalın tümünü aynı anda kontrol ettiğinden, ele geçirilen tek bir hesap, ses kayıtları, sohbet geçmişi ve toplantı içeriği dahil olmak üzere tipik bir e-posta ihlalinden daha fazlasını açığa çıkarabilir.
UCaaS'deki En Büyük Güvenlik Riskleri Nelerdir?
UCaaS platformlarının güvenlik değerlendirmelerinde en sık ortaya çıkan riskler şunları içerir:
- Zayıf erişim kontrolleri — çok faktörlü kimlik doğrulaması olmayan veya aşırı geniş izinlere sahip olmayan hesaplar
- Eksik şifreleme — rotanın bir kısmında ses veya video trafiği şifrelenmeden bırakıldı
- Dinleme ve müdahale — güvenli olmayan veya genel ağlarda engellenen şifrelenmemiş çağrılar
- Kimlik avı ve vishing — kimlik bilgilerini veya hassas verileri çıkarmak için e-posta veya sahte çağrı kullanan saldırganlar
- Entegrasyonlar yoluyla tanıtılan kötü amaçlı yazılımlar — UCaaS platformuna bağlı üçüncü taraf uygulamalar yeni giriş noktaları oluşturuyor
- Geçiş ücreti dolandırıcılığı — masrafı kendisine ait olacak şekilde pahalı aramaları yönlendirmek için bir işletmenin telefon sisteminin yetkisiz kullanımı
Bunların çoğu, bulut altyapısındaki kusurlardan ziyade yapılandırma ve kimlik doğrulama boşluklarından kaynaklanmaktadır; bu da, ilk günden itibaren doğru ayarların açılmasıyla büyük ölçüde önlenebilir olmalarının nedenidir. Bir satıcının kamuoyunun incelenmesi Güvenlik sayfasında belgelenenlerin satış görüşmesinde vaat edilenlerle eşleştiğini doğrulamak, pazarlama ile gerçeklik arasındaki boşluğu tespit etmenin en hızlı yollarından biridir.
UCaaS Verileri Nasıl Şifrelenmeli?
Uygun UCaaS şifrelemesi, verilerin bulunabileceği iki farklı durumu kapsar. Aktarım halindeki veriler, yani ağ üzerinde aktif olarak hareket eden çağrılar, mesajlar ve videolar, TLS 1.3 veya sonraki bir sürüm kullanılarak şifrelenmelidir. Durağan veriler, yani saklanan kayıtlar, transkriptler ve hesap bilgileri AES-256 kullanılarak şifrelenmelidir.
Ses ve video trafiği burada özel bir ilgiyi hak ediyor çünkü satıcıların bunları metin tabanlı verilerin yanında sonradan akla gelen bir düşünce olarak ele alması cazip geliyor. Yolu boyunca herhangi bir yerde, kısa süreliğine de olsa, şifrelenmeden bırakılan bir çağrı, güvenli olmayan bir ağda ele geçirilebilecek bir çağrıdır. Bir satıcıyı değerlendiren işletmeler, şifrelemenin yalnızca depolanan dosyalara değil, her kanala uçtan uca uygulanıp uygulanmadığını doğrudan sormalıdır.
UCaaS için Hangi Uyumluluk Standartları Geçerlidir?
Bir UCaaS satıcısının güvenlik duruşunu değerlendirirken en sık üç çerçeve ortaya çıkar:
- 1SOC 2 Tip II tek bir anlık kontrol yerine aylar süren bağımsız bir denetçi tarafından doğrulanan güvenlik, kullanılabilirlik, işlem bütünlüğü, gizlilik ve mahremiyet kontrollerini kapsar.
- 2HIPAA korunan sağlık bilgilerini işleyen tüm UCaaS platformları için geçerlidir. Uyumlu platformlar, PHI'yi aynı veri akışlarına karıştırmak yerine genel iş iletişimlerinden ayrı tutacak imzalanmış bir iş ortaklığı sözleşmesine ve teknik önlemlere ihtiyaç duyar.
- 3GDPR Avrupa Birliği'ndeki bireylerin kişisel verilerini işleyen UCaaS platformları için geçerli olup bu verilerin nasıl saklandığını, işlendiğini ve gerektiğinde silindiğini kapsar.
Bu sertifikaların hiçbiri bir platformun ihlal edilemez olduğunu garanti etmez, ancak kendi sektörüyle ilgili çerçeve için güncel belgeler üretemeyen bir satıcının, bir sözleşme imzalamadan önce daha fazla sorgulaması makul olacaktır.
Ücretli Dolandırıcılık ve Vishing Nedir ve UCaaS'yi Nasıl Hedefler?
Ücretli dolandırıcılık, birisinin genellikle zayıf bir şifre veya izlenmeyen bir hesap aracılığıyla bir işletmenin telefon sistemine yetkisiz erişim sağlaması ve bunu, işletmenin sonunda ödeme yapması gereken pahalı uluslararası veya özel tarifeli aramalar yapmak için kullanması durumunda meydana gelir. Bu, son yıllarda UCaaS platformlarında giderek büyüyen bir sorun haline geldi; bunun nedeni, bazı sağlayıcıların, geleneksel telekomünikasyon taşıyıcılarının onlarca yıldır geliştirdiği dolandırıcılık tespit yeteneklerini hâlâ geliştirmeye devam etmesi.
Vishing farklı şekilde çalışır. Saldırgan, genellikle bir bankaya, satıcıya veya iş arkadaşına aitmiş gibi görünen bir telefon numarasını taklit ederek bir çalışanı arar ve hedeften bir şifreyi, hesap numarasını veya diğer hassas ayrıntıları e-posta yerine telefonla açıklaması konusunda konuşur. UCaaS platformları tanınabilir bir işletme numarasından arama yapmayı kolaylaştırdığı için, aynı kolaylıkla sahtecilik yapmak için de kullanılabilir.
Ücretli dolandırıcılık ve UCaaS ortamlarındaki riskin tam olarak birleşimi, ayrıntılı olarak incelenmektedir. Teligistik, bulut iletişim platformlarındaki dolandırıcılık eğilimlerini izleyen bir telekom giderleri ve güvenlik araştırma şirketi.
İşletmeler Güvenli bir UCaaS Tedarikçisinde Nelere Bakmalı?
Bir avuç pratik kontrol, gerçek anlamda güvenlik bilincine sahip bir UCaaS satıcısını satış sunumunda doğru kelimeleri söyleyen bir satıcıdan ayırır:
- Çok faktörlü kimlik doğrulama her kullanıcı hesabı için kullanılabilir ve uygulanabilir
- Ayrıntılı izin kontrolleri böylece çalışanlar yalnızca rollerinin gerektirdiği şeylere erişebilir
- Giriş ve aktivite takibi günlükler sayesinde bir işletme olaydan sonra gerçekten denetim yapabilir
- Gerçek zamanlı anormallik uyarıları alışılmadık çağrı hacmi, oturum açma konumları veya hesap davranışları için
- Güncel uyumluluk belgeleri SOC 2, HIPAA veya GDPR için hangisi geçerliyse
- Düzenli üçüncü taraf güvenlik denetimlerisadece içsel öz değerlendirme değil
Çalışan eğitimi, yönetici panelindeki herhangi bir ayar kadar önemlidir, çünkü hem vishing hem de kimlik avı yanlış karar veren bir sisteme değil bir kişiye bağlıdır.
Ringflow Aynı Güvenlik Hususlarıyla Karşı Karşıya mı?
Evet, prensip olarak Ringflow bir UCaaS platformu olmasa da. Bulut İletişim Merkezi ve Yapay Zeka Satış Platformu olarak inşa edilmiştir, bu da bazı açılardan UCaaS'ye benzer bir güvenlik yüzeyi, şifreli arama, hesap erişim kontrolleri taşıdığı anlamına gelir. GirişimDahili ekip mesajlaşması yerine müşteriye yönelik çağrı hacmine ve yapay zeka odaklı çağrı optimizasyonuna odaklanılması göz önüne alındığında, birinci sınıf uyumluluk ihtiyaçları ve diğerlerinde farklı olan ihtiyaçlar.
Temel değerlendirme kriterleri, aktarım sırasında ve beklemede şifreleme, güçlü kimlik doğrulama ve doğrulanabilir uyumluluk sertifikaları, kategoriye bakılmaksızın tüm bulut iletişim platformları için geçerlidir. İşletmeler, bunların özellikle UCaaS satıcıları için tipik olanı yansıttığını varsaymak yerine, Ringflow'un mevcut sertifikasyon ayrıntılarını doğrudan Ringflow ile doğrulamalıdır.
Çözüm
UCaaS güvenliği, belirtilmesi kolay ve doğrulanması daha zor olan kısa bir listeden oluşur: her şey uçtan uca şifreleniyor mu, hesaplar bir paroladan daha fazlasıyla korunuyor mu, satıcı mevcut belgelerle uyumluluk iddialarını kanıtlayabilir mi ve web sitesinde yalnızca bunlardan bahseden bir sayfa yerine geçiş ücreti sahtekarlığına ve hırsızlığa karşı gerçek savunmaları var mı? Bunların hiçbiri egzotik değil. Bunların çoğu, dosyalar yerine telefon görüşmelerine uygulanan standart bulut güvenliği uygulamasıdır; özellikleri ve fiyatlandırmayı değerlendiren bir işletmenin, bir şeyler ters gidene kadar bu konuda soru sormayı unutmasının nedeni tam olarak budur.
Hazır olduğunuzda hazır
Bir İletişim Platformu Seçmeden Önce Güvenliği Değerlendiriyor musunuz?
Ringflow'un Bulut İletişim Merkezi ve Yapay Zeka Satış Platformunun müşteriye yönelik aramalarda şifrelemeye, erişim kontrollerine ve uyumluluğa nasıl yaklaştığını görün.
Sıkça Sorulan Sorular
En yaygın UCaaS güvenlik riskleri arasında zayıf erişim kontrolleri, eksik şifreleme, şifrelenmemiş çağrıların gizlice dinlenmesi, kimlik avı ve vishing saldırıları, ücret sahtekarlığı ve üçüncü taraf entegrasyonları yoluyla ortaya çıkan güvenlik açıkları yer alır. Bu risklerin çoğu, temeldeki bulut altyapısındaki kusurlardan ziyade yanlış yapılandırma veya zayıf kimlik doğrulamasından kaynaklanmaktadır.
Saygın UCaaS sağlayıcıları, aktarılan verileri TLS 1.3 veya üstünü kullanarak şifreler ve depolanan verileri AES-256 kullanarak şifreler. Şifrelenmemiş aramalar güvenli olmayan ağlarda ele geçirilebileceğinden, ses ve video trafiğinin düz ses akışları olarak bırakılması yerine uçtan uca şifrelenmesi gerekir.
Bu, kategorinin kendisine değil, satıcıya ve yapılandırmaya bağlıdır. Bir UCaaS platformu, korunan sağlık bilgilerini genel iş iletişimlerinden ayırması, bir iş ortaklığı sözleşmesi imzalaması ve gerekli şifreleme ve erişim kontrollerini uygulaması durumunda HIPAA uyumlu hale getirilebilir. Her UCaaS satıcısı bunu varsayılan olarak sunmaz.
Ücretli dolandırıcılık, saldırganların bir işletmenin telefon sistemine yetkisiz erişim sağlaması ve pahalı uluslararası veya özel tarifeli aramaları bu sistem üzerinden yönlendirmesi ve masrafları işletmenin karşılaması durumunda ortaya çıkar. UCaaS platformları son yıllarda ücretli dolandırıcılık oranlarında artış gördü, bunun nedeni kısmen bazı sağlayıcıların hâlâ dolandırıcılık tespit yeteneklerini geliştirmesi.
Vishing, sesli kimlik avıdır: Bir saldırgan, birisini şifreleri, hesap numaralarını veya diğer hassas bilgileri e-posta veya mesaj yerine telefon üzerinden paylaşmaya ikna etmek için güvenilir bir kişi, banka veya satıcı gibi davranarak arar ve genellikle tanıdık bir arayan kimliğini taklit eder.
AB kullanıcıları için sağlık verileri ve GDPR uyumluluğu işleniyorsa HIPAA uyumluluğunun yanı sıra güvenlik, kullanılabilirlik ve gizlilik kontrollerini kapsayan SOC 2 Tip II'yi arayın. Bu sertifikalar mükemmel güvenliği garanti etmez, ancak bunların yokluğu, sözleşmeyi imzalamadan önce satıcıya daha fazla soru sormak için makul bir nedendir.
Evet, prensip olarak. İster UCaaS ister Bulut İletişim Merkezi ve Ringflow gibi Yapay Zeka Satış Platformu olsun, herhangi bir bulut iletişim platformu aynı temele göre değerlendirilmelidir: aktarım sırasında ve beklemede şifreleme, güçlü erişim kontrolleri ve ilgili uyumluluk sertifikaları. İşletmeler, mevcut sertifikasyon ayrıntılarını UCaaS kategorisinden aktardıklarını varsaymak yerine doğrudan Ringflow ile onaylamalıdır.
