Děkujeme za vaši zpětnou vazbu.

Základní Webex Meetings služby a komponenty

• Webex Meetingsje součástíWebex Suite, poskytuje audio/video konference s možnostmi sdílení obsahu a webových konferencí.
• Platforma zahrnuje několik mikroslužeb, jako je Meetings Service, Webinar Service, Identity Service, Recording AI Assistant Service, Service, Analytics Service, Admin Service a Media Service.
• Webex Meetingspodporuje aplikace a zařízení registrované v cloudu a umožňuje uživatelům připojit se ke schůzkám z různých platforem a zařízení OS. Uživatelé se mohou také připojit ke schůzkám prostřednictvím PSTN a pomocí koncových bodů SIP.

Architektura a nasazení

• Webex Meetingsslužby jsou regionalizovány a replikovány napříč několika nezávislými datovými centry, aby byla zajištěna redundance a vysoká dostupnost.
• Mediální služby jsou globálně distribuovány s clustery mediálních serverů v každém datovém centru, což zajišťuje lokální a geografickou redundanci.
• Mediální servery zpracovávají sdílení hlasu, videa a obsahu, přičemž média jsou běžně šifrována pomocí AES-256-GCM.
• Architektura podporuje šifrovanou signalizaci přes TLS/HTTPS a šifrované mediální toky.

Webex podporuje připojení ke schůzkám z více platforem a zařízení, včetně:

• Webex desktopová aplikace pro Windows, Mac a Linux.
• Mobilní aplikace Webex pro Android a iOS.
• Webex webová aplikace využívající Chrome, Edge, Safari, Firefox a další prohlížeče.
• Pokojová zařízení Cisco a stolní zařízení.
• Audio a video koncové body založené na standardech SIP třetích stran.
• Zařízení PSTN.

Suverenita zákazníků Webex

V reakci na rostoucí poptávku po rezidenci dat zavedl Webex rozšířené možnosti suverenity. Počínaje nahráváním a podporou dalších služeb mohou organizace nyní udržovat kontrolu nad obsahem schůzek pomocí:

• Lokalizované zpracování — Zpracování obsahu schůzky, jako jsou nahrávky, v rámci vlastní infrastruktury.
• Místní úložiště — využití vlastních služeb ukládání souborů k umístění citlivých datových zdrojů schůzek a zajištění toho, aby data zůstala v určených geografických nebo organizačních hranicích.

Ultra bezpečné Webex Meetings

Historicky vyžadovaly funkce „Ultra Secure“, jako je šifrování typu Zero Trust End-to-End End-End Encryption (E2EE), často kompromis ve funkčnosti schůzek, protože cloudové služby s přidanou hodnotou vyžadovaly přístup k šifrovacím klíčům a k těmto schůzkám se mohl připojit pouze omezený počet typů koncových bodů. Webex tento kompromis odstranil pomocí:

• Nulová důvěra bohatá na funkce — Webex transformoval schůzky s nulovou důvěryhodností End-to-End Encrypted (E2EE) a přidal funkce, díky nimž jsou schůzky Zero Trust bohaté na funkce. Podpora většího počtu typů koncových bodů poskytuje bezproblémové prostředí bez obětování nástrojů nezbytných pro moderní spolupráci.
• Nulová důvěra pro standardní schůz ky — Webex integroval funkce Zero Trust E2EE přímo do standardních schůzek. Tím je zajištěno, že i každodenní spolupráce může těžit z nejvyšší úrovně zabezpečení, která poskytuje konzistentní ochranu v celém ekosystému Webex.

Jednotný přístup ke spolupráci

Integrace Customer Sover eignity s těmito pokročilými funkcemi Zero Trust E2EE umožňuje Webex organizacím dosáhnout dvojího cíle: hostování vysoce zabezpečených schůzek Zero Trust v cloudu Webex při zachování plné kontroly nad zpracováním a ukládáním kritického obsahu schůzek v místním prostředí. Tato synergie poskytuje flexibilitu a zabezpečení nezbytné pro moderní podniková prostředí založená na dodržování předpisů.

Rozšíření hranice zabezpečení pomocí uzlu sítě Video Mesh

Přidání uzlu Video Mesh do organizace umožňuje zákazníkům poskytovat místní služby schůzek a umožňuje jejich místním koncovým bodům připojit se k jakékoli schůzce Webex. Z hlediska zabezpečení udržuje integrace uzlu Video Mesh Nulovou důvěru v cloudu Webex a zároveň nabízí paritu téměř funkcí se standardními schůzkami Webex. Zákazníci také těží z datové suverenity, protože služby, jako jsou záznamy schůzek Video Mesh Node, jsou zpracovávány a ukládány místně.

Použití end-to-end šifrování Zero Trust může přidat několik sekund navíc k připojení ke schůzce, ale poskytuje jasné zabezpečení - přístup k šifrovacím klíčům schůzky mají pouze účastníci schůzky, takže obsah schůzky nemůže být dešifrován poskytovatelem služeb ani jinými zprostředkovateli.

Shrnutí: Webex Meetings a hybridní modely nasazení

Jak je ukázáno ve výše uvedeném srovnání, nasazení uzlu sítě Video Mesh Node (VMN) umožňuje Zero Trust Webex Meetings dosáhnout téměř parity funkcí se standardními schůzkami Webex. Zatímco schůzky Zero Trust nepodporují účastníky PSTN, webová aplikace Webex slouží jako široce dostupná alternativa pro šifrovaný přístup typu end-to-end. VMN navíc umožňuje pracovníkům v kanceláři používajícím stolní telefony hladce se připojit ke schůzkám Zero Trust.

Video Mesh Node také zajišťuje suverenitu dat pro kritický obsah schůzek, včetně nahrávek a - v blízké budoucnosti - přepisů, souhrnů a položek akcí. Zpracováním a ukládáním těchto dat místně poskytuje VMN zákazníkům úplnou kontrolu nad jejich informacemi při zachování architektury Zero Trust v cloudu Webex.

Šifrovaná signalizace Webex

Služby Webex podporují verze TLS 1.2 a 1.3, přičemž TLS 1.3 je upřednostňován, pokud je podporován připojujícím koncovým bodem. Pokud klient podporuje pouze protokol TLS 1.2, server Webex vybere nejsilnější společnou sadu šifra nabízenou klientem. Na rozdíl od TLS 1.2 TLS 1.3 nepoužívá výběr šifrovací sady preferencí serveru, protože se spoléhá na menší, kurátorskou sadu moderních šifrů. Tento návrh zjednodušuje proces výběru a zaměřuje se více na zlepšení výkonu, jako je zkrácení celkové délky podání ruky, při zachování silného zabezpečení. Šifrovací sady pro TLS 1.2 a 1.3 používané Webex jsou dobře definovány a upřednostňovány, aby byla zajištěna bezpečná komunikace.

Šifrovací sady TLS

Šifrovací sady TLS 1.3 (servery TLS 1.3 nepoužívají pořadí předvoleb pro výběr sady)

Šifrovací sady TLS 1.2 (sady v preferovaném pořadí serveru)

Šifrovací šifry AES_256_CBC a AES_128_CBC jsou podporovány pro zachování kompatibility se staršími systémy, staršími prohlížeči a vestavěnými zařízeními, která nepodporují moderní šifrování AEAD (Authenticated Encryption with Associated Data), jako je AES-GCM, např. Internet Explorer11 ve Windows 7 a Windows 8.1, Safari 6/7/8 na raných verzích iOS a macOS používají šifrování založené na CBC.

CHACHA20_POLY1305 je streamová šifra, která má nízkou závislost na hardwaru, což z ní činí vynikající šifru pro použití na mobilních zařízeních nebo zařízeních s procesory s nízkým výkonem.

Standardy šifrování médií pro Webex

Schůzky a hovory Webex využívají robustní šifrování založené na AES pro všechny pakety médií. Specifická sada šifrů závisí na typu koncového bodu, přičemž AES-256-GCM slouží jako preferovaný standard pro optimální zabezpečení.

Klíčové bezpečnostní aspekty

• Preferovaný standard — AES-256-GCM je doporučená šifra pro všechna nasazení, aby byla zajištěna nejvyšší úroveň integrity a důvěrnosti dat.
• Interoperabil ita — Zatímco Webex udržuje podporu pro starší šifrování (například AES-CM-128-HMAC-SHA1), aby byla zajištěna interoperabilita se systémy SIP a H.323 třetích stran, organizace upřednostňující architekturu nulové důvěryhodnosti by měly vynucovat AES-256-GCM tam, kde to kompatibilita zařízení umožňuje.

Protokoly přenosu médií

Webex podporuje přenos médií přes UDP, TCP nebo TLS. Pro optimální hlasový a obrazový výkon společnost Cisco důrazně doporučuje UDP.

Úvahy o výkonu:

• Efektivita v reálném čase - UDP je preferovaný transport pro média v reálném čase, protože minimalizuje latenci a chvění tím, že se vyhýbá mechanismům opětovného přenosu a vyrovnávání vyrovnávací paměti, které jsou vlastní protokolům orientovaným na připojení.
• Dopad protokolu TCP/TLS — Přestože protokoly TCP a TLS poskytují spolehlivé a uspořádané doručování dat, je toto chování pro média v reálném čase kontraproduktivní. Výsledné opakované přenosy paketů a ukládání do vyrovnávací paměti streamů zavádějí latenci a chvění, což může výrazně zhoršit kvalitu zážitku pro účastníky

Webex použití SRTP a sFrame pro média

Aby byly zachovány vysoké standardy zabezpečení vyžadované pro prostředí WebExZero Trust, je důležité rozlišovat mezi zabezpečením na úrovni přenosu (SRTP) a šifrováním typu end-to-end na aplikační vrstvě (SFrame).

Klíčové technické rozdíly — SRTP a sFrame

1. SRTP (Secure Real-Time Transport Protocol)

   SRTP je průmyslový standard pro zabezpečení přenosových toků médií.

   • Rozsah — Poskytuje důvěrnost, ověřování zpráv a ochranu před přehráváním pro užitečné zatížení RTP.
   • Operační kontext — V mnoha architekturách ukončí Media Server/Media Gateway (SFU) připojení SRTP za účelem zpracování médií (například míchání, kompozice rozvržení nebo překódování). Protože SFU dešifruje média, aby je zpracovala, média jsou v bodě SFU technicky zranitelná.
2. SFrame (zabezpečený rám)

   SFrame je standard IETF. RFC 9605 je navržen speciálně pro usnadnění skutečného šifrování typu end-to-end v konferenčním prostředí s více stranami.

   • Rozsah — Šifruje balené mediální rámečky před jejich zapouzdřením do paketů RTP. Webex přidává další vrstvu šifrování pomocí SRTP.
   • Architektura nul ové důvěryhodnosti - Protože je médium šifrováno na aplikační vrstvě, SFU funguje pouze jako „slepé“ relé. Směruje šifrované pakety ostatním účastníkům, aniž by měl přístup k dešifrovacím klíčům.
   • Nezávislost —sFrame je transport-agnostická. Zůstává bezpečný i v případě ohrožení základního přenosu (UDP/TCP/TLS), protože bezpečnostní kontext je vázán spíše na koncové body účastníků než na dopravní spojení.

SFrame je kritický mechanismus, který umožňuje E2EE. Zatímco SRTP zajišťuje šifrování dat při procházení sítí, SFrame zajišťuje, že média zůstanou šifrovaná po celou dobu životnosti schůzky, včetně doby, kdy jsou umístěna na infrastruktuře společnosti Cisco (SFU), čímž účinně odstraní poskytovatele služeb z hranice důvěryhodnosti.

Webex MeetingsObsah

Obsah schůzky se skládá z dat vytvořených účastníky nebo generovaných službami Webex jménem hostitele schůzky. To zahrnuje:

• Obsah související s médii — N ahrávky, přepisy, shrnutí, a položky akcí.
• Data spolupráce — zprávy chatu, sdílené/přenesené soubory, tabule a anotace.

Webex MeetingsZabezpečení obsahu — End-to-end šifrování Webex

Webex zabezpečuje obsah schůzky generovaný účastníky pomocí robustního rámce šifrování typu end-to-end (E2EE). Ústředním bodem této architektury je služba Webex Key Management Service (KMS), která je zodpovědná za generování, distribuci a správu šifrovacích klíčů pro veškerý obsah generovaný uživateli.

Vrstvy zabezpečení obsahu schůzky

• Data v přenosu — Aplikace Webex a video zařízení Cisco používají end-to-end šifrování Webex (E2EE) s AES-256-GCM k šifrování uživatelem generovaného obsahu schůzek, jako jsou nahrávací soubory, souhrnné soubory AI, zprávy chatu atd. To je dále zapouzdřeno v rámci Transport Layer Security (TLS) pro zajištění dvouvrstvé ochrany během přenosu.
• Data v klidu — po uložení v cloudu Webex je šifrovaný obsah navíc chráněn šifrováním disku AES-256-GCM.
• Profil ochrany — Tento přístup chrání obsah před zachycením TLS během přenosu a zajišťuje, že uložená data zůstanou nepřístupná neoprávněným aktérům v cloudovém prostředí.

Koncové šifrování Webex se spravovaným přístupem k obsahu pro Core Services

Na rozdíl od šifrování typu Zero Trust end-to-end, kde Webex nemá přístup k šifrovacím klíčům médií nebo obsahu, umožňuje šifrování Webex end-to-end platformě využívat klíče generované Webex KMS k dešifrování dat pro základní základní služby. Tento spravovaný přístup umožňuje:

• Vyhledávání a indexování — Umožňuje uživatelům prohledávat historii obsahu.
• Dodržování předpisů a správa — umožňuje prevenci ztráty dat (DLP), eDiscovery a archivaci dat.
• Optimalizace médií - Podporuje překódování souborů pro kompatibilitu mezi zařízeními.
• Zabezpečení — Usnadňuje skenování malwaru pomocí balíčku Extended Security Pack.

Webex MeetingsMetadata

Metadata schůzek se skládají z administrativních a technických informací generovaných systémem pro usnadnění, sledování a správu schůzky, nikoli ze skutečného obsahu (audio, video nebo sdílené soubory) samotné schůzky. Metadata lze rozdělit do několika kategorií:

• Informace o rel aci — název schůzky, ID schůzky, naplánovaný čas zahájení a ukončení a skutečné trvání schůzky.
• Ú@@ daje o účast nících — seznam pozvaných a skutečných účastníků, jejich IP adresy, typy zařízení (například Windows, iPhone, Cisco Room Kit) a jejich časová razítka pro připojení a odchod.
• Metriky využití a kvality — Data používaná pro řešení problémů, jako je ztráta paketů, chvění, latence a rozlišení streamu videa.

Jak se používají metadata

1. Analytika a hlášení — Správci používají metadata v centru WebExControl, aby zjistili, kolik schůzek se koná, která oddělení jsou nejaktivnější, a celkovou kvalitu prostředí.
2. Odstraňování problémů — Cisco TAC (Centrum technické pomoci) používá metadata k identifikaci a řešení problémů se schůzkami.
3. Compliance a eDiscovery — Prac ovníci pro dodržování předpisů mohou prohledávat metadata, aby dokázali, že se schůzka uskutečnila, kdo tam byl a zda byla zaznamenána, i když nevidí šifrovaný obsah schůzky.
4. Zabezpečení — Metadata pomáhají identifikovat pokusy o neoprávněný přístup nebo neobvyklé vzorce, které mohou naznačovat bezpečnostní hrozbu.

Zabezpečení a soukromí metadat

• Šifro@@ vání — I když metadata nejsou „end-to-end šifrována“, jsou stále šifrována při přenosu (pomocí TLS) a v klidu v zabezpečených datových centrech společnosti Cisco.
• Řízení přístupu — Zásady ochrany osobních údajů společnosti Cisco přísně omezují, kdo má přístup k těmto metadatům, a používají se k poskytování a zlepšování služby.

Další informace o obsahu a metadatech schůzky Webex naleznete v části Zveřej nění Webex Meetings nabídky.

Přiřazení typů relací schůzky uživatelům

Správci Webex Control Hub mohou přiřadit jeden nebo více typů schůzek, které mohou jejich uživatelé použít pro naplánované schůzky. Ve výchozím nastavení jsou všem uživatelům přiřazeny typy schůzek Pro Meeting a Pro-End to End Encryption _VoipOnly.

Naplánování schůzky — Vyberte typ schůzky

Uživatelé si mohou vybrat typ schůzky, který chtějí použít při plánování schůzky z aplikace Webex, Webex User Page a Webex Email Add-in. Microsoft Outlook

Naplánujte schůzku — vyberte typ schůzky v aplikaci Webex

Naplánování schůzky — Vyberte typ schůzky na uživatelské stránce Webex

Nastavení výchozího typu schůzky

Uživatelé mohou nastavit svůj výchozí typ schůzky v nabídce Schůz ky > Nastavení na své uživatelské stránce Webex.

Nastavte výchozí typ schůzky ze stránky Webex User

Zero Trust End-to-End Identity a prevence Deepfake

Identifikační certifikáty koncového uživatele poskytované zákazníkem jsou základním kamenem prevence zosobnění na schůzkách Webex end-to-end šifrovaných (E2EE). Na rozdíl od tradičních mechanismů blokování deepfake-blokování, které se spoléhají na analýzu zvukových a obrazových proudů, tento přístup poskytuje kryptografickou validaci identity v místě přijetí. Tento ověřený stav se zobrazuje přímo v seznamu schůzek a poskytuje transparentnost všem účastníkům.

Webex rozšířil svou podporu certifikátů spravovaných zákazníkem - dříve dostupné na zařízeních RoomOS - na aplikaci Webex jako součást naší funkce „prevence Deepfake“. Organizace mohou poskytovat a spravovat své vlastní digitální certifikáty vydané důvěryhodnými externími certifikačními autoritami (CA) pomocí standardních protokolů, jako je ACME. Tyto certifikáty založené na standardech X.509 a párech klíčů ECDSA P-256 poskytují kryptografický důkaz totožnosti účastníka během setkání E2EE.

Koncově ověřená identita a protokol MLS

Protokol MLS (Messaging Layer Security) využívá k ověření účastníků schůzky standardní certifikáty X.509. Certifikát je digitálně podepsaný výkaz důvěryhodné certifikační autority, který ověřuje totožnost držitele podepisujícího klíče. Účastníci získají tyto certifikáty dvěma primárními metodami:

• Spravovaná zařízení (certifikáty poskytované zákazníkem) — Pro stolní a mobilní klienty spravované organizací lze do zařízení nainstalovat certifikát identity od důvěryhodné certifikační autority. Když se uživatel přihlásí pomocí jednotného přihlášení (SSO), aplikace Webex načte tento certifikát z úložiště důvěryhodnosti operačního systému a zobrazí ověřenou identitu uživatele. Tento proces je také podporován pro cloudová video zařízení Cisco registrovaná Webex.
• Výchozí (certifikáty poskytované společností Webex) — Pokud není k dispozici žádný certifikát poskytnutý zákazníkem, klient nebo zařízení Webex automaticky použije certifikát vydaný společností WebexCertificate Authority, který odráží identitu ověřenou společností Cisco.

Sdílení identity a záložní mechanismus

Během schůzky sdílí každý účastník svůj certifikát totožnosti Webex a, pokud je k dispozici, certifikát totožnosti poskytnutý zákazníkem se všemi ostatními účastníky. Aby bylo zajištěno bezproblémové připojení, koncový bod Webex dodržuje přísnou hierarchii: upřednostňuje certifikát poskytnutý zákazníkem pro ověření; pokud tento certifikát chybí nebo se nepodaří ověřit, systém automaticky přejde zpět k certifikátu totožnosti poskytnutému společností Webex.

Zobrazení stavu ověření identity uživatele

Když se účastníci připojí ke schůzce pomocí zařízení Webex App nebo RoomOS s certifikáty poskytnutými zákazníkem, jejich totožnost ověří ostatní členové schůzky proti vydávající certifikační autoritě. Tím je zajištěno, že budou rozpoznáni pouze oprávnění uživatelé, což útočníkům brání vydávat se za legitimní účastníky, protože tyto certifikáty jsou jednoznačně vázány na ověřené identity a nemohou být falšovány společností Cisco ani zprostředkovateli.

Seznam účastníků schůzky šifrované E2E zobrazuje stav ověření identity každého uživatele:

• Zero-Trust E2 E Ověřeno ( domain.com) —Při použití certifikátu totožnosti poskytnutého zákazníkem je doména účastníka zobrazena modrým textem. To znamená skutečnou identitu ověřenou E2E, se kterou společnost Cisco nemůže manipulovat. Například v seznamu schůzek můžete vidět, že „Kevin“ má modrou ověřenou e-mailovou adresu z example.com.
• Webex-ověřeno ( domain.com) — Certifikáty vydané certifikační autoritou Webex poskytují omezenější úroveň ochrany. Přestože tito účastníci lepší než nemají žádnou ochranu identity, nejsou označeni jako „Zero Trust E2E“. Místo toho je jejich stav identity zobrazen šedým textem, což znamená, že identita byla ověřena certifikační autoritou Webex.
• Neověřený hostující uživatel ( Neověřeno) — Přestože identita hostujících účastníků není ověřena (protože neexistuje žádný proces přihlašování), stále vyžadují certifikát, aby se mohli připojit ke skupině MLS pro volání nebo schůzku. Tento certifikát je vydán certifikační autoritou Webex a jako uživatelské jméno používá „anonymní“.

Bezpečnostní kód schůzky odvozený od kryptografického stavu všech účastníků navíc pomáhá detekovat útoky osob uprostřed tím, že umožňuje účastníkům ověřit, že všichni sdílejí stejný zabezpečený kontext schůzky. Kombinací ověřování kryptografické identity s šifrováním typu end-to-end nabízí tato funkce „prevence Deepfake“ robustní obranu proti zosobnění a hrozbám syntetických médií a zajišťuje integritu a důvěrnost schůzek napříč zařízeními Webex App i RoomOS.

Správa zavádění certifikátů

Organizace mohou zjednodušit zavádění a správu těchto certifikátů identity koncového uživatele poskytnutých zákazníkem jejich instalací do podnikově spravovaných zařízení pomocí aplikací Mobile Device Management (MDM), Mobile Application Management (MAM) nebo Enterprise Mobility Management (EMM). Tyto platformy pro správu umožňují správcům IT centrálně zajišťovat, konfigurovat a řídit certifikáty a související zásady zabezpečení napříč širokou škálou zařízení, ať už vlastněných společností nebo osobně vlastněných. Microsoft Intune například podporuje funkce MDM i MAM, které organizacím umožňují nasadit a spravovat aplikaci Webex a její konfigurace zabezpečení, včetně certifikátů identity, na spravovaných zařízeních. Podobně Cisco Meraki Systems Manager poskytuje možnosti MDM pro registraci zařízení, odesílání konfiguračních profilů a nasazení certifikátů k zajištění stavu důvěryhodného zařízení. Využití těchto řešení správy snižuje administrativní režii, zjednodušuje správu životního cyklu certifikátů a zlepšuje stav zabezpečení schůzek Webex E2EE pomocí funkcí „prevence Deepfake“.

Tři pilíře identity

Efektivní správa identit a přístupu (IAM) pro Webex závisí na:

• Zřizování (CRUD) — Správa životních cyklů uživatelů (vytváření, čtení, aktualizace, mazání), aby se zajistilo, že „Zdroj pravdy“ odpovídá platformě pro spolupráci.
• Autentizace (AuthN) — Ověření identity uživatele pomocí zabezpečených přihlašovacích údajů nebo tokenů.
• Autorizace (AuthZ) — Definování granulárních oprávnění a úrovní přístupu API po ověření.

Zřizování a správa životního cyklu

Webex podporuje několik metod synchronizace uživatelů a skupin:

• SCIM 2.0 — preferovaný cloudový standard. Automatizuje životní cyklus uživatele a zajišťuje, že offboarding v IdP automaticky zruší přístup Webex.
• Directory Connector — Nástroj Cisco pro hybridní prostředí, který přemostňuje místní Active Directory (AD) do cloudu Webex.
• Zřizování založené na rozhraní API — Používá Webex „People API“ pro programové vytváření uživatelů a přiřazování licencí ve složitých prostředích.
• Starší LDAP — Podporováno pro místní adresáře (např. CUCM), i když méně optimalizováno pro moderní cloudový provoz.

Ověřovací a autorizační rámce

• Ověřování (AuthN):

• SAML 2.0 — podnikový standard pro jednotné přihlašování (SSO). Webex funguje jako poskytovatel služeb (SP), který ověřuje tvrzení XML z podnikového IdP.
• OIDC (OpenID Connect) - moderní, lehká vrstva identity postavená na OAuth 2.0 pomocí webových tokenů JSON (JWT). Podporuje „Discovery URL“ pro automatickou konfiguraci.

• Autorizace (AuthZ):

• OAuth 2.0 — Spravuje přístup k API prostřednictvím krátkodobých přístupových tokenů (definujících obory) a obnovovacích tokenů s dlouhou životností. Vynucuje zabezpečení prostřednictvím PKCE (Proof Key for Code Exchange) pro veřejné klienty.

Integrace a strategie pro více IDP

Webex poskytuje specializované cesty pro bezproblémovou integraci:

• Průvodce zadáním ID — doporučená cesta pro prostředí společnosti Microsoft. Používá rozhraní Microsoft Graph API pro pokročilou synchronizaci atributů (avatary, hierarchie) a automatizuje konfiguraci OIDC/SAML.
• Duo Security — Přidává „kontinuální zabezpečení identity“ ověřením polohy zařízení a povolením MFA odolného proti phishingu.

Podpora více IdP: Webex umožňuje organizacím federovat více nezávislých IDP v rámci jednoho řídicího centra.

• Případy použití — fúze, akvizice nebo decentralizovaná IT oddělení.
• Směrování — Požadavky na ověřování jsou směrovány na základě domén nebo skupin uživatelů.
• Zvažování — vyžaduje přísnou koordinaci, aby byly zachovány konzistentní zásady zabezpečení ve všech federovaných zdrojích.

Příklad nejběžnějších integrací identit IdP s Webex:

Osvědčené postupy a odolnost

• Obnovení SSO — Pokud konfigurace IdP selže, vždy použijte vestavěný odkaz „Obnovení SSO“ v Řídicím centru k obejití SSO pomocí jednorázového hesla (OTP).
• Správa certifikátů — Monitorování vypršení platnosti certifikátu SAML. Průvodce SSO automatizuje výměnu metadat a snižuje manuální chyby.
• Řešení potíží — Pomocí nástroje SAML Tracer můžete zkontrolovat tvrzení XML a ověřit formáty NameID, pokud dojde k problémům s ověřováním.
• Postava zabezpečení — Pravidelně zastaralé typy grantů a zajistěte, aby byl PKCE implementován pro všechny veřejné integrace klientů.

Závěr - Identita pro Webex Meetings

Robustní strategie identity je nepřetržitý proces životního cyklu. Kombinací SCIM pro zřizování, OIDC/SAML pro autentizaci a OAuth pro autorizaci mohou organizace zajistit bezpečné a bezproblémové prostředí pro uživatele při zachování přísné administrativní kontroly.

Životní cyklus bezpečného vývoje společnosti Cisco

Ve společnosti Cisco není bezpečnost dodatečnou myšlenkou. Jedná se o disciplinovaný přístup k budování a poskytování prvotřídních produktů a služeb od základů. Všechny vývojové týmy Cisco ^® jsou povinny dodržovat životní cyklus Cisco Secure Development Lifecycle. Jedná se o opakovatelný a měřitelný proces navržený ke zvýšení odolnosti a důvěryhodnosti produktů Cisco. Kombinace nástrojů, procesů a školení zaměřených na zvyšování povědomí zavedených ve všech fázích vývojového životního cyklu pomáhá zajistit hloubkovou obranu. Poskytuje také holistický přístup k odolnosti produktů. Tým vývoje produktů Webex vášnivě sleduje tento životní cyklus ve všech aspektech vývoje produktů.

Přečtěte si více o životním cyklu bezpečného vývoje.

Základní bezpečnostní nástroje Cisco

Organizace Cisco pro zabezpečení a důvěru poskytuje proces a potřebné nástroje, které každému vývojáři umožňují zaujmout konzistentní postoj, když čelí bezpečnostnímu rozhodnutí.

Mít specializované týmy, které vytvářejí a poskytují takové nástroje, odstraňuje nejistotu z procesu vývoje produktu.

Některé příklady nástrojů zahrnují:

• Požadavky na základní úroveň zabezpečení produktu (PSB), které musí produkty splňovat
• Nástroje pro tvorbu hrozeb používané při modelování hrozeb
• Pokyny pro kódování
• Ověřené nebo certifikované knihovny, které mohou vývojáři používat místo psaní vlastního bezpečnostního kódu
• Nástroje pro testování bezpečnostních zranitelností (pro statickou a dynamickou analýzu) používané po vývoji k testování bezpečnostních vad
• Sledování softwaru, které monitoruje knihovny Cisco a třetích stran a upozorňuje produktové týmy, když je zjištěna chyba zabezpečení

Organizační struktura, která vnáší bezpečnost do procesů společnosti Cisco

Společnost Cisco disponuje specializovanými odděleními pro zavádění a správu bezpečnostních procesů v celé společnosti. Aby společnost Cisco neustále držela krok s bezpečnostními hrozbami a výzvami, spoléhá na:

• Cloudový tým společnosti Cisco Information Security (InfoSec)
• Tým reakce na bezpečnostní incidenty společnosti Cisco (PSIRT)
• Sdílená bezpečnostní odpovědnost

Cisco InfoSec Cloud

Vedený Chief Security Officer pro cloud je tento tým zodpovědný za poskytování bezpečného prostředí Webex našim zákazníkům. InfoSec toho dosahuje definováním a vynucením bezpečnostních procesů a nástrojů pro všechny funkce, které se podílejí na dodávce Webex do rukou našich zákazníků.

Cisco InfoSec Cloud navíc spolupracuje s dalšími týmy napříč společností Cisco, aby reagoval na jakékoli bezpečnostní hrozby pro službu Webex.

Cisco InfoSec je také zodpovědný za neustálé zlepšování stavu zabezpečení Webex.

Tým reakce na bezpečnostní incidenty společnosti Cisco (PSIRT)

Cisco PSIRT je specializovaný globální tým, který řídí příliv, vyšetřování a hlášení bezpečnostních problémů souvisejících s produkty a službami společnosti Cisco. PSIRT používá k publikování informací různá média v závislosti na závažnosti problému se zabezpečením. Typ hlášení se liší podle následujících podmínek:

• Existují softwarové opravy nebo alternativní řešení, které tuto chybu zabezpečení řeší, nebo je plánováno následné zveřejnění oprav kódu, aby se vyřešily zranitelnosti s vysokou závažností
• Společnost PSIRT zaznamenala aktivní využívání zranitelnosti, která by mohla vést k většímu riziku pro zákazníky společnosti Cisco. PSIRT může urychlit zveřejnění bezpečnostního oznámení popisujícího chybu zabezpečení v tomto případě bez plné dostupnosti oprav.
• Veřejné povědomí o zranitelnosti ovlivňující produkty společnosti Cisco může vést k většímu riziku pro zákazníky společnosti Cisco. PSIRT může opět upozornit zákazníky, a to i bez plné dostupnosti oprav.

Ve všech případech PSIRT zveřejní minimální množství informací, které budou koncoví uživatelé potřebovat k posouzení dopadu zranitelnosti a k přijetí kroků potřebných k ochraně jejich prostředí. PSIRT používá stupnici Common Vulnerability Scoring System (CVSS) k hodnocení závažnosti zveřejněného problému. PSIRT neposkytuje podrobnosti o zranitelnosti, které by mohly někomu umožnit vytvořit zneužití.

Další informace o programu PSIRT naleznete v tématu Tým reakce na bezpečnostní incidenty Cisco Product Security Incident Response Team.

Odpovědnost za bezpečnost

Ačkoli každá osoba ve skupině Webex je zodpovědná za bezpečnost, hlavní pravidla jsou následující:

• Hlavní bezpečnostní ředitel, Cloud
• Viceprezident a generální ředitel, aplikace Cisco Cloud pro spolupráci
• Viceprezident, inženýrství, aplikace Cisco Cloud pro spolupráci
• Viceprezident, produktový management, aplikace Cisco Cloud pro spolupráci

Interní a externí penetrační testy

Skupina Webex provádí pravidelně přísné penetrační testy s využitím interních hodnotitelů. Kromě vlastních přísných interních postupů Cisco InfoSec také zapojuje několik nezávislých třetích stran, aby prováděly přísné audity interních zásad, postupů a aplikací společnosti Cisco. Tyto audity jsou navrženy tak, aby ověřovaly kritické bezpečnostní požadavky pro komerční i vládní aplikace. Společnost Cisco také využívá dodavatele třetích stran k provádění průběžných, hloubkových penetračních testů s pomocí kódu a hodnocení služeb. V rámci zakázky provádí třetí strana následující bezpečnostní hodnocení:

• Identifikace kritických zranitelností aplikací a služeb a navrhování řešení
• Doporučení obecných ploch pro architektonické zlepšení
• Identifikace chyb kódování a poskytování pokynů pro vylepšení postupů kódování

Hodnotitelé třetích stran spolupracují přímo s technickými pracovníky Webex, aby vysvětlili zjištění a ověřili nápravu. Informace o osvědčení penet Webex Meetingsračního testu najdete v balíčku Letters of Attestation Trust Package.

Fyzická bezpečnost

Fyzická bezpečnost v datovém centru zahrnuje video dohled pro zařízení a budovy a vynucenou dvoufaktorovou identifikaci pro vstup. V datových centrech společnosti Cisco je přístup řízen kombinací čteček odznaků a biometrických ovládacích prvků. Kromě toho řízení prostředí (například teplotní senzory a protipožární systémy) a infrastruktura kontinuity provozu (například zálohování napájení) pomáhají zajistit, aby systémy fungovaly bez přerušení.

Servery datových center jsou rozděleny do „důvěryhodných zón“ na základě citlivosti infrastruktury. Například databáze jsou „uloženy v kleci“, síťová infrastruktura má vyhrazené místnosti a všechny stojany zařízení jsou uzamčeny. Do datových center mohou vstoupit pouze bezpečnostní pracovníci společnosti Cisco a autorizovaní návštěvníci v doprovodu zaměstnanců společnosti Cisco.

Produkční síť společnosti Cisco je vysoce důvěryhodná síť: jen velmi málo lidí s vysokou úrovní důvěryhodnosti má přístup k síti.

Zabezpečení infrastruktury a platformy

Zabezpečení platformy zahrnuje zabezpečení sítě, systémů a celkového datového centra Webex. Všechny systémy procházejí důkladnou kontrolou zabezpečení a ověřením přijetí před nasazením do výroby, stejně jako pravidelným průběžným vytvrzováním, opravami zabezpečení a skenováním a hodnocením zranitelností.

Servery jsou zpevněny pomocí bezpečnostních technických pokynů pro implementaci (STIG) publikovaných Národním institutem pro standardy a technologie (NIST). Firewally chrání perimetr sítě. Seznamy řízení přístupu (ACL) oddělují různé zóny zabezpečení. Systémy detekce narušení (IDS) jsou zavedeny a aktivity jsou průběžně podepisovány a monitorovány. Denní interní a externí bezpečnostní kontroly jsou prováděny napříč Webex. Všechny systémy jsou kaleny a opraveny jako součást pravidelné údržby. Kromě toho se průběžně provádí skenování a hodnocení zranitelnosti.

Kontinuita služeb a zotavení po havárii jsou klíčovými součástmi plánování zabezpečení. Návrh datových center Cisco s globálním zálohováním webu a vysokou dostupností pomáhá umožnit geografické převzetí služeb Webex při selhání. Neexistuje jediný bod selhání.

Administrativní údaje

Informace o zaměstnancích nebo zástupcích zákazníka nebo jiné třetí strany, které společnost Cisco shromažďuje a používá za účelem správy nebo správy dodávek produktů nebo služeb společnosti Cisco nebo ke správě nebo správě účtu zákazníka nebo třetí strany pro vlastní obchodní účely společnosti Cisco.

Administrativní údaje mohou zahrnovat jméno, adresu, telefonní číslo, e-mailovou adresu a informace o smluvních závazcích mezi společností Cisco a třetí stranou, ať již byly shromážděny v době první registrace nebo později v souvislosti se správou nebo správou produktů nebo služeb společnosti Cisco.

Administrativní data mohou také zahrnovat název schůzky, čas a další atributy schůzek prováděných na Webex zaměstnanci nebo zástupci zákazníka. Mezi další příklady administrativních dat mohou patřit název schůzky, čas schůzky a další atributy schůzek hostovaných na Webex.

Údaje o zákaznících

To zahrnuje všechna data (včetně textových, zvukových, obrazových souborů, obrazových souborů a nahrávek), která jsou společnosti Cisco poskytnuta zákazníkem v souvislosti s používáním produktů nebo služeb společnosti Cisco ze strany zákazníka, nebo vyvinutá společností Cisco na konkrétní žádost zákazníka na základě prohlášení o práci nebo smlouvě.

Údaje o zákaznících zahrnují také soubory protokolů, konfigurací nebo firmwaru a výpisy jádra.

Jedná se o data převzatá z produktu nebo služby a poskytnutá společnosti Cisco, aby nám pomohla vyřešit problém v souvislosti s žádostí o podporu. Údaje o zákaznících nezahrnují administrativní data, data podpory ani telemetrická data.

Podpůrná data

Informace, které společnost Cisco shromažďuje, když zákazník podá žádost o služby podpory nebo jiné řešení potíží, včetně informací o hardwaru nebo softwaru. Zahrnuje podrobnosti týkající se incidentu podpory, jako jsou informace o ověřování, informace o stavu produktu, systému a registru o instalacích softwaru a konfiguracích hardwaru a soubory pro sledování chyb. Údaje podpory nezahrnují soubory protokolů, konfigurací nebo firmwaru ani výpisy jádra převzaté z produktu a poskytnuté nám, aby nám pomohly vyřešit problém v souvislosti s žádostí o podporu, které jsou všechny příklady zákaznických údajů.

Telemetrická data

Informace generované přístrojovými a protokolovacími systémy vytvořenými používáním a provozem produktu nebo služby.

Všechna data shromážděná v cloudu Webex jsou chráněna několika vrstvami robustních bezpečnostních technologií a procesů. Níže jsou uvedeny příklady ovládacích prvků umístěných v různých vrstvách operací Webex pro ochranu dat zákazníků:

• Řízení fyzického přístupu — Fyzický přístup je řízen pomocí biometrie, odznaků a video dohledu. Přístup do datového centra vyžaduje schválení a je řízen prostřednictvím elektronického systému prodeje jízdenek.
• Řízení přístupu k síti — Obvod sítě Webex je chráněn firewally. Veškerý síťový provoz vstupující nebo opouštějící datové centrum Webex je průběžně monitorován pomocí systému detekce narušení (IDS). Síť Webex je také rozdělena do samostatných bezpečnostních zón. Provoz mezi zónami je řízen firewally a seznamy řízení přístupu (ACL).
• Monitorování a řízení infrastruktury — Každá součást infrastruktury, včetně síťových zařízení, aplikačních serverů a databází, je vymezena přísnými pokyny. Rovněž podléhají pravidelnému skenování, aby identifikovaly a vyřešily jakékoli bezpečnostní obavy.
• Kryptografické ovládací prvky — Jak již bylo uvedeno výše, všechna data z datového centra Webex a z datového centra Webex do cloudu registrovaných aplikací Webex a zařízení Webex jsou šifrována, s výjimkou provozu PSTN a nešifrovaných video zařízení SIP/H323 na schůzce s podporou cloudu. Kritická data uložená ve Webex, například hesla, jsou navíc šifrována.

Zaměstnanci společnosti Cisco nemají přístup k datům zákazníků, pokud zákazník nepožádá o přístup z důvodů podpory. Přístup k systémům je v tomto případě povolen manažerem pouze v souladu se zásadou „oddělení povinností“. Poskytuje se pouze na základě potřeby a pouze s úrovní přístupu potřebného k provedení práce. Přístup zaměstnanců k těmto systémům je také pravidelně kontrolován z hlediska dodržování předpisů. Zaměstnanci s takovým přístupem jsou povinni absolvovat každoroční školení Mezinárodní organizace pro normalizaci (ISO) 27001 pro zvyšování povědomí o bezpečnosti informací.

Kromě těchto specializovaných kontrol absolvuje každý zaměstnanec společnosti Cisco ověření spolehlivosti, podepíše smlouvu o mlčenlivosti (NDA) a absolvuje školení Kodexu obchodního chování (COBC).

Zákon o přenositelnosti a odpovědnosti zdravotního pojištění (HIPAA)

Společnost Cisco může poskytovat informace týkající se funkčnosti, technologie a zabezpečení Webex. Subjekt krytý HIPAA by se musel poradit se svým vlastním právním poradcem, aby zjistil, zda je funkce Webex v souladu s jeho obchodními procesy a připravena na GDPR.

• Soulad s GDPR
• Zveřejnění Webex Meetings nabídky společnosti Cisco

Průmyslové normy a certifikace

Kromě dodržování našich přísných interních standardů Webex také průběžně udržuje ověření třetích stran, aby prokázal náš závazek k bezpečnosti informací. Webex je:

• Certifikace ISO 27001,27017,27018 a 27701
• Kontroly organizace služeb (SOC) 2 typu II byly auditovány
• Certifikováno SOC 3
• Kodex chování v cloudu
• CSTAR
• Osvědčení o kontrole dodržování předpisů v oblasti cloud computingu (C5)
• Certifikace FedRAMP (další podrobnosti, rozsah a dostupnost najdete na stránce cisco.com/go/fedramp)

Kompletní sadu dokumentů o zabezpečení, ochraně osobních údajů a dodržování předpisů včetně podrobností o výše uvedených normách a certifikacích najdete na portálu Cisco Trust Portal.