Grazie per il feedback.

Webex MeetingsServizi e componenti principali

• Webex Meetingsfa parte diWebex Suite, fornisce funzionalità di conferenza audio/video con funzionalità di condivisione di contenuti e conferenze web.
• La piattaforma include diversi microservizi come Meetings Service, Webinar Service, Identity Service, Recording Service, Service, AI Assistant Service, Analytics Service, Admin Service e Media Service.
• Webex Meetingssupporta app e dispositivi registrati nel cloud, consentendo agli utenti di partecipare alle riunioni da varie piattaforme e dispositivi del sistema operativo. Gli utenti possono partecipare alle riunioni anche tramite PSTN e con endpoint SIP.

Architettura e distribuzione

• Webex Meetingsi servizi sono regionalizzati e replicati su più data center indipendenti per garantire ridondanza e alta disponibilità.
• I servizi multimediali sono distribuiti a livello globale con cluster di server multimediali in ogni data center, fornendo ridondanza locale e geografica.
• I server multimediali gestiscono la condivisione di voce, video e contenuti, con contenuti multimediali comunemente crittografati utilizzando AES-256-GCM.
• L'architettura supporta la segnalazione crittografata su TLS/HTTPS e flussi multimediali crittografati.

Webex supporta la partecipazione alle riunioni da più piattaforme e dispositivi, tra cui:

• Applicazione desktop Webex su Windows, Mac e Linux.
• Applicazione mobile Webex su Android e iOS.
• Applicazione web Webex che utilizza Chrome, Edge, Safari, Firefox e altri browser.
• Dispositivi Cisco Room e Dispositivi da scrivania.
• Endpoint audio e video di terze parti basati su standard SIP.
• Dispositivi PSTN.

Sovranità del cliente Webex

In risposta alla crescente domanda di residenza dei dati, Webex ha introdotto funzionalità di sovranità avanzate. A partire dalla registrazione e con il supporto per altri servizi a venire, le organizzazioni possono ora mantenere il controllo sui contenuti delle riunioni con:

• Elaborazione localizzata: elaborazione dei contenuti delle riunioni, come le registrazioni, all'interno della propria infrastruttura.
• Archiviazione locale: utilizzo dei propri servizi di archiviazione di file per ospitare risorse riservate per le riunioni, garantendo che i dati rimangano entro determinati limiti geografici o organizzativi.

Ultra sicuro Webex Meetings

Storicamente, le funzionalità «Ultra Secure», come Zero Trust End-to-End Encryption (E2EE), spesso richiedevano un compromesso nella funzionalità delle riunioni, poiché i servizi a valore aggiunto basati sul cloud richiedevano l'accesso alle chiavi di crittografia e solo un numero limitato di tipi di endpoint poteva partecipare a queste riunioni. Webex ha eliminato questo compromesso con:

• Zero Trust ricco di funzionalità: Webex ha trasformato le riunioni Zero Trust End-to-End Encrypted (E2EE), aggiungendo funzionalità che rendono le riunioni Zero Trust ricche di funzionalità. Il supporto per un numero più ampio di tipi di endpoint offre un'esperienza senza interruzioni senza sacrificare gli strumenti necessari per la collaborazione moderna.
• Zero Trust for Standard Meetings — Webex ha integrato le funzionalità Zero Trust E2EE direttamente nelle riunioni standard. Ciò garantisce che anche la collaborazione quotidiana possa beneficiare dei massimi livelli di sicurezza, fornendo una protezione coerente in tutto l'ecosistema Webex.

Un approccio unificato alla collaborazione

Integrando Customer Sovereignty con queste funzionalità avanzate Zero Trust E2EE, Webex consente alle organizzazioni di raggiungere un duplice obiettivo: ospitare riunioni Zero Trust altamente sicure all'interno del cloud Webex mantenendo il pieno controllo sull'elaborazione e l'archiviazione dei contenuti critici delle riunioni in sede. Questa sinergia offre la flessibilità e la sicurezza necessarie per ambienti aziendali moderni e orientati alla conformità.

Estendere il limite di sicurezza con Video Mesh Node

L'aggiunta di un nodo Video Mesh a un'organizzazione consente ai clienti di fornire servizi per riunioni locali e consente ai loro endpoint locali di partecipare a qualsiasi riunione Webex. Dal punto di vista della sicurezza, l'integrazione di un nodo Video Mesh mantiene Zero Trust all'interno del cloud Webex offrendo al contempo una quasi parità di funzionalità con le riunioni Webex standard. I clienti beneficiano anche della sovranità dei dati, poiché servizi come le registrazioni delle riunioni di Video Mesh Node vengono elaborati e archiviati in sede.

L'uso della crittografia end-to-end Zero Trust può aggiungere qualche secondo in più alla partecipazione a una riunione, ma fornisce una chiara garanzia di sicurezza: solo i partecipanti alla riunione hanno accesso alle chiavi di crittografia della riunione, quindi il contenuto della riunione non può essere decrittografato dal fornitore di servizi o da altri intermediari.

Riepilogo: Webex Meetings e modelli di distribuzione ibridi

Come mostrato nel confronto precedente, l'implementazione di Video Mesh Node (VMN) consente a Zero Trust di Webex Meetings raggiungere quasi la parità di funzionalità con le riunioni Webex standard. Sebbene le riunioni Zero Trust non supportino i partecipanti PSTN, l'applicazione web Webex rappresenta un'alternativa ampiamente disponibile per l'accesso crittografato end-to-end. Inoltre, VMN consente ai lavoratori in ufficio che utilizzano telefoni fissi di partecipare senza problemi alle riunioni Zero Trust.

Video Mesh Node garantisce anche la sovranità dei dati per i contenuti critici delle riunioni, comprese le registrazioni e, nel prossimo futuro, trascrizioni, riepiloghi e azioni. Elaborando e archiviando questi dati in sede, VMN offre ai clienti il controllo completo sulle proprie informazioni mantenendo un'architettura Zero Trust all'interno del cloud Webex.

Segnalazione Webex crittografata

I servizi Webex supportano le versioni TLS 1.2 e 1.3, con TLS 1.3 preferito se supportato dall'endpoint di connessione. Se un client supporta solo TLS 1.2, il server Webex seleziona la suite di crittografia comune più potente offerta dal client. A differenza di TLS 1.2, TLS 1.3 non utilizza la selezione della suite di crittografia basata sulle preferenze del server perché si basa su un set di cifrari moderni più piccolo e curato. Questo design semplifica il processo di selezione, concentrandosi maggiormente sul miglioramento delle prestazioni, come la riduzione della durata complessiva della stretta di mano, pur mantenendo una forte sicurezza. Le suite di crittografia per TLS 1.2 e 1.3 utilizzate da Webex sono ben definite e prioritarie per garantire comunicazioni sicure.

Suite di crittografia TLS

suite di crittografia TLS 1.3 (i server TLS 1.3 non utilizzano un ordine di preferenza per la selezione delle suite)

suite di crittografia TLS 1.2 (suite nell'ordine preferito dal server)

I cifrari di crittografia AES_256_CBC e AES_128_CBC sono supportati per mantenere la compatibilità con i sistemi legacy, i browser meno recenti e i dispositivi integrati che non supportano i moderni cifrari AEAD (Authenticated Encryption with Associated Data) come AES-GCM, ad es. Internet Explorer11 su Windows 7 e Windows 8.1, Safari 6/7/8 sulle prime versioni di iOS e macOS utilizzano cifrari basati su CBC.

Il CHACHA20_POLY1305 è un cifrario a flusso con una bassa dipendenza dall'hardware, il che lo rende un codice superiore da utilizzare su dispositivi mobili o dispositivi con CPU a basso consumo.

Standard di crittografia multimediale per Webex

Le riunioni e le chiamate Webex utilizzano una solida crittografia basata su AES per tutti i pacchetti multimediali. La suite di crittografia specifica dipende dal tipo di endpoint, con AES-256-GCM che funge da standard preferito per una sicurezza ottimale.

Considerazioni chiave sulla sicurezza

• Standard preferito: AES-256-GCM è il codice consigliato per tutte le implementazioni per garantire il massimo livello di integrità e riservatezza dei dati.
• Interoperabilità: sebbene Webex mantenga il supporto per i cifrari legacy (come AES-CM-128-HMAC-SHA1) per garantire l'interoperabilità con i sistemi SIP e H.323 di terze parti, le organizzazioni che danno priorità a un'architettura zero-trust dovrebbero applicare AES-256-GCM laddove la compatibilità dei dispositivi lo consenta.

Protocolli di trasporto multimediale

Webex supporta il trasporto multimediale tramite UDP, TCP o TLS. Per prestazioni vocali e video ottimali, Cisco consiglia vivamente UDP.

Considerazioni sulle prestazioni:

• Efficienza in tempo reale: UDP è il mezzo di trasporto preferito per i contenuti multimediali in tempo reale in quanto riduce al minimo la latenza e il jitter evitando i meccanismi di ritrasmissione e buffering inerenti ai protocolli orientati alla connessione.
• Impatto del TCP/TLS — Sebbene TCP e TLS forniscano una distribuzione dei dati affidabile e ordinata, questo comportamento è controproducente per i media in tempo reale. Le ritrasmissioni di pacchetti e lo streaming buffering che ne derivano introducono latenza e jitter, che possono ridurre significativamente la qualità dell'esperienza dei partecipanti

Uso Webex di SRTP e sFrame per i media

Per mantenere gli elevati standard di sicurezza richiesti per gli ambienti WebexZero Trust, è importante distinguere tra sicurezza a livello di trasporto (SRTP) e crittografia end-to-end a livello di applicazione (sFrame).

Principali distinzioni tecniche: SRTP e sFrame

1. SRTP (protocollo di trasporto sicuro in tempo reale)

   SRTP è lo standard del settore per la protezione dei flussi multimediali in transito.

   • Ambito: fornisce riservatezza, autenticazione dei messaggi e protezione dalla riproduzione per il payload RTP.
   • Contesto operativo: in molte architetture, Media Server/Media Gateway (Selective Forwarding Unit (SFU)) interrompe la connessione SRTP per eseguire l'elaborazione multimediale (ad esempio, mixaggio, composizione del layout o transcodifica). Poiché la SFU decrittografa i media per elaborarli, i media sono tecnicamente vulnerabili al punto di vista della SFU.
2. sFrame (cornice sicura)

   sFrame è uno standard IETF. RFC 9605 è progettato specificamente per facilitare la vera crittografia end-to-end in un ambiente di conferenza multipartitico.

   • Ambito: crittografa i frame multimediali compressi prima che vengano incapsulati in pacchetti RTP. Webex aggiunge un ulteriore livello di crittografia tramite SRTP.
   • Architettura Zero Trust: poiché i contenuti multimediali sono crittografati a livello di applicazione, l'SFU funge solo da relè «cieco». Instrada i pacchetti crittografati ad altri partecipanti senza mai avere accesso alle chiavi di decrittografia.
   • Indipendenza: sFrame è indipendente dal trasporto. Rimane sicuro anche se il trasporto sottostante (UDP/TCP/TLS) è compromesso, poiché il contesto di sicurezza è legato agli endpoint dei partecipanti piuttosto che alla connessione di trasporto.

sFrame è il meccanismo fondamentale che abilita l'E2EE. Mentre SRTP assicura che i dati siano crittografati durante l'attraversamento della rete, sFrame assicura che i contenuti multimediali rimangano crittografati per l'intero ciclo di vita della riunione, anche mentre risiedono sull'infrastruttura di Cisco (la SFU), rimuovendo efficacemente il fornitore di servizi dal confine di fiducia.

Webex MeetingsContenuto

Il contenuto della riunione è costituito da dati creati dai partecipanti o generati dai servizi Webex per conto dell'organizzatore della riunione. Ciò include:

• Contenuti relativi ai media: registrazioni, trascrizioni, riassunti e azioni.
• Dati di collaborazione: messaggi di chat, file condivisi/trasferiti, lavagne e annotazioni.

Webex MeetingsSicurezza dei contenuti: crittografia end-to-end Webex

Webex protegge i contenuti delle riunioni generati dai partecipanti utilizzando un robusto framework di crittografia end-to-end (E2EE). Al centro di questa architettura è il Webex Key Management Service (KMS), responsabile della generazione, distribuzione e gestione delle chiavi di crittografia per tutti i contenuti generati dagli utenti.

Livelli di sicurezza dei contenuti delle riunioni

• Dati in transito — L'app Webex e i dispositivi video Cisco utilizzano la crittografia end-to-end Webex (E2EE) con AES-256-GCM per crittografare i contenuti delle riunioni generati dagli utenti come file di registrazione, file di riepilogo AI, messaggi di chat, ecc. Questo è ulteriormente incapsulato in Transport Layer Security (TLS) per fornire una protezione a doppio strato durante la trasmissione.
• Dati a riposo: una volta archiviati nel cloud Webex, i contenuti crittografati sono ulteriormente protetti dalla crittografia del disco AES-256-GCM.
• Profilo di protezione: questo approccio protegge i contenuti dall'intercettazione TLS durante il transito e garantisce che i dati archiviati rimangano inaccessibili agli attori non autorizzati all'interno dell'ambiente cloud.

Crittografia end-to-end Webex con accesso gestito ai contenuti per i servizi principali

A differenza della crittografia end-to-end Zero Trust, in cui Webex non ha accesso alle chiavi di crittografia multimediali o dei contenuti, la crittografia end-to-end Webex consente alla piattaforma di utilizzare le chiavi generate da Webex KMS per decrittografare i dati per i servizi di base essenziali. Questo accesso gestito consente:

• Ricerca e indicizzazione: consente agli utenti di effettuare ricerche nella cronologia dei contenuti.
• Conformità e governance: consente la prevenzione della perdita dei dati (DLP), l'eDiscovery e l'archiviazione dei dati.
• Ottimizzazione multimediale: supporta la transcodifica dei file per la compatibilità tra dispositivi.
• Sicurezza: facilita la scansione del malware utilizzando l'Extended Security Pack.

Webex MeetingsMetadati

I metadati delle riunioni sono costituiti dalle informazioni amministrative e tecniche generate dal sistema per facilitare, tracciare e gestire una riunione, piuttosto che dal contenuto effettivo (audio, video o file condivisi) della riunione stessa. I metadati possono essere suddivisi in diverse categorie:

• Informazioni sulla sessione: titolo della riunione, ID della riunione, orari di inizio e fine programmati e durata effettiva della riunione.
• Dati dei partecipanti: un elenco degli invitati e dei partecipanti effettivi, i loro indirizzi IP, i tipi di dispositivi (come Windows, iPhone, Cisco Room Kit) e i loro timestamp di entrata/uscita.
• Metriche di utilizzo e qualità: dati utilizzati per la risoluzione dei problemi, come perdita di pacchetti, jitter, latenza e risoluzione del flusso video.

Come vengono utilizzati i metadati

1. Analisi e rapporti: gli amministratori utilizzano i metadati in WebexControl Hub per vedere quante riunioni si svolgono, quali reparti sono più attivi e la qualità complessiva dell'esperienza.
2. Risoluzione dei problemi — Cisco TAC (Centro di assistenza tecnica) utilizza i metadati per identificare e risolvere i problemi relativi alle riunioni.
3. Conformità ed eDiscovery: i responsabili della conformità possono cercare i metadati per dimostrare che si è svolta una riunione, chi c'era e se è stata registrata, anche se non possono vedere il contenuto crittografato della riunione.
4. Sicurezza: i metadati aiutano a identificare tentativi di accesso non autorizzati o schemi insoliti che potrebbero indicare una minaccia alla sicurezza.

Sicurezza e privacy dei metadati

• Crittografia: sebbene i metadati non siano «crittografati end-to-end», sono comunque crittografati in transito (tramite TLS) e a riposo nei data center sicuri di Cisco.
• Controllo degli accessi: le politiche sulla privacy di Cisco limitano rigorosamente chi può accedere a questi metadati e vengono utilizzate per fornire e migliorare il servizio.

Per ulteriori informazioni sui contenuti e i metadati delle riunioni Webex, vedere l'informativa sull'offerta. Webex Meetings

Assegnazione dei tipi di sessioni di riunione agli utenti

Gli amministratori di Webex Control Hub possono assegnare uno o più tipi di riunione che i loro utenti possono utilizzare per le riunioni programmate. Per impostazione predefinita, a tutti gli utenti vengono assegnati i tipi di riunione Pro Meeting e Pro-End to End Encryption_VoipOnly.

Pianifica una riunione: selezioni il tipo di riunione

Gli utenti possono selezionare il tipo di riunione che desiderano utilizzare per la pianificazione di una riunione dall'app Webex, dalla pagina utente Webex e dal componente aggiuntivo e-mail Webex per. Microsoft Outlook

Pianifica una riunione: seleziona il tipo di riunione nell'app Webex

Pianifica una riunione: seleziona il tipo di riunione dalla pagina utente Webex

Impostare un tipo di riunione predefinito

Gli utenti possono impostare il tipo di riunione predefinito da Riunioni > Impostazioni nella loro pagina utente Webex.

Impostare il tipo di riunione predefinito dalla pagina utente Webex

Prevenzione end-to-end dell'identità e dei deepfake Zero Trust

I certificati di identità degli utenti finali forniti dal cliente sono una pietra miliare per prevenire l'impersonificazione nelle riunioni crittografate end-to-end (E2EE) di Webex. A differenza dei tradizionali meccanismi di blocco dei deepfake che si basano sull'analisi dei flussi audio e video, questo approccio fornisce la convalida crittografica dell'identità al momento del ricovero. Questo stato verificato viene visualizzato direttamente nell'elenco della riunione, garantendo trasparenza a tutti i partecipanti.

Webex ha esteso il supporto per i certificati gestiti dai clienti, precedentemente disponibili sui dispositivi RoomOS, all'app Webex come parte della nostra funzione «Prevenzione dei deepfake». Le organizzazioni possono fornire e gestire i propri certificati digitali, emessi da autorità di certificazione (CA) esterne affidabili utilizzando protocolli standard di settore come ACME. Questi certificati, basati sugli standard X.509 e sulle coppie di chiavi ECDSA P-256, forniscono una prova crittografica dell'identità dei partecipanti durante le riunioni E2EE.

Identità verificata end-to-end e protocollo MLS

Il protocollo Messaging Layer Security (MLS) utilizza certificati X.509 standard per autenticare i partecipanti alla riunione. Un certificato è una dichiarazione firmata digitalmente da una CA affidabile che verifica l'identità del titolare della chiave di firma. I partecipanti ottengono questi certificati attraverso due metodi principali:

• Dispositivi gestiti (certificati forniti dal cliente): per i client desktop e mobili gestiti dall'organizzazione, è possibile installare sul dispositivo un certificato di identità rilasciato da una CA affidabile. Quando un utente accede tramite Single Sign-On (SSO), Webex App recupera questo certificato dal trust store del sistema operativo per presentare l'identità verificata dell'utente. Questo processo è supportato anche per i dispositivi video Cisco registrati nel cloud Webex.
• Predefinito (certificati forniti da Webex): se non è disponibile alcun certificato fornito dal cliente, il client o il dispositivo Webex utilizza automaticamente un certificato emesso da Webex, che riflette un'identità verificata da CiscoCertificate Authority.

Condivisione dell'identità e meccanismo di riserva

Durante una riunione, ogni partecipante condivide il proprio certificato di identità Webex e, se disponibile, il certificato di identità fornito dal cliente con tutti gli altri partecipanti. Per garantire una connettività perfetta, l'endpoint Webex segue una rigida gerarchia: dà priorità al certificato fornito dal cliente per la verifica; se quel certificato manca o non supera la convalida, il sistema torna automaticamente al certificato di identità fornito da Webex.

Visualizzazione dello stato di verifica dell'identità dell'utente

Quando i partecipanti partecipano a una riunione utilizzando l'app Webex o dispositivi RoomOS con certificati forniti dal cliente, la loro identità viene verificata dagli altri membri della riunione rispetto alla CA emittente. Ciò garantisce che vengano riconosciuti solo gli utenti autorizzati, impedendo agli aggressori di spacciarsi per partecipanti legittimi, poiché questi certificati sono legati in modo univoco a identità verificate e non possono essere falsificati da Cisco o dagli intermediari.

L'elenco dei partecipanti a una riunione crittografata con E2E mostra lo stato di verifica dell'identità di ogni utente:

• Verificato Zero-Trust E2E ( domain.com) —Quando viene utilizzato un certificato di identità fornito dal cliente, il dominio del partecipante viene visualizzato in testo blu. Ciò indica una vera identità verificata E2E che Cisco non può manomettere. Ad esempio, nell'elenco delle riunioni, potrebbe vedere che «Kevin» ha un indirizzo email verificato di example.com in blu.
• Verificato da Webex ( domain.com) —I certificati emessi da una CA Webex forniscono un livello di protezione più limitato. Pur essendo superiori all'assenza di protezione dell'identità, questi partecipanti non sono contrassegnati come «verificati Zero Trust E2E». Invece, lo stato della loro identità è visualizzato in testo grigio, a indicare che l'identità è stata verificata dalla Webex CA.
• Utente ospite non verificato ( Non verificato) —Sebbene l'identità dei partecipanti ospiti non sia autenticata (in quanto non è prevista una procedura di accesso), hanno comunque bisogno di un certificato per entrare a far parte del gruppo MLS per una chiamata o una riunione. Questo certificato è emesso da una CA Webex e utilizza «anonimo» come nome utente.

Inoltre, un codice di sicurezza delle riunioni derivato dallo stato crittografico di tutti i partecipanti aiuta a rilevare gli attacchi person-in-the-middle consentendo ai partecipanti di verificare che tutti condividano lo stesso contesto di riunione sicuro. Combinando la verifica crittografica dell'identità con la crittografia end-to-end, questa funzione di «prevenzione dei deepfake» offre una solida difesa contro l'impersonificazione e le minacce dei media sintetici, salvaguardando l'integrità e la riservatezza delle riunioni sia sull'app Webex che sui dispositivi RoomOS.

Gestire l'implementazione dei certificati

Le organizzazioni possono semplificare l'implementazione e la gestione di questi certificati di identità degli utenti finali forniti dal cliente installandoli in dispositivi gestiti dall'azienda utilizzando le applicazioni Mobile Device Management (MDM), Mobile Application Management (MAM) o Enterprise Mobility Management (EMM). Queste piattaforme di gestione consentono agli amministratori IT di fornire, configurare e controllare centralmente i certificati e le relative politiche di sicurezza su un'ampia gamma di dispositivi, di proprietà aziendale o personale. Ad esempio, Microsoft Intune supporta funzionalità MDM e MAM che consentono alle organizzazioni di distribuire e gestire l'app Webex e le relative configurazioni di sicurezza, inclusi i certificati di identità, sui dispositivi gestiti. Allo stesso modo, Cisco Meraki Systems Manager fornisce funzionalità MDM per registrare dispositivi, inviare profili di configurazione e distribuire certificati per garantire lo stato affidabile del dispositivo. L'utilizzo di queste soluzioni di gestione riduce il sovraccarico amministrativo, semplifica la gestione del ciclo di vita dei certificati e migliora il livello di sicurezza per le riunioni Webex E2EE con funzionalità di «prevenzione dei deepfake».

I tre pilastri dell'identità

Una gestione efficace delle identità e degli accessi (IAM) per Webex si basa su:

• Provisioning (CRUD): gestione dei cicli di vita degli utenti (creazione, lettura, aggiornamento, eliminazione) per garantire che la «Fonte della verità» corrisponda alla piattaforma di collaborazione.
• Autenticazione (AuthN): verifica dell'identità dell'utente tramite credenziali o token sicuri.
• Autorizzazione (AuthZ): definizione delle autorizzazioni granulari e dei livelli di accesso alle API dopo l'autenticazione.

Provisioning e gestione del ciclo di vita

Webex supporta diversi metodi per sincronizzare utenti e gruppi:

• SCIM 2.0: lo standard cloud preferito. Automatizza il ciclo di vita degli utenti, garantendo che l'offboarding nell'IdP revochi automaticamente l'accesso a Webex.
• Directory Connector: uno strumento Cisco per ambienti ibridi, che collega l'ambiente locale Active Directory (AD) al Webex Cloud.
• Provisioning basato su API: utilizza la «People API» di Webex per la creazione programmatica di utenti e l'assegnazione delle licenze in ambienti complessi.
• LDAP legacy: supportato per le directory locali (ad esempio, CUCM), anche se meno ottimizzato per il traffico cloud moderno.

Framework di autenticazione e autorizzazione

• Autenticazione (AuthN):

• SAML 2.0: lo standard aziendale per il Single Sign-On (SSO). Webex funge da Service Provider (SP) e convalida le asserzioni XML dell'IdP aziendale.
• OIDC (OpenID Connect): un livello di identità moderno e leggero basato su OAuth 2.0 utilizzando JSON Web Tokens (JWT). Supporta «Discovery URLs» per la configurazione automatica.

• Autorizzazione (AuthZ):

• OAuth 2.0: gestisce l'accesso alle API tramite token di accesso di breve durata (definizione degli ambiti) e token di aggiornamento a lunga durata. Applica la sicurezza tramite PKCE (Proof Key for Code Exchange) per i clienti pubblici.

Strategie di integrazione e multi-IDP

Webex offre percorsi specializzati per un'integrazione perfetta:

• Entra ID Wizard: il percorso consigliato per gli ambienti Microsoft. Utilizza l'API Microsoft Graph per la sincronizzazione avanzata degli attributi (avatar, gerarchie) e automatizza la configurazione OIDC/SAML.
• Duo Security: aggiunge «Continuous Identity Security» verificando la postura del dispositivo e abilitando l'MFA resistente al phishing.

Supporto per più IdP: Webex consente alle organizzazioni di federare più IdP indipendenti all'interno di un unico Control Hub.

• Casi d'uso: fusioni, acquisizioni o reparti IT decentralizzati.
• Routing: le richieste di autenticazione vengono indirizzate in base a domini o gruppi di utenti.
• Considerazione: richiede un coordinamento rigoroso per mantenere politiche di sicurezza coerenti tra tutte le fonti federate.

Esempio delle più comuni integrazioni di identità IdP con Webex:

Migliori pratiche e resilienza

• Ripristino SSO: utilizza sempre il link «SSO Recovery» integrato in Control Hub per bypassare l'SSO tramite una password monouso (OTP) se la configurazione IdP fallisce.
• Gestione dei certificati: monitora la scadenza del certificato SAML. L'SSO Wizard automatizza lo scambio di metadati, riducendo gli errori manuali.
• Risoluzione dei problemi: utilizza lo strumento SAML Tracer per esaminare le asserzioni XML e convalidare i formati NameID in caso di problemi di autenticazione.
• Posizione di sicurezza: depreca regolarmente i tipi di sovvenzioni precedenti e garantisce che PKCE sia implementato per tutte le integrazioni dei client pubblici.

Conclusione: identità per Webex Meetings

Una solida strategia di identità è un processo a ciclo di vita continuo. Combinando SCIM per il provisioning, OIDC/SAML per l'autenticazione e OAuth per l'autorizzazione, le organizzazioni possono garantire un'esperienza sicura e senza intoppi per gli utenti mantenendo un rigoroso controllo amministrativo.

Ciclo di vita dello sviluppo sicuro di Cisco

In Cisco, la sicurezza non è un aspetto secondario. È un approccio disciplinato alla creazione e alla fornitura di prodotti e servizi di livello mondiale da zero. Tutti i team di sviluppo dei prodotti Cisco ^® devono seguire il Cisco Secure Development Lifecycle. È un processo ripetibile e misurabile progettato per aumentare la resilienza e l'affidabilità dei prodotti Cisco. La combinazione di strumenti, processi e formazione di sensibilizzazione introdotta in tutte le fasi del ciclo di vita dello sviluppo aiuta a garantire una difesa approfondita. Fornisce inoltre un approccio olistico alla resilienza del prodotto. Il team di sviluppo dei prodotti Webex segue con passione questo ciclo di vita in ogni aspetto dello sviluppo del prodotto.

Per saperne di più sul ciclo di vita dello sviluppo sicuro.

Strumenti di sicurezza fondamentali di Cisco

L'organizzazione Cisco Security and Trust fornisce il processo e gli strumenti necessari che danno a ogni sviluppatore la capacità di assumere una posizione coerente di fronte a una decisione in materia di sicurezza.

Avere team dedicati per creare e fornire tali strumenti elimina l'incertezza dal processo di sviluppo del prodotto.

Alcuni esempi di strumenti includono:

• Requisiti Product Security Baseline (PSB) che i prodotti devono soddisfare
• Strumenti per la creazione di minacce utilizzati durante la modellazione delle minacce
• Linee guida per la codifica
• Librerie convalidate o certificate che gli sviluppatori possono utilizzare invece di scrivere il proprio codice di sicurezza
• Strumenti di test delle vulnerabilità di sicurezza (per analisi statiche e dinamiche) utilizzati dopo lo sviluppo per verificare i difetti di sicurezza
• Software di tracciamento che monitora le librerie Cisco e di terze parti e avvisa i team di prodotto quando viene identificata una vulnerabilità

Struttura organizzativa che infonde sicurezza nei processi Cisco

Cisco dispone di dipartimenti dedicati per instillare e gestire i processi di sicurezza in tutta l'azienda. Per rimanere costantemente al passo con le minacce e le sfide alla sicurezza, Cisco si affida a:

• Team cloud di Cisco Information Security (InfoSec)
• Team di risposta agli incidenti di sicurezza dei prodotti Cisco (PSIRT)
• Responsabilità condivisa in materia di sicurezza

Cisco InfoSec Cloud

Guidato dal Chief Security Officer for Cloud, questo team è responsabile della fornitura di un ambiente Webex sicuro ai nostri clienti. InfoSec raggiunge questo obiettivo definendo e applicando i processi e gli strumenti di sicurezza per tutte le funzioni coinvolte nella fornitura di Webex nelle mani dei nostri clienti.

Inoltre, Cisco InfoSec Cloud collabora con altri team di Cisco per rispondere a qualsiasi minaccia alla sicurezza del servizio Webex.

Cisco InfoSec è anche responsabile del miglioramento continuo del livello di sicurezza di Webex.

Team di risposta agli incidenti di sicurezza dei prodotti Cisco (PSIRT)

Cisco PSIRT è un team globale dedicato che gestisce l'afflusso, le indagini e la segnalazione dei problemi di sicurezza relativi ai prodotti e ai servizi Cisco. PSIRT utilizza diversi mezzi per pubblicare informazioni, a seconda della gravità del problema di sicurezza. Il tipo di segnalazione varia in base alle seguenti condizioni:

• Esistono patch o soluzioni alternative al software per risolvere la vulnerabilità, oppure è prevista una successiva divulgazione pubblica delle correzioni del codice per risolvere le vulnerabilità ad alta gravità
• PSIRT ha osservato uno sfruttamento attivo di una vulnerabilità che potrebbe comportare un rischio maggiore per i clienti Cisco. PSIRT può accelerare la pubblicazione di un annuncio sulla sicurezza che descriva la vulnerabilità in questo caso senza la piena disponibilità delle patch.
• La consapevolezza pubblica di una vulnerabilità che interessa i prodotti Cisco può comportare un rischio maggiore per i clienti Cisco. Ancora una volta, PSIRT può avvisare i clienti, anche senza la piena disponibilità delle patch.

In tutti i casi, PSIRT divulga la quantità minima di informazioni di cui gli utenti finali avranno bisogno per valutare l'impatto di una vulnerabilità e adottare le misure necessarie per proteggere il loro ambiente. PSIRT utilizza la scala Common Vulnerability Scoring System (CVSS) per classificare la gravità di un problema divulgato. PSIRT non fornisce dettagli sulle vulnerabilità che potrebbero consentire a qualcuno di creare un exploit.

Per ulteriori informazioni su PSIRT, vedere Cisco Product Security Incident Response Team.

Responsabilità in materia di sicurezza

Sebbene ogni persona del gruppo Webex sia responsabile della sicurezza, le regole principali sono le seguenti:

• Responsabile della sicurezza, Cloud
• Vicepresidente e direttore generale, Applicazioni di Cisco Cloud collaborazione
• Vicepresidente, Ingegneria, Applicazioni di Cisco Cloud collaborazione
• Vicepresidente, gestione dei prodotti, applicazioni di Cisco Cloud collaborazione

Test di penetrazione interni ed esterni

Il gruppo Webex conduce regolarmente rigorosi test di penetrazione, utilizzando valutatori interni. Oltre alle proprie rigorose procedure interne, Cisco InfoSec coinvolge anche diverse terze parti indipendenti per condurre audit rigorosi rispetto alle politiche, alle procedure e alle applicazioni interne di Cisco. Questi audit sono progettati per convalidare i requisiti di sicurezza fondamentali per applicazioni commerciali e governative. Cisco si avvale anche di fornitori di terze parti per eseguire test di penetrazione e valutazioni dei servizi continui, approfonditi e assistiti da codice. Come parte dell'incarico, una terza parte esegue le seguenti valutazioni di sicurezza:

• Identificazione delle vulnerabilità critiche delle applicazioni e dei servizi e proposta di soluzioni
• Raccomandare aree generali per il miglioramento architettonico
• Identificare gli errori di codifica e fornire indicazioni sui miglioramenti delle pratiche di codifica

I valutatori esterni collaborano direttamente con il personale tecnico di Webex per spiegare i risultati e convalidare la correzione. Si riferisca al pacchetto Webex Meetings Letters of Attestation Trust per informazioni sull'attestazione dei penetration test.

Sicurezza fisica

La sicurezza fisica nel data center include la videosorveglianza di strutture ed edifici e l'identificazione forzata a due fattori per l'ingresso. All'interno dei data center Cisco, l'accesso è controllato tramite una combinazione di lettori di badge e controlli biometrici. Inoltre, i controlli ambientali (ad esempio, sensori di temperatura e sistemi antincendio) e l'infrastruttura di continuità del servizio (come l'alimentazione di riserva) aiutano a garantire che i sistemi funzionino senza interruzioni.

I server dei data center sono segmentati in «zone di fiducia», in base alla sensibilità dell'infrastruttura. Ad esempio, i database sono «ingabbiati», l'infrastruttura di rete dispone di sale dedicate e tutti i rack delle apparecchiature sono bloccati. Solo il personale di sicurezza di Cisco e i visitatori autorizzati accompagnati dal personale Cisco possono accedere ai data center.

La rete di produzione di Cisco è una rete altamente affidabile: solo pochissime persone con livelli di fiducia elevati hanno accesso alla rete.

Sicurezza dell'infrastruttura e della piattaforma

La sicurezza della piattaforma comprende la sicurezza della rete, dei sistemi e dell'intero data center Webex. Tutti i sistemi sono sottoposti a un'approfondita revisione della sicurezza e alla convalida dell'accettazione prima dell'implementazione della produzione, oltre a un regolare rafforzamento continuo, alle patch di sicurezza e alla scansione e valutazione delle vulnerabilità.

I server sono rinforzati utilizzando le Security Technical Implementation Guidelines (STIG) pubblicate dal National Institute of Standards and Technology (NIST). I firewall proteggono il perimetro della rete. Gli elenchi di controllo degli accessi (ACL) separano le diverse zone di sicurezza. I sistemi di rilevamento delle intrusioni (IDS) sono attivi e le attività sono firmate e monitorate su base continua. Le scansioni di sicurezza interne ed esterne vengono eseguite quotidianamente su Webex. Tutti i sistemi sono rinforzati e patchati come parte della normale manutenzione. Inoltre, la scansione e le valutazioni delle vulnerabilità vengono eseguite continuamente.

La continuità del servizio e il disaster recovery sono componenti fondamentali della pianificazione della sicurezza. La progettazione di data center Cisco con backup globali del sito e alta disponibilità aiuta a consentire il failover geografico dei servizi Webex. Non c'è un solo punto di errore.

Dati amministrativi

Informazioni su dipendenti o rappresentanti di un cliente o di altre terze parti raccolte e utilizzate da Cisco per amministrare o gestire la fornitura di prodotti o servizi da parte di Cisco o per amministrare o gestire l'account del cliente o di una terza parte per scopi aziendali di Cisco.

I dati amministrativi possono includere nome, indirizzo, numero di telefono, indirizzo email e informazioni sugli impegni contrattuali tra Cisco e una terza parte, raccolte al momento della registrazione iniziale o successivamente in relazione alla gestione o all'amministrazione dei prodotti o servizi di Cisco.

I dati amministrativi possono includere anche il titolo, l'ora e altri attributi delle riunioni condotte su Webex da dipendenti o rappresentanti di un cliente. Altri esempi di dati amministrativi possono includere il titolo della riunione, l'ora della riunione e altri attributi delle riunioni ospitate su Webex.

Dati del cliente

Ciò include tutti i dati (inclusi testo, audio, video, file di immagine e registrazioni) forniti a Cisco da un cliente in relazione all'uso da parte del cliente di prodotti o servizi Cisco o sviluppati da Cisco su richiesta specifica di un cliente in base a una dichiarazione di lavoro o un contratto.

I dati dei clienti includono anche file di registro, configurazione o firmware e core dump.

Si tratta di dati prelevati da un prodotto o servizio e forniti a Cisco per aiutarci a risolvere un problema in relazione a una richiesta di assistenza. I dati dei clienti non includono dati amministrativi, dati di supporto o dati di telemetria.

Dati di supporto

Informazioni che Cisco raccoglie quando un cliente invia una richiesta di servizi di supporto o altra risoluzione dei problemi, incluse informazioni su hardware o software. Include dettagli relativi all'intervento di supporto, come informazioni di autenticazione, informazioni sulle condizioni del prodotto, dati di sistema e di registro sulle installazioni software e sulle configurazioni hardware e file di tracciamento degli errori. I dati di supporto non includono i file di registro, di configurazione o del firmware o i core dump presi da un prodotto e forniti per aiutarci a risolvere un problema in relazione a una richiesta di assistenza, che sono tutti esempi di dati dei clienti.

Dati di telemetria

Informazioni generate dalla strumentazione e dai sistemi di registrazione creati attraverso l'uso e il funzionamento del prodotto o servizio.

Tutti i dati raccolti nel cloud Webex sono protetti da diversi livelli di solide tecnologie e processi di sicurezza. Di seguito sono riportati alcuni esempi di controlli collocati in diversi livelli delle operazioni Webex per proteggere i dati dei clienti:

• Controllo fisico degli accessi — L'accesso fisico è controllato tramite biometria, badge e videosorveglianza. L'accesso al data center richiede approvazioni ed è gestito tramite un sistema di biglietteria elettronica.
• Controllo dell'accesso alla rete: il perimetro di rete Webex è protetto da firewall. Qualsiasi traffico di rete in entrata o in uscita dal data center Webex viene monitorato continuamente utilizzando un sistema di rilevamento delle intrusioni (IDS). La rete Webex è inoltre segmentata in zone di sicurezza separate. Il traffico tra le zone è controllato da firewall e elenchi di controllo degli accessi (ACL).
• Monitoraggio e controlli di gestione dell'infrastruttura: ogni componente dell'infrastruttura, inclusi i dispositivi di rete, i server delle applicazioni e i database, è conforme a linee guida rigorose. Sono inoltre soggetti a scansioni regolari per identificare e risolvere eventuali problemi di sicurezza.
• Controlli crittografici: come indicato in precedenza, tutti i dati da e verso il data center Webex verso le app Webex e i dispositivi Webex registrati nel cloud sono crittografati, ad eccezione del traffico PSTN e dei dispositivi video SIP/H323 non crittografati in una riunione abilitata al cloud. Inoltre, i dati critici archiviati in Webex, come le password, sono crittografati.

I dipendenti di Cisco non accedono ai dati dei clienti a meno che l'accesso non sia richiesto dal cliente per motivi di assistenza. L'accesso ai sistemi in questo caso è consentito dal gestore solo in base al principio della «separazione dei compiti». Viene concesso solo in base alle necessità e con solo il livello di accesso richiesto per svolgere il lavoro. Inoltre, l'accesso dei dipendenti a questi sistemi viene regolarmente verificato per verificarne la conformità. I dipendenti con tale accesso sono tenuti a seguire un corso annuale di sensibilizzazione sulla sicurezza delle informazioni dell'Organizzazione internazionale per la standardizzazione (ISO) 27001.

Oltre a questi controlli specializzati, ogni dipendente Cisco viene sottoposto a un controllo dei precedenti, firma un accordo di non divulgazione (NDA) e completa la formazione sul Codice di condotta aziendale (COBC).

Legge sulla portabilità e responsabilità delle assicurazioni sanitarie (HIPAA)

Cisco può fornire informazioni sulla funzionalità, la tecnologia e la sicurezza di Webex. Un'entità coperta dall'HIPAA dovrebbe consultare il proprio consulente legale per determinare se la funzionalità di Webex è conforme ai suoi processi aziendali e pronta per il GDPR.

• Conformità al GDPR
• Divulgazione dell'Webex Meetingsofferta Cisco

Standard e certificazioni di settore

Oltre a rispettare i nostri rigorosi standard interni, Webex mantiene continuamente anche convalide di terze parti per dimostrare il nostro impegno per la sicurezza delle informazioni. Webex è:

• Certificato ISO 27001, 27017, 27018 e 27701
• Service Organization Controls (SOC) 2 Tipo II verificato
• Certificato SOC 3
• Codice di condotta sul cloud
• CSTAR
• Attestazione del catalogo dei controlli di conformità nel cloud computing (C5)
• Certificato FedRAMP (visita cisco.com/go/fedramp per maggiori dettagli, ambito e disponibilità)

Si riferisca al Cisco Trust Portal per una serie completa di documenti sulla sicurezza, la privacy e la conformità, inclusi i dettagli sugli standard e le certificazioni di cui sopra.