вступ
Платформа UCaaS торкається майже всіх внутрішніх розмов компанії, телефонних дзвінків, відеозустрічей, ланцюжків чатів, що робить її більшою поверхнею безпеки, ніж це вважають більшість ІТ-команд. Останніми роками рівень шахрайства на хмарних комунікаційних платформах зростає, а дзвінки в стилі vishing, які підманюють надійний номер для отримання конфіденційної інформації, усе важче відрізнити від справжніх.
Безпека UCaaS стосується практик, стандартів шифрування, контролю доступу та сертифікатів відповідності, які захищають платформу Unified Communications як послугу та дзвінки, повідомлення та зустрічі, що проходять через неї. Він охоплює все: від того, як голосовий трафік шифрується під час передачі, до того, чи може постачальник підтвердити, що він відповідає таким структурам, як SOC 2 або HIPAA.
Цей посібник охоплює найбільші ризики, характерні для UCaaS, як виглядає правильне шифрування, які стандарти відповідності насправді важливі, як працює шахрайство з платними тарифами та вішинг, а також що слід перевірити, перш ніж довірити внутрішні комунікації компанії постачальнику.
Що насправді охоплює «UCaaS Security»?
Безпека UCaaS — це не той параметр, який вмикає бізнес. Він охоплює ті ж чотири компоненти, які складають саме визначення UCaaS, бізнес-телефонію, підключення до телефонної мережі загального користування, відеозустрічі та обмін повідомленнями, і кожен з них має власний вплив. Телефонний дзвінок можна перехопити. Доступ до ланцюжка повідомлень може отримати не той обліковий запис. Посиланням на відеозустріч можна поділитися за межами призначеної групи. З’єднання PSTN може бути зламано для шахрайства з платою.
Оскільки один обліковий запис UCaaS часто контролює всі чотири канали одночасно, один зламаний обліковий запис може виявити більше, ніж звичайний злом електронної пошти, включаючи записи голосу, історію чату та вміст зустрічі.
Які найбільші ризики безпеки в UCaaS?
Ризики, які найчастіше виникають під час оцінки безпеки платформ UCaaS, включають:
- Слабкий контроль доступу — облікові записи без багатофакторної автентифікації або надто широкі дозволи
- Неповне шифрування — голосовий або відеотрафік залишився незашифрованим на частині маршруту
- Прослуховування та перехоплення — незашифровані дзвінки, перехоплені в незахищених або публічних мережах
- Фішинг і вішинг — зловмисники використовують електронну пошту або підроблені виклики для отримання облікових даних або конфіденційних даних
- Зловмисне програмне забезпечення, введене через інтеграцію — сторонні програми, підключені до платформи UCaaS, створюють нові точки входу
- Шахрайство з платою — несанкціоноване використання телефонної системи підприємства для маршрутизації дорогих дзвінків за його рахунок
Більшість із них пов’язані з прогалинами конфігурації та автентифікації, а не з недоліками в самій хмарній інфраструктурі, тому їх значною мірою можна запобігти, увімкнувши правильні налаштування з першого дня. Перегляд паблік постачальника Безпека сторінки, і підтвердження того, що насправді задокументовано там відповідає тому, що обіцяно в дзвінку з продажу, є одним із найшвидших способів виявити розрив між маркетингом і реальністю.
Як слід шифрувати дані UCaaS?
Належне шифрування UCaaS охоплює два різні стани, у яких можуть перебувати дані. Дані під час передачі, тобто дзвінки, повідомлення та відео, що активно переміщуються мережею, мають бути зашифровані за допомогою TLS 1.3 або новішої версії. Дані в спокої, тобто збережені записи, стенограми та інформація про обліковий запис, мають бути зашифровані за допомогою AES-256.
Тут на особливу увагу заслуговує голосовий і відеотрафік, оскільки постачальникам спокусливо розглядати їх як запізнілу думку поряд із текстовими даними. Дзвінок, залишений незашифрованим будь-де на своєму шляху, навіть на короткий час, є викликом, який можна перехопити в незахищеній мережі. Підприємства, які оцінюють постачальника, повинні напряму запитати, чи застосовується шифрування наскрізне в кожному каналі, а не лише до збережених файлів.
Які стандарти відповідності застосовуються до UCaaS?
Під час оцінки стану безпеки постачальника UCaaS найчастіше зустрічаються три фреймворки:
- 1SOC 2 Тип II охоплює безпеку, доступність, цілісність обробки, конфіденційність і конфіденційність, перевірені незалежним аудитором протягом кількох місяців, а не одноразової перевірки.
- 2HIPAA застосовується до будь-якої платформи UCaaS, яка обробляє захищену інформацію про здоров’я. Для сумісних платформ потрібна підписана угода про ділове партнерство та технічні засоби захисту, які відокремлюють PHI від загальної бізнес-комунікації, а не змішують в тих самих потоках даних.
- 3GDPR застосовується до платформ UCaaS, що обробляють персональні дані фізичних осіб у Європейському Союзі, охоплюючи те, як ці дані зберігаються, обробляються та, за потреби, видаляються.
Жодна з цих сертифікацій не гарантує незламності платформи, але постачальнику, який не може надати актуальну документацію для фреймворку, що відповідає його галузі, доцільно поставити додаткові запитання перед підписанням контракту.
Що таке Toll Fraud і Vishing, і як вони націлені на UCaaS?
Шахрайство з дзвінками трапляється, коли хтось отримує неавторизований доступ до телефонної системи підприємства, часто через слабкий пароль або неконтрольований обліковий запис, і використовує його для здійснення дорогих міжнародних або платних дзвінків, за які зрештою платить підприємство. Останніми роками ця проблема зростає на платформах UCaaS, частково тому, що деякі провайдери все ще розробляють можливості виявлення шахрайства, які традиційні телекомунікаційні оператори розвивали десятиліттями.
Vishing працює інакше. Зловмисник дзвонить співробітнику, часто підробляючи номер телефону, який виглядає так, ніби він належить банку, постачальнику або колезі, і вмовляє ціль розкрити пароль, номер рахунку або іншу конфіденційну інформацію по телефону, а не електронною поштою. Оскільки платформи UCaaS дозволяють легко дзвонити з впізнаваного бізнес-номера, їх можна так само легко використовувати для підробки.
Це точне поєднання шахрайства з платою та ризику вишинга в середовищах UCaaS детально досліджено Телігістика, дослідницьку компанію з питань телекомунікацій і безпеки, яка відстежує тенденції шахрайства на хмарних комунікаційних платформах.
На що підприємствам варто звернути увагу на безпечного постачальника UCaaS?
Декілька практичних перевірок відрізняють постачальника UCaaS, який справді піклується про безпеку, від постачальника, який просто говорить правильні слова в пакеті продажів:
- Багатофакторна аутентифікація доступний і застосовний для кожного облікового запису користувача
- Детальний контроль дозволів тому працівники мають доступ лише до того, що вимагає їхня роль
- Вхід і відстеження активності за допомогою журналів бізнес може фактично перевірити факт
- Сповіщення про аномалії в реальному часі для незвичної гучності викликів, місць входу або поведінки облікового запису
- Актуальна документація відповідності для SOC 2, HIPAA або GDPR, залежно від того, що застосовно
- Регулярні сторонні аудити безпеки, а не лише внутрішньої самооцінки
Навчання співробітників має таке ж значення, як і будь-які налаштування в панелі адміністратора, оскільки вішинг і фішинг покладаються на те, що людина, а не система, робить неправильний виклик.
Чи стикається Ringflow з такими ж міркуваннями безпеки?
Так, в принципі, хоча Ringflow не є платформою UCaaS. Його створено як хмарний контакт-центр і платформу продажів штучного інтелекту, що означає, що він має схожу поверхню безпеки з UCaaS у деяких аспектах, зашифровані виклики, контроль доступу до облікового запису, підприємствоПотреби у дотриманні стандартів, а також інші потреби в інших, враховуючи його зосередженість на об’ємі дзвінків, спрямованих на клієнта, і оптимізації дзвінків за допомогою ШІ, а не на внутрішньому обміні повідомленнями команди.
Базові критерії оцінки, шифрування під час передачі та в спокої, надійна автентифікація та перевірені сертифікати відповідності застосовуються до будь-якої хмарної комунікаційної платформи незалежно від категорії. Компанії повинні підтверджувати поточні деталі сертифікації Ringflow безпосередньо в Ringflow, а не припускати, що вони відображають те, що є типовим для постачальників UCaaS.
Висновок
Безпека UCaaS зводиться до короткого переліку, який легко сформулювати та важче перевірити: чи все зашифровано наскрізно, чи облікові записи захищені не лише паролем, чи може постачальник підтвердити свої вимоги щодо відповідності поточною документацією, і чи є в нього реальні засоби захисту від шахрайства з платою та вішингу, а не просто сторінка на веб-сайті, де вони згадуються. Нічого з цього не є екзотикою. Більшість із них є стандартною практикою хмарної безпеки, яка застосовується до телефонних дзвінків замість файлів, саме тому компанії, які оцінюють функції та ціни, легко забути запитати про це, доки щось не піде не так.
Готові, коли будете
Оцінка безпеки перед вибором комунікаційної платформи?
Подивіться, як Cloud Contact Center і AI Sales Platform від Ringflow підходять до шифрування, контролю доступу та відповідності для телефонних викликів клієнтам.
Часті запитання
Найпоширеніші ризики безпеки UCaaS включають слабкі засоби контролю доступу, неповне шифрування, прослуховування незашифрованих дзвінків, фішингові атаки та атаки вішингу, шахрайство з дзвінками та вразливі місця через інтеграцію сторонніх розробників. Більшість цих ризиків пов’язані з неправильною конфігурацією або слабкою автентифікацією, а не з недоліками самої базової хмарної інфраструктури.
Поважні постачальники UCaaS шифрують дані під час передачі за допомогою TLS 1.3 або новішої версії та шифрують збережені дані за допомогою AES-256. Голосовий і відеотрафік також слід шифрувати наскрізно, а не залишати як звичайні аудіопотоки, оскільки незашифровані дзвінки можна перехопити в незахищених мережах.
Це залежить від постачальника та конфігурації, а не від самої категорії. Платформу UCaaS можна зробити сумісною з HIPAA, якщо вона ізолює захищену інформацію про здоров’я від загальної бізнес-комунікації, підпише угоду про ділове партнерство та застосовує необхідні засоби шифрування та контролю доступу. Не кожен постачальник UCaaS пропонує це за замовчуванням.
Шахрайство з телефонними зв’язками відбувається, коли зловмисники отримують несанкціонований доступ до телефонної системи компанії та направляють через неї дорогі міжнародні дзвінки або дзвінки за преміум-тарифами, залишаючи компанію покривати витрати. Останніми роками на платформах UCaaS зростає рівень шахрайства, частково тому, що деякі провайдери все ще розробляють можливості виявлення шахрайства.
Вішинг — це голосовий фішинг: зловмисник дзвонить, видаючи себе за довірену контактну особу, банк або постачальника, часто підробляючи знайомий ідентифікатор абонента, щоб переконати когось повідомити паролі, номери рахунків чи іншу конфіденційну інформацію по телефону, а не електронною поштою чи текстовим повідомленням.
Шукайте SOC 2 типу II, який охоплює контроль безпеки, доступності та конфіденційності, а також відповідність вимогам HIPAA при обробці даних про здоров’я та відповідність GDPR для користувачів із ЄС. Ці сертифікати не гарантують ідеальної безпеки, але їх відсутність є розумною причиною поставити постачальнику додаткові запитання перед підписанням контракту.
Так, в принципі. Будь-яку хмарну комунікаційну платформу, будь то UCaaS або хмарний контакт-центр і платформу продажів штучного інтелекту, як-от Ringflow, слід оцінювати за тією самою базовою лінією: шифрування під час передавання та спокою, потужні засоби контролю доступу та відповідні сертифікати відповідності. Компанії повинні підтверджувати поточні деталі сертифікації безпосередньо в Ringflow, а не вважати, що вони перенесені з категорії UCaaS.
