Ďakujeme za vašu spätnú väzbu.

Základné služby a komponenty Webex Meetings

• Webex Meetings je súčasťou balíka Webex Suite a poskytuje audio/video konferencie so zdieľaním obsahu a možnosťami webových konferencií.
• Platforma zahŕňa viacero mikroslužieb, ako napríklad službu stretnutí, službu webinárov, službu identity, službu nahrávania, službu AI Assistant, analytickú službu, administratívnu službu a mediálnu službu.
• Webex Meetings podporuje aplikácie a zariadenia registrované v cloude, čo umožňuje používateľom pripojiť sa k stretnutiam z rôznych operačných platforiem a zariadení. Používatelia sa môžu pripojiť k schôdzkam aj prostredníctvom PSTN a pomocou koncových bodov SIP.

Architektúra a nasadenie

• Služby Webex Meetings sú regionalizované a replikované vo viacerých nezávislých dátových centrách, aby sa zabezpečila redundancia a vysoká dostupnosť.
• Mediálne služby sú globálne distribuované s klastrami mediálnych serverov v každom dátovom centre, čo zabezpečuje lokálnu a geografickú redundanciu.
• Mediálne servery spracovávajú hlas, video a zdieľanie obsahu, pričom médiá sú bežne šifrované pomocou AES-256-GCM.
• Architektúra podporuje šifrovanú signalizáciu cez TLS/HTTPS a šifrované mediálne streamy.

Webex podporuje pripojenie k schôdzkam z viacerých platforiem a zariadení vrátane:

• Desktopová aplikácia Webex pre Windows, Mac a Linux.
• Mobilná aplikácia Webex pre Android a iOS.
• Webová aplikácia Webex pomocou prehliadačov Chrome, Edge, Safari, Firefox a ďalších.
• Zariadenia Cisco pre miestnosti a stolové zariadenia.
• Koncové body zvuku a videa tretích strán založené na štandardoch SIP.
• PSTN zariadenia.

Zákaznícka suverenita Webexu

V reakcii na rastúci dopyt po rezidencii dát zaviedla spoločnosť Webex rozšírené možnosti ochrany suverenity dát. Počnúc nahrávaním a s podporou ďalších služieb, ktoré budú čoskoro k dispozícii, si organizácie teraz môžu udržať kontrolu nad obsahom svojich stretnutí pomocou:

• Lokalizované spracovanie– Spracovanie obsahu stretnutí, ako sú napríklad nahrávky, v rámci vlastnej infraštruktúry.
• Lokálne úložisko— Využívanie vlastných služieb ukladania súborov na uloženie citlivých materiálov zo stretnutí, čím sa zabezpečí, že údaje zostanú v rámci určených geografických alebo organizačných hraníc.

Ultra zabezpečené stretnutia Webex

Historicky si funkcie „ultra bezpečné“, ako napríklad Zero Trust End-to-End Encryption (E2EE), často vyžadovali kompromis vo funkčnosti stretnutí, pretože cloudové služby s pridanou hodnotou vyžadovali prístup k šifrovacím kľúčom a k týmto stretnutiam sa mohol pripojiť iba obmedzený počet typov koncových bodov. Webex tento kompromis eliminoval pomocou:

• Zero Trust s bohatými funkciami— Spoločnosť Webex transformovala stretnutia s nulovou dôverou typu End-to-End Encrypted (E2EE) a pridala funkcie, vďaka ktorým sú stretnutia s nulovou dôverou bohaté na funkcie. Podpora širšieho počtu typov koncových bodov poskytuje bezproblémový zážitok bez obetovania nástrojov potrebných pre modernú spoluprácu.
• Zero Trust pre štandardné stretnutia— Spoločnosť Webex integrovala funkcie Zero Trust E2EE priamo do štandardných stretnutí. Vďaka tomu môže aj každodenná spolupráca profitovať z najvyššej úrovne zabezpečenia a poskytovať konzistentnú ochranu v celom ekosystéme Webex.

Jednotný prístup k spolupráci

Integráciou zákazníckej suverenity s týmito pokročilými funkciami Zero Trust E2EE umožňuje Webex organizáciám dosiahnuť dvojaký cieľ: hosťovanie vysoko zabezpečených stretnutí s nulovou dôverou v cloude Webex a zároveň zachovanie plnej kontroly nad spracovaním a ukladaním kritického obsahu stretnutí lokálne. Táto synergia poskytuje flexibilitu a bezpečnosť potrebnú pre moderné podnikové prostredia zamerané na dodržiavanie predpisov.

Rozšírenie bezpečnostných hraníc pomocou uzla Video Mesh

Pridanie uzla Video Mesh do organizácie umožňuje zákazníkom poskytovať služby lokálnych stretnutí a umožňuje ich lokálnym koncovým bodom pripojiť sa k akémukoľvek stretnutiu Webex. Z bezpečnostného hľadiska integrácia uzla Video Mesh zachováva systém Zero Trust v rámci cloudu Webex a zároveň ponúka takmer rovnakú funkčnosť ako štandardné stretnutia Webex. Zákazníci tiež profitujú zo suverenity údajov, pretože služby ako záznamy zo stretnutí Video Mesh Node sa spracovávajú a ukladajú lokálne.

Používanie end-to-end šifrovania s nulovou dôverou môže síce predĺžiť pripojenie k schôdzke, ale poskytuje jasnú bezpečnostnú záruku – prístup k šifrovacím kľúčom schôdzky majú iba účastníci schôdzky, takže obsah schôdzky nemôže dešifrovať poskytovateľ služieb ani iní sprostredkovatelia.

Zhrnutie: Modely nasadenia Webex Meetings a hybridné modely

Ako je znázornené vo vyššie uvedenom porovnaní, nasadenie uzla Video Mesh Node (VMN) umožňuje službe Zero Trust Webex Meetings dosiahnuť takmer rovnakú funkčnú paritu ako štandardné stretnutia Webex. Hoci stretnutia s nulovou dôverou nepodporujú účastníkov PSTN, webová aplikácia Webex slúži ako široko dostupná alternatíva pre šifrovaný prístup medzi koncovými bodmi. VMN navyše umožňuje kancelárskym pracovníkom používajúcim stolové telefóny bezproblémovo sa pripájať k stretnutiam s nulovou dôverou.

Video Mesh Node tiež zabezpečuje dátovú suverenitu pre kritický obsah stretnutí vrátane nahrávok a – v blízkej budúcnosti – prepisov, súhrnov a úloh. Spracovaním a uložením týchto údajov lokálne poskytuje VMN zákazníkom úplnú kontrolu nad ich informáciami a zároveň zachováva architektúru Zero Trust v rámci cloudu Webex.

Šifrovaná signalizácia Webex

Služby Webex podporujú verzie TLS 1.2 a 1.3, pričom TLS 1.3 sa uprednostňuje, ak ho podporuje pripájajúci sa koncový bod. Ak klient podporuje iba TLS 1.2, server Webex vyberie najsilnejšiu bežnú šifrovaciu sadu ponúkanú klientom. Na rozdiel od TLS 1.2, TLS 1.3 nepoužíva výber šifrovacej sady podľa preferencií servera, pretože sa spolieha na menšiu, upravenú sadu moderných šifier. Tento dizajn zjednodušuje proces výberu a viac sa zameriava na vylepšenia výkonu, ako je skrátenie celkovej dĺžky handshake, pričom zachováva vysokú bezpečnosť. Šifrovacie sady pre TLS 1.2 a 1.3 používané spoločnosťou Webex sú dobre definované a majú prioritu, aby sa zabezpečila bezpečná komunikácia.

Šifrovacie sady TLS

Šifrovacie sady TLS 1.3 (servery TLS 1.3 nepoužívajú poradie preferencií pre výber sady)

Šifrovacie balíky TLS 1.2 (balíky v poradí preferovanom serverom)

Šifrovacie šifry AES_256_CBC a AES_128_sú podporované, aby sa zachovala kompatibilita so staršími systémami, staršími prehliadačmi a vstavanými zariadeniami, ktoré nepodporujú moderné šifry AEAD (Authenticated Encryption with Associated Data), ako napríklad AES-GCM, napr. Internet Explorer 11 v systéme Windows 7 a Windows 8.1, Safari. 6/7/8 v skorších verziách systémov iOS a MacOS sa používajú šifry založené na CBC.

CHACHA20_POLY1305 je prúdová šifra s nízkou závislosťou od hardvéru, vďaka čomu je vynikajúcou šifrou na použitie na mobilných zariadeniach alebo zariadeniach s nízkoenergetickými procesormi.

Štandardy šifrovania médií pre Webex

Stretnutia a hovory Webex využívajú robustné šifrovanie založené na AES pre všetky mediálne pakety. Konkrétna šifrovacia sada závisí od typu koncového bodu, pričom AES-256-GCM slúži ako preferovaný štandard pre optimálne zabezpečenie.

Kľúčové bezpečnostné aspekty

• Preferovaný štandard— AES-256-GCM je odporúčaná šifra pre všetky nasadenia, aby sa zabezpečila najvyššia úroveň integrity a dôvernosti údajov.
• Interoperabilita— Hoci Webex zachováva podporu pre staršie šifry (ako napríklad AES-CM-128-HMAC-SHA1) na zabezpečenie interoperability so systémami SIP a H.323 tretích strán, organizácie, ktoré uprednostňujú architektúru s nulovou dôverou, by mali presadzovať AES-256-GCM tam, kde to kompatibilita zariadení umožňuje.

Protokoly prenosu médií

Webex podporuje prenos médií cez UDP, TCP alebo TLS. Pre optimálny výkon hlasu a videa spoločnosť Cisco dôrazne odporúča UDP.

Úvahy o výkone:

• Efektívnosť v reálnom čase— UDP je preferovaný prenos pre médiá v reálnom čase, pretože minimalizuje latenciu a jitter tým, že sa vyhýba mechanizmom opakovaného prenosu a ukladania do vyrovnávacej pamäte, ktoré sú vlastné protokolom orientovaným na pripojenie.
• Vplyv TCP/TLS—Hoci TCP a TLS poskytujú spoľahlivé a usporiadané doručovanie údajov, toto správanie je kontraproduktívne pre médiá v reálnom čase. Výsledné opakované prenosy paketov a ukladanie streamu do vyrovnávacej pamäte spôsobujú latenciu a jitter, čo môže výrazne znížiť kvalitu zážitku pre účastníkov.

Používanie SRTP a SFrame pre médiá spoločnosťou Webex

Pre zachovanie vysokých bezpečnostných štandardov požadovaných pre prostredia WebexZero Trust je dôležité rozlišovať medzi zabezpečením na úrovni transportu (SRTP) a šifrovaním end-to-end na aplikačnej vrstve (SFrame).

Kľúčové technické rozdiely – SRTP & SFrame

1. SRTP (Secure Real-time Transport Protocol)

   SRTP je priemyselný štandard pre zabezpečenie mediálnych streamov počas prenosu.

   • Rozsah— Poskytuje dôvernosť, overovanie správ a ochranu pred opakovaným prehrávaním pre dáta RTP.
   • Prevádzkový kontext— V mnohých architektúrach mediálny server/mediálna brána (jednotka selektívneho presmerovania (SFU)) ukončí pripojenie SRTP, aby vykonal spracovanie médií (napríklad mixovanie, kompozíciu rozloženia alebo transkódovanie). Keďže SFU na spracovanie dešifruje médium, je médium v bode SFU technicky zraniteľné.
2. SFrame (bezpečný rám)

   SFrame je štandard IETF. RFC 9605 je navrhnutý špeciálne na uľahčenie skutočného šifrovania typu end-to-end v prostredí viacstranných konferencií.

   • Rozsah—Šifruje paketizované mediálne rámce predtým, ako sú zapuzdrené do RTP paketov. Webex pridáva ďalšiu vrstvu šifrovania pomocou SRTP.
   • Architektúra nulovej dôvery— Keďže médiá sú šifrované na aplikačnej vrstve, SFU funguje iba ako „slepé“ relé. Smeruje šifrované pakety k ostatným účastníkom bez toho, aby mali prístup k dešifrovacím kľúčom.
   • Nezávislosť—SFrame je nezávislý od transportu. Zostáva bezpečný, aj keď je podkladová preprava (UDP/TCP/TLS) je ohrozená, pretože bezpečnostný kontext je viazaný na koncové body účastníkov, a nie na transportné pripojenie.

SFrame je kľúčový mechanizmus, ktorý umožňuje E2EE. Zatiaľ čo SRTP zabezpečuje šifrovanie dát počas prenosu sieťou, SFrame zabezpečuje, že médiá zostanú šifrované počas celého životného cyklu stretnutia, a to aj v čase, keď sa nachádzajú v infraštruktúre spoločnosti Cisco (SFU), čím sa poskytovateľ služieb efektívne vyraďuje z hranice dôveryhodnosti.

Obsah stretnutí Webex

Obsah stretnutia pozostáva z údajov vytvorených účastníkmi alebo vygenerovaných službami Webex v mene hostiteľa stretnutia. Patria sem:

• Obsah súvisiaci s médiami— Nahrávky, prepisy, súhrny a úlohy.
• Údaje o spolupráci—Správy z chatu, shared/transferred súbory, tabule a anotácie.

Zabezpečenie obsahu Webex Meetings – komplexné šifrovanie Webex

Webex zabezpečuje obsah stretnutí generovaný účastníkmi pomocou robustného rámca end-to-end šifrovania (E2EE). Ústredným prvkom tejto architektúry je služba správy kľúčov Webex (KMS), ktorá je zodpovedná za generovanie, distribúciu a správu šifrovacích kľúčov pre všetok obsah generovaný používateľmi.

Vrstvy zabezpečenia obsahu stretnutí

• Prenášané dáta– Aplikácia Webex a videozariadenia Cisco používajú šifrovanie Webex end-to-end (E2EE) s AES-256-GCM na šifrovanie obsahu stretnutí generovaného používateľmi, ako sú súbory so záznamami, súhrnné súbory umelej inteligencie, správy z chatu atď. Toto je ďalej zapuzdrené v rámci Transport Layer Security (TLS), aby sa počas prenosu zabezpečila dvojvrstvová ochrana.
• Uložené dáta– Po uložení v cloude Webex je šifrovaný obsah dodatočne chránený šifrovaním disku AES-256-GCM.
• Profil ochrany– Tento prístup chráni obsah pred zachytením TLS počas prenosu a zabezpečuje, že uložené údaje zostanú neprístupné pre neoprávnených aktérov v cloudovom prostredí.

Komplexné šifrovanie Webex so spravovaným prístupom k obsahu pre základné služby

Na rozdiel od end-to-end šifrovania Zero Trust, kde Webex nemá prístup k šifrovacím kľúčom médií alebo obsahu, end-to-end šifrovanie Webex umožňuje platforme využívať kľúče generované službou Webex KMS na dešifrovanie údajov pre základné služby. Tento spravovaný prístup umožňuje:

• Vyhľadávanie a indexovanie– Umožňuje používateľom vyhľadávať v histórii obsahu.
• Súlad s predpismi a riadenie— Umožňuje prevenciu straty údajov (DLP), elektronické vyhľadávanie a archiváciu údajov.
• Optimalizácia médií— Podporuje prekódovanie súborov pre kompatibilitu medzi zariadeniami.
• Zabezpečenie– Uľahčuje skenovanie škodlivého softvéru pomocou balíka Extended Security Pack.

Metadáta Webex Meetings

Metadáta stretnutí pozostávajú z administratívnych a technických informácií generovaných systémom na uľahčenie, sledovanie a riadenie stretnutia, a nie zo skutočného obsahu (zvuku, videa alebo zdieľaných súborov) samotného stretnutia. Metadáta možno rozdeliť do niekoľkých kategórií:

• Informácie o relácii– Názov stretnutia, ID stretnutia, plánovaný čas začiatku a ukončenia a skutočné trvanie stretnutia.
• Údaje o účastníkoch– Zoznam pozvaných a skutočných účastníkov, ich IP adresy, typy zariadení (napríklad Windows, iPhone, Cisco Room Kit) a ich join/leave časové pečiatky.
• Metriky používania a kvality– Údaje používané na riešenie problémov, ako napríklad strata paketov, chvenie, latencia a rozlíšenie video streamu.

Ako sa používajú metadáta

1. Analytika a reportovanie— Administrátori používajú metadáta v aplikácii WebexControl Hub na zistenie, koľko stretnutí prebieha, ktoré oddelenia sú najaktívnejšie a aká je celková kvalita používateľského zážitku.
2. Riešenie problémov— Cisco TAC (Centrum technickej pomoci) používa metadáta na identifikáciu a riešenie problémov so stretnutiami.
3. Súlad s predpismi a elektronické vyhľadávanie informácií— Pracovníci zodpovední za dodržiavanie predpisov môžu vyhľadávať metadáta, aby dokázali, že sa stretnutie konalo, kto sa ho zúčastnil a či bolo nahraté, a to aj v prípade, že nevidia šifrovaný obsah stretnutia.
4. Zabezpečenie— Metadáta pomáhajú identifikovať pokusy o neoprávnený prístup alebo nezvyčajné vzorce, ktoré by mohli naznačovať bezpečnostnú hrozbu.

Bezpečnosť a súkromie metadát

• Šifrovanie— Hoci metadáta nie sú „šifrované od začiatku do konca“, sú stále šifrované počas prenosu (pomocou TLS) a aj v pokoji v zabezpečených dátových centrách spoločnosti Cisco.
• Riadenie prístupu– Zásady ochrany osobných údajov spoločnosti Cisco prísne obmedzujú, kto má prístup k týmto metadátam, a tie sa používajú na poskytovanie a zlepšovanie služby.

Viac informácií o obsahu a metadátach stretnutí Webex nájdete v Vyhlásení o ponuke stretnutí Webex.

Priradenie typov relácií schôdzí používateľom

Administrátori centra Webex Control Hub môžu priradiť jeden alebo viac typov stretnutí, ktoré môžu ich používatelia použiť pre naplánované stretnutia. Predvolene sú všetkým používateľom priradené typy stretnutí Pro Meeting a Pro-End to End Encryption_VoIPonly.

Naplánovať stretnutie – vyberte typ stretnutia

Používatelia si môžu vybrať typ stretnutia, ktorý chcú použiť pri plánovaní stretnutia, z aplikácie Webex, stránky používateľa Webex a doplnku Webex Email pre Microsoft Outlook.

Naplánovať stretnutie – Vyberte typ stretnutia v aplikácii Webex

Naplánovať stretnutie – Vyberte typ stretnutia na používateľskej stránke Webexu

Nastavenie predvoleného typu schôdze

Používatelia si môžu nastaviť predvolený typ stretnutia z Stretnutia > Nastavenia na ich používateľskej stránke Webex.

Nastavenie predvoleného typu schôdze zo stránky používateľa Webexu

Zero Trust End-to-End identita a prevencia deepfakeov

Certifikáty identity koncového používateľa poskytnuté zákazníkom sú základným kameňom predchádzania zosobneniu v rámci stretnutí Webex šifrovaných end-to-end (E2EE). Na rozdiel od tradičných mechanizmov blokovania deepfake, ktoré sa spoliehajú na analýzu audio a video streamov, tento prístup poskytuje kryptografické overenie identity v momente prístupu. Tento overený stav sa zobrazuje priamo v zozname účastníkov schôdze, čo poskytuje transparentnosť všetkým účastníkom.

Spoločnosť Webex rozšírila svoju podporu pre certifikáty spravované zákazníkmi – predtým dostupné na zariadeniach RoomOS – aj na aplikáciu Webex ako súčasť našej funkcie „Prevencia Deepfake“. Organizácie si môžu poskytovať a spravovať vlastné digitálne certifikáty vydané dôveryhodnými externými certifikačnými autoritami (CA) pomocou štandardných protokolov v odvetví, ako je ACME. Tieto certifikáty, založené na štandardoch X.509 a pároch kľúčov ECDSA P-256, poskytujú kryptografický dôkaz identity účastníkov počas stretnutí E2EE.

Overená identita od začiatku do konca a protokol MLS

Protokol Messaging Layer Security (MLS) využíva štandardné certifikáty X.509 na overovanie účastníkov stretnutia. Certifikát je digitálne podpísaný výpis od dôveryhodnej certifikačnej autority, ktorý overuje identitu držiteľa podpisového kľúča. Účastníci získajú tieto certifikáty dvoma hlavnými spôsobmi:

• Spravované zariadenia (certifikáty poskytnuté zákazníkom)– Pre stolné počítače a mobilné klienty spravované organizáciou je možné na zariadenie nainštalovať certifikát identity od dôveryhodnej certifikačnej autority. Keď sa používateľ prihlási pomocou jednotného prihlásenia (SSO), aplikácia Webex načíta tento certifikát z úložiska dôveryhodných certifikátov operačného systému, aby predstavila overenú identitu používateľa. Tento proces je podporovaný aj pre videozariadenia Cisco registrované v cloude Webex.
• Predvolené (certifikáty poskytnuté spoločnosťou Webex)– Ak nie je k dispozícii žiadny certifikát poskytnutý zákazníkom, klient alebo zariadenie Webex automaticky použije certifikát vydaný certifikačnou autoritou Webex, ktorý odráža identitu overenú spoločnosťou Cisco.

Zdieľanie identít a záložný mechanizmus

Počas stretnutia každý účastník zdieľa svoj certifikát identity Webex a, ak je k dispozícii, aj certifikát identity poskytnutý zákazníkom so všetkými ostatnými účastníkmi. Pre zabezpečenie bezproblémového pripojenia sa koncový bod Webex riadi prísnou hierarchiou: Pri overovaní uprednostňuje certifikát poskytnutý zákazníkom; ak tento certifikát chýba alebo jeho overenie neprejde, systém sa automaticky vráti k certifikátu identity poskytnutému spoločnosťou Webex.

Zobrazenie stavu overenia identity používateľa

Keď sa účastníci pripoja k schôdzi pomocou aplikácie Webex alebo zariadení RoomOS s certifikátmi poskytnutými zákazníkom, ich identitu overia ostatní účastníci schôdze oproti vydávajúcej certifikačnej autorite. Vďaka tomu sú rozpoznaní iba autorizovaní používatelia, čo bráni útočníkom v vydávaní sa za legitímnych účastníkov, pretože tieto certifikáty sú jedinečne viazané na overené identity a spoločnosť Cisco ani sprostredkovatelia ich nemôžu sfalšovať.

Zoznam účastníkov stretnutia šifrovaného E2E zobrazuje stav overenia identity každého používateľa:

• Overené s nulovou dôverou v E2E ( domain.com ) – Pri použití certifikátu identity poskytnutého zákazníkom sa doména účastníka zobrazí modrým textom. Toto označuje skutočnú overenú identitu E2E, ktorú spoločnosť Cisco nemôže ovplyvniť. Napríklad v zozname účastníkov schôdze môžete vidieť, že „Kevin“ má overenú e-mailovú adresu z example.com, ktorá je zobrazená modrou farbou.
• Webex-Overené ( domain.com) – Certifikáty vydané certifikačnou autoritou Webex poskytujú obmedzenejšiu úroveň ochrany. Hoci je to lepšie ako žiadna ochrana identity, títo účastníci nie sú označení ako „overení E2E s nulovou dôverou“. Namiesto toho sa ich stav identity zobrazuje sivým textom, čo znamená, že identitu overila certifikačná autorita Webex.
• Neoverený hosťujúci používateľ ( Neoverené) – Hoci identita hosťujúcich účastníkov nie je overená (pretože neexistuje žiadny proces prihlásenia), stále potrebujú certifikát na pripojenie sa ku skupine MLS pre hovor alebo stretnutie. Tento certifikát vydáva certifikačná autorita Webex a ako používateľské meno používa „anonymous“.

Bezpečnostný kód stretnutia odvodený z kryptografického stavu všetkých účastníkov navyše pomáha odhaliť útoky typu „osoba v strede“ tým, že umožňuje účastníkom overiť, či všetci zdieľajú rovnaký zabezpečený kontext stretnutia. Kombináciou kryptografického overovania identity s end-to-end šifrovaním ponúka táto funkcia „Deepfake prevention“ robustnú ochranu pred hrozbami zo strany iného používateľa a syntetických médií, čím chráni integritu a dôvernosť stretnutí v aplikácii Webex aj zariadeniach s operačným systémom RoomOS.

Správa zavádzania certifikátov

Organizácie môžu zjednodušiť zavádzanie a správu týchto certifikátov identity koncových používateľov poskytovaných zákazníkmi ich inštaláciou do zariadení spravovaných spoločnosťou pomocou aplikácií Správa mobilných zariadení (MDM), Správa mobilných aplikácií (MAM) alebo Správa podnikovej mobility (EMM). Tieto platformy správy umožňujú IT správcom centrálne poskytovať, konfigurovať a kontrolovať certifikáty a súvisiace bezpečnostné politiky v širokej škále zariadení, či už ide o zariadenia vlastnené spoločnosťami alebo osobami. Napríklad Microsoft Intune podporuje funkcie MDM aj MAM, ktoré umožňujú organizáciám nasadiť a spravovať aplikáciu Webex a jej konfigurácie zabezpečenia vrátane certifikátov identity na spravovaných zariadeniach. Podobne Cisco Meraki Systems Manager poskytuje funkcie MDM na registráciu zariadení, odosielanie konfiguračných profilov a nasadzovanie certifikátov na zabezpečenie dôveryhodného stavu zariadenia. Využitie týchto riešení správy znižuje administratívne náklady, zjednodušuje správu životného cyklu certifikátov a zlepšuje bezpečnostné nastavenie pre stretnutia Webex E2EE pomocou funkcií „Deepfake prevention“.

Tri piliere identity

Efektívna správa identít a prístupov (IAM) pre Webex sa spolieha na:

• Poskytovanie (CRUD) – Správa životných cyklov používateľov (vytvorenie, čítanie, aktualizácia, odstránenie) s cieľom zabezpečiť, aby „zdroj pravdy“ zodpovedal platforme pre spoluprácu.
• Autentifikácia (AuthN) – overenie identity používateľa prostredníctvom zabezpečených prihlasovacích údajov alebo tokenov.
• Autorizácia (AuthZ) – Definovanie podrobných povolení a úrovní prístupu k rozhraniu API po autentifikácii.

Poskytovanie & Riadenie životného cyklu

Webex podporuje niekoľko metód na synchronizáciu používateľov a skupín:

• SCIM 2.0— Preferovaný cloudový štandard. Automatizuje životný cyklus používateľa a zabezpečuje, že odhlásenie v IdP automaticky zruší prístup k Webexu.
• Directory Connector– Nástroj od spoločnosti Cisco pre hybridné prostredia, ktorý prepája lokálnu službu Active Directory (AD) s cloudom Webex.
• Poskytovanie služieb založené na rozhraní API– Používa rozhranie Webex „People API“ na programové vytváranie používateľov a prideľovanie licencií v zložitých prostrediach.
• Starší protokol LDAP— Podporované pre lokálne adresáre (napr. CUCM), hoci menej optimalizované pre modernú cloudovú prevádzku.

Autentifikácia & Autorizačné rámce

• Autentifikácia (AuthN):

• SAML 2.0— Podnikový štandard pre jednotné prihlásenie (SSO). Webex vystupuje ako poskytovateľ služieb (SP) a overuje XML tvrdenia od firemného poskytovateľa identity.
• OIDC (OpenID Connect)— Moderná, ľahká vrstva identity postavená na OAuth 2.0 s použitím webových tokenov JSON (JWT). Podporuje „URL adresy vyhľadávania“ pre automatickú konfiguráciu.

• Autorizácia (AuthZ):

• OAuth 2.0—Spravuje prístup k API prostredníctvom krátkodobých prístupových tokenov (definujúcich rozsahy) a dlhodobých obnovovacích tokenov. Pre verejných klientov zabezpečuje zabezpečenie prostredníctvom PKCE (Proof Key for Code Exchange).

Integrácia & Stratégie viacerých poskytovateľov identity

Webex poskytuje špecializované spôsoby pre bezproblémovú integráciu:

• Sprievodca zadaním ID– Odporúčaná cesta pre prostredia spoločnosti Microsoft. Používa rozhranie Microsoft Graph API na pokročilú synchronizáciu atribútov (avatary, hierarchie) a automatizuje... OIDC/SAML konfigurácia.
• Duo Security– Pridáva „Continuous Identity Security“ overovaním stavu zariadenia a povolením MFA odolného voči phishingu.

Podpora viacerých poskytovateľov identity:Webex umožňuje organizáciám zjednotiť viacerých nezávislých poskytovateľov identity (IdP) v rámci jedného Control Hubu.

• Prípady použitia – fúzie, akvizície alebo decentralizované IT oddelenia.
• Smerovanie – Žiadosti o autentifikáciu sú smerované na základe domén alebo skupín používateľov.
• Zohľadnenie – Vyžaduje si prísnu koordináciu na udržanie konzistentných bezpečnostných politík vo všetkých federovaných zdrojoch.

Príklad najbežnejších integrácií identít IdP s Webexom:

Najlepšie postupy a odolnosť

• Obnova SSO – Vždy použite vstavaný odkaz „Obnova SSO“ v aplikácii Control Hub na obídenie SSO pomocou jednorazového hesla (OTP), ak konfigurácia IdP zlyhá.
• Správa certifikátov – Monitorovanie expirácie certifikátu SAML. Sprievodca SSO automatizuje výmenu metadát, čím znižuje manuálne chyby.
• Riešenie problémov – Ak sa vyskytnú problémy s overovaním, použite nástroj SAML Tracer na kontrolu tvrdení XML a overenie formátov NameID.
• Bezpečnostný stav – Pravidelne ukončujte podporu starších typov grantov a zabezpečte implementáciu PKCE pre všetky integrácie verejných klientov.

Záver – Identita pre stretnutia Webex

Robustná stratégia identity je proces s nepretržitým životným cyklom. Kombináciou SCIM pre poskytovanie, OIDC/SAML pre autentifikáciu a OAuth pre autorizáciu môžu organizácie zabezpečiť bezpečný a bezproblémový zážitok pre používateľov a zároveň si zachovať prísnu administratívnu kontrolu.

Životný cyklus bezpečného vývoja spoločnosti Cisco

V spoločnosti Cisco nie je bezpečnosť druhoradá. Ide o disciplinovaný prístup k budovaniu a poskytovaniu produktov a služieb svetovej triedy od základov. Všetky tímy vývoja produktov Cisco^® sú povinné dodržiavať Cisco Secure Development Lifecycle. Ide o opakovateľný a merateľný proces určený na zvýšenie odolnosti a dôveryhodnosti produktov Cisco. Kombinácia nástrojov, procesov a školení zameraných na zvyšovanie povedomia zavedených vo všetkých fázach životného cyklu vývoja pomáha zabezpečiť hĺbkovú ochranu. Poskytuje tiež holistický prístup k odolnosti produktu. Tím pre vývoj produktov Webex s nadšením sleduje tento životný cyklus v každom aspekte vývoja produktu.

Prečítajte si viac o Bezpečnom vývojovom životnom cykle.

Základné bezpečnostné nástroje Cisco

Organizácia Cisco pre bezpečnosť a dôveru poskytuje proces a potrebné nástroje, ktoré umožňujú každému vývojárovi zaujať konzistentný postoj pri rozhodovaní o bezpečnosti.

Vyhradené tímy na vývoj a poskytovanie takýchto nástrojov odstraňujú neistotu z procesu vývoja produktu.

Medzi príklady nástrojov patria:

• Základné požiadavky na bezpečnosť produktov (PSB), ktoré musia produkty spĺňať
• Nástroje na tvorbu hrozieb používané počas modelovania hrozieb
• Pokyny pre kódovanie
• Overené alebo certifikované knižnice, ktoré môžu vývojári použiť namiesto písania vlastného bezpečnostného kódu
• Nástroje na testovanie bezpečnostných zraniteľností (pre statickú a dynamickú analýzu) používané po vývoji na testovanie bezpečnostných chýb
• Sledovanie softvéru, ktoré monitoruje knižnice od spoločností Cisco a tretích strán a upozorňuje produktové tímy na zistenie zraniteľnosti

Organizačná štruktúra, ktorá zabezpečuje bezpečnosť v procesoch spoločnosti Cisco

Spoločnosť Cisco má špecializované oddelenia, ktoré sa zaoberajú zavádzaním a riadením bezpečnostných procesov v celej spoločnosti. Aby spoločnosť Cisco neustále držala krok s bezpečnostnými hrozbami a výzvami, spolieha sa na:

• Cloudový tím pre informačnú bezpečnosť (InfoSec) od spoločnosti Cisco
• Tím pre reakciu na bezpečnostné incidenty produktov Cisco (PSIRT)
• Zdieľaná zodpovednosť za bezpečnosť

Cisco InfoSec Cloud

Tento tím, vedený hlavným bezpečnostným riaditeľom pre cloud, je zodpovedný za poskytovanie bezpečného prostredia Webex pre našich zákazníkov. Spoločnosť InfoSec to dosahuje definovaním a presadzovaním bezpečnostných procesov a nástrojov pre všetky funkcie zapojené do dodávania Webexu našim zákazníkom.

Okrem toho Cisco InfoSec Cloud spolupracuje s ďalšími tímami v rámci spoločnosti Cisco s cieľom reagovať na akékoľvek bezpečnostné hrozby pre službu Webex.

Spoločnosť Cisco InfoSec je tiež zodpovedná za neustále zlepšovanie bezpečnostného systému spoločnosti Webex.

Tím pre reakciu na bezpečnostné incidenty produktov Cisco (PSIRT)

Cisco PSIRT je špecializovaný globálny tím, ktorý riadi prítok, vyšetrovanie a hlásenie bezpečnostných problémov súvisiacich s produktmi a službami spoločnosti Cisco. PSIRT používa na publikovanie informácií rôzne médiá v závislosti od závažnosti bezpečnostného problému. Typ hlásenia sa líši v závislosti od nasledujúcich podmienok:

• Existujú softvérové záplaty alebo riešenia na riešenie zraniteľnosti alebo sa plánuje následné zverejnenie opráv kódu na riešenie zraniteľností s vysokou závažnosťou.
• PSIRT zaznamenal aktívne zneužívanie zraniteľnosti, ktorá by mohla viesť k väčšiemu riziku pre zákazníkov spoločnosti Cisco. PSIRT môže v tomto prípade urýchliť zverejnenie bezpečnostného oznámenia popisujúceho zraniteľnosť bez toho, aby boli k dispozícii všetky záplaty.
• Verejné povedomie o zraniteľnosti ovplyvňujúcej produkty Cisco môže viesť k väčšiemu riziku pre zákazníkov spoločnosti Cisco. PSIRT môže opäť upozorniť zákazníkov, a to aj bez úplnej dostupnosti záplat.

Vo všetkých prípadoch PSIRT zverejňuje minimálne množstvo informácií, ktoré koncoví používatelia budú potrebovať na posúdenie dopadu zraniteľnosti a na prijatie krokov potrebných na ochranu svojho prostredia. PSIRT používa stupnicu Common Vulnerability Scoring System (CVSS) na hodnotenie závažnosti zverejneného problému. PSIRT neposkytuje podrobnosti o zraniteľnostiach, ktoré by mohli niekomu umožniť vytvoriť zneužitie.

Viac informácií o PSIRT nájdete v článku Cisco Product Security Incident Response Team.

Zodpovednosť za bezpečnosť

Hoci za bezpečnosť zodpovedá každý člen skupiny Webex, hlavné pravidlá sú nasledovné:

• Hlavný bezpečnostný riaditeľ, cloud
• Viceprezident a generálny riaditeľ, Cisco Cloud Collaboration Applications
• Viceprezident pre inžinierstvo, aplikácie Cisco Cloud Collaboration
• Viceprezident pre produktový manažment, aplikácie Cisco Cloud Collaboration

Interné a externé penetračné testy

Skupina Webex pravidelne vykonáva prísne penetračné testovanie s využitím interných hodnotiteľov. Okrem vlastných prísnych interných postupov spoločnosť Cisco InfoSec zapája aj viacero nezávislých tretích strán, ktoré vykonávajú prísne audity interných politík, postupov a aplikácií spoločnosti Cisco. Tieto audity sú navrhnuté tak, aby overovali bezpečnostné požiadavky kritické pre komerčné aj vládne aplikácie. Spoločnosť Cisco tiež využíva externých dodávateľov na vykonávanie priebežných, hĺbkových penetračných testov a hodnotení služieb s asistenciou kódu. V rámci zapojenia tretia strana vykonáva nasledujúce bezpečnostné hodnotenia:

• Identifikácia kritických zraniteľností aplikácií a služieb a navrhovanie riešení
• Odporúčanie všeobecných oblastí pre architektonické vylepšenia
• Identifikácia chýb v kódovaní a poskytovanie poradenstva na zlepšenie kódovacích postupov

Externí hodnotitelia spolupracujú priamo s technickým tímom spoločnosti Webex, aby vysvetlili zistenia a overili nápravné opatrenia. Informácie o atestácii penetračným testom nájdete v balíku listov o dôveryhodnosti pre Webex Meetings.

Fyzická bezpečnosť

Fyzické zabezpečenie v dátovom centre zahŕňa video dohľad nad zariadeniami a budovami a vynútenú dvojfaktorovú identifikáciu pre vstup. V dátových centrách spoločnosti Cisco je prístup riadený kombináciou čítačiek odznakov a biometrických kontrol. Okrem toho, environmentálne kontroly (napríklad teplotné senzory a protipožiarne systémy) a infraštruktúra pre kontinuitu služieb (ako napríklad záložné napájanie) pomáhajú zabezpečiť, aby systémy fungovali bez prerušenia.

Servery dátových centier sú rozdelené do „zón dôveryhodnosti“ na základe citlivosti infraštruktúry. Napríklad databázy sú „uzavreté v klietkach“, sieťová infraštruktúra má vyhradené miestnosti a všetky stojany s vybavením sú uzamknuté. Do dátových centier môžu vstúpiť iba bezpečnostní pracovníci spoločnosti Cisco a oprávnení návštevníci v sprievode pracovníkov spoločnosti Cisco.

Produkčná sieť spoločnosti Cisco je vysoko dôveryhodná sieť: Len veľmi málo ľudí s vysokou úrovňou dôvery má prístup k sieti.

Bezpečnosť infraštruktúry a platformy

Zabezpečenie platformy zahŕňa zabezpečenie siete, systémov a celého dátového centra Webex. Všetky systémy pred nasadením do produkčného prostredia prechádzajú dôkladnou bezpečnostnou kontrolou a overením akceptovateľnosti, ako aj pravidelným priebežným posilňovaním, aktualizáciami bezpečnostných záplat a skenovaním a hodnotením zraniteľností.

Servery sú zabezpečené pomocou pokynov pre technickú implementáciu zabezpečenia (STIG) publikovaných Národným inštitútom pre štandardy a technológie (NIST). Firewally chránia perimetr siete. Zoznamy riadenia prístupu (ACL) oddeľujú rôzne bezpečnostné zóny. Sú zavedené systémy detekcie narušenia (IDS) a aktivity sú priebežne zaznamenávané a monitorované. V celom Webexe sa vykonávajú denné interné a externé bezpečnostné kontroly. Všetky systémy sú v rámci pravidelnej údržby zosilnené a opravené. Okrem toho sa nepretržite vykonávajú skenovania a hodnotenia zraniteľností.

Kontinuita služieb a obnova po havárii sú kľúčovými súčasťami plánovania bezpečnosti. Dizajn dátových centier Cisco s globálnymi zálohami lokalít a vysokou dostupnosťou pomáha umožniť geografické prepnutie služieb Webex. Neexistuje jediný bod zlyhania.

Administratívne údaje

Informácie o zamestnancoch alebo zástupcoch zákazníka alebo inej tretej strany, ktoré spoločnosť Cisco zhromažďuje a používa na účely správy alebo riadenia dodávok produktov alebo služieb spoločnosťou Cisco alebo na účely správy alebo riadenia účtu zákazníka alebo tretej strany na vlastné obchodné účely spoločnosti Cisco.

Administratívne údaje môžu zahŕňať meno, adresu, telefónne číslo, e-mailovú adresu a informácie o zmluvných záväzkoch medzi spoločnosťou Cisco a treťou stranou, či už zhromaždené pri prvej registrácii alebo neskôr v súvislosti so správou alebo administráciou produktov alebo služieb spoločnosti Cisco.

Administratívne údaje môžu zahŕňať aj názov stretnutia, čas a ďalšie atribúty stretnutí vedených na Webexe zamestnancami alebo zástupcami zákazníka. Medzi ďalšie príklady administratívnych údajov môže patriť názov stretnutia, čas stretnutia a ďalšie atribúty stretnutí hostovaných na Webexe.

Údaje o zákazníkoch

Patria sem všetky údaje (vrátane textových, zvukových, video, obrazových súborov a nahrávok), ktoré spoločnosti Cisco poskytne zákazník v súvislosti s používaním produktov alebo služieb spoločnosti Cisco zákazníkom, alebo ktoré spoločnosť Cisco vyvinie na základe konkrétnej žiadosti zákazníka podľa pracovného zápisu alebo zmluvy.

Údaje o zákazníkoch zahŕňajú aj súbory protokolov, konfigurácie alebo firmvéru a výpisy základných dát.

Sú to údaje získané z produktu alebo služby a poskytnuté spoločnosti Cisco, ktoré nám pomôžu vyriešiť problém v súvislosti so žiadosťou o podporu. Údaje o zákazníkoch nezahŕňajú administratívne údaje, údaje o podpore ani telemetrické údaje.

Údaje o podpore

Informácie, ktoré spoločnosť Cisco zhromažďuje, keď zákazník odošle žiadosť o podporné služby alebo iné riešenie problémov, vrátane informácií o hardvéri alebo softvéri. Zahŕňa podrobnosti týkajúce sa incidentu podpory, ako sú napríklad overovacie informácie, informácie o stave produktu, systému a údajov z registra o inštaláciách softvéru a konfiguráciách hardvéru a súbory na sledovanie chýb. Údaje o podpore nezahŕňajú protokoly, konfiguračné súbory ani súbory firmvéru, ani súbory základných údajov prevzaté z produktu a poskytnuté nám na pomoc pri riešení problému v súvislosti so žiadosťou o podporu, pričom všetky tieto údaje sú príkladmi údajov o zákazníkoch.

Telemetrické údaje

Informácie generované prístrojovými a protokolovacími systémami, vytvorené používaním a prevádzkou produktu alebo služby.

Všetky údaje zhromaždené v cloude Webex sú chránené niekoľkými vrstvami robustných bezpečnostných technológií a procesov. Nižšie sú uvedené príklady kontrol umiestnených v rôznych vrstvách operácií Webexu na ochranu údajov zákazníkov:

• Kontrola fyzického prístupu— Fyzický prístup je riadený pomocou biometrických údajov, preukazov a video dohľadu. Prístup do dátového centra vyžaduje schválenia a je riadený prostredníctvom elektronického systému predaja lístkov.
• Riadenie prístupu k sieti— Perimetr siete Webex je chránený firewallmi. Akákoľvek sieťová prevádzka vstupujúca do dátového centra Webex alebo z neho vychádzajúca je nepretržite monitorovaná pomocou systému detekcie narušenia (IDS). Sieť Webex je tiež rozdelená do samostatných bezpečnostných zón. Prevádzka medzi zónami je riadená firewallmi a zoznamami riadenia prístupu (ACL).
• Monitorovanie a riadenie infraštruktúry— Každá zložka infraštruktúry vrátane sieťových zariadení, aplikačných serverov a databáz je prísne dodržiavaná. Taktiež sú predmetom pravidelných kontrol s cieľom identifikovať a riešiť akékoľvek bezpečnostné problémy.
• Kryptografické kontroly– Ako už bolo uvedené, všetky údaje do a z dátového centra Webex do cloudovo registrovaných aplikácií Webex a zariadení Webex sú šifrované, s výnimkou prevádzky PSTN a nešifrovaných údajov. SIP/H323 videozariadenia v rámci stretnutia s podporou cloudu. Okrem toho sú kritické údaje uložené vo Webexe, ako napríklad heslá, šifrované.

Zamestnanci spoločnosti Cisco nemajú prístup k údajom zákazníkov, pokiaľ si o prístup nepožiada zákazník z dôvodov podpory. Prístup k systémom je v tomto prípade povolený manažérom iba v súlade so zásadou „rozdelenia povinností“. Udeľuje sa iba na základe nevyhnutnej potreby a s úrovňou prístupu potrebnou na vykonanie danej práce. Prístup zamestnancov k týmto systémom sa tiež pravidelne kontroluje z hľadiska súladu s predpismi. Zamestnanci s takýmto prístupom sú povinní absolvovať každoročné školenie Medzinárodnej organizácie pre normalizáciu (ISO) 27001 o informačnej bezpečnosti.

Okrem týchto špecializovaných kontrol každý zamestnanec spoločnosti Cisco prechádza previerkou, podpisuje dohodu o mlčanlivosti (NDA) a absolvuje školenie o kódexe obchodného správania (COBC).

Zákon o prenosnosti a zodpovednosti zdravotného poistenia (HIPAA)

Spoločnosť Cisco môže poskytnúť informácie týkajúce sa funkčnosti, technológie a zabezpečenia systému Webex. Subjekt, na ktorý sa vzťahuje zákon HIPAA, by sa musel poradiť so svojím vlastným právnym zástupcom, aby zistil, či sú funkcie Webexu v súlade s jeho obchodnými procesmi a pripravené na GDPR.

• Súlad s GDPR
• Zverejnenie ponuky Cisco Webex Meetings

Priemyselné štandardy a certifikácie

Okrem dodržiavania našich prísnych interných štandardov spoločnosť Webex tiež neustále udržiava overenia tretími stranami, aby preukázala svoj záväzok k informačnej bezpečnosti. Webex je:

• Certifikácia ISO 27001, 27017, 27018 a 27701
• Kontroly servisnej organizácie (SOC) 2 typu II auditované
• Certifikácia SOC 3
• Kódex správania v cloude
• CSTAR
• Osvedčenie katalógu kontrol zhody cloudových výpočtov (C5)
• Certifikované podľa FedRAMP (navštívte cisco.com/go/fedramp pre viac informácií, rozsah a dostupnosť)

Úplnú sadu dokumentov o bezpečnosti, ochrane osobných údajov a dodržiavaní predpisov vrátane podrobností o vyššie uvedených štandardoch a certifikáciách nájdete na portáli Cisco Trust Portal.