コメントありがとうございます。

Webex Meetingsコアサービスとコンポーネント

• Webex MeetingsはWebex Suite、コンテンツ共有とWeb会議機能を備えた音声/ビデオ会議を提供するの一部です。
• このプラットフォームには、会議サービス、ウェビナーサービス、IDサービス、レコーディングサービス、サービス、分析サービス、AI Assistant管理サービス、メディアサービスなどの複数のマイクロサービスが含まれています。
• Webex Meetingsクラウドに登録されたアプリとデバイスをサポートしているので、ユーザーはさまざまなOSプラットフォームやデバイスから会議に参加できます。 ユーザーは、PSTNやSIPエンドポイントを介して会議に参加することもできます。

アーキテクチャとデプロイ

• Webex Meetings冗長性と高可用性を確保するために、サービスは地域化され、複数の独立したデータセンターに複製されます。
• メディアサービスは、各データセンターのメディアサーバークラスターとともにグローバルに分散され、ローカルおよび地理的な冗長性を提供します。
• メディアサーバーは、音声、ビデオ、コンテンツの共有を処理します。メディアは通常、AES-256-GCMを使用して暗号化されます。
• このアーキテクチャは、TLS/HTTPSを介した暗号化されたシグナリングと暗号化されたメディアストリームをサポートしています。

Webexは、次のような複数のプラットフォームやデバイスからの会議への参加をサポートしています。

• ウィンドウズ、マック、Linux上のWebexデスクトップアプリケーション。
• アンドロイドとiOSのWebexモバイルアプリケーション。
• クローム、エッジ、サファリ、ファイヤーフォックス、その他のブラウザを使用するWebex ウェブアプリケーション。
• Ciscoルームデバイスとデスクデバイス。
• サードパーティのSIP標準ベースのオーディオおよびビデオエンドポイント。
• PSTNデバイス。

Webex の顧客主権

データレジデンシーに対する需要の高まりに応えて、Webexは強化された主権機能を導入しました。 録画から始めて、今後さらに多くのサービスがサポートされるようになったので、組織は次の方法で会議の内容を管理できるようになりました。

• ローカライズされた処理 —自社のインフラストラクチャ内で、録画などの会議コンテンツを処理します。
• オンプレミスストレージ —独自のファイルストレージサービスを利用して、機密性の高い会議資料を保管し、データが指定された地理的または組織的な境界内に留まるようにします。

ウルトラセキュア Webex Meetings

これまで、 ゼロトラストエンドツーエンド暗号化（E2EE）などの「ウルトラセキュア」機能では、会議機能の妥協が必要になることがよくありました。クラウドベースの付加価値サービスでは暗号化キーにアクセスする必要があり、これらの会議に参加できるエンドポイントの種類は限られていたからです。 Webex は次のようなトレードオフを排除しました。

• 機能豊富なゼロトラスト — Webexは、ゼロトラスト会議をエンドツーエンド暗号化（E2EE）会議に変革し、ゼロトラスト会議を機能豊富にする機能を追加しました。 より多くのエンドポイントタイプをサポートすることで、現代のコラボレーションに必要なツールを犠牲にすることなく、シームレスなエクスペリエンスを提供します。
• 標準会議向けゼロトラスト — Webex はゼロトラスト E2EE 機能を標準会議に直接統合しました。 これにより、Webexエコシステム全体で一貫した保護が提供され、日常のコラボレーションでも最高レベルのセキュリティの恩恵を受けることができます。

コラボレーションへの統一されたアプローチ

Webexは、 顧客主権をこれらの高度なゼロトラストE2EE機能と統合することで、組織が、重要な会議コンテンツの処理と保存をオンプレミスで完全に制御しながら、Webexクラウド内で安全性の高いゼロトラスト会議を開催するという2つの目的を達成できるようにします。 この相乗効果は、現代のコンプライアンス主導の企業環境に必要な柔軟性とセキュリティを提供します。

ビデオメッシュノードによるセキュリティ境界の拡大

組織にビデオメッシュノードを追加すると、お客様はオンプレミスの会議サービスを提供でき、オンプレミスのエンドポイントは任意の Webex 会議に参加できます。 セキュリティの観点から、ビデオメッシュノードを統合することで、Webexクラウド内のゼロトラストを維持しながら、標準のWebex会議と同等の機能を実現できます。 ビデオメッシュノードの会議の記録などのサービスはオンプレミスで処理および保存されるため、顧客もデータ主権の恩恵を受けます。

ゼロトラストのエンドツーエンド暗号化を使用すると、会議への参加に数秒かかる場合がありますが、セキュリティが保証されます。会議参加者のみが会議の暗号化キーにアクセスできるため、サービスプロバイダーやその他の仲介者が会議の内容を解読することはできません。

概要:Webex Meetingsとハイブリッド展開モデル

上の比較で示したように、ビデオメッシュノード（VMN）を導入すると、 Webex Meetingsゼロトラストは標準のWebex会議とほぼ同等の機能を実現できます。 ゼロトラスト会議はPSTN参加者をサポートしていませんが、WebベースのWebベースのWebベースのアプリケーションはエンドツーエンドの暗号化アクセスの代替手段として広く利用されています。 さらに、VMNを使用すると、デスクフォンを使用するオフィスワーカーがゼロトラスト会議にシームレスに参加できます。

ビデオメッシュノードは、録画や、近い将来、議事録、要約、アクションアイテムなど、重要な会議コンテンツのデータ主権も保証します。 VMNは、このデータをオンプレミスで処理して保存することで、Webexクラウド内のゼロトラストアーキテクチャを維持しながら、顧客が情報を完全に制御できるようにします。

暗号化されたWebexシグナリング

WebexサービスはTLSバージョン1.2と1.3をサポートしていますが、接続エンドポイントでサポートされる場合はTLS 1.3が優先されます。 クライアントが TLS 1.2 のみをサポートしている場合、Webex サーバーはクライアントが提供する最も強力な共通暗号スイートを選択します。 TLS 1.2とは異なり、TLS 1.3は小規模で厳選された最新の暗号セットに依存しているため、サーバー優先の暗号の組み合わせを選択しません。 この設計により、選択プロセスが簡素化され、強力なセキュリティを維持しながら、ハンドシェイク全体の長さを短くするなどのパフォーマンスの向上に重点が置かれます。 Webexが使用するTLS 1.2と1.3の暗号スイートは、安全な通信を確保するために明確に定義され、優先順位が付けられています。

TLS 暗号スイート

TLS 1.3暗号スイート（TLS 1.3サーバーはスイートの選択に優先順位を使用しません）

TLS 1.2の暗号スイート（サーバー優先順のスイート）

AES_256_CBCとAES_128_CBC暗号化暗号は、レガシーシステム、古いブラウザ、およびAES-GCMなどの最新のAEAD（関連データによる認証された暗号化）暗号をサポートしていない組み込みデバイスとの互換性を維持するためにサポートされています。 Internet Explorerウィンドウズ7とウィンドウズ8.1では11、iOSとmacOSの初期のリリースのSafari 6/7/8はCBCベースの暗号を使用しています。

CHACHA20_POLY1305はハードウェアへの依存度が低いストリーム暗号で、モバイルデバイスや低消費電力CPUを搭載したデバイスでの使用に最適な暗号です。

Webexのメディア暗号化規格

Webexの会議と通話では、すべてのメディアパケットに堅牢なAESベースの暗号化を採用しています。 特定の暗号スイートはエンドポイントの種類によって異なりますが、AES-256-GCMが最適なセキュリティのための推奨標準です。

セキュリティに関する主な考慮事項

• 優先規格 —最高レベルのデータ整合性と機密性を確保するために、すべての導入でAES-256-GCMが推奨される暗号です。
• 相互運用性 — WebexはサードパーティのSIPおよびH.323システムとの相互運用性を確保するためにレガシー暗号（AES-CM-128-HMAC-SHA1など）のサポートを維持していますが、ゼロトラストアーキテクチャを優先する組織は、デバイスの互換性が許す限り、AES-256-GCMを適用する必要があります。

メディア転送プロトコル

Webexは、UDP、TCP、またはTLS経由のメディアトランスポートをサポートしています。 音声とビデオのパフォーマンスを最適化するために、シスコはUDPを強く推奨しています。

パフォーマンスに関する考慮事項:

• リアルタイム効率 —UDPは、接続指向プロトコルに内在する再送信とバッファリングメカニズムを回避することで遅延とジッターを最小限に抑えるため、リアルタイムメディアに適したトランスポートです。
• TCP/TLSの影響 — TCPとTLSは信頼性の高い順序付けされたデータ配信を提供しますが、この動作はリアルタイムメディアにとっては逆効果です。 結果として生じるパケット再送信とストリームバッファリングは、遅延とジッターを引き起こし、参加者の体験の質を著しく低下させる可能性があります

Webex によるメディア向けの SRTP と sFrame の使用

WebexZero Trust環境に求められる高いセキュリティ基準を維持するには、トランスポートレベルのセキュリティ（SRTP）とアプリケーション層のエンドツーエンド暗号化（SFrame）を区別することが重要です。

主な技術的違い—SRTPとsFrame

1. SRTP（セキュア・リアルタイム・トランスポート・プロトコル）

   SRTPは、送信中のメディアストリームを保護するための業界標準です。

   • スコープ —RTPペイロードの機密保持、メッセージ認証、リプレイ保護を提供します。
   • 運用コンテキスト —多くのアーキテクチャでは、メディアサーバー/メディアゲートウェイ（選択的転送ユニット（SFU））がSRTP接続を終了してメディア処理（ミキシング、レイアウト構成、トランスコーディングなど）を実行します。 SFUはメディアを解読して処理するため、メディアはSFUポイントでは技術的に脆弱です。
2. sFrame（セキュアフレーム）

   sFrameはIETF標準です。RFC 9605は、マルチパーティ会議環境における真のエンドツーエンドの暗号化を促進するために特別に設計されています。

   • スコープ：RTPパケットにカプセル化される前に、パケット化されたメディアフレームを暗号化します。 Webexは、SRTPを使用して暗号化のレイヤーを追加しています。
   • ゼロトラストアーキテクチャ —メディアはアプリケーション層で暗号化されているため、SFUは「ブラインド」リレーとしてのみ機能します。 復号鍵にアクセスすることなく、暗号化されたパケットを他の参加者にルーティングします。
   • 独立 —sFrameは交通手段にとらわれません。 セキュリティコンテキストはトランスポート接続ではなく参加者のエンドポイントに結び付けられているため、基盤となるトランスポート（UDP/TCP/TLS）が侵害された場合でも安全なままです。

sFrameはE2EEを可能にする重要なメカニズムです。 SRTPはネットワークを通過する間もデータが暗号化されることを保証しますが、SFrameはメディアがシスコのインフラストラクチャ（SFU）上にある間も含め、会議のライフサイクル全体を通して暗号化されたままになることを保証し、サービスプロバイダーを信頼境界から事実上排除します。

Webex Meetingsコンテンツ

会議コンテンツは、参加者が作成したデータ、または会議の主催者に代わってWebexサービスによって生成されたデータで構成されます。 これには以下が含まれます：

• メディア関連のコンテンツ —録音、トランスクリプト、要約、アクションアイテム。
• コラボレーションデータ —チャットメッセージ、共有/転送されたファイル、ホワイトボード、注釈。

Webex Meetings コンテンツセキュリティ—Webexのエンドツーエンド暗号化

Webexは、堅牢なエンドツーエンド暗号化（E2EE）フレームワークを使用して、参加者が生成した会議コンテンツを保護します。 このアーキテクチャの中心となるのはWebex Key Management Service（KMS）で、ユーザーが生成するすべてのコンテンツの暗号化キーを生成、配布、管理します。

会議コンテンツセキュリティレイヤー

• 転送中のデータ — WebexアプリとCiscoビデオデバイスは、Webexのエンドツーエンド暗号化（E2EE）とAES-256-GCMを使用して、録画ファイル、AIサマリーファイル、チャットメッセージなど、ユーザーが生成した会議コンテンツを暗号化します。 これはさらにトランスポート層セキュリティ（TLS）にカプセル化され、伝送中の二重保護を提供します。
• 保存データ — 暗号化されたコンテンツは、Webexクラウドに保存されると、AES-256-GCMディスク暗号化によってさらに保護されます。
• 保護プロファイル —このアプローチは、転送中のTLS傍受からコンテンツを保護し、保存されたデータにクラウド環境内の権限のない者がアクセスできないようにします。

コアサービス向けのマネージドコンテンツアクセスによるWebexエンドツーエンド暗号化

Webex がメディアやコンテンツの暗号化キーにアクセスできないゼロトラストのエンドツーエンド暗号化とは異なり、Webex のエンドツーエンド暗号化では、プラットフォームは Webex KMS が生成したキーを利用して、重要なコアサービスのデータを復号できます。 この管理されたアクセスにより、次のことが可能になります。

• 検索とインデックス作成 —ユーザーはコンテンツ履歴を検索できます。
• コンプライアンスとガバナンス —データ損失防止（DLP）、電子情報開示、およびデータアーカイブを可能にします。
• メディア最適化 —デバイス間の互換性を保つためのファイルトランスコードをサポートします。
• セキュリティ—拡張セキュリティパックを使用してマルウェアのスキャンを容易にします。

Webex Meetingsメタデータ

会議のメタデータは、会議自体の実際のコンテンツ（音声、ビデオ、または共有ファイル）ではなく、会議を円滑化、追跡、管理するためにシステムによって生成される管理上および技術上の情報で構成されています。 メタデータはいくつかのカテゴリに分類できます。

• セッション情報 —会議タイトル、会議ID、予定開始時刻と終了時刻、および実際の会議時間。
• 参加者データ —招待者と実際の出席者、そのIPアドレス、デバイスタイプ（Windows、iPhone、Ciscoルームキットなど）、および参加/退室タイムスタンプのリスト。
• 使用状況と品質の指標 —パケットロス、ジッター、遅延、ビデオストリームの解像度など、トラブルシューティングに使用されるデータ。

メタデータの使用方法

1. 分析とレポート —管理者はWebexControl Hubのメタデータを使用して、開催されている会議の数、最も活発な部門、および全体的なエクスペリエンスの質を確認します。
2. トラブルシューティング — Cisco TAC (テクニカルアシスタンスセンター) は、メタデータを使用して会議の問題を特定して解決します。
3. コンプライアンスと電子情報開示 — コンプライアンス担当者は、会議の暗号化された内容を見ることができなくても、会議が開催されたこと、出席した人、記録されたかどうかを証明するメタデータを検索できます。
4. セキュリティ—メタデータは、セキュリティ上の脅威を示す可能性のある不正アクセスの試みや異常なパターンを特定するのに役立ちます。

メタデータのセキュリティとプライバシー

• 暗号化 —メタデータは「エンドツーエンドで暗号化」されていませんが、転送中（TLSを使用）とCiscoの安全なデータセンターでの保存中は暗号化されています。
• アクセス制御：シスコのプライバシーポリシーでは、このメタデータにアクセスできる人を厳しく制限しています。このメタデータはサービスの提供と向上のために使用されます。

Webex ミーティングのコンテンツとメタデータの詳細については、Webex Meetingsオファーの開示を参照してください。

会議セッションタイプをユーザーに割り当てる

Webex Control Hub の管理者は、ユーザーがスケジュールされた会議に使用できる会議タイプを 1 つ以上割り当てることができます。 デフォルトでは、すべてのユーザーにプロミーティングとプロエンドツーエンド暗号化_VoIPのみの会議タイプが割り当てられます。

会議のスケジュールを立てる-会議の種類を選択してください

ユーザーは、Webex アプリ、Webex ユーザーページ、Webex メールアドインから、会議をスケジュールするときに使用する会議タイプを選択できます。Microsoft Outlook

会議をスケジュールする—Webex アプリで会議の種類を選択してください

会議をスケジュールする-Webex ユーザーページから会議の種類を選択します

デフォルトの会議タイプを設定してください

ユーザーは、Webex ユーザーページの [ミーティング ] > [設定] からデフォルトの会議タイプを設定できます。

Webex ユーザーページからデフォルトの会議タイプを設定してください

ゼロトラストのエンドツーエンドのアイデンティティとディープフェイク防止

顧客が提供するエンドユーザー ID 証明書は、Webex エンドツーエンドの暗号化（E2EE）ミーティングでのなりすましを防止するための基礎です。 オーディオストリームとビデオストリームの分析に依存する従来のディープフェイクブロッキングメカニズムとは異なり、このアプローチでは承認時に暗号によるID検証が行われます。 この確認済みステータスは会議名簿に直接表示され、すべての参加者に透明性を提供します。

Webexは、「ディープフェイク防止」機能の一環として、以前はRoomOSデバイスで利用可能だった顧客管理証明書のサポートをWebex アプリに拡張しました。 組織は、ACMEなどの業界標準のプロトコルを使用して、信頼できる外部の認証局（CA）によって発行された独自のデジタル証明書をプロビジョニングおよび管理できます。 これらの証明書は、X.509標準とECDSA P-256キーペアに基づいており、E2EE会議中に参加者の身元を暗号で証明します。

エンドツーエンドの検証済みIDとMLSプロトコル

メッセージング層セキュリティ（MLS）プロトコルは、標準のX.509証明書を使用して会議参加者を認証します。 証明書は、署名キー所有者の身元を証明する、信頼できるCAからのデジタル署名された声明です。 参加者は主に2つの方法で証明書を取得します。

• 管理対象デバイス（お客様提供の証明書）—組織が管理するデスクトップクライアントとモバイルクライアントの場合、信頼できるCAからのID証明書をデバイスにインストールできます。 ユーザーがシングルサインオン（SSO）を使用してログインすると、Webex アプリは OS トラストストアからこの証明書を取得して、ユーザーの確認済みの身元を表示します。 このプロセスは、Webexクラウドに登録されたCiscoビデオデバイスでもサポートされています。
• デフォルト（Webex提供証明書）—顧客提供の証明書がない場合、Webexクライアントまたはデバイスは、Certificate Authorityシスコが検証した身元を反映したWebexが発行した証明書を自動的に使用します。

ID共有とフォールバックメカニズム

会議中、各参加者は自分の Webex ID 証明書と、可能であれば、顧客が提供した ID 証明書を他のすべての出席者と共有します。 シームレスな接続を確保するために、Webexエンドポイントは厳密な階層に従います。つまり、お客様が提供した証明書を優先して検証します。その証明書が欠落しているか検証に失敗した場合、システムは自動的にWebex提供のID証明書にフォールバックします。

ユーザー本人確認ステータスの表示

参加者がWebexアプリまたは顧客提供の証明書を備えたRoomOSデバイスを使用して会議に参加すると、その身元は他の会議メンバーによって発行CAと照合されます。 これにより、許可されたユーザーのみが認識され、攻撃者が正当な参加者になりすますことを防ぎます。これらの証明書は検証済みのIDと一意に結び付けられており、シスコや仲介者によって偽造されることはありません。

E2Eで暗号化された会議の参加者リストには、各ユーザーの本人確認ステータスが表示されます。

• ゼロトラストE2E検証済み（ domain.com) — お客様が提供した身分証明書を使用すると、参加者のドメインが青い文字で表示されます。 これは、シスコが改ざんできない真のE2E検証済みIDを示しています。 たとえば、会議名簿に、「Kevin」のexample.comからの確認済みのメールアドレスが青色で表示されている場合があります。
• ウェベックス検証済み（ domain.com) — Webex CAが発行した証明書は、より限定的な保護レベルしか提供しません。 ID保護がない場合よりも優れていますが、これらの参加者は「ゼロトラストE2E検証済み」としてマークされていません。代わりに、IDステータスが灰色のテキストで表示され、WebexCAによってIDが確認されたことが示されます。
• 未確認のゲストユーザー（ 未確認）—ゲスト参加者の身元は認証されませんが（サインインプロセスがないため）、通話や会議でMLSグループに参加するには証明書が必要です。 この証明書はWebex CAによって発行され、ユーザー名として「anonymous」を使用しています。

さらに、参加者全員の暗号状態から導出された会議セキュリティコードは、全員が同じ安全な会議コンテキストを共有していることを参加者が確認できるようにすることで、中間者攻撃を検知するのに役立ちます。 この「ディープフェイク防止」機能は、暗号による本人確認とエンドツーエンドの暗号化を組み合わせることで、なりすましや合成メディアの脅威に対する強固な防御を提供し、WebexアプリとRoomOSデバイスの両方で会議の完全性と機密性を保護します。

証明書ロールアウトの管理

組織は、モバイルデバイス管理（MDM）、モバイルアプリケーション管理（MAM）、またはエンタープライズモビリティ管理（EMM）アプリケーションを使用して企業が管理するデバイスにインストールすることで、顧客が提供するこれらのエンドユーザーID証明書の展開と管理を簡素化できます。 これらの管理プラットフォームにより、IT管理者は、企業所有か個人所有かを問わず、さまざまなデバイスで証明書と関連するセキュリティポリシーを一元的にプロビジョニング、設定、制御できます。 たとえば、Microsoft IntuneはMDMとMAMの両方の機能をサポートしているので、組織はWebex Appとそのセキュリティ設定（ID証明書を含む）を管理対象デバイスに展開して管理できます。 同様に、Cisco Meraki Systems Managerには、デバイスの登録、設定プロファイルのプッシュ、証明書の導入を行うためのMDM機能があり、デバイスの信頼性を確保できます。 これらの管理ソリューションを活用することで、管理上の負担が軽減され、証明書ライフサイクル管理が簡素化され、「ディープフェイク防止」機能によりWebex E2EE会議のセキュリティ体制が強化されます。

アイデンティティの三本柱

Webexの効果的なIDおよびアクセス管理（IAM）は、次のものに依存しています。

• プロビジョニング（CRUD）—ユーザーのライフサイクル（作成、読み取り、更新、削除）を管理して、「信頼できる情報源」がコラボレーションプラットフォームと一致していることを確認します。
• 認証（AuthN）—安全な認証情報またはトークンを介してユーザーの本人確認を行います。
• 認可（AuthZ）—認証後の詳細な権限とAPIアクセスレベルを定義します。

プロビジョニングとライフサイクル管理

Webexは、ユーザーとグループを同期するいくつかの方法をサポートしています。

• SCIM 2.0 —推奨されているクラウド標準。 ユーザーのライフサイクルを自動化し、IdPでのオフボーディングによってWebexアクセスが自動的に取り消されるようにします。
• ディレクトリコネクタ —オンプレミスActive Directory（AD）とWebexクラウドをつなぐハイブリッド環境用のCiscoツール。
• APIベースのプロビジョニング — Webexの「People API」を使用して、複雑な環境でのプログラムによるユーザー作成とライセンス割り当てを行います。
• レガシーLDAP —オンプレミスのディレクトリ（CUCMなど）でサポートされていますが、最新のクラウドトラフィックにはあまり最適化されていません。

認証と承認のフレームワーク

• 認証 (認証):

• SAML 2.0 —シングルサインオン（SSO）のエンタープライズスタンダード。 Webexはサービスプロバイダー（SP）として機能し、企業IdPからのXMLアサーションを検証します。
• OIDC（OpenID Connect）—JSONウェブトークン（JWT）を使用してOAuth 2.0上に構築されたモダンで軽量なアイデンティティレイヤー。 自動設定の「ディスカバリーURL」をサポートしています。

• 認証 (認証):

• OAuth 2.0 —短命のアクセストークン（スコープの定義）と長寿命の更新トークンを介してAPIアクセスを管理します。 PKCE（コード交換用の証明キー）を介してパブリッククライアントにセキュリティを強化します。

統合とマルチIDP戦略

Webexはシームレスな統合のための特別なパスを提供しています：

• Entra IDウィザード — マイクロソフト環境に推奨される方法です。 Microsoft Graph APIを使用して高度な属性同期（アバター、階層）を行い、OIDC/SAMLの設定を自動化します。
• Duo Security —デバイスのポスチャを検証し、フィッシングに強いMFAを有効にすることで、「継続的なIDセキュリティ」を追加します。

複数の IdP サポート:Webex を使用すると、組織は複数の独立した IdP を 1 つのコントロールハブ内で統合できます。

• ユースケース—合併、買収、または分散型IT部門。
• ルーティング-認証リクエストは、ドメインまたはユーザーグループに基づいてルーティングされます。
• 考慮事項—すべてのフェデレーションソースにわたって一貫したセキュリティポリシーを維持するには、厳格な調整が必要です。

Webexとの最も一般的なIdPアイデンティティ統合の例：

ベスト・プラクティスとレジリエンス

• SSOリカバリ-IdPの設定に失敗した場合は、常にコントロールハブに組み込まれている「SSOリカバリ」リンクを利用して、ワンタイムパスワード（OTP）でSSOをバイパスしてください。
• 証明書管理—SAML証明書の有効期限を監視します。 SSOウィザードはメタデータの交換を自動化し、手作業によるミスを減らします。
• トラブルシューティング-認証の問題が発生した場合は、SAML Tracerツールを使用してXMLアサーションを調べ、NameIDフォーマットを検証してください。
• セキュリティ体制—従来の助成金タイプを定期的に廃止し、すべてのパブリッククライアント統合にPKCEが実装されていることを確認してください。

結論— Webex Meetings のアイデンティティ

強固なアイデンティティ戦略とは、継続的なライフサイクルプロセスです。 プロビジョニングにSCIM、認証にOIDC/SAML、承認にOAuthを組み合わせることで、組織は厳格な管理を維持しながら、安全でスムーズなユーザーエクスペリエンスを提供できます。

シスコセキュア開発ライフサイクル

シスコでは、セキュリティは後回しにされるものではありません。 これは、世界クラスの製品とサービスをゼロから構築し、提供するための統制のとれたアプローチです。 すべてのシスコ ^® 製品開発チームは、シスコセキュア開発ライフサイクルに従う必要があります。 これは、シスコ製品の耐障害性と信頼性を高めるために設計された、繰り返し可能で測定可能なプロセスです。 開発ライフサイクルのすべての段階で導入されたツール、プロセス、意識向上トレーニングを組み合わせることで、徹底的な防御が可能になります。 また、製品の耐障害性に対する総合的なアプローチも提供します。 Webex 製品開発チームは、製品開発のあらゆる面でこのライフサイクルを熱心にフォローしています。

安全な開発ライフサイクルについてもっと読んでください。

シスコ基礎セキュリティツール

シスコのセキュリティとトラスト組織は、すべての開発者がセキュリティに関する決定に直面したときに一貫した立場を取れるようにするためのプロセスと必要なツールを提供しています。

そのようなツールを構築して提供する専任チームを持つことで、製品開発のプロセスから不確実性が取り除かれます。

ツールの例としては、次のものがあります。

• 製品が満たさなければならない製品セキュリティベースライン（PSB）要件
• 脅威モデリング中に使用される脅威構築ツール
• コーディングガイドライン
• 開発者が独自のセキュリティコードを書く代わりに使用できる検証済みまたは認定済みのライブラリ
• 開発後にセキュリティ上の欠陥をテストするために使用されるセキュリティ脆弱性テストツール（静的および動的分析用）
• シスコとサードパーティのライブラリを監視し、脆弱性が特定されたときに製品チームに通知するソフトウェアトラッキング

シスコのプロセスにセキュリティを浸透させる組織構造

シスコには、全社にセキュリティプロセスを浸透させ、管理するための専門部門があります。 セキュリティの脅威と課題に常に遅れずについていくために、シスコは次のものを頼りにしています。

• シスコ情報セキュリティ（InfoSec）クラウドチーム
• シスコ製品セキュリティインシデント対応チーム（PSIRT）
• セキュリティ責任の共有

シスコ情報セキュリティクラウド

クラウドの最高セキュリティ責任者が率いるこのチームは、お客様に安全な Webex 環境を提供する責任があります。 InfoSecは、Webexをお客様の手に届けるために必要なすべての機能のセキュリティプロセスとツールを定義して実施することでこれを実現しています。

さらに、Cisco InfoSec Cloudはシスコの他のチームと協力して、Webexサービスに対するあらゆるセキュリティ脅威に対応します。

シスコ情報セキュリティは、Webex のセキュリティ体制の継続的な改善にも責任があります。

シスコ製品セキュリティインシデント対応チーム（PSIRT）

Cisco PSIRTは、シスコの製品とサービスに関連するセキュリティ問題の流入、調査、報告を管理する専任のグローバルチームです。 PSIRTは、セキュリティ問題の重大度に応じて、さまざまな媒体を使用して情報を公開します。 報告の種類は、次の条件によって異なります。

• 脆弱性に対処するためのソフトウェアパッチまたは回避策が存在するか、重大度の高い脆弱性に対処するためのコード修正を後で公開する予定です
• PSIRTは、Ciscoのお客様にさらなるリスクをもたらす可能性のある脆弱性が積極的に悪用されていることを確認しています。 PSIRTは、パッチが完全に入手できなくても、この場合の脆弱性を説明するセキュリティアナウンスの公開を早めるかもしれません。
• シスコ製品に影響する脆弱性が一般に認識されると、シスコのお客様にとってより大きなリスクにつながる可能性があります。 繰り返しになりますが、パッチが完全に利用できなくても、PSIRTは顧客に警告することがあります。

いずれの場合も、PSIRTは、エンドユーザーが脆弱性の影響を評価し、環境を保護するために必要な措置を講じるために必要な最小限の情報を開示します。 PSIRTは、共通脆弱性評価システム（CVSS）スケールを使用して、開示された問題の重大度をランク付けします。 PSIRTは、誰かがエクスプロイトを仕掛ける可能性のある脆弱性の詳細を提供していません。

PSIRTの詳細については、シスコ製品セキュリティインシデント対応チームを参照してください。

セキュリティ責任

Webex グループのすべての人がセキュリティに責任を持っていますが、主なルールは次のとおりです。

• 最高セキュリティ責任者、クラウド
• Cisco Cloudコラボレーションアプリケーション担当副社長兼ゼネラルマネージャー
• 副社長、エンジニアリング、Cisco Cloudコラボレーションアプリケーション担当
• 製品管理、Cisco Cloudコラボレーションアプリケーション担当副社長

内部および外部のペネトレーションテスト

Webex Groupは、内部評価者を利用して定期的に厳格な侵入テストを実施しています。 Cisco InfoSecは、独自の厳格な内部手続きのほかに、複数の独立した第三者を雇って、シスコの内部ポリシー、手順、およびアプリケーションに対して厳格な監査を実施しています。 これらの監査は、商用アプリケーションと政府アプリケーションの両方のミッションクリティカルなセキュリティ要件を検証することを目的としています。 シスコはまた、サードパーティベンダーを利用して、コード支援による詳細な侵入テストとサービス評価を継続的に実施しています。 契約の一環として、第三者が以下のセキュリティ評価を行います。

• アプリケーションとサービスの重大な脆弱性を特定し、解決策を提案します
• 建築改善のための一般的な分野の推奨
• コーディングエラーを特定し、コーディングプラクティスの改善に関するガイダンスを提供する

サードパーティの評価者は、Webex のエンジニアリングスタッフと直接連携して調査結果を説明し、改善点を検証します。 ペネトレーションテスト証明書情報については、Webex Meetings認証書トラストパッケージを参照してください。

物理的セキュリティ

データセンターの物理的セキュリティには、施設や建物のビデオ監視や、入場時の強制的な二要素認証が含まれます。 シスコのデータセンター内では、バッジリーダーと生体認証コントロールの組み合わせによってアクセスが制御されます。 さらに、環境制御（温度センサーや消火システムなど）とサービス継続インフラストラクチャ（電源バックアップなど）は、システムを中断することなく稼働させるのに役立ちます。

データセンターのサーバーは、インフラストラクチャの感度に基づいて「トラストゾーン」に分割されます。 たとえば、データベースは「ケージに入れられ」、ネットワークインフラストラクチャには専用の部屋があり、すべての機器ラックは施錠されています。 データセンターに入ることができるのは、シスコのセキュリティ担当者とシスコの担当者を伴う許可された訪問者のみです。

シスコの本番ネットワークは信頼性の高いネットワークです。信頼レベルの高い人はごくわずかです。

インフラストラクチャーとプラットフォームセキュリティ

プラットフォームセキュリティには、ネットワーク、システム、およびWebexデータセンター全体のセキュリティが含まれます。 すべてのシステムは、実稼働前に徹底的なセキュリティレビューと承認検証を受け、定期的に継続的な強化、セキュリティパッチ、脆弱性スキャンと評価を受けます。

サーバーは、米国標準技術研究所（NIST）が発行するセキュリティ技術実装ガイドライン（STIG）を使用して強化されています。 ファイアウォールはネットワークの境界を保護します。 アクセスコントロールリスト（ACL）は、さまざまなセキュリティゾーンを分離します。 侵入検知システム（IDS）が導入され、活動は継続的に署名され、監視されています。 毎日、内部および外部のセキュリティスキャンがWebex全体で実施されています。 すべてのシステムは、定期的なメンテナンスの一環として強化され、パッチが適用されています。 さらに、脆弱性のスキャンと評価は継続的に行われます。

サービス継続性と災害復旧は、セキュリティ計画の重要な要素です。 グローバルサイトのバックアップと高可用性を備えたCiscoデータセンターの設計は、Webexサービスの地理的なフェールオーバーを可能にします。 単一障害点はありません。

管理データ

シスコの製品やサービスの提供を管理したり、シスコの事業目的でお客様や第三者のアカウントを管理したりするために、シスコが収集して使用する、お客様またはその他の第三者の従業員または代表者に関する情報。

管理データには、名前、住所、電話番号、電子メールアドレス、およびシスコと第三者との間の契約上の約束に関する情報が含まれる場合があります。これらの情報は、初回登録時に収集されたか、後でシスコの製品やサービスの管理または管理に関連して収集されたかにかかわらず。

管理データには、顧客の従業員や代表者がWebex上で行った会議のタイトル、時間、その他の属性も含まれる場合があります。 管理データの他の例には、会議のタイトル、会議の時間、およびWebexで開催される会議の他の属性が含まれます。

顧客データ

これには、お客様によるシスコ製品またはサービスの使用に関連してお客様からシスコに提供されたデータ、または作業明細書または契約書に従ってお客様の特定の要求に応じてシスコが開発したすべてのデータ（テキスト、音声、ビデオ、画像ファイル、録音を含む）が含まれます。

顧客データには、ログ、構成、またはファームウェアファイル、コアダンプも含まれます。

これは、製品またはサービスから取得され、サポートリクエストに関連する問題のトラブルシューティングに役立つようにシスコに提供されるデータです。 顧客データには、管理データ、サポートデータ、またはテレメトリデータは含まれません。

サポートデータ

ハードウェアやソフトウェアに関する情報を含む、お客様がサポートサービスやその他のトラブルシューティングを依頼したときにシスコが収集する情報。 これには、認証情報、製品の状態に関する情報、ソフトウェアのインストールとハードウェア構成に関するシステムおよびレジストリデータ、エラー追跡ファイルなど、サポートインシデントに関連する詳細が含まれます。 サポートデータには、ログ、構成、ファームウェアのファイル、または製品から取り出して、サポートリクエストに関連する問題のトラブルシューティングに役立てるために提供されたコアダンプは含まれません。これらはすべて顧客データの例です。

テレメトリーデータ

製品またはサービスの使用と運用を通じて作成された計装システムおよびロギングシステムによって生成される情報。

Webex クラウドで収集されたすべてのデータは、何層にもわたる堅牢なセキュリティ技術とプロセスによって保護されています。 以下は、顧客データを保護するためにWebex運用のさまざまな層に配置されている統制の例です。

• 物理的なアクセス制御 —物理的なアクセスは、生体認証、バッジ、およびビデオ監視によって制御されます。 データセンターへのアクセスには承認が必要で、電子チケットシステムで管理されます。
• ネットワークアクセス制御 — Webex ネットワークの境界はファイアウォールで保護されています。 Webexデータセンターに出入りするネットワークトラフィックは、侵入検知システム（IDS）を使用して継続的に監視されます。 Webexネットワークも別々のセキュリティゾーンに分割されています。 ゾーン間のトラフィックは、ファイアウォールとアクセス制御リスト（ACL）によって制御されます。
• インフラストラクチャの監視と管理制御 —ネットワークデバイス、アプリケーションサーバー、データベースなど、インフラストラクチャのすべてのコンポーネントは、厳しいガイドラインに従って強化されています。 また、セキュリティ上の懸念を特定して対処するために、定期的なスキャンの対象となっています。
• 暗号制御 —前述のように、クラウド対応の会議におけるPSTNトラフィックと暗号化されていないSIP/H323ビデオデバイスを除いて、Webexデータセンターとクラウド登録済みのWebexアプリとWebexデバイスとの間で送受信されるすべてのデータは暗号化されます。 さらに、パスワードなど、Webexに保存されている重要なデータは暗号化されています。

シスコの従業員は、サポート上の理由でお客様からアクセスが要求されない限り、お客様のデータにアクセスしません。 この場合のシステムへのアクセスは、「職務の分離」の原則に従ってのみマネージャーによって許可されます。 これは、知る必要がある場合にのみ付与され、その仕事に必要なアクセスレベルのみが与えられます。 これらのシステムへの従業員のアクセスも、コンプライアンスについて定期的に見直されています。 このようなアクセス権を持つ従業員は、毎年国際標準化機構（ISO）27001情報セキュリティ意識向上トレーニングを受ける必要があります。

これらの特殊な管理に加えて、シスコのすべての従業員は身元調査を受け、秘密保持契約（NDA）に署名し、ビジネス行動規範（COBC）トレーニングを完了します。

医療保険の相互運用性と説明責任に関する法律（HIPAA）

シスコは、Webex の機能、テクノロジー、セキュリティに関する情報を提供できます。 HIPAA の対象となる事業体は、Webex の機能がそのビジネスプロセスに準拠していて、GDPR に対応しているかどうかを判断するために、自社の弁護士に相談する必要があります。

• GDPRコンプライアンス
• Webex Meetingsシスコのオファー開示

業界標準と認証

Webex は、厳格な内部基準を遵守することに加えて、情報セキュリティへの取り組みを実証するために第三者による検証を継続的に行っています。 Webex は:

• ISO 27001、27017、27018、27701の認証を受けています
• サービス組織統制（SOC）2タイプII監査済み
• SOC 3認定済み
• クラウド行動規範
• CSTAR
• クラウドコンピューティングコンプライアンスコントロールカタログ（C5）証明書
• FedRAMP認定済み（詳細、適用範囲、提供状況については、cisco.com/go/fedrampをご覧ください）

上記の基準と認証の詳細を含む、セキュリティ、プライバシー、コンプライアンスに関する文書一式については、シスコトラストポータルを参照してください。