Hartelijk dank voor uw feedback

Kernservices en -componenten van Webex Meetings

• Webex Meetings maakt deel uit van de Webex Suite en biedt diverse mogelijkheden. audio/video Conferenties met mogelijkheden voor het delen van content en webconferenties.
• Het platform omvat meerdere microservices, zoals de Meetings Service, Webinar Service, Identity Service, Recording Service, AI Assistant Service, Analytics Service, Admin Service en Media Service.
• Webex Meetings ondersteunt in de cloud geregistreerde apps en apparaten, waardoor gebruikers vanaf verschillende besturingssystemen en apparaten aan vergaderingen kunnen deelnemen. Gebruikers kunnen ook deelnemen aan vergaderingen via het PSTN en met SIP-eindpunten.

Architectuur en implementatie

• De Webex Meetings-services zijn regionaal georganiseerd en gedistribueerd over meerdere onafhankelijke datacenters om redundantie en hoge beschikbaarheid te garanderen.
• Mediadiensten zijn wereldwijd gedistribueerd met mediaserverclusters in elk datacenter, wat zorgt voor lokale en geografische redundantie.
• Mediaservers verzorgen de verwerking van spraak, video en het delen van content, waarbij media doorgaans worden versleuteld met AES-256-GCM.
• De architectuur ondersteunt versleutelde signalering via TLS/HTTPS en versleutelde mediastromen.

Webex biedt ondersteuning voor deelname aan vergaderingen vanaf meerdere platforms en apparaten, waaronder:

• Webex desktopapplicatie voor Windows, Mac en Linux.
• De Webex mobiele applicatie voor Android en iOS.
• De Webex-webapplicatie is te gebruiken met Chrome, Edge, Safari, Firefox en andere browsers.
• Cisco-apparaten voor vergaderruimtes en bureaus.
• Audio- en video-eindpunten van derden die voldoen aan de SIP-standaard.
• PSTN-apparaten.

Webex Klantsoevereiniteit

Als reactie op de groeiende vraag naar dataopslag in eigen land heeft Webex verbeterde mogelijkheden voor datasoevereiniteit geïntroduceerd. Te beginnen met opnemen, en met ondersteuning voor meer diensten in de toekomst, kunnen organisaties nu de controle over de inhoud van hun vergaderingen behouden met:

• Lokale verwerking— Het verwerken van vergaderingsinhoud, zoals opnames, binnen hun eigen infrastructuur.
• Opslag op locatie— Gebruikmaken van eigen bestandsopslagservices voor het opslaan van gevoelige vergaderingsgegevens, zodat de gegevens binnen specifieke geografische of organisatorische grenzen blijven.

Ultrabeveiligde Webex-vergaderingen

Historisch gezien vereisten 'ultrabeveiligde' functies, zoals Zero Trust End-to-End Encryption (E2EE), vaak een compromis in de functionaliteit van vergaderingen. Cloudgebaseerde diensten met toegevoegde waarde vereisten namelijk toegang tot encryptiesleutels, en slechts een beperkt aantal typen eindpunten kon aan deze vergaderingen deelnemen. Webex heeft dit compromis weggenomen met:

• Functierijke Zero Trust—Webex heeft Zero Trust End-to-End Encrypted (E2EE) vergaderingen getransformeerd door functionaliteit toe te voegen die Zero Trust-vergaderingen functierijk maakt. Ondersteuning voor een groter aantal eindpunttypen zorgt voor een naadloze ervaring zonder in te boeten aan de tools die nodig zijn voor moderne samenwerking.
• Zero Trust voor standaardvergaderingen—Webex heeft Zero Trust E2EE-functionaliteit rechtstreeks in standaardvergaderingen geïntegreerd. Dit zorgt ervoor dat zelfs alledaagse samenwerking kan profiteren van de hoogste beveiligingsniveaus, waardoor consistente bescherming wordt geboden binnen het gehele Webex-ecosysteem.

Een uniforme aanpak voor samenwerking

Door klantsoevereiniteit te integreren met deze geavanceerde Zero Trust E2EE-mogelijkheden, stelt Webex organisaties in staat een dubbel doel te bereiken: Het hosten van zeer veilige Zero Trust-vergaderingen in de Webex-cloud, terwijl de volledige controle over de verwerking en opslag van cruciale vergaderingsinhoud lokaal behouden blijft. Deze synergie biedt de flexibiliteit en beveiliging die nodig zijn voor moderne, op compliance gerichte bedrijfsomgevingen.

De beveiligingsgrens uitbreiden met een videomeshknooppunt.

Door een Video Mesh Node aan een organisatie toe te voegen, kunnen klanten vergaderservices op locatie aanbieden en kunnen hun lokale eindpunten deelnemen aan elke Webex-vergadering. Vanuit een beveiligingsperspectief zorgt de integratie van een Video Mesh Node ervoor dat Zero Trust binnen de Webex-cloud behouden blijft, terwijl de functionaliteit vrijwel gelijk is aan die van standaard Webex-vergaderingen. Klanten profiteren ook van datasoevereiniteit, omdat diensten zoals video-opnames van vergaderingen via Video Mesh Node lokaal worden verwerkt en opgeslagen.

Het gebruik van Zero Trust end-to-end-encryptie kan het deelnemen aan een vergadering een paar seconden langer maken, maar het biedt wel een duidelijke veiligheidsgarantie: alleen de deelnemers aan de vergadering hebben toegang tot de encryptiesleutels, waardoor de inhoud van de vergadering niet kan worden gedecodeerd door de serviceprovider of andere tussenpersonen.

Overzicht: Webex-vergaderingen en hybride implementatiemodellen

Zoals de bovenstaande vergelijking laat zien, zorgt de inzet van Video Mesh Node (VMN) ervoor dat Zero Trust Webex Meetings qua functionaliteit bijna gelijkwaardig is aan standaard Webex Meetings. Hoewel Zero Trust-vergaderingen geen ondersteuning bieden voor deelnemers via het PSTN-netwerk, is de webapplicatie Webex een breed beschikbaar alternatief voor end-to-end versleutelde toegang. Bovendien maakt VMN het voor kantoormedewerkers die gebruikmaken van vaste telefoons mogelijk om naadloos deel te nemen aan Zero Trust-vergaderingen.

Video Mesh Node garandeert tevens de gegevenssoevereiniteit voor cruciale vergaderinhoud, waaronder opnames en – in de nabije toekomst – transcripties, samenvattingen en actiepunten. Door deze gegevens lokaal te verwerken en op te slaan, biedt VMN klanten volledige controle over hun informatie, terwijl een Zero Trust-architectuur binnen de Webex-cloud wordt gehandhaafd.

Versleutelde Webex-signalering

Webex-services ondersteunen TLS-versies 1.2 en 1.3, waarbij TLS 1.3 de voorkeur heeft indien ondersteund door het verbindingspunt. Als een client alleen TLS 1.2 ondersteunt, selecteert de Webex-server de sterkste gangbare cipher suite die door de client wordt aangeboden. In tegenstelling tot TLS 1.2 maakt TLS 1.3 geen gebruik van servervoorkeurselectie van cipher suites, omdat het vertrouwt op een kleinere, zorgvuldig samengestelde set moderne cipher suites. Dit ontwerp vereenvoudigt het selectieproces en richt zich meer op prestatieverbeteringen, zoals het verkorten van de totale handshakeduur, met behoud van een hoge mate van beveiliging. De cipher suites voor TLS 1.2 en 1.3 die door Webex worden gebruikt, zijn goed gedefinieerd en geprioriteerd om veilige communicatie te garanderen.

TLS-coderingssuites

TLS 1.3-coderingssuites (TLS 1.3-servers gebruiken geen voorkeursvolgorde voor suite-selectie)

TLS 1.2-coderingssuites (suites in de door de server gewenste volgorde)

De encryptiealgoritmen AES_256_CBC en AES_128_CBC worden ondersteund om compatibiliteit te behouden met oudere systemen, browsers en embedded apparaten die geen moderne AEAD-algoritmen (Authenticated Encryption with Associated Data) zoals AES-GCM ondersteunen, bijvoorbeeld Internet Explorer 11 op Windows 7 en Windows 8.1, en Safari. 6/7/8 In de eerste versies van iOS en macOS werden CBC-gebaseerde versleutelingen gebruikt.

De CHACHA20_POLY1305 is een streamversleuteling die weinig afhankelijk is van de hardware, waardoor het een superieure versleuteling is voor gebruik op mobiele apparaten of apparaten met een energiezuinige CPU.

Mediaversleutelingsstandaarden voor Webex

Webex-vergaderingen en -gesprekken maken gebruik van robuuste AES-gebaseerde encryptie voor alle mediapakketten. De specifieke cipher suite is afhankelijk van het type eindpunt, waarbij AES-256-GCM de voorkeur geniet voor optimale beveiliging.

Belangrijke veiligheidsaspecten

• Voorkeursstandaard— AES-256-GCM is de aanbevolen versleuteling voor alle implementaties om het hoogste niveau van gegevensintegriteit en vertrouwelijkheid te garanderen.
• Interoperabiliteit—Hoewel Webex ondersteuning blijft bieden voor oudere versleutelingsmethoden (zoals AES-CM-128-HMAC-SHA1) om interoperabiliteit met SIP- en H.323-systemen van derden te garanderen, dienen organisaties die prioriteit geven aan een zero-trust-architectuur AES-256-GCM af te dwingen waar apparaatcompatibiliteit dit toelaat.

Mediatransportprotocollen

Webex ondersteunt mediatransport via UDP, TCP of TLS. Voor optimale spraak- en videoprestaties raadt Cisco ten zeersteUDP aan.

Prestatieoverwegingen:

• Realtime-efficiëntie— UDP is het geprefereerde transportprotocol voor realtime media, omdat het de latentie en jitter minimaliseert door de herverzending- en bufferingsmechanismen te vermijden die inherent zijn aan verbindingsgeoriënteerde protocollen.
• Impact van TCP/TLS—Hoewel TCP en TLS zorgen voor betrouwbare, geordende gegevensoverdracht, is dit gedrag contraproductief voor realtime media. De resulterende herverzending van datapakketten en het bufferen van datastromen introduceren latentie en jitter, wat de gebruikerservaring aanzienlijk kan verslechteren.

Webex gebruikt SRTP en SFrame voor media.

Om de hoge beveiligingsnormen te handhaven die vereist zijn voor Webex Zero Trust-omgevingen, is het belangrijk om onderscheid te maken tussen beveiliging op transportniveau (SRTP) en end-to-end-encryptie op applicatieniveau (SFrame).

Belangrijkste technische onderscheidingen—SRTP & SFrame

1. SRTP (Secure Real-time Transport Protocol)

   SRTP is de industriestandaard voor het beveiligen van mediastromen tijdens transport.

   • Bereik—Het biedt vertrouwelijkheid, berichtauthenticatie en bescherming tegen herhaling voor de RTP-payload.
   • Operationele context—In veel architecturen beëindigt de mediaserver/mediagateway (Selective Forwarding Unit (SFU)) de SRTP-verbinding om mediabewerking uit te voeren (bijvoorbeeld mixen, lay-out samenstellen of transcoderen). Omdat de SFU de media decodeert om ze te verwerken, zijn de media technisch kwetsbaar op het punt waar de SFU ze verwerkt.
2. SFrame (Secure Frame)

   SFrame is een IETF-standaard. RFC 9605 is specifiek ontworpen om echte end-to-end-encryptie mogelijk te maken in een omgeving voor videoconferenties met meerdere deelnemers.

   • Bereik—Het versleutelt gepakketteerde mediaframes voordat ze in RTP-pakketten worden ingekapseld. Webex voegt een extra versleutelingslaag toe met behulp van SRTP.
   • Zero Trust-architectuur—Omdat de media op applicatieniveau versleuteld zijn, fungeert de SFU alleen als een "blinde" doorgeefluik. Het stuurt de versleutelde pakketten door naar andere deelnemers zonder ooit toegang te hebben tot de decryptiesleutels.
   • Onafhankelijkheid—SFrame is transport-agnostisch. Het blijft veilig, zelfs als het onderliggende transport (UDP/TCP/TLS) is gecompromitteerd, omdat de beveiligingscontext gekoppeld is aan de eindpunten van de deelnemers in plaats van aan de transportverbinding.

SFrame is het cruciale mechanisme dat E2EE mogelijk maakt. Terwijl SRTP ervoor zorgt dat gegevens versleuteld zijn tijdens de overdracht via het netwerk, zorgt SFrame ervoor dat de media gedurende de gehele levenscyclus van de vergadering versleuteld blijven, ook wanneer ze zich op de infrastructuur van Cisco (de SFU) bevinden. Hierdoor wordt de serviceprovider in feite buiten de vertrouwensgrens geplaatst.

Webex Meetings-inhoud

De inhoud van een vergadering bestaat uit gegevens die door deelnemers zijn aangemaakt of die door Webex-services namens de vergaderingshost zijn gegenereerd. Dit is inclusief:

• Media-gerelateerde inhoud— Opnames, transcripten, samenvattingen en actiepunten.
• Samenwerkingsgegevens—Chatberichten, shared/transferred bestanden, whiteboards en aantekeningen.

Beveiliging van Webex Meetings-inhoud: End-to-end-versleuteling van Webex

Webex beveiligt de door deelnemers gegenereerde vergaderinhoud met behulp van een robuust end-to-end-versleutelingssysteem (E2EE). Centraal in deze architectuur staat de Webex Key Management Service (KMS ), die verantwoordelijk is voor het genereren, distribueren en beheren van de encryptiesleutels voor alle door gebruikers gegenereerde content.

Beveiligingslagen voor vergaderinhoud

• Gegevens in transit— De Webex-app en Cisco-videoapparaten gebruiken Webex end-to-end-encryptie (E2EE) met AES-256-GCM om door gebruikers gegenereerde vergaderingsinhoud te versleutelen, zoals opnamebestanden, AI-samenvattingsbestanden, chatberichten, enz. Dit wordt verder ingekapseld in Transport Layer Security (TLS) om dubbele bescherming te bieden tijdens de transmissie.
• Gegevens in rust—Eenmaal opgeslagen in de Webex-cloud, wordt versleutelde inhoud extra beschermd door AES-256-GCM-schijfversleuteling.
• Beschermingsprofiel—Deze aanpak beschermt de inhoud tegen TLS-onderschepping tijdens de overdracht en zorgt ervoor dat opgeslagen gegevens ontoegankelijk blijven voor onbevoegde personen binnen de cloudomgeving.

Webex end-to-end-encryptie met beheerde toegang tot content voor kernservices.

In tegenstelling tot Zero Trust end-to-end-encryptie, waarbij Webex geen toegang heeft tot media- of content-encryptiesleutels, maakt Webex end-to-end-encryptie het mogelijk dat het platform de door Webex KMS gegenereerde sleutels gebruikt om gegevens te decoderen voor essentiële kernservices. Deze beheerde toegang maakt het volgende mogelijk:

• Zoeken en indexeren—Hiermee kunnen gebruikers zoeken in de inhoudsgeschiedenis.
• Compliance en governance— Maakt gegevensverliespreventie (DLP), eDiscovery en gegevensarchivering mogelijk.
• Media-optimalisatie— Ondersteunt bestandsconversie voor compatibiliteit tussen verschillende apparaten.
• Beveiliging—Faciliteert het scannen op malware met behulp van het Extended Security Pack.

Webex Meetings-metadata

De metadata van vergaderingen bestaat uit de administratieve en technische informatie die door het systeem wordt gegenereerd om een vergadering te faciliteren, te volgen en te beheren, en niet uit de daadwerkelijke inhoud (audio, video of gedeelde bestanden) van de vergadering zelf. Metadata kan worden onderverdeeld in verschillende categorieën:

• Sessie-informatie— Titel van de vergadering, vergaderings-ID, geplande begin- en eindtijd en de daadwerkelijke duur van de vergadering.
• Deelnemersgegevens— Een lijst met genodigden en daadwerkelijke deelnemers, hun IP-adressen, apparaattypen (zoals Windows, iPhone, Cisco Room Kit) en hun join/leave tijdstempels.
• Gebruiks- en kwaliteitsstatistieken— Gegevens die worden gebruikt voor het oplossen van problemen, zoals pakketverlies, jitter, latentie en de resolutie van de videostream.

Hoe metadata wordt gebruikt

1. Analyse en rapportage— Beheerders gebruiken metadata in WebexControl Hub om te zien hoeveel vergaderingen er plaatsvinden, welke afdelingen het meest actief zijn en wat de algehele kwaliteit van de ervaring is.
2. Probleemoplossing—Cisco TAC (Technical Assistance Center) gebruikt metadata om problemen met vergaderingen te identificeren en op te lossen.
3. Compliance en eDiscovery— Compliancefunctionarissen kunnen metadata doorzoeken om te bewijzen dat een vergadering heeft plaatsgevonden, wie erbij was en of deze is opgenomen, zelfs als ze de versleutelde inhoud van de vergadering niet kunnen inzien.
4. Beveiliging—Metadata helpt bij het identificeren van ongeautoriseerde toegangspogingen of ongebruikelijke patronen die kunnen duiden op een beveiligingsrisico.

Beveiliging en privacy van metadata

• Versleuteling—Hoewel metadata niet "end-to-end versleuteld" is, wordt deze wel versleuteld tijdens de overdracht (met behulp van TLS) en opgeslagen in de beveiligde datacenters van Cisco.
• Toegangscontrole—Cisco's privacybeleid beperkt strikt wie toegang heeft tot deze metadata, en deze wordt gebruikt om de service te leveren en te verbeteren.

Voor meer informatie over de inhoud en metadata van Webex-vergaderingen, zie de Webex Meetings Offer Disclosure.

Het toewijzen van vergadersessietypen aan gebruikers

Beheerders van Webex Control Hub kunnen een of meer vergaderingstypen toewijzen die hun gebruikers kunnen gebruiken voor geplande vergaderingen. Standaard worden aan alle gebruikers de vergadertypen Pro Meeting en Pro-End to End Encryption_VoIPonly toegewezen.

Plan een vergadering - Selecteer het type vergadering

Gebruikers kunnen het gewenste vergaderingstype selecteren bij het plannen van een vergadering vanuit de Webex-app, de Webex-gebruikerspagina en de Webex-e-mailinvoeging voor Microsoft Outlook.

Een vergadering plannen—Selecteer het vergaderingstype in de Webex app

Plan een vergadering: selecteer het vergaderingstype op de Webex-gebruikerspagina.

Stel een standaard vergadertype in.

Gebruikers kunnen hun standaard vergadertype instellen via Vergaderingen > Instellingen op hun Webex-gebruikerspagina.

Stel het standaard vergaderingstype in via de Webex-gebruikerspagina.

Zero Trust end-to-end identiteits- en deepfake-preventie

Door de klant verstrekte identiteitscertificaten voor eindgebruikers vormen een essentieel onderdeel van het voorkomen van identiteitsfraude in end-to-end versleutelde (E2EE) Webex-vergaderingen. In tegenstelling tot traditionele deepfake-blokkeringsmechanismen die gebaseerd zijn op het analyseren van audio- en videostreams, biedt deze aanpak cryptografische identiteitsvalidatie op het moment van binnenkomst. Deze geverifieerde status wordt direct in de deelnemerslijst weergegeven, wat zorgt voor transparantie voor alle deelnemers.

Webex heeft de ondersteuning voor door klanten beheerde certificaten – die voorheen alleen beschikbaar was op RoomOS-apparaten – uitgebreid naar de Webex-app als onderdeel van onze functie 'Deepfake-preventie'. Organisaties kunnen hun eigen digitale certificaten aanvragen en beheren, die worden uitgegeven door vertrouwde externe certificeringsinstanties (CA's) met behulp van industriestandaardprotocollen zoals ACME. Deze certificaten, gebaseerd op X.509-standaarden en ECDSA P-256-sleutelparen, bieden cryptografisch bewijs van de identiteit van deelnemers tijdens E2EE-vergaderingen.

End-to-end geverifieerde identiteit en het MLS-protocol

Het Messaging Layer Security (MLS)-protocol maakt gebruik van standaard X.509-certificaten om deelnemers aan vergaderingen te authenticeren. Een certificaat is een digitaal ondertekende verklaring van een vertrouwde certificeringsinstantie (CA) die de identiteit van de houder van de ondertekenende sleutel verifieert. Deelnemers verkrijgen deze certificaten via twee hoofdmethoden:

• Beheerde apparaten (door de klant verstrekte certificaten)— Voor door de organisatie beheerde desktop- en mobiele clients kan een identiteitscertificaat van een vertrouwde CA op het apparaat worden geïnstalleerd. Wanneer een gebruiker inlogt met Single Sign-On (SSO), haalt de Webex-app dit certificaat op uit de vertrouwensopslag van het besturingssysteem om de geverifieerde identiteit van de gebruiker te presenteren. Dit proces wordt ook ondersteund voor Cisco-videoapparaten die geregistreerd zijn in de Webex-cloud.
• Standaard (door Webex verstrekte certificaten)—Als er geen door de klant verstrekt certificaat beschikbaar is, gebruikt de Webex-client of het apparaat automatisch een certificaat dat is uitgegeven door de Webex Certificate Authority, dat een door Cisco geverifieerde identiteit weerspiegelt.

Identiteitsdeling en terugvalmechanisme

Tijdens een vergadering deelt elke deelnemer zijn Webex-identiteitscertificaat en, indien beschikbaar, zijn door de klant verstrekte identiteitscertificaat met alle andere deelnemers. Om een naadloze verbinding te garanderen, volgt het Webex-eindpunt een strikte hiërarchie: Het systeem geeft prioriteit aan het door de klant verstrekte certificaat voor verificatie; als dat certificaat ontbreekt of de validatie niet doorstaat, schakelt het systeem automatisch over op het door Webex verstrekte identiteitscertificaat.

Status van gebruikersidentiteitsverificatie weergeven

Wanneer deelnemers via de Webex-app of RoomOS-apparaten met door de klant verstrekte certificaten deelnemen aan een vergadering, wordt hun identiteit door de andere deelnemers geverifieerd aan de hand van de uitgevende certificeringsinstantie (CA). Dit zorgt ervoor dat alleen geautoriseerde gebruikers worden herkend, waardoor aanvallers zich niet kunnen voordoen als legitieme deelnemers. Deze certificaten zijn immers uniek gekoppeld aan geverifieerde identiteiten en kunnen niet worden vervalst door Cisco of tussenpersonen.

De deelnemerslijst in een end-to-end versleutelde vergadering toont de identiteitsverificatiestatus van elke gebruiker:

• Zero-Trust E2E geverifieerd ( domein.com )—Wanneer een door de klant verstrekt identiteitscertificaat wordt gebruikt, wordt het domein van de deelnemer in blauwe tekst weergegeven. Dit duidt op een echte, end-to-end geverifieerde identiteit die Cisco niet kan manipuleren. In de deelnemerslijst van de vergadering ziet u bijvoorbeeld dat "Kevin" een geverifieerd e-mailadres van example.com in het blauw heeft weergegeven.
• Webex-geverifieerd ( domein.com)—Certificaten uitgegeven door een Webex CA bieden een beperkter beschermingsniveau. Hoewel dit beter is dan helemaal geen identiteitsbescherming, worden deze deelnemers niet gemarkeerd als "Zero Trust E2E geverifieerd". In plaats daarvan wordt hun identiteitsstatus in grijze tekst weergegeven, wat aangeeft dat de identiteit is geverifieerd door de Webex CA.
• Niet-geverifieerde gastgebruiker ( (Niet geverifieerd)—Hoewel de identiteit van gastdeelnemers niet wordt geverifieerd (omdat er geen aanmeldproces is), hebben ze toch een certificaat nodig om deel te nemen aan de MLS-groep voor een gesprek of vergadering. Dit certificaat is uitgegeven door een Webex CA en gebruikt "anonymous" als gebruikersnaam.

Bovendien helpt een beveiligingscode voor de vergadering, afgeleid van de cryptografische status van alle deelnemers, bij het detecteren van man-in-the-middle-aanvallen doordat deelnemers kunnen controleren of iedereen dezelfde beveiligde vergaderomgeving deelt. Door cryptografische identiteitsverificatie te combineren met end-to-end-encryptie, biedt deze functie voor "Deepfake-preventie" een robuuste bescherming tegen identiteitsfraude en bedreigingen door synthetische media, waardoor de integriteit en vertrouwelijkheid van vergaderingen op zowel Webex-app- als RoomOS-apparaten worden gewaarborgd.

Beheer van de uitrol van certificaten

Organisaties kunnen de uitrol en het beheer van deze door klanten verstrekte identiteitscertificaten voor eindgebruikers vereenvoudigen door ze te installeren op apparaten die onder bedrijfsbeheer vallen, met behulp van Mobile Device Management (MDM), Mobile Application Management (MAM) of Enterprise Mobility Management (EMM)-applicaties. Deze beheerplatformen stellen IT-beheerders in staat om certificaten en bijbehorend beveiligingsbeleid centraal te beheren, configureren en controleren voor een breed scala aan apparaten, zowel bedrijfsapparaten als privéapparaten. Microsoft Intune ondersteunt bijvoorbeeld zowel MDM- als MAM-functionaliteit, waarmee organisaties de Webex-app en de bijbehorende beveiligingsconfiguraties, inclusief identiteitscertificaten, op beheerde apparaten kunnen implementeren en beheren. Op vergelijkbare wijze biedt Cisco Meraki Systems Manager MDM-functionaliteiten voor het registreren van apparaten, het pushen van configuratieprofielen en het implementeren van certificaten om de vertrouwde status van apparaten te garanderen. Door gebruik te maken van deze beheersoplossingen wordt de administratieve last verminderd, het beheer van de certificaatlevenscyclus vereenvoudigd en de beveiliging van Webex E2EE-vergaderingen verbeterd met functies voor "deepfake-preventie".

De drie pijlers van identiteit

Effectief identiteits- en toegangsbeheer (IAM) voor Webex is afhankelijk van:

• Provisioning (CRUD) – Het beheren van de levenscyclus van gebruikers (aanmaken, lezen, bijwerken, verwijderen) om ervoor te zorgen dat de "bron van waarheid" overeenkomt met het samenwerkingsplatform.
• Authenticatie (AuthN) – Het verifiëren van de gebruikersidentiteit via beveiligde inloggegevens of tokens.
• Autorisatie (AuthZ) – Het definiëren van gedetailleerde machtigingen en API-toegangsniveaus na authenticatie.

Voorziening & Levenscyclusbeheer

Webex biedt verschillende methoden om gebruikers en groepen te synchroniseren:

• SCIM 2.0—De voorkeursstandaard voor de cloud. Het automatiseert de gebruikerslevenscyclus en zorgt ervoor dat bij het uitdiensttreden in de IdP de Webex-toegang automatisch wordt ingetrokken.
• Directory Connector—Een Cisco-tool voor hybride omgevingen, die een brug slaat tussen on-premises Active Directory (AD) en de Webex Cloud.
• API-gebaseerde provisioning— Maakt gebruik van de Webex "People API" voor het programmatisch aanmaken van gebruikers en het toewijzen van licenties in complexe omgevingen.
• Legacy LDAP—Ondersteund voor on-premises directory's (bijv. CUCM), maar minder geoptimaliseerd voor modern cloudverkeer.

Authenticatie & Autorisatiekaders

• Authenticatie (AuthN):

• SAML 2.0—De bedrijfsstandaard voor Single Sign-On (SSO). Webex fungeert als serviceprovider (SP) en valideert XML-assertions van de bedrijfs-IdP.
• OIDC (OpenID Connect)— Een moderne, lichtgewicht identiteitslaag gebouwd op OAuth 2.0 met behulp van JSON Web Tokens (JWT's). Het ondersteunt "Discovery URLs" voor geautomatiseerde configuratie.

• Autorisatie (AuthZ):

• OAuth 2.0— Beheert API-toegang via kortstondige toegangstokens (die scopes definiëren) en langdurige vernieuwingstokens. Het waarborgt de beveiliging via PKCE (Proof Key for Code Exchange) voor openbare clients.

Integratie & Multi-IdP-strategieën

Webex biedt speciale mogelijkheden voor naadloze integratie:

• Entra ID Wizard—De aanbevolen methode voor Microsoft-omgevingen. Het maakt gebruik van de Microsoft Graph API voor geavanceerde synchronisatie van attributen (avatars, hiërarchieën) en automatiseert OIDC/SAML configuratie.
• Duo Security—Voegt "Continue identiteitsbeveiliging" toe door de apparaatstatus te verifiëren en phishingbestendige MFA mogelijk te maken.

Ondersteuning voor meerdere IdP's:Webex stelt organisaties in staat om meerdere onafhankelijke identiteitsproviders te federeren binnen één centraal beheersysteem.

• Gebruiksscenario's: fusies, overnames of gedecentraliseerde IT-afdelingen.
• Routering—Authenticatieverzoeken worden gerouteerd op basis van domeinen of gebruikersgroepen.
• Overweging: Vereist strikte coördinatie om consistente beveiligingsrichtlijnen te handhaven voor alle gefedereerde bronnen.

Voorbeelden van de meest voorkomende IdP-identiteitsintegraties met Webex:

Beste praktijken en veerkracht

• SSO-herstel: gebruik altijd de ingebouwde link 'SSO-herstel' in Control Hub om SSO te omzeilen via een eenmalig wachtwoord (OTP) als de IdP-configuratie mislukt.
• Certificaatbeheer – Bewaak de vervaldatum van SAML-certificaten. De SSO-wizard automatiseert de uitwisseling van metadata, waardoor handmatige fouten worden verminderd.
• Probleemoplossing—Gebruik de SAML Tracer-tool om XML-asserties te inspecteren en NameID-formaten te valideren als er authenticatieproblemen optreden.
• Beveiligingsstatus: schaf verouderde toegangstypen regelmatig af en zorg ervoor dat PKCE wordt geïmplementeerd voor alle openbare clientintegraties.

Conclusie: Identiteit voor Webex-vergaderingen

Een robuuste identiteitsstrategie is een continu proces dat zijn hele levenscyclus doorloopt. Door SCIM te combineren voor provisioning, OIDC/SAML Met OAuth voor authenticatie en OAuth voor autorisatie kunnen organisaties een veilige en probleemloze ervaring voor gebruikers garanderen, terwijl ze tegelijkertijd strikte administratieve controle behouden.

Cisco Secure Development Lifecycle

Bij Cisco is beveiliging geen bijzaak. Het is een gedisciplineerde aanpak voor het van de grond af opbouwen en leveren van producten en diensten van wereldklasse. Alle productontwikkelingsteams van Cisco^® zijn verplicht de Cisco Secure Development Lifecycle te volgen. Het is een herhaalbaar en meetbaar proces dat is ontworpen om de veerkracht en betrouwbaarheid van Cisco-producten te vergroten. De combinatie van tools, processen en bewustmakingstrainingen die in alle fasen van de ontwikkelingscyclus worden geïntroduceerd, draagt bij aan een gelaagde beveiliging. Het biedt tevens een holistische benadering van productbestendigheid. Het productontwikkelingsteam van Webex volgt deze levenscyclus met grote toewijding in elk aspect van productontwikkeling.

Lees meer over de Veilige ontwikkelingslevenscyclus.

Cisco basisbeveiligingstools

De Cisco-organisatie voor beveiliging en vertrouwen biedt het proces en de benodigde tools waarmee elke ontwikkelaar een consistent standpunt kan innemen bij het nemen van een beveiligingsbeslissing.

Door speciale teams in te zetten voor het bouwen en leveren van dergelijke tools, wordt de onzekerheid in het productontwikkelingsproces weggenomen.

Enkele voorbeelden van hulpmiddelen zijn:

• Product Security Baseline (PSB)-vereisten waaraan producten moeten voldoen.
• Hulpmiddelen voor het bouwen van dreigingen die worden gebruikt tijdens het modelleren van dreigingen.
• Codeerrichtlijnen
• Gevalideerde of gecertificeerde bibliotheken die ontwikkelaars kunnen gebruiken in plaats van hun eigen beveiligingscode te schrijven.
• Tools voor het testen op beveiligingslekken (voor statische en dynamische analyse) die na de ontwikkeling worden gebruikt om te testen op beveiligingsfouten.
• Software die Cisco- en externe bibliotheken monitort en de productteams waarschuwt wanneer een kwetsbaarheid wordt gedetecteerd.

Organisatiestructuur die beveiliging waarborgt in Cisco-processen

Cisco heeft speciale afdelingen opgezet om beveiligingsprocessen in het hele bedrijf te implementeren en te beheren. Om voortdurend op de hoogte te blijven van beveiligingsdreigingen en -uitdagingen, vertrouwt Cisco op:

• Cisco Information Security (InfoSec) Cloud-team
• Cisco Product Security Incident Response Team (PSIRT)
• Gedeelde verantwoordelijkheid voor de veiligheid

Cisco InfoSec Cloud

Onder leiding van de Chief Security Officer voor Cloud is dit team verantwoordelijk voor het leveren van een veilige Webex-omgeving aan onze klanten. InfoSec bereikt dit door beveiligingsprocessen en -tools te definiëren en af te dwingen voor alle functies die betrokken zijn bij de levering van Webex aan onze klanten.

Daarnaast werkt Cisco InfoSec Cloud samen met andere teams binnen Cisco om te reageren op eventuele beveiligingsdreigingen voor de Webex-service.

Cisco InfoSec is tevens verantwoordelijk voor de continue verbetering van de beveiliging van Webex.

Cisco Product Security Incident Response Team (PSIRT)

Cisco PSIRT is een toegewijd wereldwijd team dat zich bezighoudt met het afhandelen, onderzoeken en rapporteren van beveiligingsproblemen met betrekking tot Cisco-producten en -diensten. PSIRT gebruikt verschillende media om informatie te publiceren, afhankelijk van de ernst van het beveiligingsprobleem. De wijze van rapporteren varieert afhankelijk van de volgende voorwaarden:

• Er bestaan softwarepatches of tijdelijke oplossingen om de kwetsbaarheid aan te pakken, of er is een latere openbare bekendmaking van codecorrecties gepland om ernstige kwetsbaarheden te verhelpen.
• PSIRT heeft actieve exploitatie van een kwetsbaarheid geconstateerd die een groter risico voor Cisco-klanten kan opleveren. PSIRT kan de publicatie van een beveiligingsmelding waarin de kwetsbaarheid wordt beschreven, versnellen, zelfs als er nog geen volledige patches beschikbaar zijn.
• Publieke bewustwording van een kwetsbaarheid die Cisco-producten treft, kan leiden tot een groter risico voor Cisco-klanten. Ook hier geldt dat PSIRT klanten mogelijk waarschuwt, zelfs als niet alle patches volledig beschikbaar zijn.

In alle gevallen geeft PSIRT de minimale hoeveelheid informatie vrij die eindgebruikers nodig hebben om de impact van een kwetsbaarheid te beoordelen en de nodige maatregelen te nemen om hun omgeving te beschermen. PSIRT gebruikt de Common Vulnerability Scoring System (CVSS)-schaal om de ernst van een gemeld probleem te rangschikken. PSIRT verstrekt geen details over kwetsbaarheden die iemand in staat zouden stellen een exploit te ontwikkelen.

Voor meer informatie over PSIRT, zie Cisco Product Security Incident Response Team.

Veiligheidsverantwoordelijkheid

Hoewel iedereen in de Webex-groep verantwoordelijk is voor de beveiliging, gelden de volgende hoofdregels:

• Hoofdbeveiligingsfunctionaris, Cloud
• Vicepresident en algemeen directeur van Cisco Cloud Collaboration Applications
• Vicepresident Engineering, Cisco Cloud Collaboration Applications
• Vicepresident Productmanagement, Cisco Cloud Collaboration Applications

Interne en externe penetratietests

De Webex-groep voert regelmatig grondige penetratietests uit met behulp van interne testers. Naast de eigen strenge interne procedures schakelt Cisco InfoSec ook meerdere onafhankelijke derde partijen in om grondige audits uit te voeren op basis van het interne beleid, de procedures en de applicaties van Cisco. Deze audits zijn ontworpen om bedrijfsspecifieke beveiligings vereisten voor zowel commerciële als overheids toepassingen te valideren. Cisco maakt ook gebruik van externe leveranciers voor het uitvoeren van doorlopende, diepgaande, code-ondersteunde penetratietests en servicebeoordelingen. Als onderdeel van de afspraak voert een derde partij de volgende beveiligings evaluaties uit:

• Het identificeren van kritieke kwetsbaarheden in applicaties en services en het voorstellen van oplossingen.
• Het aanbevelen van algemene gebieden voor architectonische verbetering.
• Het opsporen van codeerfouten en het geven van advies over het verbeteren van de codeerpraktijk.

Externe beoordelaars werken rechtstreeks samen met de technische medewerkers van Webex om de bevindingen toe te lichten en de herstelmaatregelen te valideren. Raadpleeg het Webex Meetings Letters of Attestation Trust Package voor informatie over de attestatie van penetratietesten.

Fysieke beveiliging

De fysieke beveiliging van het datacenter omvat videobewaking van faciliteiten en gebouwen en verplichte tweefactorauthenticatie bij de toegang. In Cisco-datacenters wordt de toegang geregeld door een combinatie van badgelezers en biometrische toegangscontrole. Daarnaast zorgen omgevingsbeheersingssystemen (zoals temperatuursensoren en brandblussystemen) en infrastructuur voor bedrijfscontinuïteit (zoals noodstroomvoorzieningen) ervoor dat systemen zonder onderbrekingen blijven functioneren.

De servers in datacenters zijn ingedeeld in 'vertrouwenszones' op basis van de gevoeligheid van de infrastructuur. Zo zijn bijvoorbeeld databases afgeschermd, heeft de netwerkinfrastructuur aparte ruimtes en zijn alle apparatuurrekken vergrendeld. Alleen beveiligingspersoneel van Cisco en geautoriseerde bezoekers onder begeleiding van Cisco-personeel hebben toegang tot de datacenters.

Het productienetwerk van Cisco is een zeer betrouwbaar netwerk: Slechts een zeer klein aantal mensen met een hoog vertrouwensniveau heeft toegang tot het netwerk.

Infrastructuur- en platformbeveiliging

Platformbeveiliging omvat de beveiliging van het netwerk, de systemen en het gehele Webex-datacenter. Alle systemen ondergaan een grondige beveiligingscontrole en acceptatievalidatie voordat ze in productie worden genomen, evenals regelmatige beveiligingsupdates, patches en kwetsbaarheidsscans en -beoordelingen.

Servers worden beveiligd met behulp van de Security Technical Implementation Guidelines (STIGs) die zijn gepubliceerd door het National Institute of Standards and Technology (NIST). Firewalls beschermen de netwerkperimeter. Toegangscontrolelijsten (ACL's) scheiden de verschillende beveiligingszones van elkaar. Inbraakdetectiesystemen (IDS'en) zijn geïnstalleerd en activiteiten worden continu geregistreerd en gemonitord. Dagelijks worden er interne en externe beveiligingsscans uitgevoerd binnen Webex. Alle systemen worden beveiligd en van patches voorzien als onderdeel van regulier onderhoud. Daarnaast worden er continu kwetsbaarheidsscans en -beoordelingen uitgevoerd.

Servicecontinuïteit en herstel na rampen zijn cruciale onderdelen van de beveiligingsplanning. Het ontwerp van Cisco-datacenters met wereldwijde sitebackups en hoge beschikbaarheid maakt geografische failover van Webex-diensten mogelijk. Er is geen sprake van één enkel faalpunt.

Administratieve gegevens

Informatie over werknemers of vertegenwoordigers van een klant of andere derde partij die door Cisco wordt verzameld en gebruikt om de levering van producten of diensten door Cisco te beheren, of om de account van de klant of derde partij te beheren voor de eigen bedrijfsdoeleinden van Cisco.

Administratieve gegevens kunnen de naam, het adres, het telefoonnummer, het e-mailadres en informatie over de contractuele verplichtingen tussen Cisco en een derde partij omvatten, ongeacht of deze gegevens zijn verzameld tijdens de initiële registratie of later in verband met het beheer of de administratie van Cisco-producten of -diensten.

Administratieve gegevens kunnen ook de titel van de vergadering, het tijdstip en andere kenmerken bevatten van de vergaderingen die via Webex worden gehouden door medewerkers of vertegenwoordigers van een klant. Andere voorbeelden van administratieve gegevens kunnen de titel van de vergadering, het tijdstip van de vergadering en andere kenmerken van de vergaderingen die via Webex worden gehouden, omvatten.

Klantgegevens

Dit omvat alle gegevens (inclusief tekst, audio, video, afbeeldingsbestanden en opnames) die door een klant aan Cisco worden verstrekt in verband met het gebruik van Cisco-producten of -diensten door die klant, of die door Cisco worden ontwikkeld op specifiek verzoek van een klant op basis van een werkomschrijving of contract.

Klantgegevens omvatten ook logbestanden, configuratiebestanden, firmwarebestanden en core dumps.

Het betreft gegevens afkomstig van een product of dienst die aan Cisco worden verstrekt om ons te helpen bij het oplossen van een probleem in verband met een ondersteuningsverzoek. Klantgegevens omvatten geen administratieve gegevens, ondersteuningsgegevens of telemetriegegevens.

Ondersteunende gegevens

Informatie die Cisco verzamelt wanneer een klant een verzoek indient voor ondersteuning of andere probleemoplossing, inclusief informatie over hardware of software. Het bevat details met betrekking tot het ondersteuningsincident, zoals authenticatiegegevens, informatie over de status van het product, systeem- en registergegevens over software-installaties en hardwareconfiguraties, en foutregistratiebestanden. Ondersteuningsgegevens omvatten niet logbestanden, configuratiebestanden of firmwarebestanden, noch core dumps die van een product zijn verkregen en aan ons zijn verstrekt om ons te helpen bij het oplossen van een probleem in verband met een ondersteuningsverzoek. Dit zijn allemaal voorbeelden van klantgegevens.

Telemetriegegevens

Informatie gegenereerd door instrumentatie- en logsystemen die ontstaan zijn tijdens het gebruik en de werking van het product of de dienst.

Alle gegevens die in de Webex-cloud worden verzameld, worden beschermd door meerdere lagen van robuuste beveiligingstechnologieën en -processen. Hieronder volgen voorbeelden van beveiligingsmaatregelen die in verschillende lagen van Webex-processen zijn geïmplementeerd om klantgegevens te beschermen:

• Fysieke toegangscontrole— Fysieke toegang wordt gecontroleerd door middel van biometrie, badges en videobewaking. Toegang tot het datacenter vereist goedkeuring en wordt beheerd via een elektronisch ticketsysteem.
• Netwerktoegangscontrole—De netwerkperimeter van Webex wordt beschermd door firewalls. Al het netwerkverkeer dat het Webex-datacenter binnenkomt of verlaat, wordt continu bewaakt met behulp van een inbraakdetectiesysteem (IDS). Het Webex-netwerk is ook onderverdeeld in afzonderlijke beveiligingszones. Het verkeer tussen de zones wordt gecontroleerd door firewalls en toegangscontrolelijsten (ACL's).
• Controlemechanismen voor infrastructuurbewaking en -beheer— Elk onderdeel van de infrastructuur, inclusief netwerkapparaten, applicatieservers en databases, is beveiligd volgens strenge richtlijnen. Ze worden ook regelmatig gescand om eventuele beveiligingsproblemen op te sporen en aan te pakken.
• Cryptografische controles—Zoals eerder vermeld, zijn alle gegevens van en naar het Webex-datacenter naar in de cloud geregistreerde Webex-apps en Webex-apparaten versleuteld, met uitzondering van PSTN-verkeer en onversleuteld verkeer. SIP/H323 videoapparaten in een cloudgebaseerde vergadering. Bovendien worden cruciale gegevens die in Webex zijn opgeslagen, zoals wachtwoorden, versleuteld.

Cisco-medewerkers hebben geen toegang tot klantgegevens, tenzij de klant hierom verzoekt in verband met ondersteuning. In dit geval is toegang tot systemen alleen toegestaan door de manager in overeenstemming met het principe van functiescheiding. Toegang wordt alleen verleend op basis van het 'need-to-know'-principe en met slechts het niveau dat nodig is om de taak uit te voeren. De toegang van medewerkers tot deze systemen wordt ook regelmatig gecontroleerd op naleving van de regels. Werknemers met dergelijke toegang zijn verplicht om jaarlijks de ISO 27001-training (International Organization for Standardization) over informatiebeveiliging te volgen.

Naast deze specifieke controles ondergaat elke Cisco-medewerker een antecedentenonderzoek, tekent een geheimhoudingsverklaring (NDA) en volgt een training over de gedragscode voor bedrijven (COBC).

Gezondheid van de poortbaarheid en verantwoordelijkheidswet (HIPAA)

Cisco kan informatie verstrekken over de functionaliteit, technologie en beveiliging van Webex. Een entiteit die onder de HIPAA-regelgeving valt, moet haar eigen juridisch adviseur raadplegen om te bepalen of de functionaliteit van Webex voldoet aan de eisen van haar bedrijfsprocessen en of deze voldoet aan de AVG (Algemene Verordening Gegevensbescherming).

• GDPR-naleving
• Openbaarmaking van het aanbod van Cisco Webex Meetings

Industriestandaarden en certificeringen

Webex voldoet niet alleen aan onze strenge interne normen, maar laat zich ook continu door derden valideren om onze toewijding aan informatiebeveiliging aan te tonen. Webex is:

• ISO 27001, 27017, 27018 en 27701 gecertificeerd
• Service Organization Controls (SOC) 2 Type II gecontroleerd
• SOC 3-gecertificeerd
• Gedragscode voor de cloud
• CSTAR
• attestatie van de Cloud Computing Compliance Controls Catalogue (C5)
• FedRAMP-gecertificeerd (bezoek ) cisco.com/go/fedramp voor meer details, omvang en beschikbaarheid)

Raadpleeg de Cisco Trust Portal voor een complete set documenten over beveiliging, privacy en compliance, inclusief details over de bovenstaande standaarden en certificeringen.