Ďakujeme za vašu spätnú väzbu.

Základ Webex Meetings né služby a komponenty

• Webex Meetingsje súčasťouWebex Suite, poskytuje audio/videokonferencie s možnosťami zdieľania obsahu a webových konferencií.
• Platforma obsahuje viacero mikroslužieb, ako sú služba schôdzí, služba webinárov, služba identity, služba nahrávania, služba, AI Assistant služba analytiky, služba správcu a mediálna služba.
• Webex Meetingspodporuje aplikácie a zariadenia registrované v cloude, čo umožňuje používateľom pripojiť sa k schôdzam z rôznych platforiem a zariadení OS. Používatelia sa môžu tiež pripojiť k schôdzam prostredníctvom PSTN a s koncovými bodmi SIP.

Architektúra a nasadenie

• Webex Meetingsslužby sú regionalizované a replikované vo viacerých nezávislých dátových centrách, aby sa zabezpečila redundancia a vysoká dostupnosť.
• Mediálne služby sú globálne distribuované pomocou klastrov mediálnych serverov v každom dátovom centre, čo poskytuje lokálnu a geografickú redundanciu.
• Mediálne servery spracovávajú zdieľanie hlasu, videa a obsahu, pričom médiá sú bežne šifrované pomocou AES-256-GCM.
• Architektúra podporuje šifrovanú signalizáciu cez TLS/HTTPS a šifrované mediálne toky.

Webex podporuje pripojenie k schôdzam z viacerých platforiem a zariadení vrátane:

• Desktopová aplikácia Webex pre Windows, Mac a Linux.
• Mobilná aplikácia Webex pre Android a iOS.
• Webex webová aplikácia využívajúca prehliadače Chrome, Edge, Safari, Firefox a ďalšie prehliadače.
• Izbové zariadenia Cisco a stolové zariadenia.
• Koncové body zvuku a videa založené na štandardoch SIP tretích strán.
• PSTN zariadenia.

Zvrchovanosť zákazníka Webex

V reakcii na rastúci dopyt po pobyte údajov zaviedol Webex zvýšené schopnosti zvrchovanosti. Počnúc nahrávaním a podporou ďalších služieb môžu organizácie teraz udržiavať kontrolu nad obsahom schôdze pomocou:

• Lokalizované spracovanie — spracovanie obsahu stretnutí, ako sú nahrávky, v rámci vlastnej infraštruktúry.
• Lokálne úložisko — využívanie vlastných služieb ukladania súborov na umiestnenie citlivých zdrojov stretnutí, čím sa zabezpečí, že údaje zostanú v rámci stanovených geografických alebo organizačných hraníc.

Ultra bezpečné Webex Meetings

Historicky funkcie „Ultra Secure“, ako napríklad Zero Trust End-to-End Encryption (E2EE), často vyžadovali kompromis vo funkcii stretnutí, pretože služby s pridanou hodnotou založené na cloude vyžadovali prístup k šifrovacím kľúčom a k týmto schôdzam sa mohol pripojiť iba obmedzený počet typov koncových bodov. Webex odstránil tento kompromis s:

• Z@@ ero Trust bohatá na funkcie — Webex transformoval stretnutia Zero Trust End-to-End Encrypted (E2EE) a pridal funkcie, vďaka ktorým sú schôdze Zero Trust bohaté na funkcie. Podpora širšieho počtu typov koncových bodov poskytuje bezproblémový zážitok bez obetovania nástrojov potrebných pre modernú spoluprácu.
• Zero Trust pre štandardné stretnutia — Webex integroval funkcie Zero Trust E2EE priamo do štandardných stretnutí. To zaisťuje, že aj každodenná spolupráca môže profitovať z najvyššej úrovne bezpečnosti, ktorá poskytuje konzistentnú ochranu v celom ekosystéme Webex.

Jednotný prístup k spolupráci

Integráciou zákazníckej suverenity s týmito pokročilými funkciami Zero Trust E2EE umožňuje Webex organizáciám dosiahnuť dvojitý cieľ: hostiť vysoko bezpečné schôdzky Zero Trust v rámci cloudu Webex pri zachovaní úplnej kontroly nad spracovaním a ukladaním kritického obsahu stretnutí v lokálnom prostredí. Táto synergia poskytuje flexibilitu a bezpečnosť potrebnú pre moderné podnikové prostredia založené na dodržiavaní súladu.

Rozšírenie hranice zabezpečenia pomocou uzla Video Mesh

Pridanie uzla Video Mesh do organizácie umožňuje zákazníkom poskytovať lokálne služby schôdzí a lokálnym koncovým bodom umožní pripojiť sa k akejkoľvek schôdzi Webex. Z bezpečnostného hľadiska integrácia Video Mesh Node udržuje nulovú dôveru v cloude Webex a zároveň ponúka takmer paritu funkcií so štandardnými schôdzami Webex. Zákazníci tiež profitujú zo zvrchovanosti údajov, pretože služby, ako sú záznamy schôdzí Video Mesh Node, sa spracúvajú a ukladajú lokálne.

Použitie end-to-end šifrovania Zero Trust môže pridať niekoľko sekúnd navyše k pripojeniu sa k schôdzi, ale poskytuje jasné zabezpečenie bezpečnosti — prístup k šifrovacím kľúčom schôdze majú iba účastníci schôdze, takže obsah schôdze nemôže dešifrovať poskytovateľ služieb ani iní sprostredkovatelia.

Zhrnutie: Webex Meetings a modely hybridného nasadenia

Ako je znázornené v porovnaní vyššie, nasadenie Video Mesh Node (VMN) umožňuje Zero Trust Webex Meetings dosiahnuť takmer paritu funkcií so štandardnými schôdzami Webex. Zatiaľ čo stretnutia Zero Trust nepodporujú účastníkov PSTN, webová aplikácia Webex slúži ako široko dostupná alternatíva pre end-to-end šifrovaný prístup. Okrem toho VMN umožňuje kancelárskym pracovníkom používajúcim stolné telefóny bezproblémovo pripojiť sa k schôdzam Zero Trust.

Video Mesh Node tiež zaisťuje zvrchovanosť údajov pre kritický obsah stretnutí vrátane nahrávok a — v blízkej budúcnosti — prepisov, súhrnov a položiek akcií. Spracovaním a ukladaním týchto údajov lokálne poskytuje VMN zákazníkom úplnú kontrolu nad ich informáciami pri zachovaní architektúry Zero Trust v cloude Webex.

Šifrovaná signalizácia Webex

Služby Webex podporujú TLS verzie 1.2 a 1.3, pričom TLS 1.3 je preferovaná, ak je podporovaná pripojením koncového bodu. Ak klient podporuje iba TLS 1.2, server Webex vyberie najsilnejšiu spoločnú šifrovaciu sadu ponúkanú klientom. Na rozdiel od TLS 1.2, TLS 1.3 nepoužíva výber šifrovacej sady preferencií servera, pretože sa spolieha na menšiu, vybranú sadu moderných šifer. Tento dizajn zjednodušuje proces výberu a zameriava sa viac na zlepšenie výkonu, ako je zníženie celkovej dĺžky podania ruky, pri zachovaní silnej bezpečnosti. Šifrové sady pre TLS 1.2 a 1.3 používané spoločnosťou Webex sú dobre definované a prioritné, aby sa zabezpečila bezpečná komunikácia.

TLS Cipher Suites

Šifrové sady TLS 1.3 (servery TLS 1.3 nepoužívajú poradie preferencií pri výbere balíka)

TLS 1.2 šifrové sady (balíky v poradí preferovaného servera)

Šifrovacie šifry AES_256_CBC a AES_128_CBC sú podporované na zachovanie kompatibility so staršími systémami, staršími prehliadačmi a zabudovanými zariadeniami, ktoré nepodporujú moderné šifre AEAD (Authenticated Encryption with Associated Data), ako je AES-GCM napr. Internet Explorer11 v systémoch Windows 7 a Windows 8.1, Safari 6/7/8 v skorých verziách iOS a macOS používajú šifry založené na CBC.

CHACHA20_POLY1305 je streamová šifra, ktorá má nízku závislosť od hardvéru, čo z nej robí vynikajúcu šifru na použitie na mobilných zariadeniach alebo zariadeniach s procesormi s nízkym výkonom.

Štandardy šifrovania médií pre Webex

Webex schôdze a hovory využívajú robustné šifrovanie založené na AES pre všetky mediálne pakety. Konkrétna šifrovacia sada závisí od typu koncového bodu, pričom AES-256-GCM slúži ako preferovaný štandard pre optimálnu bezpečnosť.

Kľúčové bezpečnostné úvahy

• Preferovaný štandard —AES-256-GCM je odporúčaná šifra pre všetky nasadenia na zabezpečenie najvyššej úrovne integrity a dôvernosti údajov.
• Inter operabilita — Zatiaľ čo Webex udržiava podporu pre staršie šifre (napríklad AES-CM-128-HMAC-SHA1) na zabezpečenie interoperability so systémami SIP a H.323 tretích strán, organizácie, ktoré uprednostňujú architektúru nulovej dôvery, by mali presadzovať AES-256-GCM tam, kde to umožňuje kompatibilita zariadení.

Protokoly prepravy médií

Webex podporuje prenos médií cez UDP, TCP alebo TLS. Pre optimálny výkon hlasu a videa spoločnosť Cisco dôrazne odporúča UDP.

Úvahy o výkonnosti:

• Účinnosť v reálnom čase — UDP je preferovaným prenosom pre médiá v reálnom čase, pretože minimalizuje latenciu a chvenie tým, že sa vyhýba mechanizmom retransmisie a vyrovnávacej pamäte, ktoré sú vlastné protokolom orientovaným na pripojenie.
• Vplyv TCP/TLS — Zatiaľ čo TCP a TLS poskytujú spoľahlivé a objednané doručovanie údajov, toto správanie je kontraproduktívne pre médiá v reálnom čase. Výsledné retransmisie paketov a vyrovnávanie prúdov prinášajú latenciu a chvenie, čo môže účastníkov výrazne zhoršiť kvalitu skúseností

Webex použitie SRTP a SFrame pre médiá

Na zachovanie vysokých bezpečnostných štandardov požadovaných pre prostredia WebExZero Trust je dôležité rozlišovať medzi zabezpečením na úrovni prepravy (SRTP) a šifrovaním typu end-to-end (SFrame) v aplikačnej vrstve.

Kľúčové technické rozdiely - SRTP & SFrame

1. SRTP (Bezpečný prepravný protokol v reálnom čase)

   SRTP je priemyselný štandard na zabezpečenie mediálnych tokov v tranzite.

   • Rozsah — Poskytuje dôvernosť, autentifikáciu správ a ochranu pred opakovaním užitočného zaťaženia RTP.
   • Pre@@ vádzkový kontext — V mnohých architektúrach Media Server/Media Gateway (Selective Forwarding Unit (SFU)) ukončí pripojenie SRTP na vykonanie spracovania médií (napríklad miešanie, zloženie rozloženia alebo transkódovanie). Pretože SFU dešifruje médium na jeho spracovanie, médium je technicky zraniteľné v bode SFU.
2. sFrame (zabezpečený rám)

   SFrame je štandard IETF. RFC 9605 je navrhnutý špeciálne na uľahčenie skutočného šifrovania typu end-to-end v konferenčnom prostredí viacerých strán.

   • Rozsah — Šifruje paketizované mediálne rámce skôr, ako sú zapuzdrené do paketov RTP. Webex pridáva ďalšiu vrstvu šifrovania pomocou SRTP.
   • Architektúra nulovej dô very — Keďže médium je šifrované v aplikačnej vrstve, SFU funguje iba ako „slepé“ relé. Nasmeruje šifrované pakety k ostatným účastníkom bez toho, aby mal prístup k dešifrovacím kľúčom.
   • Nezávislosť —sFrame je transportno-agnostická. Zostáva bezpečná aj vtedy, ak je ohrozená základná doprava (UDP/TCP/TLS), pretože bezpečnostný kontext je viazaný skôr na koncové body účastníkov než na dopravné spojenie.

sFrame je kritický mechanizmus, ktorý umožňuje E2EE. Zatiaľ čo SRTP zaisťuje šifrovanie údajov počas prechodu cez sieť, SFrame zaisťuje, že médium zostane šifrované počas celého životného cyklu schôdze, a to aj keď sa nachádzajú na infraštruktúre Cisco (SFU), čím účinne odstráni poskytovateľa služieb z hranice dôvery.

Webex MeetingsObsah

Obsah schôdze pozostáva z údajov vytvorených účastníkmi alebo generovaných službami Webex v mene hostiteľa schôdze. To zahŕňa:

• Obsah súvisiaci s médiami — Nah rávky, prepisy, súhrny a akčné položky.
• Údaje o spolu práci — správy o chate, zdieľané/prenesené súbory, tabule a anotácie.

Webex MeetingsZabezpečenie obsahu — Webex end-to-end šifrovanie

Webex zabezpečuje obsah schôdze generovaný účastníkmi pomocou robustného rámca šifrovania typu end-to-end (E2EE). Ústredným prvkom tejto architektúry je služba Webex Key Management Service (KMS), ktorá je zodpovedná za generovanie, distribúciu a správu šifrovacích kľúčov pre všetok obsah generovaný používateľmi.

Vrstvy zabezpečenia obsahu schôdze

• Dáta v doprave — Webex App a videozariadenia Cisco používajú šifrovanie Webex end-to-end (E2EE) s AES-256-GCM na šifrovanie obsahu schôdzí generovaného používateľom, ako sú nahrávacie súbory, súhrnné súbory AI, správy o chate atď. Toto je ďalej zapuzdrené v rámci zabezpečenia transportnej vrstvy (Transport Layer Security), aby sa zabezpečila dvojvrstvová ochrana počas prenosu.
• Dáta v pokoji — Po uložení v cloude Webex je šifrovaný obsah dodatočne chránený šifrovaním disku AES-256-GCM.
• Profil ochrany — Tento prístup chráni obsah pred odpočúvaním TLS počas prepravy a zaisťuje, že uložené údaje zostanú neprístupné neoprávneným aktérom v cloudovom prostredí.

Webex end-to-end šifrovanie so spravovaným prístupom k obsahu pre Core Services

Na rozdiel od end-to-end šifrovania Zero Trust, kde Webex nemá prístup k kľúčom na šifrovanie médií alebo obsahu, šifrovanie Webex end-to-end umožňuje platforme využívať kľúče generované Webex KMS na dešifrovanie údajov pre základné základné služby. Tento spravovaný prístup umožňuje:

• Vyhľadávanie a indexovanie — U možňuje používateľom vyhľadávať v histórii obsahu.
• Zhoda a riadenie — umožňuje predchádzanie strate údajov (DLP), eDiscovery a archivovanie údajov.
• Optimalizácia médií — Podporuje transkódovanie súborov pre kompatibilitu medzi jednotlivými zariadeniami.
• Zabezpeč enie — uľahčuje skenovanie škodlivého softvéru pomocou balíka Extended Security Pack.

Webex MeetingsMetaúdaje

Metadáta schôdzí pozostávajú z administratívnych a technických informácií generovaných systémom na uľahčenie, sledovanie a správu schôdze, a nie zo skutočného obsahu (audio, video alebo zdieľané súbory) samotnej schôdze. Metaúdaje možno rozdeliť do niekoľkých kategórií:

• Informácie o relácii — názov schôdze, ID schôdze, naplánované časy začiatku a ukončenia a skutočné trvanie schôdze.
• Údaje účast níkov — zoznam pozvaných a skutočných účastníkov, ich adresy IP, typy zariadení (napríklad Windows, iPhone, Cisco Room Kit) a časové pečiatky ich pripojenia/opustenia.
• Met@@ riky použitia a kvality — Údaje používané na riešenie problémov, ako je strata paketov, chvenie, latencia a rozlíšenie streamu videa.

Ako sa používajú metadáta

1. Analýza a prehľadávanie — Správcovia používajú metadáta v službe WebExControl Hub, aby zistili, koľko stretnutí sa koná, ktoré oddelenia sú najaktívnejšie a celkovú kvalitu zážitku.
2. Riešenie problémov — Cisco TAC (Centrum technickej pomoci) používa metadáta na identifikáciu a riešenie problémov so schôdzou.
3. Zhoda a elektronické zis ťovanie — Úradníci v oblasti dodržiavania predpisov môžu vyhľadávať metaúdaje, aby dokázali, že sa stretnutie uskutočnilo, kto tam bol a či bolo zaznamenané, aj keď nevidia šifrovaný obsah schôdze.
4. Zabezpeč enie — Metadáta pomáhajú identifikovať pokusy o neoprávnený prístup alebo nezvyčajné vzory, ktoré môžu naznačovať bezpečnostnú hrozbu.

Bezpečnosť a ochrana osobných údajov

• Šifrovanie — Aj keď metadáta nie sú „end-to-end šifrované“, stále sú šifrované v tranzite (pomocou TLS) a v pokoji v zabezpečených dátových centrách Cisco.
• Kontrola prístup u — Zásady ochrany osobných údajov spoločnosti Cisco prísne obmedzujú prístup k týmto metaúdajom a používajú sa na poskytovanie a zlepšovanie služby.

Ďalšie informácie o obsahu schôdze Webex a metadátach nájdete v časti Zverejňovanie Webex Meetingsponuky.

Priraďovanie typov relácií schôdzí používateľom

Správcovia Webex Control Hub môžu priradiť jeden alebo viac typov schôdzí, ktoré môžu používatelia použiť na plánované schôdze. V predvolenom nastavení sú všetkým používateľom priradené typy schôdze Pro Meeting a Pro-End to End Encryption_ VOIPOnly.

Naplánovanie schôdze — vyberte typ schôdze

Používatelia si môžu vybrať typ schôdze, ktorý chcú použiť pri plánovaní schôdze z aplikácie Webex, používateľskej stránky Webex a dodatku Webex Email Add-In. Microsoft Outlook

Naplánovanie schôdze — vyberte typ schôdze v aplikácii Webex

Naplánovanie schôdze — vyberte typ schôdze z používateľskej stránky Webex

Nastavenie predvoleného typu schôdze

Používatelia môžu nastaviť predvolený typ schôdze v časti Sch ô dze > Nastavenia na svojej používateľskej stránke Webex.

Nastavenie predvoleného typu schôdze zo stránky Používateľ Webex

Zero Trust End-to-End Identity a Deepfake prevencia

Certifikáty totožnosti koncového používateľa poskytované zákazníkmi sú základným kameňom prevencie vydávania sa na stretnutiach Webex end-to-end šifrovaných (E2EE). Na rozdiel od tradičných mechanizmov blokovania hlbokých faktov, ktoré sa spoliehajú na analýzu zvukových a video tokov, tento prístup poskytuje validáciu kryptografickej identity v mieste prijatia. Tento overený stav sa zobrazí priamo v zozname schôdze a poskytuje transparentnosť pre všetkých účastníkov.

Webex rozšíril svoju podporu pre certifikáty spravované zákazníkmi - predtým dostupné na zariadeniach RooMOS - na aplikáciu Webex ako súčasť našej funkcie „prevencia Deepfake“. Organizácie môžu poskytovať a spravovať svoje vlastné digitálne certifikáty vydané dôveryhodnými externými certifikačnými orgánmi (CA) pomocou priemyselných štandardov protokolov, ako je ACME. Tieto certifikáty založené na normách X.509 a pároch kľúčov ECDSA P-256 poskytujú kryptografický dôkaz identity účastníka počas stretnutí E2EE.

Koncová overená identita a protokol MLS

Protokol Messaging Layer Security (MLS) využíva štandardné certifikáty X.509 na autentifikáciu účastníkov schôdze. Certifikát je digitálne podpísané vyhlásenie od dôveryhodného certifikátu, ktoré overuje totožnosť držiteľa podpisujúceho kľúča. Účastníci získavajú tieto certifikáty dvoma primárnymi metódami:

• Spravované zariadenia (certifikáty poskytované zákazníkom) — Pre počítačových a mobilných klientov spravovaných organizáciou je možné do zariadenia nainštalovať certifikát totožnosti od dôveryhodného certifikátu určenia. Keď sa používateľ prihlási pomocou Single Sign-On (Single Sign-On), aplikácia Webex načíta tento certifikát z obchodu dôveryhodnosti operačného systému a zobrazí overenú totožnosť používateľa. Tento proces je podporovaný aj pre videozariadenia Cisco registrované v cloude Webex.
• Predvolené (certifikáty poskytované spoločnosťou Webex) — Ak nie je k dispozícii žiadny certifikát poskytnutý zákazníkom, klient alebo zariadenie Webex automaticky použije certifikát vydaný spoločnosťou Webe Certificate Authority x, ktorý odráža totožnosť overenú spoločnosťou Cisco.

Zdieľanie identity a náhradný mechanizmus

Počas stretnutia každý účastník zdieľa svoj certifikát totožnosti Webex a, ak je k dispozícii, certifikát totožnosti poskytnutý zákazníkom so všetkými ostatnými účastníkmi. Aby sa zabezpečilo bezproblémové pripojenie, koncový bod Webex dodržiava prísnu hierarchiu: uprednostňuje certifikát poskytnutý zákazníkom na overenie. Ak tento certifikát chýba alebo zlyhá overenie, systém sa automaticky vráti k certifikátu totožnosti poskytnutému spoločnosťou WebEx.

Zobrazenie stavu overenia totožnosti používateľa

Keď sa účastníci pripoja k schôdzi pomocou aplikácie Webex alebo zariadení RooMOS s certifikátmi poskytnutými zákazníkmi, ich totožnosť overia ostatní členovia schôdze proti vydávajúcemu certifikátu. To zaisťuje, že sú rozpoznávaní iba oprávnení používatelia, čím sa bráni útočníkom vydávať sa za legitímnych účastníkov, pretože tieto certifikáty sú jednoznačne viazané na overenú identitu a spoločnosť Cisco ani sprostredkovatelia ich nemôžu sfalšovať.

Zoznam účastníkov schôdze šifrovanej E2E zobrazuje stav overenia totožnosti každého používateľa:

• Zero-Trust E2E overené ( domain.com) — Keď sa použije certifikát totožnosti poskytnutý zákazníkom, doména účastníka sa zobrazí modrým textom. To naznačuje skutočnú identitu overenú E2E, s ktorou spoločnosť Cisco nemôže manipulovať. Napríklad v zozname schôdze sa môže zobraziť, že „Kevin“ má overenú e-mailovú adresu z example.com modrou farbou.
• Webex-overené ( domain.com) — Certifikáty vydané spoločnosťou Webex CA poskytujú obmedzenejšiu úroveň ochrany. Aj keď títo účastníci sú lepší ako nemajú žiadnu ochranu identity, nie sú označení ako „Zero Trust E2E Verified“. Namiesto toho je stav ich identity zobrazený sivým textom, čo naznačuje, že identitu overila Webex CA.
• Neoverený hosťujúci používateľ ( Neoverené) — Hoci totožnosť účastníkov hosťa nie je overená (pretože neexistuje žiadny proces prihlasovania), stále vyžadujú certifikát, aby sa pripojili k skupine MLS na hovor alebo schôdzu. Tento certifikát je vydaný spoločnosťou Webex CA a ako používateľské meno používa „anonymný“.

Okrem toho bezpečnostný kód schôdze odvodený z kryptografického stavu všetkých účastníkov pomáha odhaliť útoky osoby v strede tým, že umožňuje účastníkom overiť, či všetci zdieľajú rovnaký bezpečný kontext stretnutia. Kombináciou overenia kryptografickej identity s end-to-end šifrovaním ponúka táto funkcia „prevencie Deepfake“ robustnú obranu proti vydávaním sa za hrozby a syntetických médií, čím chráni integritu a dôvernosť stretnutí v aplikácii Webex aj zariadeniach RooMOS.

Správa zavádzania certifikátov

Organizácie môžu zjednodušiť zavádzanie a správu týchto certifikátov totožnosti koncového používateľa poskytovaných zákazníkmi ich inštaláciou do zariadení spravovaných spoločnosťou pomocou aplikácií Mobile Device Management (MDM), Mobile Application Management (MAM) alebo Enterprise Mobility Management (EMM). Tieto platformy pre správu umožňujú správcom IT centrálne poskytovať, konfigurovať a kontrolovať certifikáty a súvisiace bezpečnostné politiky v širokej škále zariadení, či už vo vlastníctve spoločnosti alebo v osobnom vlastníctve. Microsoft Intune napríklad podporuje funkcie MDM aj MAM, ktoré umožňujú organizáciám nasadiť a spravovať aplikáciu Webex a jej bezpečnostné konfigurácie vrátane certifikátov totožnosti na spravovaných zariadeniach. Podobne Cisco Meraki Systems Manager poskytuje možnosti MDM na registráciu zariadení, push konfiguračné profily a nasadenie certifikátov na zabezpečenie stavu dôveryhodného zariadenia. Využívanie týchto riešení pre správu znižuje administratívne náklady, zjednodušuje správu životného cyklu certifikátov a zvyšuje bezpečnostnú pozíciu pre stretnutia Webex E2EE pomocou funkcií „prevencie Deepfake“.

Tri piliere identity

Efektívna správa identity a prístupu (IAM) pre Webex závisí od:

• Provisioning (CRUD) — Správa životných cyklov používateľov (vytváranie, čítanie, aktualizácia, vymazanie) s cieľom zabezpečiť, aby sa „Zdroj pravdy“ zhodoval s platformou spolupráce.
• Autentifikácia (AuthN) — overenie identity používateľa prostredníctvom zabezpečených poverení alebo tokenov.
• Autorizácia (AuthZ) — Definovanie podrobných povolení a úrovní prístupu API po autentifikácii.

Správa poskytovania a životného cyklu

Webex podporuje niekoľko metód synchronizácie používateľov a skupín:

• SCIM 2.0 - Preferovaný cloudový štandard. Automatizuje životný cyklus používateľa a zaisťuje, že offboarding v IdP automaticky zruší prístup Webex.
• Directory Connector — nástroj Cisco pre hybridné prostredia, ktorý preklenuje lokálne Active Directory (AD) s Webex Cloud.
• Provisioning založený na API — používa Webex „People API“ na programové vytváranie používateľov a priradenie licencií v zložitých prostrediach.
• Starší LDAP — Podpor ovaný pre lokálne adresáre (napr. CUCM), aj keď je menej optimalizovaný pre modernú cloudovú prevádzku.

Autentifikačné a autorizačné rámce

• Autentifikácia (AuthN):

• SAML 2.0 - Podni kový štandard pre jednotné prihlásenie (SSO). Webex pôsobí ako poskytovateľ služieb (SP) a overuje tvrdenia XML z firemného IDP.
• OIDC (OpenID Connect) - Moderná, ľahká vrstva identity postavená na OAuth 2.0 pomocou webových tokenov JSON (JWT). Podporuje „Discovery URL“ pre automatickú konfiguráciu.

• Autorizácia (AuthZ):

• OAuth 2.0 — Spravuje prístup k API prostredníctvom krátkodobých prístupových tokenov (definujúcich rozsahy) a obnovovacích tokenov s dlhou životnosťou. Zabezpečuje bezpečnosť prostredníctvom PKCE (Proof Key for Code Exchange) pre verejných klientov.

Integrácia a stratégie viacerých IDP

Webex poskytuje špecializované cesty pre bezproblémovú integráciu:

• Sprievodca Entra ID — Odporúčaná cesta pre prostredia spoločnosti Microsoft. Používa rozhranie Microsoft Graph API pre pokročilú synchronizáciu atribútov (avatary, hierarchie) a automatizuje konfiguráciu OIDC/SAML.
• Duo Security — pridáva „nepretržitú bezpečnosť identity“ overením držania tela zariadenia a umožnením MFA odolného voči phishingu.

Podpora viacerých IDP: Webex umožňuje organizáciám zjednotiť viac nezávislých IDP v rámci jedného kontrolného centra.

• Použitie prípadov - fúzie, akvizície alebo decentralizované oddelenia IT.
• Smerovanie — Požiadavky na overenie sa smerujú na základe domén alebo skupín používateľov.
• Zváženie — Vyžaduje si prísnu koordináciu na zachovanie konzistentných bezpečnostných politík vo všetkých federovaných zdrojoch.

Príklad najbežnejších integrácií IDP identity s Webexom:

Osvedčené postupy a odolnosť

• SSO Recovery—Vždy použite vstavaný odkaz „SSO Recovery“ v Control Hub na obchádzanie SSO pomocou jednorazového hesla (OTP), ak konfigurácia IDP zlyhá.
• Správa certifikátov — Monitorujte vypršanie platnosti certifikátu SAML. Sprievodca SSO automatizuje výmenu metadát a znižuje manuálne chyby.
• Riešenie problémov — Pomocou nástroja SAML Tracer môžete skontrolovať tvrdenia XML a overiť formáty NameID, ak sa vyskytnú problémy s autentifikáciou.
• Bezpečnostné postavenie — Pravidelne zastarante staršie typy grantov a zabezpečte implementáciu PKCE pre všetky integrácie verejných klientov.

Záver - Identita pre Webex Meetings

Robustná stratégia identity je nepretržitý proces životného cyklu. Kombináciou SCIM pre poskytovanie, OIDC/SAML pre autentifikáciu a OAuth pre autorizáciu môžu organizácie zabezpečiť bezpečný a beztrečný zážitok pre používateľov pri zachovaní prísnej administratívnej kontroly.

Cisco Secure Development životný cyklus

V spoločnosti Cisco nie je bezpečnosť následnou myšlienkou. Je to disciplinovaný prístup k budovaniu a poskytovaniu produktov a služieb svetovej úrovne od základov. Všetky tímy vývoja produktov spoločnosti Cisco ^® sú povinné dodržiavať životný cyklus Cisco Secure Development. Je to opakovateľný a merateľný proces navrhnutý tak, aby zvýšil odolnosť a dôveryhodnosť produktov Cisco. Kombinácia nástrojov, procesov a vzdelávania informovanosti zavedených vo všetkých fázach životného cyklu vývoja pomáha zabezpečiť hĺbkovú obranu. Poskytuje tiež holistický prístup k odolnosti produktov. Tím Webex Product Development vášnivo sleduje tento životný cyklus vo všetkých aspektoch vývoja produktov.

Prečítajte si viac o životnom cykle bezpečného vývoja.

Základné bezpečnostné nástroje Cisco

Bezpečnostná a dôveryhodná organizácia Cisco poskytuje proces a potrebné nástroje, ktoré každému vývojárovi umožňujú zaujať konzistentnú pozíciu, keď čelí bezpečnostnému rozhodnutiu.

Mať špecializované tímy na vytváranie a poskytovanie takýchto nástrojov odstraňuje neistotu z procesu vývoja produktu.

Niektoré príklady nástrojov zahŕňajú:

• Požiadavky na základnú úroveň bezpečnosti produktov (PSB), ktoré musia výrobky spĺňať
• Nástroje na tvorbu hrozieb používané pri modelovaní hrozieb
• Pokyny pre kódovanie
• Verifikované alebo certifikované knižnice, ktoré môžu vývojári používať namiesto písania vlastného bezpečnostného kódu
• Nástroje na testovanie bezpečnostných zraniteľností (na statickú a dynamickú analýzu) používané po vývoji na testovanie bezpečnostných chýb
• Sledovanie softvéru, ktoré monitoruje knižnice Cisco a tretích strán a upozorňuje produktové tímy, keď sa zistí zraniteľnosť

Organizačná štruktúra, ktorá prináša bezpečnosť procesom Cisco

Spoločnosť Cisco má špecializované oddelenia na vštepenie a riadenie bezpečnostných procesov v celej spoločnosti. Aby spoločnosť Cisco neustále držala krok s bezpečnostnými hrozbami a výzvami, spolieha sa na:

• Cloudový tím Cisco Information Security (InfoSec)
• Tím Cisco pre reakciu na bezpečnostné incidenty (PSIRT)
• Zdieľaná zodpovednosť za bezpečnosť

Cisco InfoSec Cloud

Tento tím pod vedením Chief Security Officer for Cloud je zodpovedný za poskytovanie bezpečného prostredia Webex našim zákazníkom. InfoSec to dosahuje definovaním a presadzovaním bezpečnostných procesov a nástrojov pre všetky funkcie spojené s dodávkou Webexu do rúk našich zákazníkov.

Okrem toho spoločnosť Cisco InfoSec Cloud spolupracuje s ďalšími tímami v rámci spoločnosti Cisco, aby reagovala na akékoľvek bezpečnostné hrozby pre službu Webex.

Cisco InfoSec je tiež zodpovedný za neustále zlepšovanie bezpečnostných pozícií Webex.

Tím Cisco pre reakciu na bezpečnostné incidenty (PSIRT)

Cisco PSIRT je špecializovaný globálny tím, ktorý riadi prílev, vyšetrovanie a hlásenie bezpečnostných problémov súvisiacich s produktmi a službami Cisco. PSIRT používa na zverejnenie informácií rôzne médiá v závislosti od závažnosti bezpečnostného problému. Typ podávania správ sa líši podľa nasledujúcich podmienok:

• Existujú softvérové opravy alebo riešenia na odstránenie zraniteľnosti alebo sa plánuje následné verejné zverejnenie opráv kódu na odstránenie zraniteľností s vysokou závažnosťou
• Spoločnosť PSIRT zaznamenala aktívne využívanie zraniteľnosti, ktorá by mohla viesť k väčšiemu riziku pre zákazníkov Cisco. PSIRT môže v tomto prípade urýchliť zverejnenie bezpečnostného oznámenia popisujúceho zraniteľnosť bez úplnej dostupnosti opráv.
• Povedomie verejnosti o zraniteľnosti ovplyvňujúcej produkty Cisco môže viesť k väčšiemu riziku pre zákazníkov Cisco. PSIRT môže opäť upozorniť zákazníkov, a to aj bez úplnej dostupnosti opráv.

Vo všetkých prípadoch PSIRT zverejňuje minimálne množstvo informácií, ktoré budú koncoví používatelia potrebovať na posúdenie vplyvu zraniteľnosti a na prijatie opatrení potrebných na ochranu svojho životného prostredia. PSIRT používa stupnicu Common Vulnerability Scoring System (CVSS) na hodnotenie závažnosti zverejneného problému. PSIRT neposkytuje podrobnosti o zraniteľnosti, ktoré by mohli niekomu umožniť vytvoriť zneužitie.

Ďalšie informácie o aplikácii PSIRT nájdete v téme Cisco Product Security Incident Response Team.

Bezpečnostná zodpovednosť

Aj keď každá osoba v skupine Webex je zodpovedná za bezpečnosť, hlavné pravidlá sú nasledovné:

• Hlavný bezpečnostný riaditeľ, Cloud
• Viceprezident a generálny riaditeľ pre aplikácie Cisco Cloud pre spoluprácu
• Viceprezident pre inžinierstvo, aplikácie Cisco Cloud pre spoluprácu
• Viceprezident pre produktový manažment, aplikácie Cisco Cloud pre spoluprácu

Interné a externé penetračné testy

Skupina Webex pravidelne vykonáva prísne penetračné testy s použitím interných hodnotiteľov. Okrem vlastných prísnych interných postupov spoločnosť Cisco InfoSec tiež angažuje viacero nezávislých tretích strán, aby vykonávali prísne audity interných politík, postupov a aplikácií spoločnosti Cisco. Tieto audity sú určené na overenie kritických bezpečnostných požiadaviek pre komerčné aj vládne aplikácie. Spoločnosť Cisco tiež využíva dodávateľov tretích strán na vykonávanie priebežných, hĺbkových penetračných testov podporovaných kódom a hodnotenia služieb. V rámci záväzku tretia strana vykonáva tieto bezpečnostné hodnotenia:

• Identifikácia kritických zraniteľností aplikácií a služieb a navrhovanie riešení
• Odporúčanie všeobecných oblastí pre architektonické zlepšenie
• Identifikácia chýb v kódovaní a poskytovanie pokynov na zlepšenie postupov kódovania

Hodnotitelia tretích strán spolupracujú priamo s inžinierskymi pracovníkmi Webex, aby vysvetlili zistenia a potvrdili nápravu. Informácie o osvedčení Webex Meetings o penetračnom teste nájdete v balíku dôvery hodných listov atestácie.

Fyzická bezpečnosť

Fyzická bezpečnosť v dátovom centre zahŕňa video sledovanie zariadení a budov a nútenú dvojfaktorovú identifikáciu pre vstup. V dátových centrách Cisco je prístup riadený kombináciou čítačiek odznakov a biometrických ovládacích prvkov. Okrem toho environmentálne kontroly (napríklad snímače teploty a protipožiarne systémy) a infraštruktúra kontinuity služieb (napríklad zálohovanie napájania) pomáhajú zabezpečiť, aby systémy fungovali bez prerušenia.

Servery dátových centier sú rozdelené do „dôveryhodných zón“ na základe citlivosti infraštruktúry. Napríklad databázy sú „umiestnené v klietke“, sieťová infraštruktúra má vyhradené miestnosti a všetky stojany na vybavenie sú uzamknuté. Do dátových centier môžu vstúpiť iba bezpečnostní pracovníci Cisco a oprávnení návštevníci v sprievode zamestnancov Cisco.

Výrobná sieť spoločnosti Cisco je vysoko dôveryhodnou sieťou: len veľmi málo ľudí s vysokou úrovňou dôvery má prístup k sieti.

Bezpečnosť infraštruktúry a platformy

Bezpečnosť platformy zahŕňa bezpečnosť siete, systémov a celkového dátového centra Webex. Všetky systémy prechádzajú dôkladnou bezpečnostnou kontrolou a overením akceptácie pred nasadením výroby, ako aj pravidelným pokračujúcim vytvrdzovaním, bezpečnostnou opravou a skenovaním a hodnotením zraniteľností.

Servery sú vytvrdzované pomocou bezpečnostných technických smerníc o implementácii (STiG), ktoré uverejnil Národný inštitút pre štandardy a technológie (NIST). Firewally chránia obvod siete. Zoznamy kontroly prístupu (ACL) oddeľujú rôzne bezpečnostné zóny. Systémy detekcie vniknutia sú zavedené a činnosti sa neustále podpisujú a monitorujú. Denné interné a externé bezpečnostné kontroly sú vykonávané cez Webex. Všetky systémy sú kalené a opravené ako súčasť pravidelnej údržby. Okrem toho sa nepretržite vykonáva skenovanie a hodnotenie zraniteľnosti.

Kontinuita služieb a obnovenie po havárii sú rozhodujúcimi zložkami bezpečnostného plánovania. Návrh dátových centier Cisco s globálnymi zálohovaním stránok a vysokou dostupnosťou pomáha umožniť geografické zlyhanie služieb Webex. Neexistuje jediný bod zlyhania.

Administratívne údaje

Informácie o zamestnancoch alebo zástupcoch zákazníka alebo inej tretej strany, ktoré spoločnosť Cisco zhromažďuje a používa na správu alebo správu dodávky produktov alebo služieb spoločnosťou Cisco alebo na správu alebo správu účtu zákazníka alebo tretej strany na vlastné obchodné účely spoločnosti Cisco.

Administratívne údaje môžu zahŕňať meno, adresu, telefónne číslo, e-mailovú adresu a informácie o zmluvných záväzkoch medzi spoločnosťou Cisco a treťou stranou, či už boli zhromaždené v čase prvej registrácie alebo neskôr v súvislosti so správou alebo správou produktov alebo služieb spoločnosti Cisco.

Administratívne údaje môžu zahŕňať aj názov schôdze, čas a ďalšie atribúty stretnutí uskutočnených na webexe zamestnancami alebo zástupcami zákazníka. Ďalšie príklady administratívnych údajov môžu zahŕňať názov schôdze, čas stretnutia a ďalšie atribúty schôdzí hostených na webexe.

Údaje o zákazníkovi

Patria sem všetky údaje (vrátane textových, zvukových, video, obrazových súborov a záznamov), ktoré zákazník poskytne spoločnosti Cisco v súvislosti s používaním produktov alebo služieb Cisco zákazníkom, alebo ktoré spoločnosť Cisco vyvinula na osobitnú žiadosť zákazníka podľa vyhlásenia o práci alebo zmluvy.

Údaje o zákazníkoch zahŕňajú aj súbory protokolov, konfigurácie alebo firmvéru a jadrové výpisy.

Ide o údaje získané z produktu alebo služby a poskytnuté spoločnosti Cisco, aby nám pomohli vyriešiť problém v súvislosti so žiadosťou o podporu. Údaje zákazníkov nezahŕňajú administratívne údaje, podporné údaje ani telemetrické údaje.

Podporné údaje

Informácie, ktoré spoločnosť Cisco zhromažďuje, keď zákazník predloží žiadosť o služby podpory alebo iné riešenie problémov, vrátane informácií o hardvéri alebo softvéri. Zahŕňa podrobnosti týkajúce sa incidentu podpory, ako sú informácie o autentifikácii, informácie o stave produktu, údaje systému a registra o inštaláciách softvéru a konfiguráciách hardvéru a súbory na sledovanie chýb. Údaje podpory nezahŕňajú súbory protokolov, konfigurácie alebo firmvéru ani jadrové zápisy prevzaté z produktu a poskytnuté nám, aby nám pomohli vyriešiť problém v súvislosti so žiadosťou o podporu, pričom všetky sú príkladmi údajov o zákazníkoch.

Telemetrické údaje

Informácie generované prístrojovými a logovými systémami vytvorenými používaním a prevádzkou produktu alebo služby.

Všetky údaje zhromaždené v cloude Webex sú chránené niekoľkými vrstvami robustných bezpečnostných technológií a procesov. Nižšie sú uvedené príklady ovládacích prvkov umiestnených v rôznych vrstvách operácií Webex na ochranu údajov o zákazníkoch:

• Fyzická kontrola prístup u — Fyzický prístup je riadený pomocou biometrie, odznakov a kamerového sledovania. Prístup do dátového centra vyžaduje schválenie a je spravovaný prostredníctvom elektronického systému predaja lístkov.
• Kontrola prístupu k si eti — Obvod siete Webex je chránený firewallmi. Akýkoľvek sieťový prenos vstupujúci alebo opúšťajúci dátové centrum Webex je nepretržite monitorovaný pomocou systému detekcie vniknutia (IDS). Sieť Webex je tiež rozdelená do samostatných bezpečnostných zón. Prevádzka medzi zónami je riadená firewallmi a zoznamami kontroly prístupu (ACL).
• Kontroly monitorovania a riadenia infraštruktúry — Každá zložka infraštruktúry vrátane sieťových zariadení, aplikačných serverov a databáz je vytvrdená podľa prísnych pokynov. Podliehajú tiež pravidelnému skenovaniu, aby sa identifikovali a vyriešili akékoľvek bezpečnostné obavy.
• Kry@@ ptografické ovlá dacie prvky — Ako už bolo uvedené, všetky dáta do a z dátového centra Webex do cloudových aplikácií Webex a zariadení Webex sú šifrované, s výnimkou prevádzky PSTN a nešifrovaných videozariadení SIP/H323 na schôdzi s podporou cloudu. Kritické údaje uložené vo Webexe, napríklad heslá, sú navyše šifrované.

Zamestnanci spoločnosti Cisco nemajú prístup k údajom zákazníkov, pokiaľ zákazník nepožaduje prístup z dôvodov podpory. Prístup k systémom je v tomto prípade povolený manažérom iba v súlade so zásadou „segregácie povinností“. Udeľuje sa len na základe potreby poznania a iba s úrovňou prístupu potrebnou na vykonanie práce. Prístup zamestnancov k týmto systémom je tiež pravidelne kontrolovaný z hľadiska dodržiavania predpisov. Zamestnanci s takýmto prístupom sú povinní absolvovať každoročné školenie Medzinárodnej organizácie pre normalizáciu (ISO) 27001 Information Security Awareness.

Okrem týchto špecializovaných kontrol sa každý zamestnanec spoločnosti Cisco podrobuje kontrole základného prostredia, podpíše zmluvu o nezverejňovaní informácií (NDA) a absolvuje školenie v Kódexe obchodného správania (COBC).

Zákon o prenosnosti a zodpovednosti zdravotného poistenia (HIPAA)

Spoločnosť Cisco môže poskytovať informácie týkajúce sa funkčnosti, technológie a bezpečnosti Webexu. Subjekt pokrytý HIPAA by sa musel poradiť so svojím vlastným právnym poradcom, aby zistil, či je funkčnosť Webex v súlade s jeho obchodnými procesmi a je pripravená na GDPR.

• Súlad s GDPR
• Zverejň Webex Meetings ovanie ponuky spoločnosti Cisco

Priemyselné štandardy a certifikácie

Okrem dodržiavania našich prísnych interných noriem spoločnosť Webex neustále udržiava overenia tretích strán, aby preukázal náš záväzok k bezpečnosti informácií. Webex je:

• Certifikácia ISO 27001, 27017, 27018 a 27701
• Kontroly organizácie služieb (SOC) 2 typu II boli kontrolované
• Certifikácia SOC 3
• Cloudový kódex správania
• CSTAR
• Certifikácia katalógu kontrol dodržiavania súladu s cloudovými počítačmi (C5)
• Certifikát FedRAMP (ďalšie podrobnosti, rozsah a dostupnosť nájdete na stránke cisco.com/go/fedramp)

Kompletný súbor dokumentov o bezpečnosti, ochrane súkromia a súladu vrátane podrobností o vyššie uvedených normách a certifikáciách nájdete na portáli Cisco Trust Portal.