Děkujeme za vaši zpětnou vazbu.

Základní služby a komponenty Webex Meetings

• Webex Meetings je součástí sady Webex Suite a poskytuje audio/video konference se sdílením obsahu a možnostmi webových konferencí.
• Platforma zahrnuje několik mikroslužeb, jako jsou Meetings Service, Webinar Service, Identity Service, Recording Service, AI Assistant Service, Analytics Service, Administration Service a Media Service.
• Webex Meetings podporuje cloudové aplikace a zařízení, což uživatelům umožňuje připojit se ke schůzkám z různých operačních platforem a zařízení. Uživatelé se mohou ke schůzkám připojit také prostřednictvím PSTN a pomocí SIP koncových bodů.

Architektura a nasazení

• Služby Webex Meetings jsou regionalizovány a replikovány napříč několika nezávislými datovými centry, aby byla zajištěna redundance a vysoká dostupnost.
• Mediální služby jsou globálně distribuovány s clustery mediálních serverů v každém datovém centru, což zajišťuje lokální a geografickou redundanci.
• Mediální servery zpracovávají hlas, video a sdílení obsahu, přičemž média jsou obvykle šifrována pomocí AES-256-GCM.
• Architektura podporuje šifrovanou signalizaci přes TLS/HTTPS a šifrované mediální streamy.

Webex podporuje připojení ke schůzkám z různých platforem a zařízení, včetně:

• Desktopová aplikace Webex pro Windows, Mac a Linux.
• Mobilní aplikace Webex pro Android a iOS.
• Webová aplikace Webex využívající prohlížeče Chrome, Edge, Safari, Firefox a další.
• Zařízení Cisco pro místnosti a stolní zařízení.
• Koncové body zvuku a videa třetích stran založené na standardech SIP.
• Zařízení PSTN.

Zákaznická suverenita Webexu

V reakci na rostoucí poptávku po rezidentnosti dat zavedl Webex rozšířené funkce pro zajištění suverenity dat. Počínaje nahráváním a s podporou dalších služeb, které budou v budoucnu k dispozici, si nyní organizace mohou udržet kontrolu nad obsahem svých schůzek pomocí:

• Lokalizované zpracování— Zpracování obsahu schůzek, jako jsou nahrávky, v rámci vlastní infrastruktury.
• Místní úložiště— Využívání vlastních služeb ukládání souborů k uložení citlivých dat ze schůzek, čímž se zajistí, že data zůstanou v rámci stanovených geografických nebo organizačních hranic.

Ultra zabezpečené schůzky Webex

Historicky „ultra bezpečné“ funkce, jako je Zero Trust End-to-End Encryption (E2EE), často vyžadovaly kompromis ve funkčnosti schůzek, protože cloudové služby s přidanou hodnotou vyžadovaly přístup k šifrovacím klíčům a k těmto schůzkám se mohl připojit pouze omezený počet typů koncových bodů. Webex tento kompromis eliminoval pomocí:

• Zero Trust s bohatou na funkce— Webex transformoval schůzky s nulovou důvěrou s end-to-end šifrováním (E2EE) a přidal funkce, díky kterým jsou schůzky s nulovou důvěrou bohaté na funkce. Podpora širšího počtu typů koncových bodů poskytuje bezproblémový zážitek bez nutnosti obětovat nástroje nezbytné pro moderní spolupráci.
• Zero Trust pro standardní schůzky— Webex integroval funkce Zero Trust E2EE přímo do standardních schůzek. Díky tomu může i každodenní spolupráce těžit z nejvyšší úrovně zabezpečení a poskytovat konzistentní ochranu v celém ekosystému Webex.

Jednotný přístup ke spolupráci

Integrací zákaznické suverenity s těmito pokročilými funkcemi Zero Trust E2EE umožňuje Webex organizacím dosáhnout dvojího cíle: pořádání vysoce zabezpečených schůzek s nulovou důvěrou v cloudu Webex a zároveň zachování plné kontroly nad zpracováním a ukládáním kritického obsahu schůzek v místních podmínkách. Tato synergie poskytuje flexibilitu a zabezpečení nezbytné pro moderní podniková prostředí zaměřená na dodržování předpisů.

Rozšíření bezpečnostních hranic pomocí uzlu Video Mesh

Přidání uzlu Video Mesh do organizace umožňuje zákazníkům poskytovat služby pro schůzky v místní síti a umožňuje jejich koncovým bodům v místní síti připojit se k jakékoli schůzce Webex. Z bezpečnostního hlediska integrace uzlu Video Mesh zachovává v cloudu Webex systém nulového důvěry a zároveň nabízí téměř paritu funkcí se standardními schůzkami Webex. Zákazníci také těží ze suverenity dat, protože služby, jako jsou záznamy ze schůzek Video Mesh Node, jsou zpracovávány a ukládány lokálně.

Použití end-to-end šifrování s nulovou důvěrou může prodloužit dobu připojení ke schůzce o několik sekund, ale poskytuje jasnou bezpečnostní záruku – přístup k šifrovacím klíčům schůzky mají pouze účastníci schůzky, takže její obsah nemůže dešifrovat poskytovatel služeb ani jiní zprostředkovatelé.

Shrnutí: Webex Meetings a hybridní modely nasazení

Jak je ukázáno ve výše uvedeném srovnání, nasazení uzlu Video Mesh Node (VMN) umožňuje službě Zero Trust Webex Meetings dosáhnout téměř stejné funkčnosti jako standardní schůzky Webex. I když schůzky s nulovou důvěrou nepodporují účastníky PSTN, webová aplikace Webex slouží jako široce dostupná alternativa pro end-to-end šifrovaný přístup. VMN navíc umožňuje kancelářským pracovníkům používajícím stolní telefony bezproblémově se připojovat k schůzkám s nulovou důvěrou.

Video Mesh Node také zajišťuje datovou suverenitu pro kritický obsah schůzek, včetně nahrávek a – v blízké budoucnosti – i přepisů, shrnutí a úkolů. Zpracováním a ukládáním těchto dat v místním prostředí poskytuje VMN zákazníkům úplnou kontrolu nad jejich informacemi a zároveň zachovává architekturu Zero Trust v rámci cloudu Webex.

Šifrovaná signalizace Webex

Služby Webex podporují TLS verze 1.2 a 1.3, přičemž TLS 1.3 je upřednostňován, pokud jej podporuje připojující se koncový bod. Pokud klient podporuje pouze TLS 1.2, server Webex vybere nejsilnější běžnou šifrovací sadu nabízenou klientem. Na rozdíl od TLS 1.2 nepoužívá TLS 1.3 výběr šifrovací sady dle preferencí serveru, protože se spoléhá na menší, upravenou sadu moderních šifer. Tento design zjednodušuje proces výběru a více se zaměřuje na vylepšení výkonu, jako je zkrácení celkové délky handshake, a zároveň zachovává silné zabezpečení. Šifrovací sady pro TLS 1.2 a 1.3 používané společností Webex jsou dobře definované a mají prioritu, aby byla zajištěna bezpečná komunikace.

Šifrovací sady TLS

Šifrovací sady TLS 1.3 (servery TLS 1.3 nepoužívají pro výběr sady preferenční pořadí)

Šifrovací sady TLS 1.2 (sady v pořadí preferovaném serverem)

Šifrovací šifry AES_256_CBC a AES_128_CBC jsou podporovány pro zachování kompatibility se staršími systémy, prohlížeči a vestavěnými zařízeními, která nepodporují moderní šifry AEAD (Authenticated Encryption with Associated Data), jako je AES-GCM, např. Internet Explorer 11 ve Windows 7 a Windows 8.1, Safari. 6/7/8 v raných verzích systémů iOS a MacOS používají šifry založené na CBC.

CHACHA20_POLY1305 je proudová šifra s nízkou závislostí na hardwaru, což z ní činí vynikající šifru pro použití na mobilních zařízeních nebo zařízeních s nízkoenergetickými procesory.

Standardy šifrování médií pro Webex

Schůzky a hovory Webex využívají pro všechny mediální pakety robustní šifrování založené na AES. Konkrétní šifrovací sada závisí na typu koncového bodu, přičemž AES-256-GCM slouží jako preferovaný standard pro optimální zabezpečení.

Klíčové bezpečnostní aspekty

• Preferovaný standard— AES-256-GCM je doporučená šifra pro všechna nasazení, aby byla zajištěna nejvyšší úroveň integrity a důvěrnosti dat.
• Interoperabilita— Webex sice udržuje podporu pro starší šifry (například AES-CM-128-HMAC-SHA1), aby byla zajištěna interoperabilita se systémy SIP a H.323 třetích stran, ale organizace upřednostňující architekturu s nulovou důvěryhodností by měly všude, kde to kompatibilita zařízení umožňuje, vynucovat AES-256-GCM.

Protokoly pro přenos médií

Webex podporuje přenos médií přes UDP, TCP nebo TLS. Pro optimální výkon hlasu a videa společnost Cisco důrazně doporučuje UDP.

Úvahy o výkonu:

• Efektivita v reálném čase— UDP je preferovaný transport pro média v reálném čase, protože minimalizuje latenci a jitter tím, že se vyhýbá mechanismům opakovaného přenosu a ukládání do vyrovnávací paměti, které jsou vlastní protokolům orientovaným na spojení.
• Dopad TCP/TLS—Zatímco TCP a TLS poskytují spolehlivé a uspořádané doručování dat, toto chování je kontraproduktivní pro média v reálném čase. Výsledné opakované přenosy paketů a ukládání streamu do vyrovnávací paměti zavádějí latenci a jitter, což může výrazně snížit kvalitu zážitku pro účastníky.

Používání SRTP a SFrame pro média společností Webex

Pro zachování vysokých bezpečnostních standardů požadovaných pro prostředí WebexZero Trust je důležité rozlišovat mezi zabezpečením na úrovni transportu (SRTP) a šifrováním end-to-end na aplikační vrstvě (SFrame).

Klíčové technické rozdíly – SRTP & SFrame

1. SRTP (Secure Real-time Transport Protocol)

   SRTP je průmyslový standard pro zabezpečení mediálních streamů během přenosu.

   • Rozsah—Zajišťuje důvěrnost, ověřování zpráv a ochranu před přehráváním pro datovou část RTP.
   • Provozní kontext— V mnoha architekturách mediální server/mediální brána (jednotka selektivního přeposílání (SFU)) ukončuje připojení SRTP, aby mohl provést zpracování médií (například mixování, skládání rozvržení nebo překódování). Protože SFU pro zpracování média dešifruje, je médium v bodě SFU technicky zranitelné.
2. SFrame (bezpečný rám)

   SFrame je standard IETF. RFC 9605 je navržen speciálně pro usnadnění skutečného šifrování typu end-to-end v prostředí vícestranných konferencí.

   • Rozsah— Šifruje paketizované mediální rámce před jejich zapouzdřením do RTP paketů. Webex přidává další vrstvu šifrování pomocí SRTP.
   • Architektura nulové důvěry— Protože média jsou šifrována na aplikační vrstvě, SFU funguje pouze jako „slepé“ relé. Směruje zašifrované pakety k ostatním účastníkům, aniž by měli přístup k dešifrovacím klíčům.
   • Nezávislost—SFrame je nezávislý na transportu. Zůstává bezpečný, i když je podkladová přeprava (UDP/TCP/TLS) je ohrožena, protože bezpečnostní kontext je vázán na koncové body účastníků, nikoli na transportní spojení.

SFrame je klíčový mechanismus, který umožňuje E2EE. Zatímco SRTP zajišťuje šifrování dat během přenosu sítí, SFrame zajišťuje, že média zůstanou šifrována po celou dobu životního cyklu schůzky, včetně doby, kdy se nacházejí na infrastruktuře Cisco (SFU), čímž efektivně odstraňuje poskytovatele služeb z hranice důvěryhodnosti.

Obsah schůzek Webex

Obsah schůzky se skládá z dat vytvořených účastníky nebo generovaných službami Webex jménem hostitele schůzky. Zahrnuje:

• Obsah související s médii— Nahrávky, přepisy, shrnutí a úkoly.
• Data o spolupráci— Zprávy chatu, shared/transferred soubory, tabule a anotace.

Zabezpečení obsahu Webex Meetings – komplexní šifrování Webex

Webex zabezpečuje obsah schůzek generovaný účastníky pomocí robustního frameworku end-to-end šifrování (E2EE). Ústředním bodem této architektury je služba Webex Key Management Service (KMS), která je zodpovědná za generování, distribuci a správu šifrovacích klíčů pro veškerý obsah generovaný uživateli.

Vrstvy zabezpečení obsahu schůzek

• Přenášená data– Aplikace Webex a videozařízení Cisco používají šifrování Webex end-to-end (E2EE) s AES-256-GCM k šifrování obsahu schůzek generovaného uživateli, jako jsou soubory záznamů, souhrnné soubory umělé inteligence, zprávy chatu atd. Toto je dále zapouzdřeno v protokolu TLS (Transport Layer Security), který poskytuje dvouvrstvou ochranu během přenosu.
• Neaktivní data— Po uložení v cloudu Webex je šifrovaný obsah dodatečně chráněn šifrováním disku AES-256-GCM.
• Profil ochrany– Tento přístup chrání obsah před zachycením TLS během přenosu a zajišťuje, že uložená data zůstanou nepřístupná neoprávněným osobám v cloudovém prostředí.

Komplexní šifrování Webex se spravovaným přístupem k obsahu pro základní služby

Na rozdíl od end-to-end šifrování s nulovou důvěrou, kde Webex nemá přístup k šifrovacím klíčům médií ani obsahu, umožňuje end-to-end šifrování Webex platformě využívat klíče generované službou Webex KMS k dešifrování dat pro základní služby. Tento spravovaný přístup umožňuje:

• Vyhledávání a indexování– Umožňuje uživatelům prohledávat historii obsahu.
• Dodržování předpisů a řízení— Umožňuje prevenci ztráty dat (DLP), elektronické vyhledávání informací a archivaci dat.
• Optimalizace médií— Podporuje překódování souborů pro kompatibilitu napříč zařízeními.
• Zabezpečení—Usnadňuje skenování malwaru pomocí balíčku Extended Security Pack.

Metadata Webex Meetings

Metadata schůzek se skládají z administrativních a technických informací generovaných systémem za účelem usnadnění, sledování a řízení schůzky, nikoli ze skutečného obsahu (zvuku, videa nebo sdílených souborů) samotné schůzky. Metadata lze rozdělit do několika kategorií:

• Informace o relaci— Název schůzky, ID schůzky, plánovaný čas zahájení a ukončení a skutečná délka trvání schůzky.
• Údaje o účastnících– Seznam pozvaných a skutečných účastníků, jejich IP adresy, typy zařízení (například Windows, iPhone, Cisco Room Kit) a jejich join/leave časová razítka.
• Metriky využití a kvality— Data používaná k řešení problémů, jako je ztráta paketů, jitter, latence a rozlišení video streamu.

Jak se používají metadata

1. Analytika a reporting— Administrátoři používají metadata v aplikaci WebexControl Hub k zobrazení počtu schůzek, nejaktivnějších oddělení a celkové kvality zážitku.
2. Řešení problémů— Centrum technické pomoci Cisco TAC (Technical Assistance Center) používá metadata k identifikaci a řešení problémů se schůzkami.
3. Dodržování předpisů a elektronické zjišťování informací— Pracovníci pro dodržování předpisů mohou vyhledávat v metadatech, aby prokázali, že se schůzka konala, kdo se jí účastnil a zda byla nahrávána, a to i v případě, že nevidí šifrovaný obsah schůzky.
4. Zabezpečení—Metadata pomáhají identifikovat pokusy o neoprávněný přístup nebo neobvyklé vzorce, které by mohly naznačovat bezpečnostní hrozbu.

Zabezpečení a soukromí metadat

• Šifrování— I když metadata nejsou „šifrována od začátku do konce“, jsou stále šifrována během přenosu (pomocí TLS) a v klidovém stavu v zabezpečených datových centrech společnosti Cisco.
• Řízení přístupu— Zásady ochrany osobních údajů společnosti Cisco přísně omezují, kdo má přístup k těmto metadatům, a tato metadata se používají k poskytování a vylepšování služby.

Další informace o obsahu a metadatech schůzek Webex naleznete v Prohlášení o nabídce Webex Meetings.

Přiřazení typů relací schůzek uživatelům

Administrátoři Webex Control Hub mohou svým uživatelům přiřadit jeden nebo více typů schůzek, které mohou používat pro plánované schůzky. Ve výchozím nastavení jsou všem uživatelům přiřazeny typy schůzek Pro Meeting a Pro-End to End Encryption_VoIPonly.

Naplánovat schůzku – Vyberte typ schůzky

Uživatelé si mohou vybrat typ schůzky, který chtějí použít při plánování schůzky, z aplikace Webex, uživatelské stránky Webex a doplňku Webex Email pro Microsoft Outlook.

Naplánovat schůzku – Vyberte typ schůzky v aplikaci Webex

Naplánovat schůzku – Vyberte typ schůzky na uživatelské stránce Webexu.

Nastavení výchozího typu schůzky

Uživatelé si mohou nastavit výchozí typ schůzky z nabídky Schůzky > Nastavení na jejich uživatelské stránce Webexu.

Nastavení výchozího typu schůzky na stránce uživatele Webexu

Zero Trust End-to-End identita a prevence deepfake

Certifikáty identity koncového uživatele poskytnuté zákazníkem jsou základním kamenem prevence zosobnění v rámci schůzek Webex šifrovaných end-to-end (E2EE). Na rozdíl od tradičních mechanismů blokování deepfake, které se spoléhají na analýzu audio a video streamů, tento přístup poskytuje kryptografické ověření identity v okamžiku přístupu. Tento ověřený stav se zobrazuje přímo v seznamu účastníků schůze, což zajišťuje transparentnost pro všechny účastníky.

Společnost Webex rozšířila podporu certifikátů spravovaných zákazníky – dříve dostupných na zařízeních RoomOS – i na aplikaci Webex v rámci funkce „Prevence deepfake“. Organizace si mohou poskytovat a spravovat vlastní digitální certifikáty vydávané důvěryhodnými externími certifikačními autoritami (CA) pomocí standardních protokolů, jako je ACME. Tyto certifikáty, založené na standardech X.509 a párech klíčů ECDSA P-256, poskytují kryptografický důkaz identity účastníků během schůzek E2EE.

Ověřená identita od začátku do konce a protokol MLS

Protokol Messaging Layer Security (MLS) využívá standardní certifikáty X.509 k ověřování účastníků schůzky. Certifikát je digitálně podepsaný výpis od důvěryhodné certifikační autority, který ověřuje identitu držitele podpisového klíče. Účastníci získávají tyto certifikáty dvěma hlavními způsoby:

• Spravovaná zařízení (certifikáty poskytované zákazníkem)— U stolních počítačů a mobilních klientů spravovaných organizací lze na zařízení nainstalovat certifikát identity od důvěryhodné certifikační autority. Když se uživatel přihlásí pomocí jednotného přihlašování (SSO), aplikace Webex načte tento certifikát z úložiště důvěryhodných certifikátů operačního systému, aby mohla prezentovat ověřenou identitu uživatele. Tento proces je podporován i pro videozařízení Cisco registrovaná v cloudu Webex.
• Výchozí (certifikáty poskytované společností Webex)– Pokud není k dispozici žádný certifikát poskytnutý zákazníkem, klient nebo zařízení Webex automaticky použije certifikát vydaný certifikační autoritou Webex, který odráží identitu ověřenou společností Cisco.

Sdílení identity a záložní mechanismus

Během schůzky každý účastník sdílí se všemi ostatními účastníky svůj certifikát identity Webex a, pokud je k dispozici, i certifikát identity poskytnutý zákazníkem. Pro zajištění bezproblémového připojení se koncový bod Webex řídí přísnou hierarchií: Upřednostňuje certifikát poskytnutý zákazníkem pro ověření; pokud tento certifikát chybí nebo neprojde ověřením, systém se automaticky vrátí k certifikátu identity poskytnutému společností Webex.

Zobrazení stavu ověření identity uživatele

Když se účastníci připojí ke schůzce pomocí aplikace Webex nebo zařízení RoomOS s certifikáty poskytnutými zákazníkem, ostatní účastníci schůzky ověří jejich identitu u vydávající certifikační autority. Díky tomu jsou rozpoznáni pouze autorizovaní uživatelé, což útočníkům brání v vydávání se za legitimní účastníky, protože tyto certifikáty jsou jedinečně vázány na ověřené identity a společnost Cisco ani zprostředkovatelé je nemohou padělat.

Seznam účastníků schůzky šifrované E2E zobrazuje stav ověření identity každého uživatele:

• Zero-Trust E2E Verified ( domain.com ) – Pokud je použit certifikát identity poskytnutý zákazníkem, doména účastníka se zobrazí modře. To indikuje skutečnou identitu ověřenou E2E, kterou společnost Cisco nemůže změnit. Například v seznamu účastníků schůzky můžete vidět, že „Kevin“ má ověřenou e-mailovou adresu z example.com, která je zobrazena modře.
• Webex-Ověřeno ( domain.com) – Certifikáty vydané certifikační autoritou Webex poskytují omezenější úroveň ochrany. I když je to lepší než žádná ochrana identity, tito účastníci nejsou označeni jako „ověření E2E s nulovou důvěrou“. Místo toho se jejich stav identity zobrazuje šedým textem, což znamená, že identita byla ověřena certifikační autoritou Webex.
• Neověřený hostující uživatel ( Neověřené) – Ačkoli identita hostujících účastníků není ověřena (protože neexistuje žádný proces přihlašování), stále potřebují certifikát pro připojení ke skupině MLS pro hovor nebo schůzku. Tento certifikát je vydán certifikační autoritou Webex a jako uživatelské jméno používá „anonymous“.

Bezpečnostní kód schůzky odvozený z kryptografického stavu všech účastníků navíc pomáhá detekovat útoky typu „osoba uprostřed“ tím, že umožňuje účastníkům ověřit, zda všichni sdílejí stejný zabezpečený kontext schůzky. Kombinací kryptografického ověřování identity s end-to-end šifrováním nabízí tato funkce „Deepfake prevence“ robustní ochranu proti zosobnění a hrozbám ze syntetických médií a chrání integritu a důvěrnost schůzek v aplikaci Webex i zařízeních s RoomOS.

Správa zavádění certifikátů

Organizace mohou zjednodušit zavádění a správu těchto certifikátů identity koncových uživatelů poskytovaných zákazníky jejich instalací do zařízení spravovaných společností pomocí aplikací pro správu mobilních zařízení (MDM), správu mobilních aplikací (MAM) nebo správu podnikové mobility (EMM). Tyto platformy pro správu umožňují IT administrátorům centrálně zajišťovat, konfigurovat a spravovat certifikáty a související bezpečnostní zásady napříč širokou škálou zařízení, ať už vlastněných firmami nebo soukromými osobami. Například Microsoft Intune podporuje funkce MDM i MAM, které organizacím umožňují nasazovat a spravovat aplikaci Webex a její konfigurace zabezpečení, včetně certifikátů identity, na spravovaných zařízeních. Podobně Cisco Meraki Systems Manager poskytuje funkce MDM pro registraci zařízení, odesílání konfiguračních profilů a nasazování certifikátů, aby byl zajištěn stav důvěryhodného zařízení. Využití těchto řešení pro správu snižuje administrativní režijní náklady, zjednodušuje správu životního cyklu certifikátů a vylepšuje zabezpečení schůzek Webex E2EE pomocí funkcí „prevence Deepfake“.

Tři pilíře identity

Efektivní správa identit a přístupu (IAM) pro Webex se opírá o:

• Zřizování (CRUD) – Správa životních cyklů uživatelů (vytvoření, čtení, aktualizace, mazání) s cílem zajistit, aby „zdroj pravdy“ odpovídal platformě pro spolupráci.
• Ověřování (AuthN) – Ověřování identity uživatele pomocí zabezpečených přihlašovacích údajů nebo tokenů.
• Autorizace (AuthZ) – Definování podrobných oprávnění a úrovní přístupu k API po ověření.

Zřizování & Řízení životního cyklu

Webex podporuje několik metod synchronizace uživatelů a skupin:

• SCIM 2.0— Preferovaný cloudový standard. Automatizuje životní cyklus uživatele a zajišťuje, že odhlášení v IdP automaticky zruší přístup k Webexu.
• Directory Connector— Nástroj Cisco pro hybridní prostředí, který propojuje místní službu Active Directory (AD) s cloudem Webex.
• Zřizování založené na API– Používá rozhraní Webex „People API“ pro programové vytváření uživatelů a přiřazování licencí ve složitých prostředích.
• Starší LDAP— Podporováno pro místní adresáře (např. CUCM), i když méně optimalizováno pro moderní cloudový provoz.

Ověřování & Autorizační rámce

• Ověřování (AuthN):

• SAML 2.0— Podnikový standard pro jednotné přihlašování (SSO). Webex vystupuje jako poskytovatel služeb (SP) a ověřuje XML assessments od firemního IdP.
• OIDC (OpenID Connect)— Moderní, lehká vrstva identity postavená na OAuth 2.0 s využitím webových tokenů JSON (JWT). Podporuje „Discovery URL“ pro automatickou konfiguraci.

• Autorizace (AuthZ):

• OAuth 2.0—Spravuje přístup k API prostřednictvím krátkodobých přístupových tokenů (definujících rozsahy) a dlouhodobých obnovovacích tokenů. Vynucuje zabezpečení prostřednictvím PKCE (Proof Key for Code Exchange) pro veřejné klienty.

Integrace & Strategie pro více poskytovatelů identity

Webex nabízí specializované cesty pro bezproblémovou integraci:

• Průvodce zadáváním ID—Doporučená cesta pro prostředí Microsoft. Používá rozhraní Microsoft Graph API pro pokročilou synchronizaci atributů (avatary, hierarchie) a automatizuje... OIDC/SAML konfigurace.
• Duo Security– Přidává „Continuous Identity Security“ ověřováním stavu zařízení a povolením MFA odolného proti phishingu.

Podpora více IdP:Webex umožňuje organizacím federovat více nezávislých IdP v rámci jednoho Control Hubu.

• Případy užití – fúze, akvizice nebo decentralizovaná IT oddělení.
• Směrování – Požadavky na ověření jsou směrovány na základě domén nebo skupin uživatelů.
• Zvážení – Vyžaduje přísnou koordinaci pro udržení konzistentních bezpečnostních zásad napříč všemi federovanými zdroji.

Příklad nejběžnějších integrací identit IdP s Webexem:

Osvědčené postupy a odolnost

• Obnovení SSO – V případě selhání konfigurace IdP vždy použijte vestavěný odkaz „Obnovení SSO“ v Control Hubu k obejití SSO pomocí jednorázového hesla (OTP).
• Správa certifikátů – Sledování vypršení platnosti certifikátu SAML. Průvodce SSO automatizuje výměnu metadat a snižuje tak manuální chyby.
• Řešení problémů – Pokud se vyskytnou problémy s ověřováním, použijte nástroj SAML Tracer ke kontrole XML asercí a ověření formátů NameID.
• Bezpečnostní stav – Pravidelně ukončujte podporu starších typů grantů a zajistěte implementaci PKCE pro všechny integrace veřejných klientů.

Závěr – Identita pro Webex Meetings

Robustní strategie identity je proces s nepřetržitým životním cyklem. Kombinací SCIM pro zřizování, OIDC/SAML pro ověřování a OAuth pro autorizaci mohou organizace zajistit bezpečný a bezproblémový zážitek pro uživatele a zároveň si zachovat přísnou administrativní kontrolu.

Životní cyklus bezpečného vývoje Cisco

Ve společnosti Cisco není bezpečnost druhořadou záležitostí. Jedná se o disciplinovaný přístup k budování a poskytování produktů a služeb světové úrovně od základů. Všechny týmy vývoje produktů Cisco^® musí dodržovat zásady bezpečného vývojového cyklu Cisco. Jedná se o opakovatelný a měřitelný proces, jehož cílem je zvýšit odolnost a důvěryhodnost produktů Cisco. Kombinace nástrojů, procesů a školení zaváděných ve všech fázích životního cyklu vývoje pomáhá zajistit hloubkovou ochranu. Poskytuje také holistický přístup k odolnosti produktu. Tým vývoje produktů Webex s nadšením sleduje tento životní cyklus v každém aspektu vývoje produktu.

Přečtěte si více o životním cyklu bezpečného vývoje.

Základní bezpečnostní nástroje Cisco

Organizace Cisco pro bezpečnost a důvěru poskytuje proces a potřebné nástroje, které každému vývojáři umožňují zaujmout konzistentní postoj k bezpečnostnímu rozhodnutí.

Díky specializovaným týmům, které se zabývají vývojem a poskytováním takových nástrojů, je proces vývoje produktů zcela vyloučen.

Mezi příklady nástrojů patří:

• Základní požadavky na bezpečnost produktů (PSB), které musí produkty splňovat
• Nástroje pro tvorbu hrozeb používané během modelování hrozeb
• Pokyny pro kódování
• Ověřené nebo certifikované knihovny, které mohou vývojáři používat místo psaní vlastního bezpečnostního kódu
• Nástroje pro testování bezpečnostních zranitelností (pro statickou a dynamickou analýzu) používané po vývoji k testování bezpečnostních vad
• Sledování softwaru, které monitoruje knihovny Cisco a třetích stran a upozorňuje produktové týmy na zjištění zranitelnosti

Organizační struktura, která vštípí bezpečnost do procesů Cisco

Společnost Cisco má zřízena specializovaná oddělení, která se zabývají zaváděním a řízením bezpečnostních procesů v celé společnosti. Aby Cisco neustále drželo krok s bezpečnostními hrozbami a výzvami, spoléhá se na:

• Cloudový tým Cisco Information Security (InfoSec)
• Tým pro reakci na bezpečnostní incidenty produktů Cisco (PSIRT)
• Sdílená odpovědnost za bezpečnost

Cisco InfoSec Cloud

Tento tým, vedený hlavním bezpečnostním ředitelem pro cloud, je zodpovědný za poskytování bezpečného prostředí Webexu našim zákazníkům. Společnost InfoSec toho dosahuje definováním a vynucováním bezpečnostních procesů a nástrojů pro všechny funkce spojené s dodáváním řešení Webex našim zákazníkům.

Kromě toho Cisco InfoSec Cloud spolupracuje s dalšími týmy v rámci společnosti Cisco na reakci na jakékoli bezpečnostní hrozby pro službu Webex.

Společnost Cisco InfoSec je také zodpovědná za neustálé zlepšování bezpečnostních opatření společnosti Webex.

Tým pro reakci na bezpečnostní incidenty produktů Cisco (PSIRT)

Cisco PSIRT je specializovaný globální tým, který spravuje příchozí, vyšetřované a hlášené bezpečnostní problémy související s produkty a službami Cisco. PSIRT používá k publikování informací různá média v závislosti na závažnosti bezpečnostního problému. Typ hlášení se liší podle následujících podmínek:

• Existují softwarové záplaty nebo alternativní řešení zranitelnosti, nebo je plánováno následné zveřejnění oprav kódu k řešení vysoce závažných zranitelností.
• PSIRT zaznamenal aktivní zneužívání zranitelnosti, která by mohla vést k většímu riziku pro zákazníky společnosti Cisco. PSIRT může v tomto případě urychlit zveřejnění bezpečnostního oznámení popisujícího zranitelnost, aniž by byla k dispozici úplná dostupnost oprav.
• Veřejné povědomí o zranitelnosti ovlivňující produkty Cisco může vést k většímu riziku pro zákazníky společnosti Cisco. PSIRT může opět upozornit zákazníky, a to i bez plné dostupnosti oprav.

Ve všech případech PSIRT zveřejňuje minimální množství informací, které koncoví uživatelé budou potřebovat k posouzení dopadu zranitelnosti a k přijetí kroků potřebných k ochraně svého prostředí. PSIRT používá stupnici Common Vulnerability Scoring System (CVSS) k hodnocení závažnosti odhaleného problému. PSIRT neposkytuje podrobnosti o zranitelnosti, které by mohly někomu umožnit vytvořit zneužití.

Další informace o PSIRT naleznete v článku Tým pro reakci na bezpečnostní incidenty produktů Cisco.

Bezpečnostní odpovědnost

Přestože za bezpečnost odpovídá každý člen skupiny Webex, hlavní pravidla jsou následující:

• Ředitel bezpečnosti, cloud
• Viceprezident a generální ředitel, Cisco Cloud Collaboration Applications
• Viceprezident pro inženýrství, aplikace Cisco Cloud Collaboration
• Viceprezident pro produktový management, aplikace Cisco Cloud Collaboration

Interní a externí penetrační testy

Skupina Webex pravidelně provádí důkladné penetrační testování s využitím interních hodnotitelů. Kromě vlastních přísných interních postupů zapojuje společnost Cisco InfoSec také řadu nezávislých třetích stran, které provádějí přísné audity interních zásad, postupů a aplikací společnosti Cisco. Tyto audity jsou navrženy tak, aby ověřovaly kritické bezpečnostní požadavky pro komerční i vládní aplikace. Společnost Cisco také využívá externí dodavatele k provádění průběžných, hloubkových penetračních testů a hodnocení služeb s asistencí kódu. V rámci zakázky provádí třetí strana následující bezpečnostní hodnocení:

• Identifikace kritických zranitelností aplikací a služeb a navrhování řešení
• Doporučení obecných oblastí pro architektonické vylepšení
• Identifikace chyb v kódování a poskytování rad pro zlepšení kódovací praxe

Externí posuzovatelé spolupracují přímo s technickým týmem společnosti Webex, aby vysvětlili zjištění a potvrdili nápravná opatření. Informace o atestaci penetračním testem naleznete v balíčku Webex Meetings Letters of Attestation Trust Package.

Fyzické zabezpečení

Fyzické zabezpečení datového centra zahrnuje video dohled nad zařízeními a budovami a vynucenou dvoufaktorovou identifikaci pro vstup. V datových centrech Cisco je přístup řízen kombinací čteček průkazů a biometrických kontrol. Kromě toho, kontroly prostředí (například teplotní senzory a protipožární systémy) a infrastruktura pro zajištění kontinuity služeb (například záložní napájení) pomáhají zajistit, aby systémy běžely bez přerušení.

Servery datových center jsou segmentovány do „zón důvěryhodnosti“ na základě citlivosti infrastruktury. Například databáze jsou „uzavřeny v klecích“, síťová infrastruktura má vyhrazené místnosti a všechny stojany s vybavením jsou uzamčeny. Do datových center mohou vstupovat pouze bezpečnostní pracovníci společnosti Cisco a oprávnění návštěvníci v doprovodu pracovníků společnosti Cisco.

Produkční síť společnosti Cisco je vysoce důvěryhodná síť: K síti má přístup jen velmi málo lidí s vysokou úrovní důvěry.

Zabezpečení infrastruktury a platformy

Zabezpečení platformy zahrnuje zabezpečení sítě, systémů a celého datového centra Webex. Všechny systémy procházejí před nasazením do produkčního prostředí důkladnou bezpečnostní kontrolou a ověřením akceptace, stejně jako pravidelným průběžným posilováním, aktualizacemi zabezpečení a skenováním a hodnocením zranitelností.

Servery jsou zabezpečeny pomocí pokynů pro technickou implementaci zabezpečení (STIG) zveřejněných Národním institutem pro standardy a technologie (NIST). Firewally chrání perimetr sítě. Seznamy řízení přístupu (ACL) oddělují různé bezpečnostní zóny. Jsou zavedeny systémy detekce narušení (IDS) a aktivity jsou průběžně zaznamenávány a monitorovány. V celém Webexu se provádějí denní interní i externí bezpečnostní kontroly. Všechny systémy jsou v rámci pravidelné údržby zajištěny a opraveny. Kromě toho se průběžně provádí skenování a hodnocení zranitelností.

Kontinuita služeb a obnova po havárii jsou klíčovými součástmi plánování zabezpečení. Návrh datových center Cisco s globálními zálohami lokalit a vysokou dostupností umožňuje geografické failovery služeb Webex. Neexistuje jediný bod selhání.

Administrativní údaje

Informace o zaměstnancích nebo zástupcích zákazníka či jiné třetí strany, které společnost Cisco shromažďuje a používá za účelem správy nebo řízení dodávek produktů nebo služeb společností Cisco nebo za účelem správy nebo řízení účtu zákazníka nebo třetí strany pro vlastní obchodní účely společnosti Cisco.

Administrativní údaje mohou zahrnovat jméno, adresu, telefonní číslo, e-mailovou adresu a informace o smluvních závazcích mezi společností Cisco a třetí stranou, ať už shromážděné při počáteční registraci nebo později v souvislosti se správou nebo administrací produktů nebo služeb společnosti Cisco.

Administrativní údaje mohou zahrnovat také název schůzky, čas a další atributy schůzek vedených na Webexu zaměstnanci nebo zástupci zákazníka. Mezi další příklady administrativních údajů může patřit název schůzky, čas schůzky a další atributy schůzek hostovaných na Webexu.

Zákaznická data

To zahrnuje veškerá data (včetně textu, zvuku, videa, obrazových souborů a nahrávek), která jsou společnosti Cisco poskytnuta zákazníkem v souvislosti s jeho používáním produktů nebo služeb Cisco, nebo která společnost Cisco vyvinula na základě konkrétní žádosti zákazníka na základě popisu práce nebo smlouvy.

Zákaznická data zahrnují také soubory protokolů, konfigurace nebo firmwaru a výpisy paměti.

Jsou to data odebraná z produktu nebo služby a poskytnutá společnosti Cisco, která nám pomáhají řešit problém v souvislosti s žádostí o podporu. Zákaznická data nezahrnují administrativní data, data podpory ani telemetrická data.

Podpůrná data

Informace, které společnost Cisco shromažďuje, když zákazník odešle požadavek na služby podpory nebo jiné řešení problémů, včetně informací o hardwaru nebo softwaru. Zahrnuje podrobnosti týkající se incidentu podpory, jako jsou ověřovací informace, informace o stavu produktu, systému a registru, data o instalacích softwaru a konfiguracích hardwaru a soubory pro sledování chyb. Data podpory nezahrnují protokoly, konfigurační soubory ani soubory firmwaru ani výpisy paměti odebrané z produktu a poskytnuté nám za účelem řešení problému v souvislosti s žádostí o podporu, což vše jsou příklady zákaznických dat.

Telemetrická data

Informace generované přístrojovými a protokolovacími systémy vytvořenými používáním a provozem produktu nebo služby.

Všechna data shromážděná v cloudu Webex jsou chráněna několika vrstvami robustních bezpečnostních technologií a procesů. Níže jsou uvedeny příklady kontrol umístěných v různých vrstvách operací Webexu za účelem ochrany zákaznických dat:

• Kontrola fyzického přístupu— Fyzický přístup je řízen pomocí biometrických údajů, odznaků a video dohledu. Přístup do datového centra vyžaduje schválení a je řízen prostřednictvím elektronického systému prodeje vstupenek.
• Řízení přístupu k síti— Perimetr sítě Webex je chráněn firewally. Veškerý síťový provoz vstupující do datového centra Webex nebo z něj vystupující je nepřetržitě monitorován pomocí systému detekce narušení (IDS). Síť Webex je také rozdělena do samostatných bezpečnostních zón. Provoz mezi zónami je řízen firewally a seznamy řízení přístupu (ACL).
• Monitorování a řízení infrastruktury— Každá součást infrastruktury, včetně síťových zařízení, aplikačních serverů a databází, je chráněna přísnými pokyny. Jsou také pravidelně kontrolovány, aby se identifikovaly a řešily případné bezpečnostní problémy.
• Kryptografické kontroly– Jak již bylo uvedeno, veškerá data do a z datového centra Webex do cloudově registrovaných aplikací Webex a zařízení Webex jsou šifrována, s výjimkou provozu PSTN a nešifrovaných dat. SIP/H323 videozařízení v rámci schůzky s podporou cloudu. Kromě toho jsou kritická data uložená ve Webexu, jako například hesla, šifrována.

Zaměstnanci společnosti Cisco nemají přístup k zákaznickým datům, pokud si o přístup zákazník nepožádá z důvodu podpory. Přístup k systémům je v tomto případě povolen manažerem pouze v souladu s principem „dělby povinností“. Je udělován pouze na základě nezbytné znalosti a pouze s úrovní přístupu potřebnou k provedení dané práce. Přístup zaměstnanců k těmto systémům je také pravidelně kontrolován z hlediska souladu s předpisy. Zaměstnanci s takovým přístupem jsou povinni absolvovat každoroční školení Mezinárodní organizace pro normalizaci (ISO) 27001 o povědomí o informační bezpečnosti.

Kromě těchto specializovaných kontrol prochází každý zaměstnanec společnosti Cisco prověrkou, podepisuje dohodu o mlčenlivosti (NDA) a absolvuje školení o kodexu obchodního chování (COBC).

Zákon o přenositelnosti a odpovědnosti zdravotního pojištění (HIPAA)

Společnost Cisco může poskytovat informace týkající se funkčnosti, technologií a zabezpečení platformy Webex. Subjekt, na který se vztahuje zákon HIPAA, by se musel poradit se svým vlastním právním zástupcem, aby zjistil, zda jsou funkce Webexu v souladu s jeho obchodními procesy a připraveny pro GDPR.

• Soulad s GDPR
• Prohlášení o nabídce Cisco Webex Meetings

Průmyslové standardy a certifikace

Kromě dodržování našich přísných interních standardů společnost Webex také průběžně provádí validace třetích stran, abychom prokázali svůj závazek k informační bezpečnosti. Webex je:

• Certifikace dle ISO 27001, 27017, 27018 a 27701
• Kontroly servisní organizace (SOC) 2 typu II auditovány
• Certifikace SOC 3
• Kodex chování v cloudu
• CSTAR
• Osvědčení katalogu kontrol shody s cloud computingem (C5)
• Certifikace FedRAMP (navštivte cisco.com/go/fedramp pro více informací, rozsah a dostupnost)

Úplnou sadu dokumentů týkajících se zabezpečení, ochrany osobních údajů a shody s předpisy, včetně podrobností o výše uvedených standardech a certifikacích, naleznete na portálu Cisco Trust Portal.