Bảo mật UCaaS: Giải thích về rủi ro, mã hóa và tuân thủ

Giới thiệu

Nền tảng UCaaS xử lý hầu hết mọi cuộc trò chuyện nội bộ mà doanh nghiệp thực hiện, các cuộc gọi điện thoại, cuộc họp video, chuỗi trò chuyện, khiến nền tảng này trở thành bề mặt bảo mật lớn hơn so với hầu hết các nhóm CNTT xử lý. Tỷ lệ gian lận phí trên nền tảng liên lạc đám mây đã tăng lên trong những năm gần đây và các cuộc gọi lừa đảo giả mạo một số điện thoại đáng tin cậy để lấy thông tin nhạy cảm ngày càng khó phân biệt với cuộc gọi thật.

Bảo mật UCaaS đề cập đến các biện pháp thực hành, tiêu chuẩn mã hóa, kiểm soát truy cập và chứng nhận tuân thủ nhằm bảo vệ Truyền thông hợp nhất dưới dạng nền tảng Dịch vụ cũng như các cuộc gọi, tin nhắn và cuộc họp chạy qua nền tảng đó. Nó bao gồm mọi thứ, từ cách mã hóa lưu lượng thoại trong quá trình truyền tải cho đến việc liệu nhà cung cấp có thể chứng minh rằng họ đáp ứng các khuôn khổ như SOC 2 hoặc HIPAA hay không.

Hướng dẫn này đề cập đến những rủi ro lớn nhất cụ thể đối với UCaaS, mã hóa thích hợp trông như thế nào, tiêu chuẩn tuân thủ nào thực sự quan trọng, cách thức hoạt động của gian lận phí và truy cập trực tuyến cũng như những điều cần kiểm tra trước khi tin tưởng giao phó thông tin liên lạc nội bộ của doanh nghiệp cho một nhà cung cấp.

"Bảo mật UCaaS" thực sự bao gồm những gì?

Bảo mật UCaaS không phải là cài đặt mà doanh nghiệp bật. Nó bao gồm bốn thành phần giống nhau tạo nên định nghĩa UCaaS, điện thoại doanh nghiệp, kết nối PSTN, cuộc họp video và nhắn tin, và mỗi thành phần đều có mức độ hiển thị riêng. Một cuộc gọi điện thoại có thể bị chặn. Một chuỗi tin nhắn có thể được truy cập bằng tài khoản sai. Đường liên kết của cuộc họp video có thể được chia sẻ ra bên ngoài nhóm dự kiến. Kết nối PSTN có thể bị tấn công để gian lận phí cầu đường.

Bởi vì một lần đăng nhập UCaaS thường kiểm soát tất cả bốn kênh cùng một lúc, nên một tài khoản bị xâm nhập có thể tiết lộ nhiều thông tin hơn so với một vụ vi phạm email thông thường, bao gồm cả bản ghi âm giọng nói, lịch sử trò chuyện và nội dung cuộc họp.

Rủi ro bảo mật lớn nhất trong UCaaS là ​​gì?

Những rủi ro thường xuyên xảy ra nhất trong quá trình đánh giá bảo mật của nền tảng UCaaS bao gồm:

• Kiểm soát truy cập yếu — các tài khoản không có xác thực đa yếu tố hoặc quyền quá rộng
• Mã hóa không đầy đủ — lưu lượng thoại hoặc video không được mã hóa trên một phần tuyến đường của nó
• Nghe lén và đánh chặn — các cuộc gọi không được mã hóa bị chặn trên các mạng công cộng hoặc không bảo mật
• Lừa đảo và lừa đảo — kẻ tấn công sử dụng email hoặc cuộc gọi giả mạo để lấy thông tin xác thực hoặc dữ liệu nhạy cảm
• Phần mềm độc hại được giới thiệu thông qua tích hợp — các ứng dụng của bên thứ ba được kết nối với nền tảng UCaaS tạo ra các điểm vào mới
• Gian lận phí cầu đường — sử dụng trái phép hệ thống điện thoại của doanh nghiệp để định tuyến các cuộc gọi đắt tiền bằng chi phí của doanh nghiệp

Hầu hết những dấu vết này quay lại các lỗ hổng về cấu hình và xác thực chứ không phải là các lỗ hổng trong chính cơ sở hạ tầng đám mây, đó cũng là lý do tại sao chúng hầu như có thể ngăn ngừa được bằng cách bật cài đặt phù hợp ngay từ ngày đầu. Đánh giá công khai của nhà cung cấp Bảo vệ và xác nhận những gì thực sự được ghi lại ở đó khớp với những gì đã hứa trong cuộc gọi bán hàng, là một trong những cách nhanh nhất để nhận ra khoảng cách giữa tiếp thị và thực tế.

Dữ liệu UCaaS nên được mã hóa như thế nào?

Mã hóa UCaaS thích hợp bao gồm hai trạng thái khác nhau mà dữ liệu có thể có. Dữ liệu đang truyền, nghĩa là các cuộc gọi, tin nhắn và video tích cực di chuyển trên mạng, phải được mã hóa bằng TLS 1.3 hoặc phiên bản mới hơn. Dữ liệu ở trạng thái lưu trữ, nghĩa là các bản ghi, bản ghi và thông tin tài khoản được lưu trữ, phải được mã hóa bằng AES-256.

Lưu lượng thoại và video xứng đáng được chú ý cụ thể ở đây, vì các nhà cung cấp thường coi chúng như một phương án thay thế bên cạnh dữ liệu dựa trên văn bản. Một cuộc gọi không được mã hóa ở bất kỳ đâu trên đường đi của nó, dù chỉ trong thời gian ngắn, là cuộc gọi có thể bị chặn trên mạng không bảo mật. Các doanh nghiệp đánh giá nhà cung cấp nên hỏi trực tiếp xem liệu mã hóa có áp dụng từ đầu đến cuối trên mọi kênh hay không, không chỉ cho các tệp được lưu trữ.

Những tiêu chuẩn tuân thủ nào áp dụng cho UCaaS?

Ba khung xuất hiện thường xuyên nhất khi đánh giá tình hình bảo mật của nhà cung cấp UCaaS:

1. 1SOC 2 Loại II bao gồm bảo mật, tính khả dụng, tính toàn vẹn khi xử lý, tính bảo mật và các biện pháp kiểm soát quyền riêng tư, được xác minh bởi kiểm toán viên độc lập trong khoảng thời gian nhiều tháng thay vì kiểm tra tại một thời điểm duy nhất.
2. 2HIPAA áp dụng cho mọi nền tảng UCaaS xử lý thông tin sức khỏe được bảo vệ. Các nền tảng tuân thủ cần có thỏa thuận liên kết kinh doanh đã ký và các biện pháp bảo vệ kỹ thuật giúp tách biệt PHI khỏi các thông tin liên lạc chung của doanh nghiệp thay vì trộn lẫn vào cùng một luồng dữ liệu.
3. 3GDPR áp dụng cho các nền tảng UCaaS xử lý dữ liệu cá nhân của các cá nhân trong Liên minh Châu Âu, bao gồm cách lưu trữ, xử lý và xóa dữ liệu đó khi được yêu cầu.

Không có chứng nhận nào trong số này đảm bảo một nền tảng là không thể bị xâm phạm, nhưng một nhà cung cấp không thể tạo ra tài liệu hiện tại về khuôn khổ liên quan đến ngành của mình là điều hợp lý để đặt câu hỏi thêm trước khi ký hợp đồng.

Gian lận thu phí và Vishing là gì và chúng nhắm mục tiêu UCaaS như thế nào?

Gian lận phí điện thoại xảy ra khi ai đó truy cập trái phép vào hệ thống điện thoại của một doanh nghiệp, thường thông qua mật khẩu yếu hoặc tài khoản không được giám sát và sử dụng nó để thực hiện các cuộc gọi quốc tế đắt tiền hoặc cuộc gọi cước phí cao mà doanh nghiệp phải trả tiền. Đây là một vấn đề ngày càng gia tăng trên các nền tảng UCaaS trong những năm gần đây, một phần vì một số nhà cung cấp vẫn đang xây dựng khả năng phát hiện gian lận mà các nhà mạng viễn thông truyền thống đã phát triển trong nhiều thập kỷ.

Vishing hoạt động khác nhau. Kẻ tấn công gọi cho nhân viên, thường giả mạo số điện thoại trông giống như của ngân hàng, nhà cung cấp hoặc đồng nghiệp và yêu cầu mục tiêu tiết lộ mật khẩu, số tài khoản hoặc chi tiết nhạy cảm khác qua điện thoại thay vì qua email. Bởi vì nền tảng UCaaS giúp bạn dễ dàng gọi từ một số doanh nghiệp dễ nhận biết nên chúng có thể dễ dàng được sử dụng để giả mạo số đó.

Sự kết hợp chính xác giữa gian lận phí và rủi ro truy cập bên trong môi trường UCaaS được kiểm tra chi tiết bởi Điện báo, một công ty nghiên cứu bảo mật và chi phí viễn thông chuyên theo dõi các xu hướng gian lận trên các nền tảng truyền thông đám mây.

Doanh nghiệp nên tìm kiếm điều gì ở nhà cung cấp UCaaS an toàn?

Một số bước kiểm tra thực tế giúp phân biệt nhà cung cấp UCaaS thực sự có ý thức bảo mật với nhà cung cấp chỉ nói đúng những từ trong bảng bán hàng:

• Xác thực đa yếu tố có sẵn và có thể thực thi cho mọi tài khoản người dùng
• Kiểm soát quyền chi tiết vì vậy nhân viên chỉ có quyền truy cập vào những gì vai trò của họ yêu cầu
• Đăng nhập và theo dõi hoạt động với nhật ký, một doanh nghiệp thực sự có thể kiểm tra sau khi thực tế
• Cảnh báo bất thường theo thời gian thực để biết số lượng cuộc gọi bất thường, vị trí đăng nhập hoặc hành vi tài khoản
• Tài liệu tuân thủ hiện tại đối với SOC 2, HIPAA hoặc GDPR, tùy theo điều kiện nào áp dụng
• Kiểm tra bảo mật thường xuyên của bên thứ ba, không chỉ tự đánh giá nội bộ

Việc đào tạo nhân viên cũng quan trọng như bất kỳ cài đặt nào trong bảng quản trị, vì lừa đảo và lừa đảo đều dựa vào một người chứ không phải hệ thống nên thực hiện cuộc gọi sai.

Ringflow có phải đối mặt với những cân nhắc về bảo mật giống nhau không?

Có, về nguyên tắc, mặc dù Ringflow không phải là nền tảng UCaaS. Nó được xây dựng dưới dạng Trung tâm liên hệ trên đám mây và Nền tảng bán hàng AI, có nghĩa là nó mang bề mặt bảo mật tương tự UCaaS ở một số khía cạnh, cuộc gọi được mã hóa, kiểm soát truy cập tài khoản, Doanh nghiệp-nhu cầu tuân thủ cấp độ và các nhu cầu khác, tập trung vào số lượng cuộc gọi hướng tới khách hàng và tối ưu hóa cuộc gọi do AI điều khiển thay vì nhắn tin nội bộ nhóm.

Các tiêu chí đánh giá cơ bản, mã hóa khi truyền và lưu trữ, xác thực mạnh mẽ và chứng nhận tuân thủ có thể kiểm chứng, áp dụng cho mọi nền tảng truyền thông đám mây bất kể danh mục. Các doanh nghiệp nên xác nhận trực tiếp chi tiết chứng nhận hiện tại của Ringflow với Ringflow thay vì cho rằng chúng phản ánh những gì đặc trưng của các nhà cung cấp UCaaS.

Phần kết luận

Bảo mật UCaaS bao gồm một danh sách ngắn dễ nêu và khó xác minh hơn: mọi thứ có được mã hóa từ đầu đến cuối không, các tài khoản có được bảo vệ bằng nhiều mật khẩu hay không, nhà cung cấp có thể chứng minh các tuyên bố tuân thủ của mình bằng tài liệu hiện tại không và liệu họ có các biện pháp bảo vệ thực sự chống lại gian lận phí và lừa đảo thay vì chỉ một trang trên trang web đề cập đến chúng hay không. Không có điều gì trong số đó là kỳ lạ. Hầu hết đó là biện pháp bảo mật đám mây tiêu chuẩn được áp dụng cho các cuộc gọi điện thoại thay vì các tệp, đó chính xác là lý do tại sao doanh nghiệp đánh giá các tính năng và giá cả dễ dàng quên hỏi về điều đó cho đến khi có sự cố xảy ra.

Câu hỏi thường gặp