Obrigado pelos seus comentários.

Serviços e componentes principais do Webex Meetings

• O Webex Meetings faz parte do Webex Suite, que oferece diversas ferramentas e recursos. audio/video Conferências com recursos de compartilhamento de conteúdo e videoconferência.
• A plataforma inclui diversos microsserviços, como Serviço de Reuniões, Serviço de Webinários, Serviço de Identidade, Serviço de Gravação, Serviço de Assistente de IA, Serviço de Análise, Serviço Administrativo e Serviço de Mídia.
• O Webex Meetings é compatível com aplicativos e dispositivos registrados na nuvem, permitindo que os usuários participem de reuniões a partir de diversas plataformas de sistemas operacionais e dispositivos. Os usuários também podem participar de reuniões via PSTN e com terminais SIP.

Arquitetura e Implantação

• Os serviços do Webex Meetings são regionalizados e replicados em vários centros de dados independentes para garantir redundância e alta disponibilidade.
• Os serviços de mídia são distribuídos globalmente com clusters de servidores de mídia em cada centro de dados, proporcionando redundância local e geográfica.
• Os servidores de mídia gerenciam voz, vídeo e compartilhamento de conteúdo, sendo que a mídia geralmente é criptografada usando AES-256-GCM.
• A arquitetura suporta sinalização criptografada sobre TLS/HTTPS e fluxos de mídia criptografados.

O Webex permite participar de reuniões a partir de diversas plataformas e dispositivos, incluindo:

• Aplicativo Webex para desktop no Windows, Mac e Linux.
• Aplicativo móvel Webex para Android e iOS.
• Aplicativo web Webex compatível com Chrome, Edge, Safari, Firefox e outros navegadores.
• Dispositivos de sala e dispositivos de mesa da Cisco.
• Terminais de áudio e vídeo de terceiros baseados em padrões SIP.
• Dispositivos PSTN.

Soberania do Cliente Webex

Em resposta à crescente demanda por residência de dados, a Webex introduziu recursos aprimorados de soberania. Começando pela gravação e com suporte para mais serviços no futuro, as organizações agora podem manter o controle sobre o conteúdo de suas reuniões com:

• Processamento localizado— Processamento de conteúdo de reuniões, como gravações, dentro de sua própria infraestrutura.
• Armazenamento local—Utilizando seus próprios serviços de armazenamento de arquivos para armazenar ativos de reuniões confidenciais, garantindo que os dados permaneçam dentro dos limites geográficos ou organizacionais especificados.

Reuniões Webex ultrasseguras

Historicamente, os recursos "ultra seguros", como a criptografia de ponta a ponta de confiança zero (E2EE), muitas vezes exigiam um compromisso na funcionalidade das reuniões, já que os serviços de valor agregado baseados em nuvem exigiam acesso às chaves de criptografia e apenas um número limitado de tipos de endpoints podia participar dessas reuniões. A Webex eliminou essa necessidade de compensação com:

• Zero Trust Rico em Recursos— O Webex transformou as reuniões com criptografia de ponta a ponta (E2EE) Zero Trust, adicionando funcionalidades que tornam as reuniões Zero Trust ricas em recursos. O suporte a um número maior de tipos de endpoints proporciona uma experiência perfeita sem sacrificar as ferramentas necessárias para a colaboração moderna.
• Zero Trust para reuniões padrão— O Webex integrou recursos de Zero Trust E2EE diretamente em reuniões padrão. Isso garante que até mesmo a colaboração do dia a dia possa se beneficiar dos mais altos níveis de segurança, proporcionando proteção consistente em todo o ecossistema Webex.

Uma abordagem unificada para a colaboração

Ao integrar a Soberania do Cliente com esses recursos avançados de Zero Trust E2EE, a Webex capacita as organizações a atingirem um objetivo duplo: Hospedar reuniões altamente seguras e com Zero Trust na nuvem Webex, mantendo o controle total sobre o processamento e o armazenamento do conteúdo crítico da reunião localmente. Essa sinergia proporciona a flexibilidade e a segurança necessárias para ambientes empresariais modernos e orientados para a conformidade.

Ampliando o perímetro de segurança com o Video Mesh Node

Adicionar um nó Video Mesh a uma organização permite que os clientes forneçam serviços de reunião locais e que seus endpoints locais participem de qualquer reunião do Webex. Do ponto de vista da segurança, a integração de um nó Video Mesh mantém o princípio Zero Trust na nuvem Webex, oferecendo ao mesmo tempo funcionalidades quase idênticas às das reuniões Webex padrão. Os clientes também se beneficiam da soberania dos dados, uma vez que serviços como as gravações de reuniões do Video Mesh Node são processados e armazenados localmente.

Utilizar a criptografia de ponta a ponta Zero Trust pode adicionar alguns segundos extras ao tempo de entrada em uma reunião, mas oferece uma garantia de segurança clara — somente os participantes da reunião têm acesso às chaves de criptografia, portanto, o conteúdo da reunião não pode ser descriptografado pelo provedor de serviços ou outros intermediários.

Resumo: Webex Meetings e modelos de implantação híbrida

Conforme demonstrado na comparação acima, a implementação do Video Mesh Node (VMN) permite que as reuniões Webex de Confiança Zero alcancem quase a mesma funcionalidade das reuniões Webex padrão. Embora as reuniões Zero Trust não sejam compatíveis com participantes da PSTN, o aplicativo Webex baseado na web serve como uma alternativa amplamente disponível para acesso criptografado de ponta a ponta. Além disso, a VMN permite que funcionários de escritório que usam telefones fixos participem de reuniões Zero Trust sem problemas.

O Video Mesh Node também garante a soberania dos dados para conteúdo crítico de reuniões, incluindo gravações e — em um futuro próximo — transcrições, resumos e itens de ação. Ao processar e armazenar esses dados localmente, a VMN oferece aos clientes controle total sobre suas informações, mantendo uma arquitetura de Confiança Zero na nuvem Webex.

Sinalização Webex criptografada

Os serviços Webex são compatíveis com as versões 1.2 e 1.3 do TLS, sendo a versão 1.3 preferencial quando suportada pelo ponto de extremidade de conexão. Se um cliente suportar apenas TLS 1.2, o servidor Webex selecionará o conjunto de cifras comum mais forte oferecido pelo cliente. Diferentemente do TLS 1.2, o TLS 1.3 não utiliza a seleção de conjuntos de cifras com base nas preferências do servidor, pois se baseia em um conjunto menor e selecionado de cifras modernas. Este design simplifica o processo de seleção, focando-se mais em melhorias de desempenho, como a redução da duração total do handshake, mantendo ao mesmo tempo uma forte segurança. Os conjuntos de cifras para TLS 1.2 e 1.3 usados pelo Webex são bem definidos e priorizados para garantir uma comunicação segura.

Conjuntos de cifras TLS

Conjuntos de cifras TLS 1.3 (os servidores TLS 1.3 não usam uma ordem de preferência para a seleção do conjunto de cifras)

Conjuntos de cifras TLS 1.2 (conjuntos na ordem de preferência do servidor)

Os algoritmos de criptografia AES_256_CBC e AES_128_CBC são suportados para manter a compatibilidade com sistemas legados, navegadores antigos e dispositivos embarcados que não suportam algoritmos AEAD (Authenticated Encryption with Associated Data) modernos, como o AES-GCM, por exemplo, o Internet Explorer 11 no Windows 7 e Windows 8.1, Safari. 6/7/8 As primeiras versões do iOS e do MacOS usam cifras baseadas em CBC.

O CHACHA20_POLY1305 é uma cifra de fluxo que tem baixa dependência de hardware, tornando-a uma cifra superior para uso em dispositivos móveis ou dispositivos com CPUs de baixa potência.

Padrões de criptografia de mídia para Webex

As reuniões e chamadas do Webex utilizam criptografia robusta baseada em AES para todos os pacotes de mídia. O conjunto de cifras específico depende do tipo de endpoint, sendo o AES-256-GCM o padrão preferido para segurança ideal.

Principais considerações de segurança

• Padrão Preferencial—AES-256-GCM é a cifra recomendada para todas as implementações para garantir o mais alto nível de integridade e confidencialidade dos dados.
• Interoperabilidade—Embora o Webex mantenha o suporte para cifras legadas (como AES-CM-128-HMAC-SHA1) para garantir a interoperabilidade com sistemas SIP e H.323 de terceiros, as organizações que priorizam uma arquitetura de confiança zero devem impor o AES-256-GCM onde a compatibilidade do dispositivo permitir.

Protocolos de Transporte de Mídia

O Webex suporta transporte de mídia via UDP, TCP ou TLS. Para um desempenho ideal de voz e vídeo, a Cisco recomenda fortemente UDP.

Considerações sobre o desempenho:

• Eficiência em tempo real— O UDP é o transporte preferido para mídia em tempo real, pois minimiza a latência e o jitter, evitando os mecanismos de retransmissão e buffer inerentes aos protocolos orientados à conexão.
• Impacto de TCP/TLS—Embora o TCP e o TLS forneçam entrega de dados confiável e ordenada, esse comportamento é contraproducente para mídia em tempo real. As retransmissões de pacotes e o armazenamento em buffer de fluxo resultantes introduzem latência e jitter, o que pode degradar significativamente a qualidade da experiência dos participantes.

O Webex utiliza SRTP e SFrame para mídia.

Para manter os altos padrões de segurança exigidos para ambientes Webex Zero Trust, é importante distinguir entre segurança em nível de transporte (SRTP) e criptografia de ponta a ponta na camada de aplicação (SFrame).

Principais distinções técnicas — SRTP & SFrame

1. SRTP (Protocolo de Transporte Seguro em Tempo Real)

   SRTP é o padrão da indústria para proteger fluxos de mídia em trânsito.

   • Escopo— Fornece confidencialidade, autenticação de mensagens e proteção contra repetição para a carga útil RTP.
   • Contexto Operacional—Em muitas arquiteturas, o Servidor de Mídia/Gateway de Mídia (Unidade de Encaminhamento Seletivo (SFU)) encerra a conexão SRTP para realizar o processamento de mídia (por exemplo, mixagem, composição de layout ou transcodificação). Como o SFU descriptografa a mídia para processá-la, a mídia fica tecnicamente vulnerável no ponto do SFU.
2. SFrame (Quadro Seguro)

   SFrame é um padrão IETF. A RFC 9605 foi projetada especificamente para facilitar a verdadeira criptografia de ponta a ponta em um ambiente de conferência com várias partes.

   • Escopo— Criptografa quadros de mídia em pacotes antes de serem encapsulados em pacotes RTP. O Webex adiciona uma camada extra de criptografia usando SRTP.
   • Arquitetura de Confiança Zero—Como a mídia é criptografada na camada de aplicação, o SFU atua apenas como um repetidor "cego". Ele encaminha os pacotes criptografados para outros participantes sem nunca ter acesso às chaves de descriptografia.
   • Independência—SFrame é agnóstico em relação ao transporte. Permanece seguro mesmo se o transporte subjacente (UDP/TCP/TLS) está comprometido, pois o contexto de segurança está vinculado aos endpoints dos participantes, e não à conexão de transporte.

O SFrame é o mecanismo essencial que viabiliza a criptografia de ponta a ponta (E2EE). Enquanto o SRTP garante que os dados sejam criptografados ao trafegarem pela rede, o SFrame assegura que a mídia permaneça criptografada durante todo o ciclo de vida da reunião, inclusive enquanto estiver na infraestrutura da Cisco (a SFU), removendo efetivamente o provedor de serviços do limite de confiança.

Conteúdo para reuniões Webex

O conteúdo da reunião consiste em dados criados pelos participantes ou gerados pelos serviços Webex em nome do organizador da reunião. o que inclui:

• Conteúdo relacionado à mídia— Gravações, transcrições, resumos e itens de ação.
• Dados de colaboração— Mensagens de bate-papo, shared/transferred Arquivos, quadros brancos e anotações.

Segurança de conteúdo do Webex Meetings — Criptografia de ponta a ponta do Webex

O Webex protege o conteúdo das reuniões gerado pelos participantes usando uma estrutura robusta de criptografia de ponta a ponta (E2EE). O elemento central desta arquitetura é o Webex Key Management Service (KMS), que é responsável por gerar, distribuir e gerenciar as chaves de criptografia para todo o conteúdo gerado pelo usuário.

Reuniões sobre as camadas de segurança de conteúdo

• Dados em trânsito— O aplicativo Webex e os dispositivos de vídeo da Cisco usam criptografia de ponta a ponta (E2EE) do Webex com AES-256-GCM para criptografar o conteúdo da reunião gerado pelo usuário, como arquivos de gravação, arquivos de resumo de IA, mensagens de bate-papo, etc. Isso é ainda encapsulado dentro do Transport Layer Security (TLS) para fornecer proteção de dupla camada durante a transmissão.
• Dados em repouso—Uma vez armazenado na nuvem Webex, o conteúdo criptografado é adicionalmente protegido pela criptografia de disco AES-256-GCM.
• Perfil de proteção— Esta abordagem protege o conteúdo da interceptação TLS durante a transmissão e garante que os dados armazenados permaneçam inacessíveis a agentes não autorizados no ambiente de nuvem.

Criptografia de ponta a ponta do Webex com acesso gerenciado ao conteúdo para serviços principais.

Ao contrário da criptografia de ponta a ponta Zero Trust, em que o Webex não tem acesso às chaves de criptografia de mídia ou conteúdo, a criptografia de ponta a ponta do Webex permite que a plataforma utilize as chaves geradas pelo Webex KMS para descriptografar dados de serviços essenciais do núcleo do sistema. Este acesso gerenciado permite:

• Pesquisa e indexação— Permite que os usuários pesquisem no histórico de conteúdo.
• Conformidade e Governança— Permite a Prevenção de Perda de Dados (DLP), Descoberta Eletrônica e arquivamento de dados.
• Otimização de mídia— Suporta transcodificação de arquivos para compatibilidade entre dispositivos.
• Segurança—Facilita a verificação de malware usando o Pacote de Segurança Estendida.

Metadados de reuniões do Webex

Os metadados de reuniões consistem nas informações administrativas e técnicas geradas pelo sistema para facilitar, acompanhar e gerenciar uma reunião, e não no conteúdo real (áudio, vídeo ou arquivos compartilhados) da própria reunião. Os metadados podem ser divididos em várias categorias:

• Informações da sessão—Título da reunião, ID da reunião, horários de início e término programados e a duração real da reunião.
• Dados do Participante— Uma lista de convidados e participantes reais, seus endereços IP, tipos de dispositivos (como Windows, iPhone, Cisco Room Kit) e seus join/leave carimbos de data/hora.
• Métricas de uso e qualidade—Dados usados para solução de problemas, como perda de pacotes, jitter, latência e resolução do fluxo de vídeo.

Como os metadados são usados

1. Análises e Relatórios— Os administradores usam metadados no WebexControl Hub para ver quantas reuniões estão acontecendo, quais departamentos são mais ativos e a qualidade geral da experiência.
2. Resolução de problemas— O Cisco TAC (Centro de Assistência Técnica) usa metadados para identificar e resolver problemas de reunião.
3. Conformidade e Descoberta Eletrônica— Os responsáveis pela conformidade podem pesquisar metadados para comprovar que uma reunião ocorreu, quem estava presente e se foi gravada, mesmo que não possam ver o conteúdo criptografado da reunião.
4. Segurança—Os metadados ajudam a identificar tentativas de acesso não autorizado ou padrões incomuns que podem indicar uma ameaça à segurança.

Segurança e privacidade dos metadados

• Criptografia—Embora os metadados não sejam "criptografados de ponta a ponta", eles ainda são criptografados em trânsito (usando TLS) e em repouso nos data centers seguros da Cisco.
• Controle de acesso— As políticas de privacidade da Cisco limitam estritamente quem pode acessar esses metadados, e eles são usados para fornecer e melhorar o serviço.

Para obter mais informações sobre o conteúdo e os metadados das reuniões do Webex, consulte a Divulgação da Oferta de Reuniões do Webex.

Atribuição de tipos de sessão de reunião aos usuários

Os administradores do Webex Control Hub podem atribuir um ou mais tipos de reunião que seus usuários podem usar para reuniões agendadas. Por padrão, todos os usuários são atribuídos aos tipos de reunião Pro Meeting e Pro-End to End Encryption_VoIPonly.

Agendar uma reunião — Selecione o tipo de reunião

Os usuários podem selecionar o tipo de reunião que desejam usar ao agendar uma reunião no aplicativo Webex, na página do usuário do Webex e no suplemento de e-mail do Webex para Microsoft Outlook.

Agendar uma reunião — Selecione o tipo de reunião no aplicativo Webex

Agendar uma reunião — Selecione o tipo de reunião na página do usuário do Webex.

Defina um tipo de reunião padrão

Os usuários podem definir seu tipo de reunião padrão em Reuniões > Configurações na página de usuário do Webex.

Defina o tipo de reunião padrão na página do usuário do Webex.

Identidade de ponta a ponta com confiança zero e prevenção de deepfakes

Os certificados de identidade do usuário final fornecidos pelo cliente são fundamentais para evitar a falsificação de identidade em reuniões com criptografia de ponta a ponta (E2EE) do Webex. Ao contrário dos mecanismos tradicionais de bloqueio de deepfakes, que dependem da análise de fluxos de áudio e vídeo, essa abordagem fornece validação criptográfica de identidade no ponto de admissão. Esse status de verificação é exibido diretamente na lista de participantes da reunião, proporcionando transparência a todos os presentes.

A Webex estendeu o suporte para certificados gerenciados pelo cliente — anteriormente disponível em dispositivos RoomOS — ao aplicativo Webex como parte do nosso recurso de "prevenção de deepfakes". As organizações podem provisionar e gerenciar seus próprios certificados digitais, emitidos por Autoridades de Certificação (ACs) externas confiáveis, usando protocolos padrão do setor, como o ACME. Esses certificados, baseados nos padrões X.509 e em pares de chaves ECDSA P-256, fornecem prova criptográfica da identidade do participante durante reuniões E2EE.

Identidade verificada de ponta a ponta e o protocolo MLS

O protocolo Messaging Layer Security (MLS) utiliza certificados X.509 padrão para autenticar os participantes da reunião. Um certificado é uma declaração assinada digitalmente por uma Autoridade Certificadora (AC) confiável que verifica a identidade do detentor da chave de assinatura. Os participantes obtêm esses certificados por meio de dois métodos principais:

• Dispositivos Gerenciados (Certificados Fornecidos pelo Cliente)—Para clientes de desktop e móveis gerenciados pela organização, um certificado de identidade de uma CA confiável pode ser instalado no dispositivo. Quando um usuário faz login usando o Single Sign-On (SSO), o aplicativo Webex recupera esse certificado do repositório de certificados confiáveis do sistema operacional para apresentar a identidade verificada do usuário. Esse processo também é compatível com dispositivos de vídeo Cisco registrados na nuvem Webex.
• Padrão (Certificados fornecidos pelo Webex)— Se nenhum certificado fornecido pelo cliente estiver disponível, o cliente ou dispositivo Webex usa automaticamente um certificado emitido pela Autoridade de Certificação Webex, que reflete uma identidade verificada pela Cisco.

Compartilhamento de identidade e mecanismo de contingência

Durante uma reunião, cada participante compartilha seu certificado de identidade do Webex e, se disponível, seu certificado de identidade fornecido pelo cliente com todos os outros participantes. Para garantir uma conectividade perfeita, o endpoint do Webex segue uma hierarquia rigorosa: O sistema prioriza a verificação do certificado fornecido pelo cliente; caso esse certificado esteja ausente ou falhe na validação, ele automaticamente utiliza o certificado de identidade fornecido pela Webex.

Exibindo o status de verificação da identidade do usuário

Quando os participantes entram em uma reunião usando o aplicativo Webex ou dispositivos RoomOS com certificados fornecidos pelo cliente, suas identidades são verificadas pelos outros membros da reunião em relação à Autoridade Certificadora (CA) emissora. Isso garante que apenas usuários autorizados sejam reconhecidos, impedindo que invasores se façam passar por participantes legítimos, já que esses certificados estão vinculados exclusivamente a identidades verificadas e não podem ser falsificados pela Cisco ou por intermediários.

A lista de participantes em uma reunião criptografada de ponta a ponta exibe o status de verificação de identidade de cada usuário:

• Zero-Trust E2E Verificado ( domínio.com )—Quando um certificado de identidade fornecido pelo cliente é usado, o domínio do participante é exibido em texto azul. Isso indica uma identidade verdadeira, verificada de ponta a ponta, que a Cisco não pode adulterar. Por exemplo, na lista de participantes da reunião, você pode ver que "Kevin" tem um endereço de e-mail verificado do example.com em azul.
• Verificado pela Webex ( domínio.com)—Os certificados emitidos por uma CA da Webex fornecem um nível de proteção mais limitado. Embora seja melhor do que não ter nenhuma proteção de identidade, esses participantes não são marcados como "Verificados de ponta a ponta Zero Trust". Em vez disso, o status da identidade é exibido em texto cinza, indicando que a identidade foi verificada pela Autoridade Certificadora Webex.
• Usuário convidado não verificado ( (Não verificado) — Embora a identidade dos participantes convidados não seja autenticada (já que não há processo de login), eles ainda precisam de um certificado para participar de uma chamada ou reunião do grupo MLS. Este certificado foi emitido por uma Autoridade Certificadora (CA) da Webex e utiliza "anonymous" como nome de usuário.

Além disso, um código de segurança da reunião derivado do estado criptográfico de todos os participantes ajuda a detectar ataques do tipo "pessoa no meio", permitindo que os participantes verifiquem se todos compartilham o mesmo contexto de reunião seguro. Ao combinar a verificação criptográfica de identidade com a criptografia de ponta a ponta, esse recurso de "prevenção de deepfakes" oferece uma defesa robusta contra ameaças de falsificação de identidade e mídia sintética, protegendo a integridade e a confidencialidade das reuniões tanto no aplicativo Webex quanto em dispositivos RoomOS.

Gerenciamento da implementação de certificados

As organizações podem simplificar a implementação e o gerenciamento desses certificados de identidade de usuário final fornecidos pelo cliente, instalando-os em dispositivos gerenciados corporativamente por meio de aplicativos de Gerenciamento de Dispositivos Móveis (MDM), Gerenciamento de Aplicativos Móveis (MAM) ou Gerenciamento de Mobilidade Empresarial (EMM). Essas plataformas de gerenciamento permitem que os administradores de TI provisionem, configurem e controlem centralmente certificados e políticas de segurança relacionadas em uma ampla gama de dispositivos, sejam eles de propriedade da empresa ou pessoais. Por exemplo, o Microsoft Intune oferece suporte a recursos de MDM e MAM que permitem às organizações implantar e gerenciar o aplicativo Webex e suas configurações de segurança, incluindo certificados de identidade, em dispositivos gerenciados. Da mesma forma, o Cisco Meraki Systems Manager oferece recursos de MDM para cadastrar dispositivos, enviar perfis de configuração e implantar certificados para garantir o status de dispositivo confiável. A utilização dessas soluções de gerenciamento reduz a sobrecarga administrativa, simplifica o gerenciamento do ciclo de vida dos certificados e aprimora a segurança das reuniões Webex E2EE com recursos de "prevenção de deepfakes".

Os três pilares da identidade

A gestão eficaz de identidade e acesso (IAM) para o Webex depende de:

• Provisionamento (CRUD) — Gerenciamento do ciclo de vida do usuário (Criação, Leitura, Atualização, Exclusão) para garantir que a "Fonte da Verdade" corresponda à plataforma de colaboração.
• Autenticação (AuthN) — Verificação da identidade do usuário por meio de credenciais ou tokens seguros.
• Autorização (AuthZ) — Definição de permissões granulares e níveis de acesso à API após a autenticação.

Provisionamento & Gestão do Ciclo de Vida

O Webex oferece suporte a vários métodos para sincronizar usuários e grupos:

• SCIM 2.0—O padrão de nuvem preferido. Automatiza o ciclo de vida do usuário, garantindo que o desligamento no IdP revogue automaticamente o acesso ao Webex.
• Directory Connector—Uma ferramenta da Cisco para ambientes híbridos, que conecta o Active Directory (AD) local à Nuvem Webex.
• Provisionamento baseado em API— Usa a "API de Pessoas" do Webex para criação programática de usuários e atribuição de licenças em ambientes complexos.
• LDAP legado—Suportado para diretórios locais (por exemplo, CUCM), embora menos otimizado para tráfego de nuvem moderno.

Autenticação & Estruturas de autorização

• Autenticação (AuthN):

• SAML 2.0—O padrão empresarial para Single Sign-On (SSO). A Webex atua como Provedor de Serviços (SP), validando as declarações XML do IdP corporativo.
• OIDC (OpenID Connect)—Uma camada de identidade moderna e leve construída sobre OAuth 2.0 usando JSON Web Tokens (JWTs). Ele oferece suporte a "URLs de descoberta" para configuração automatizada.

• Autorização (AuthZ):

• OAuth 2.0—Gerencia o acesso à API por meio de tokens de acesso de curta duração (definindo escopos) e tokens de atualização de longa duração. Ele reforça a segurança por meio de PKCE (Proof Key for Code Exchange) para clientes públicos.

Integração & Estratégias Multi-IdP

O Webex oferece caminhos especializados para uma integração perfeita:

• Assistente de ID Entra—O caminho recomendado para ambientes Microsoft. Ele usa a API do Microsoft Graph para sincronização avançada de atributos (avatares, hierarquias) e automatiza OIDC/SAML configuração.
• Duo Security—Adiciona "Segurança de Identidade Contínua" verificando a postura do dispositivo e habilitando MFA resistente a phishing.

Suporte a múltiplos IdPs:O Webex permite que as organizações federem vários IdPs independentes em um único Hub de Controle.

• Casos de uso — Fusões, aquisições ou departamentos de TI descentralizados.
• Roteamento — As solicitações de autenticação são roteadas com base em domínios ou grupos de usuários.
• Consideração — Requer coordenação rigorosa para manter políticas de segurança consistentes em todas as fontes federadas.

Exemplo das integrações de identidade IdP mais comuns com o Webex:

Melhores Práticas e Resiliência

• Recuperação de SSO — Sempre utilize o link "Recuperação de SSO" integrado no Control Hub para ignorar o SSO por meio de uma senha de uso único (OTP) caso a configuração do IdP falhe.
• Gerenciamento de certificados — Monitore o vencimento dos certificados SAML. O assistente de SSO automatiza a troca de metadados, reduzindo erros manuais.
• Solução de problemas — Use a ferramenta SAML Tracer para inspecionar as declarações XML e validar os formatos NameID caso surjam problemas de autenticação.
• Postura de segurança — Desative regularmente os tipos de concessão legados e assegure-se de que o PKCE seja implementado para todas as integrações de clientes públicos.

Conclusão — Identidade para reuniões Webex

Uma estratégia de identidade robusta é um processo contínuo ao longo do ciclo de vida. Ao combinar o SCIM para provisionamento, OIDC/SAML Para autenticação e autorização via OAuth, as organizações podem garantir uma experiência segura e sem atritos para os usuários, mantendo ao mesmo tempo um controle administrativo rigoroso.

Ciclo de vida de desenvolvimento seguro da Cisco

Na Cisco, a segurança não é uma reflexão tardia. Trata-se de uma abordagem disciplinada para construir e fornecer produtos e serviços de classe mundial desde o início. Todas as equipes de desenvolvimento de produtos Cisco^® são obrigadas a seguir o Ciclo de Vida de Desenvolvimento Seguro da Cisco. Trata-se de um processo repetível e mensurável, concebido para aumentar a resiliência e a confiabilidade dos produtos Cisco. A combinação de ferramentas, processos e treinamento de conscientização introduzidos em todas as fases do ciclo de vida do desenvolvimento ajuda a garantir uma defesa em profundidade. Também oferece uma abordagem holística para a resiliência do produto. A equipe de Desenvolvimento de Produtos da Webex segue esse ciclo de vida com paixão em todos os aspectos do desenvolvimento de produtos.

Leia mais sobre o Ciclo de Vida de Desenvolvimento Seguro.

Ferramentas de segurança fundamentais da Cisco

A organização de segurança e confiança da Cisco fornece o processo e as ferramentas necessárias para que todos os desenvolvedores possam adotar uma posição consistente ao se depararem com uma decisão de segurança.

Contar com equipes dedicadas para construir e fornecer essas ferramentas elimina a incerteza do processo de desenvolvimento de produtos.

Alguns exemplos de ferramentas incluem:

• Requisitos de Segurança Básica do Produto (PSB, na sigla em inglês) que os produtos devem cumprir.
• Ferramentas de construção de ameaças usadas durante a modelagem de ameaças
• Diretrizes de codificação
• Bibliotecas validadas ou certificadas que os desenvolvedores podem usar em vez de escrever seu próprio código de segurança.
• Ferramentas de teste de vulnerabilidade de segurança (para análise estática e dinâmica) utilizadas após o desenvolvimento para testar a existência de defeitos de segurança.
• Sistema de rastreamento de software que monitora bibliotecas da Cisco e de terceiros e notifica as equipes de produto quando uma vulnerabilidade é identificada.

Estrutura organizacional que promove a segurança nos processos da Cisco

A Cisco possui departamentos dedicados para implementar e gerenciar processos de segurança em toda a empresa. Para se manter constantemente a par das ameaças e desafios de segurança, a Cisco conta com:

• Equipe de Segurança da Informação (InfoSec) em Nuvem da Cisco
• Equipe de resposta de incidentes de segurança do produto da Cisco (PSIRT)
• Responsabilidade compartilhada de segurança

Nuvem de segurança da informação da Cisco

Liderada pelo Diretor de Segurança da Nuvem, esta equipe é responsável por fornecer um ambiente Webex seguro para nossos clientes. A InfoSec alcança esse objetivo definindo e aplicando processos e ferramentas de segurança para todas as funções envolvidas na entrega do Webex aos nossos clientes.

Além disso, a Cisco InfoSec Cloud trabalha com outras equipes da Cisco para responder a quaisquer ameaças à segurança do serviço Webex.

A Cisco InfoSec também é responsável pela melhoria contínua da postura de segurança da Webex.

Equipe de resposta de incidentes de segurança do produto da Cisco (PSIRT)

A Cisco PSIRT é uma equipe global dedicada que gerencia o fluxo de entrada, a investigação e o relato de problemas de segurança relacionados a produtos e serviços da Cisco. A PSIRT utiliza diferentes meios para divulgar informações, dependendo da gravidade do problema de segurança. O tipo de relatório varia de acordo com as seguintes condições:

• Existem correções de software ou soluções alternativas para resolver a vulnerabilidade, ou está previsto um anúncio público subsequente de correções de código para solucionar vulnerabilidades de alta gravidade.
• A PSIRT observou a exploração ativa de uma vulnerabilidade que pode representar um risco maior para os clientes da Cisco. Nesse caso, o PSIRT pode acelerar a publicação de um comunicado de segurança descrevendo a vulnerabilidade, mesmo sem a disponibilidade completa de correções.
• A divulgação pública de uma vulnerabilidade que afeta os produtos da Cisco pode levar a um risco maior para os clientes da Cisco. Novamente, o PSIRT pode alertar os clientes, mesmo sem a disponibilidade completa das atualizações.

Em todos os casos, o PSIRT divulga a quantidade mínima de informações necessárias para que os usuários finais avaliem o impacto de uma vulnerabilidade e tomem as medidas necessárias para proteger seu ambiente. A PSIRT utiliza a escala do Sistema Comum de Pontuação de Vulnerabilidades (CVSS) para classificar a gravidade de um problema relatado. O PSIRT não fornece detalhes sobre vulnerabilidades que possam permitir que alguém crie um exploit.

Para obter mais informações sobre o PSIRT, consulte Cisco Product Security Incident Response Team.

Responsabilidade de Segurança

Embora cada pessoa no grupo Webex seja responsável pela segurança, as regras principais são as seguintes:

• Diretor de Segurança da Nuvem
• Vice-presidente e gerente geral de aplicativos de colaboração em nuvem da Cisco
• Vice-presidente de Engenharia, Aplicativos de Colaboração em Nuvem da Cisco
• Vice-presidente de Gestão de Produtos, Aplicativos de Colaboração em Nuvem da Cisco

Testes de penetração interna e externa

O grupo Webex realiza testes de penetração rigorosos regularmente, utilizando avaliadores internos. Além de seus próprios procedimentos internos rigorosos, a Cisco InfoSec também contrata diversas empresas terceirizadas independentes para realizar auditorias rigorosas nas políticas, procedimentos e aplicativos internos da Cisco. Essas auditorias são projetadas para validar requisitos de segurança essenciais para aplicativos comerciais e governamentais. A Cisco também utiliza fornecedores terceirizados para realizar testes de penetração contínuos, aprofundados e com auxílio de código, além de avaliações de serviço. Como parte do contrato, um terceiro realiza as seguintes avaliações de segurança:

• Identificar vulnerabilidades críticas em aplicações e serviços e propor soluções.
• Recomendar áreas gerais para melhorias arquitetônicas.
• Identificar erros de codificação e fornecer orientações sobre melhorias nas práticas de codificação.

Avaliadores terceirizados trabalham diretamente com a equipe de engenharia da Webex para explicar as conclusões e validar as medidas corretivas. Consulte o Pacote de Cartas de Atestado de Confiança do Webex Meetings para obter informações sobre atestado de teste de penetração.

Segurança física

A segurança física no centro de dados inclui vigilância por vídeo das instalações e edifícios, além de autenticação de dois fatores obrigatória para acesso. Nos centros de dados da Cisco, o acesso é controlado por meio de uma combinação de leitores de crachá e controles biométricos. Além disso, os controles ambientais (por exemplo, sensores de temperatura e sistemas de supressão de incêndio) e a infraestrutura de continuidade de serviço (como geradores de energia de reserva) ajudam a garantir que os sistemas funcionem sem interrupção.

Os servidores do data center são segmentados em "zonas de confiança", com base na sensibilidade da infraestrutura. Por exemplo, os bancos de dados são "enjaulados", a infraestrutura de rede possui salas dedicadas e todos os racks de equipamentos são trancados. Somente funcionários de segurança da Cisco e visitantes autorizados acompanhados por funcionários da Cisco podem entrar nos centros de dados.

A rede de produção da Cisco é uma rede altamente confiável: Apenas um número muito reduzido de pessoas com altos níveis de confiança têm acesso à rede.

Segurança de infraestrutura e plataforma

A segurança da plataforma engloba a segurança da rede, dos sistemas e de todo o centro de dados da Webex. Todos os sistemas passam por uma revisão de segurança completa e validação de aceitação antes da implantação em produção, bem como por reforço contínuo de segurança, aplicação de patches e verificação e avaliação de vulnerabilidades regulares.

Os servidores são reforçados utilizando as Diretrizes de Implementação Técnica de Segurança (STIGs) publicadas pelo Instituto Nacional de Padrões e Tecnologia (NIST). Os firewalls protegem o perímetro da rede. As listas de controle de acesso (ACLs) segregam as diferentes zonas de segurança. Os Sistemas de Detecção de Intrusão (IDS) estão instalados e as atividades são registradas e monitoradas continuamente. São realizadas verificações de segurança internas e externas diárias em toda a Webex. Todos os sistemas são reforçados e reparados como parte da manutenção regular. Além disso, a varredura e a avaliação de vulnerabilidades são realizadas continuamente.

A continuidade dos serviços e a recuperação de desastres são componentes críticos do planejamento de segurança. O design dos centros de dados da Cisco, com backups globais e alta disponibilidade, permite o failover geográfico dos serviços Webex. Não existe um único ponto de falha.

Dados administrativos

Informações sobre funcionários ou representantes de um cliente ou terceiro que são coletadas e utilizadas pela Cisco para administrar ou gerenciar a entrega de produtos ou serviços da Cisco, ou para administrar ou gerenciar a conta do cliente ou terceiro para fins comerciais próprios da Cisco.

Os dados administrativos podem incluir nome, endereço, número de telefone, endereço de e-mail e informações sobre os compromissos contratuais entre a Cisco e terceiros, sejam coletados no momento do registro inicial ou posteriormente, em conexão com o gerenciamento ou administração dos produtos ou serviços da Cisco.

Os dados administrativos também podem incluir o título da reunião, a hora e outros atributos das reuniões realizadas no Webex por funcionários ou representantes de um cliente. Outros exemplos de dados administrativos podem incluir o título da reunião, o horário da reunião e outros atributos das reuniões realizadas no Webex.

Dados do cliente

Isso inclui todos os dados (incluindo texto, áudio, vídeo, arquivos de imagem e gravações) que são fornecidos à Cisco por um cliente em conexão com o uso de produtos ou serviços da Cisco, ou desenvolvidos pela Cisco a pedido específico de um cliente, de acordo com uma declaração de trabalho ou contrato.

Os dados do cliente também incluem arquivos de registro, configuração ou firmware, e despejos de memória (core dumps).

São dados extraídos de um produto ou serviço e fornecidos à Cisco para nos ajudar a solucionar um problema relacionado a uma solicitação de suporte. Os dados do cliente não incluem dados administrativos, dados de suporte ou dados de telemetria.

Dados de suporte

Informações que a Cisco coleta quando um cliente envia uma solicitação de serviços de suporte ou outras soluções de problemas, incluindo informações sobre hardware ou software. Inclui detalhes relacionados ao incidente de suporte, como informações de autenticação, informações sobre a condição do produto, sistema e dados de registro sobre instalações de software e configurações de hardware, além de arquivos de rastreamento de erros. Os dados de suporte não incluem arquivos de log, configuração ou firmware, nem despejos de memória (core dumps) extraídos de um produto e fornecidos para nos ajudar a solucionar um problema relacionado a uma solicitação de suporte; todos esses são exemplos de dados do cliente.

Dados de telemetria

Informações geradas por sistemas de instrumentação e registro criados através do uso e operação do produto ou serviço.

Todos os dados coletados na nuvem Webex são protegidos por diversas camadas de tecnologias e processos de segurança robustos. Abaixo estão exemplos de controles implementados em diferentes camadas das operações do Webex para proteger os dados do cliente:

• Controle de acesso físico—O acesso físico é controlado por meio de biometria, crachás e vigilância por vídeo. O acesso ao centro de dados requer aprovações e é gerenciado por meio de um sistema eletrônico de emissão de tickets.
• Controle de acesso à rede— O perímetro da rede Webex é protegido por firewalls. Todo o tráfego de rede que entra ou sai do centro de dados da Webex é monitorado continuamente por meio de um Sistema de Detecção de Intrusão (IDS). A rede Webex também é segmentada em zonas de segurança separadas. O tráfego entre as zonas é controlado por firewalls e listas de controle de acesso (ACLs).
• Monitoramento e gerenciamento de infraestrutura— Cada componente da infraestrutura, incluindo dispositivos de rede, servidores de aplicativos e bancos de dados, é reforçado de acordo com diretrizes rigorosas. Eles também são submetidos a verificações regulares para identificar e solucionar quaisquer problemas de segurança.
• Controles criptográficos—Como mencionado anteriormente, todos os dados enviados e recebidos do centro de dados da Webex para os aplicativos Webex e dispositivos Webex registrados na nuvem são criptografados, exceto o tráfego PSTN e dados não criptografados SIP/H323 Dispositivos de vídeo em uma reunião habilitada para nuvem. Além disso, dados críticos armazenados no Webex, como senhas, são criptografados.

Os funcionários da Cisco não acessam os dados do cliente a menos que o acesso seja solicitado pelo cliente para fins de suporte. Neste caso, o acesso aos sistemas é permitido ao gestor apenas em conformidade com o princípio da "segregação de funções". O acesso é concedido apenas quando estritamente necessário e somente com o nível de informação exigido para a execução da tarefa. O acesso dos funcionários a esses sistemas também é revisado regularmente para fins de conformidade. Os funcionários com esse tipo de acesso são obrigados a fazer o treinamento anual de Conscientização sobre Segurança da Informação da Organização Internacional de Normalização (ISO) 27001.

Além desses controles especializados, todos os funcionários da Cisco passam por uma verificação de antecedentes, assinam um Acordo de Confidencialidade (NDA) e concluem o treinamento do Código de Conduta Empresarial (COBC).

Lei de Portabilidade e Responsabilidade do Seguro da Saúde (HIPAA)

A Cisco pode fornecer informações sobre a funcionalidade, a tecnologia e a segurança do Webex. Uma entidade abrangida pela HIPAA precisaria consultar seu próprio departamento jurídico para determinar se a funcionalidade do Webex é compatível com seus processos de negócios e está em conformidade com o GDPR.

• Conformidade com o RGPD
• Divulgação da oferta do Cisco Webex Meetings

Normas e certificações da indústria

Além de cumprir nossos rigorosos padrões internos, a Webex também mantém continuamente validações de terceiros para demonstrar nosso compromisso com a segurança da informação. O Webex está:

• Certificado pelas normas ISO 27001, 27017, 27018 e 27701.
• Controles de Organização de Serviços (SOC) 2 Tipo II auditados
• Certificado SOC 3
• Código de Conduta da Nuvem
• CSTAR
• Atestado do Catálogo de Controles de Conformidade de Computação em Nuvem (C5)
• Certificado pelo FedRAMP (visite cisco.com/go/fedramp para obter mais detalhes, escopo e disponibilidade)

Consulte o Portal de Confiança da Cisco para obter um conjunto completo de documentos de segurança, privacidade e conformidade, incluindo detalhes sobre os padrões e certificações acima.