Tack för din feedback.

Kärn Webex Meetings tjänster och komponenter

• Webex Meetingsär en del avWebex Suite, tillhandahåller ljud-/videokonferenser med innehållsdelning och webbkonferensfunktioner.
• Plattformen innehåller flera mikrotjänster som Meetings Service, Webinar Service, Identity Service, Recording Service, AI Assistant Service, Analytics Service, Admin Service och Media Service.
• Webex Meetingsstöder molnregistrerade appar och enheter, vilket gör det möjligt för användare att delta i möten från olika OS-plattformar och enheter. Användare kan också delta i möten via PSTN och med SIP-slutpunkter.

Arkitektur och driftsättning

• Webex MeetingsTjänsterna regionaliseras och replikeras över flera oberoende datacenter för att säkerställa redundans och hög tillgänglighet.
• Medietjänster distribueras globalt med medieserverkluster i varje datacenter, vilket ger lokal och geografisk redundans.
• Mediaservrar hanterar röst-, video- och innehållsdelning, med media som vanligtvis krypteras med AES-256-GCM.
• Arkitekturen stöder krypterad signalering över TLS/HTTPS och krypterade mediaströmmar.

Webex stöder anslutning till möten från flera plattformar och enheter, inklusive:

• Webex skrivbordsprogram på Windows, Mac och Linux.
• Webex mobilapplikation på Android och iOS.
• Webex webbapplikation med Chrome, Edge, Safari, Firefox och andra webbläsare.
• Cisco rumsenheter och skrivbordsenheter.
• Tredjeparts SIP-standardbaserade ljud- och videoslutpunkter.
• PSTN-enheter.

Webex kundsuveränitet

Som svar på den växande efterfrågan på datalägenhet har Webex introducerat förbättrade suveränitetskapaciteter. Från och med inspelning och med stöd för fler kommande tjänster kan organisationer nu behålla kontrollen över sitt mötesinnehåll med:

• Lokaliserad bearbetning — Bearbetar mötesinnehåll, till exempel inspelningar, inom sin egen infrastruktur.
• Lokal lagring — Använda sina egna fillagringstjänster för att hysa känsliga mötestillgångar, vilket säkerställer att data förblir inom angivna geografiska eller organisatoriska gränser.

Ultrasäker Webex Meetings

Tidigare krävde ”Ultra Secure” -funktioner, till exempel Zero Trust End-End-End-End-Encryption (E2EE), ofta en kompromiss när det gäller mötesfunktionalitet, eftersom molnbaserade mervärdestjänster krävde åtkomst till krypteringsnycklar och endast ett begränsat antal slutpunktstyper kunde delta i dessa möten. Webex har eliminerat denna avvägning med:

• Funktionsrikt Zero Trust — Webex har omvandlat Zero Trust End-to-end-Encrypted (E2EE) möten och lagt till funktioner som gör Zero Trust-möten funktions rika. Stöd för ett större antal slutpunktstyper ger en sömlös upplevelse utan att offra de verktyg som krävs för modernt samarbete.
• Zero Trust för standardmöten — Webex har integrerat Zero Trust E2EE-funktioner direkt i standardmöten. Detta säkerställer att även vardagligt samarbete kan dra nytta av de högsta säkerhetsnivåerna, vilket ger konsekvent skydd över hela Webex-ekosystemet.

Ett enhetligt förhållningssätt till samarbete

Genom att integrera kundsuveränitet med dessa avancerade Zero Trust E2EE-funktioner ger Webex organisationer möjlighet att uppnå ett dubbelt mål: vara värd för mycket säkra Zero Trust-möten i Webex-molnet samtidigt som full kontroll över bearbetning och lagring av kritiskt mötesinnehåll lokalt bibehålls. Denna synergi ger den flexibilitet och säkerhet som krävs för moderna, efterlevnadsdrivna företagsmiljöer.

Förlänga säkerhetsgränsen med Video Mesh Node

Genom att lägga till en videonätnod i en organisation kan kunder tillhandahålla lokala mötestjänster och låta deras lokala slutpunkter ansluta till alla Webex-möten. Ur ett säkerhetsperspektiv upprätthåller integrering av en Video Mesh Node Zero Trust i Webex-molnet samtidigt som den erbjuder nästan funktionsparitet med vanliga Webex-möten. Kunderna drar också nytta av datasäkerhet, eftersom tjänster som Video Mesh Node-mötesinspelningar behandlas och lagras lokalt.

Att använda Zero Trust end-to-end-kryptering kan lägga till några extra sekunder för att gå med i ett möte, men det ger tydlig säkerhetsgaranti - endast mötesdeltagarna har tillgång till möteskrypteringsnycklarna, så mötesinnehållet kan inte dekrypteras av tjänsteleverantören eller andra mellanhänder.

Sammanfattning: Webex Meetings och hybriddistributionsmodeller

Som visas i jämförelsen ovan tillåter distribution av Video Mesh Node (VMN) Zero Trust Webex Meetings att uppnå nästan funktionsparitet med vanliga Webex-möten. Även om Zero Trust-möten inte stöder PSTN-deltagare fungerar Webex webbaserade applikation som ett allmänt tillgängligt alternativ för end-to-end-krypterad åtkomst. Dessutom gör VMN det möjligt för kontorsbaserade arbetare som använder skrivbordstelefoner att sömlöst gå med i Zero Trust-möten.

Video Mesh Node säkerställer också datasuveränitet för kritiskt mötesinnehåll, inklusive inspelningar och - inom en snar framtid - transkript, sammanfattningar och åtgärdsobjekt. Genom att bearbeta och lagra dessa data lokalt ger VMN kunderna fullständig kontroll över sin information samtidigt som de upprätthåller en Zero Trust-arkitektur i Webex-molnet.

Krypterad Webex-signalering

Webex-tjänster stöder TLS-versionerna 1.2 och 1.3, med TLS 1.3 föredraget när det stöds av den anslutande slutpunkten. Om en klient endast stöder TLS 1.2 väljer Webex-servern den starkaste gemensamma krypteringssvit som klienten erbjuder. Till skillnad från TLS 1.2 använder TLS 1.3 inte serverpreferensciffersvitval eftersom det förlitar sig på en mindre, kuraterad uppsättning moderna chiffer. Denna design förenklar urvalsprocessen och fokuserar mer på prestandaförbättringar som att minska den totala handskakningslängden, samtidigt som den bibehåller stark säkerhet. Krypteringssviterna för TLS 1.2 och 1.3 som används av Webex är väldefinierade och prioriterade för att säkerställa säker kommunikation.

TLS-krypteringssviter

TLS 1.3-krypteringssviter (TLS 1.3-servrar använder ingen preferensordning för val av svit)

TLS 1.2-krypteringssviter (sviter i serverföredragen ordning)

AES_256_CBC och AES_128_CBC-krypteringschifrer stöds för att upprätthålla kompatibilitet med äldre system, äldre webbläsare och inbäddade enheter som inte stöder moderna AEAD-chiffer (Authenticated Encryption with Associated Data) som AES-GCM t.ex. Internet Explorer11 i Windows 7 och Windows 8.1, Safari 6/7/8 på tidiga iOS- och macOS-versioner använder CBC-baserade chiffer.

CHACHA20_POLY1305 är strömchiffer som har ett lågt beroende av hårdvara, vilket gör det till en överlägsen chiffer att använda på mobila enheter eller enheter med CPU med låg effekt.

Mediakrypteringsstandarder för Webex

Webex-möten och samtal använder robust AES-baserad kryptering för alla mediapaket. Den specifika krypteringssviten beror på slutpunktens typ, med AES-256-GCM som den föredragna standarden för optimal säkerhet.

Viktiga säkerhetsöverväganden

• Föredragen standard — AES-256-GCM är den rekommenderade krypteringen för alla distributioner för att säkerställa högsta nivå av dataintegritet och konfidentialitet.
• Interoperabilitet — Även om Webex upprätthåller stöd för äldre chiffer (t.ex. AES-CM-128-HMAC-SHA1) för att säkerställa interoperabilitet med SIP- och H.323-system från tredje part, bör organisationer som prioriterar en nollförtroendearkitektur tillämpa AES-256-GCM där enhetskompatibilitet tillåter.

Protokoll för medietransport

Webex stöder medietransport via UDP, TCP eller TLS. För optimal röst- och videoprestanda rekommenderar Cisco starkt UDP.

Prestandaöverväganden:

• Realtidseffektivitet —UDP är den föredragna transporten för realtidsmedia eftersom det minimerar latens och jitter genom att undvika återsändnings- och buffertmekanismer som är inneboende i anslutningsorienterade protokoll.
• Effekter av TCP/TLS — Även om TCP och TLS ger tillförlitlig, ordnad dataleverans är detta beteende kontraproduktivt för realtidsmedia. De resulterande paketöverföringarna och strömbuffringen introducerar latens och jitter, vilket avsevärt kan försämra kvaliteten på upplevelsen för deltagarna

Webex användning av SRTP och SFrame för media

För att upprätthålla de höga säkerhetsstandarder som krävs för WebExZero Trust-miljöer är det viktigt att skilja mellan säkerhet på transportnivå (SRTP) och applikationslager end-to-end-kryptering (SFrame).

Viktiga tekniska skillnader — SRTP & sFrame

1. SRTP (Secure Real-Time Transport Protocol)

   SRTP är branschstandarden för att säkra mediaströmmar i transit.

   • Omfattning —Det ger sekretess, meddelandeautentisering och omspelningsskydd för RTP-nyttolasten.
   • Operativt sammanhang — I många arkitekturer avslutar Media Server/ Media Gateway (Selective Forwarding Unit (SFU)) SRTP-anslutningen för att utföra mediebearbetning (till exempel blandning, layoutkomposition eller omkodning). Eftersom SFU dekrypterar media för att bearbeta det är media tekniskt sårbart vid SFU-punkten.
2. SFrame (säker ram)

   SFrame är en IETF-standard. RFC 9605 är speciellt utformad för att underlätta äkta end-to-end-kryptering i en konferensmiljö med flera parter.

   • Omfattning —Det krypterar packetiserade medieramar innan de inkapslas i RTP-paket. Webex lägger till ytterligare ett lager av kryptering med SRTP.
   • Zero Trust Architecture — Eftersom mediet är krypterat i applikationslagret fungerar SFU endast som ett ”blindt” relä. Den dirigerar de krypterade paketen till andra deltagare utan att någonsin ha tillgång till dekrypteringsnycklarna.
   • Oberoende —sFrame är transportagnostisk. Det förblir säkert även om den underliggande transporten (UDP/TCP/TLS) äventyras, eftersom säkerhetskontexten är knuten till deltagarnas slutpunkter snarare än transportanslutningen.

SFrame är den kritiska mekanismen som möjliggör E2EE. Medan SRTP säkerställer att data krypteras när de passerar nätverket, säkerställer SFrame att mediet förblir krypterat under hela mötets livscykel, inklusive när det finns på Ciscos infrastruktur (SFU), vilket effektivt tar bort tjänsteleverantören från förtroendegränsen.

Webex MeetingsInnehåll

Mötesinnehåll består av data som skapats av deltagarna eller genereras av Webex-tjänster på uppdrag av mötesvärden. Detta inkluderar:

• Medierelaterat innehåll —Inspel ningar, transkript, sammanfattningar, och åtgärdsobjekt.
• Samarbetsdata — Chattmeddelanden, delade/överförda filer, whiteboards och anteckningar.

Webex MeetingsInnehållssäkerhet — Webex End-to-end-kryptering

Webex säkrar mötesinnehåll som genereras av deltagarna med hjälp av ett robust ram för end-to-end-kryptering (E2EE). Centralt i denna arkitektur är Webex Key Management Service (KMS), som ansvarar för att generera, distribuera och hantera krypteringsnycklarna för allt användargenererat innehåll.

Säkerhetslager för mötesinnehåll

• Data i överföring — Webex App och Cisco-videoenheter använder Webex end-to-end-kryptering (E2EE) med AES-256-GCM för att kryptera användargenererat mötesinnehåll som inspelningsfiler, AI-sammanfattningsfiler, chattmeddelanden etc. Detta är ytterligare inkapslat i Transport Layer Security (TLS) för att ge dubbelskiktsskydd under överföring.
• Data i vila — När det har lagrats i Webex-molnet skyddas krypterat innehåll dessutom av AES-256-GCM-diskkryptering.
• Skyddsprofil — Detta tillvägagångssätt skyddar innehåll från TLS-avlyssning under överföring och säkerställer att lagrad data förblir otillgänglig för obehöriga aktörer i molnmiljön.

Webex end-to-end-kryptering med hanterad innehållsåtkomst för Core Services

Till skillnad från Zero Trust end-to-end-kryptering, där Webex inte har tillgång till media- eller innehållskrypteringsnycklar, tillåter Webex end-to-end-kryptering plattformen att använda Webex KMS-genererade nycklar för att dekryptera data för viktiga kärntjänster. Den här hanterade åtkomsten möjliggör:

• Sök och indexering — Gör det möjligt för användare att söka i innehållshistoriken.
• Efterlevnad och styrning — Möjliggör förebyggande av dataförlust (DLP), eDiscovery och dataarkivering.
• Medieoptimering — Stöder filomkodning för kompatibilitet mellan enheter.
• Säkerhet — Underlättar skanning av skadlig programvara med hjälp av Extended Security Pack.

Webex MeetingsMetadata

Mötesmetadata består av den administrativa och tekniska information som genereras av systemet för att underlätta, spåra och hantera ett möte, snarare än det faktiska innehållet (ljud, video eller delade filer) i själva mötet. Metadata kan delas upp i flera kategorier:

• Sessionsinformation — Mötestitel, mötes-ID, schemalagda start- och sluttider och mötesets faktiska varaktighet.
• Deltagardata — En lista över inbjudna och faktiska deltagare, deras IP-adresser, enhetstyper (t.ex. Windows, iPhone, Cisco Room Kit) och deras tidsstämplar för anslutning/utträde.
• Användnings- och kvalitet smått — Data som används för felsökning, till exempel paketförlust, jitter, latens och upplösningen för videoströmmen.

Hur metadata används

1. Analys och rapportering — Administratörer använder metadata i WebExControl Hub för att se hur många möten som händer, vilka avdelningar som är mest aktiva och den övergripande kvaliteten på upplevelsen.
2. Felsökning — Cisco TAC (Technical Assistance Center) använder metadata för att identifiera och lösa mötesproblem.
3. Compliance and eDiscovery — Com pliance-ansvariga kan söka i metadata för att bevisa att ett möte ägde rum, vem som var där och om det spelades in, även om de inte kan se det krypterade innehållet i mötet.
4. Säkerhet — Metadata hjälper till att identifiera obehöriga åtkomstförsök eller ovanliga mönster som kan indikera ett säkerhetshot.

Säkerhet och sekretess för metadata

• Kryptering — Även om metadata inte är ”end-to-end-krypterad”, krypteras den fortfarande under överföring (med TLS) och vilar i Ciscos säkra datacenter.
• Åtkomstkontroll — Ciscos sekretesspolicy begränsar strikt vem som kan komma åt dessa metadata, och de används för att tillhandahålla och förbättra tjänsten.

Mer information om Webex-mötesinnehåll och metadata finns i Offentliggörande av Webex Meetingserbjudanden.

Tilldela mötessessionstyper till användare

Webex Control Hub-administratörer kan tilldela en eller flera mötestyper som deras användare kan använda för schemalagda möten. Som standard tilldelas alla användare mötestyperna Pro Meeting och Pro-End to End Encryption _VoipOnly.

Schemalägg ett möte — Välj mötestyp

Användare kan välja den mötestyp som de vill använda när de schemalägger ett möte från Webex App, Webex användarsida och Webex e-posttillägg för. Microsoft Outlook

Schemalägg ett möte — Välj mötestyp i Webex-appen

Schemalägg ett möte — Välj mötestyp på Webex-användarsidan

Ange en standardmötestyp

Användare kan ställa in sin standardmötestyp från Möten > Inställningar på sin Webex-användarsida.

Ställ in standardmötetypen från Webex-användarsidan

Zero Trust End-to-end-identitet och förebyggande av Deepfake

Kundtillhandahållna identitetscertifikat för slutanvändare är en hörnsten för att förhindra personifiering i Webex end-to-end-krypterade (E2EE) möten. Till skillnad från traditionella deepfake-blockeringsmekanismer som förlitar sig på att analysera ljud- och videoströmmar, ger detta tillvägagångssätt kryptografisk identitetsvalidering vid antagningsstället. Denna verifierade status visas direkt i möteslistan, vilket ger transparens för alla deltagare.

Webex har utökat sitt stöd för kundhanterade certifikat - tidigare tillgängliga på RoomOS-enheter - till Webex App som en del av vår ”Deepfake prevention” -funktion. Organisationer kan tillhandahålla och hantera sina egna digitala certifikat, utfärdade av betrodda externa certifikatutfärdare (CA) med branschstandardprotokoll som ACME. Dessa certifikat, baserade på X.509-standarder och ECDSA P-256-nyckelpar, ger kryptografiskt bevis på deltagarens identitet under E2EE-möten.

End-to-end-verifierad identitet och MLS-protokollet

MLS-protokollet (Messaging Layer Security) använder standard X.509-certifikat för att autentisera mötesdeltagare. Ett certifikat är ett digitalt signerat uttalande från en betrodd certifikatutfärdare som verifierar identiteten på innehavaren av signeringsnyckeln. Deltagarna erhåller dessa certifikat genom två primära metoder:

• Hanterade enheter (kundtillhandahållna certifikat) — För organisationshanterade stationära och mobila klienter kan ett identitetscertifikat från en betrodd certifikatutfärdare installeras på enheten. När en användare loggar in med Single Sign-On (SSO) hämtar Webex-appen certifikatet från OS-förtroenderegistret för att visa användarens verifierade identitet. Denna process stöds också för Webex molnregistrerade Cisco-videoenheter.
• Standard (Webex-tillhandahållna certifikat) — Om inget kundtillhandahållet certifikat är tillgängligt använder Webex-klienten eller enheten automatiskt ett certifikat som utfärdats av WebexCertificate Authority, vilket återspeglar en identitet som verifierats av Cisco.

Identitetsdelning och reservmekanism

Under ett möte delar varje deltagare sitt Webex-identitetscertifikat och, om tillgängligt, sitt kundtillhandahållna identitetscertifikat med alla andra deltagare. För att säkerställa sömlös anslutning följer Webex-slutpunkten en strikt hierarki: den prioriterar det kundtillhandahållna certifikatet för verifiering. Om certifikatet saknas eller misslyckas med valideringen återgår systemet automatiskt till det identitetscertifikat som tillhandahålls av Webex.

Visa status för verifiering av användaridentitet

När deltagarna går med i ett möte med Webex App- eller RoomOS-enheter med kundtillhandahållna certifikat verifieras deras identitet av andra mötesmedlemmar mot den utfärdande certifikatutfärdaren. Detta säkerställer att endast auktoriserade användare identifieras, vilket förhindrar angripare från att utge sig för att vara legitima deltagare, eftersom dessa certifikat är unikt knutna till verifierade identiteter och inte kan förfalskas av Cisco eller mellanhänder.

Deltagarlistan i ett E2E-krypterat möte visar identitetsverifieringsstatusen för varje användare:

• Zero-Trust E2E verifierad ( domain.com) — När ett identitetscertifikat från kunden används visas deltagarens domän i blå text. Detta indikerar sann E2E-verifierad identitet som Cisco inte kan manipulera med. I möteslistan kan du till exempel se att ”Kevin” har en verifierad e-postadress från example.com i blått.
• Webex-verifierad ( domain.com) — Certifikat som utfärdats av en Webex certifikatutfärdare ger en mer begränsad skyddsnivå. Även om de är överlägsna att inte ha något identitetsskydd, är dessa deltagare inte markerade som ”Zero Trust E2E verifierad.” Istället visas deras identitetsstatus i grå text, vilket indikerar att identiteten har verifierats av Webex CA.
• Overifierad gästanvändare ( Overifierad) — Även om gästdeltagarnas identitet inte är autentiserad (eftersom det inte finns någon inloggningsprocess) behöver de fortfarande ett certifikat för att gå med i MLS-gruppen för ett samtal eller möte. Detta certifikat utfärdas av en Webex CA och använder ”anonym” som användarnamn.

Dessutom hjälper en mötessäkerhetskod som härrör från alla deltagares kryptografiska tillstånd att upptäcka person-i-mitten-attacker genom att låta deltagarna verifiera att alla delar samma säkra mötessammanhang. Genom att kombinera kryptografisk identitetsverifiering med end-to-end-kryptering erbjuder denna ”Deepfake-förebyggande” -funktion ett robust försvar mot imitering och syntetiska mediehot, vilket skyddar mötesintegritet och konfidentialitet på både Webex App- och RoomOS-enheter.

Hantera utbyggnad av certifikat

Organisationer kan förenkla lanseringen och hanteringen av dessa kundtillhandahållna identitetscertifikat för slutanvändare genom att installera dem i företagshanterade enheter med hjälp av program Mobile Device Management (MDM), Mobile Application Management (MAM) eller Enterprise Mobility Management (EMM). Dessa hanteringsplattformar gör det möjligt för IT-administratörer att centralt tillhandahålla, konfigurera och kontrollera certifikat och relaterade säkerhetspolicyer på ett brett utbud av enheter, oavsett om det är företagsägda eller personligt ägda. Microsoft Intune stöder till exempel både MDM- och MAM-funktioner som gör det möjligt för organisationer att distribuera och hantera Webex App och dess säkerhetskonfigurationer, inklusive identitetscertifikat, på hanterade enheter. På samma sätt tillhandahåller Cisco Meraki Systems Manager MDM-funktioner för att registrera enheter, skicka konfigurationsprofiler och distribuera certifikat för att säkerställa betrodd enhetsstatus. Genom att utnyttja dessa hanteringslösningar minskar administrativa kostnader, förenklar hanteringen av certifikatets livscykel och förbättrar säkerhetsställningen för Webex E2EE-möten med ”Deepfake prevention” -funktioner.

Identitetens tre pelare

Effektiv identitets- och åtkomsthantering (IAM) för Webex bygger på:

• Provisioning (CRUD) — Hantera användarens livscykler (skapande, läsning, uppdatering, borttagning) för att säkerställa att ”Sanningskällan” matchar samarbetsplattformen.
• Autentisering (AuthN) — Verifiera användaridentitet via säkra referenser eller tokens.
• Auktorisering (AuthZ) — Definiera detaljerade behörigheter och API-åtkomstnivåer efter autentisering.

Tillhandahållande och livscykelhantering

Webex stöder flera metoder för att synkronisera användare och grupper:

• SCIM 2.0 — Före dragen molnstandard. Det automatiserar användarens livscykel och säkerställer att offboarding i IdP automatiskt återkallar Webex-åtkomst.
• Directory Connector —Ett Cisco-verktyg för hybridmiljöer som överbryggar lokal Active Directory (AD) till Webex Cloud.
• API-baserad provisionering — Använder Webex ”People API” för programmatisk användarskapande och licenstilldelning i komplexa miljöer.
• Äldre LDAP — Stöds för lokala kataloger (t.ex. CUCM), men mindre optimerad för modern molntrafik.

Autentiserings- och auktoriseringsramverk

• Autentisering (AuthN):

• SAML 2.0 — företagsstandarden för Single Sign-On (SSO). Webex fungerar som Service Provider (SP) och validerar XML-påståenden från företagets IdP.
• OIDC (OpenID Connect) —Ett modernt, lätt identitetslager byggt på OAuth 2.0 med JSON Web Tokens (JWT). Den stöder ”Discovery URLs” för automatisk konfiguration.

• Auktorisering (AuthZ):

• OAuth 2.0 — Hanterar API-åtkomst via kortlivade åtkomsttoken (definierar omfattningar) och långlivade uppdateringstoken. Det upprätthåller säkerhet via PKCE (Proof Key for Code Exchange) för offentliga klienter.

Integrations- och multi-IDP-strategier

Webex tillhandahåller specialiserade vägar för sömlös integration:

• Guiden Entra ID — Rekommenderad sökväg för Microsoft-miljöer. Den använder Microsoft Graph API för avancerad attributsynkronisering (avatarer, hierarkier) och automatiserar OIDC/SAML-konfigurationen.
• Duo Security — Lä gger till ”Kontinuerlig identitetssäkerhet” genom att verifiera enhetens hållning och aktivera phishing-resistent MFA.

Stöd för flera IdP: Webex tillåter organisationer att federera flera oberoende IDP:er inom en enda Control Hub.

• Användningsärenden — fusioner, förvärv eller decentraliserade IT-avdelningar.
• Routing — Autentiseringsbegäranden dirigeras baserat på domäner eller användargrupper.
• Övervägande — Kräver strikt samordning för att upprätthålla konsekventa säkerhetspolicyer för alla federerade källor.

Exempel på de vanligaste IdP-identitetsintegrationerna med Webex:

Bästa praxis och motståndskraft

• SSO-återställning — Använd alltid den inbyggda länken ”SSO Recovery” i Control Hub för att kringgå SSO via ett engångslösenord (OTP) om IdP-konfigurationen misslyckas.
• Certifikathantering — Övervaka SAML-certifikatets utgång. SSO-guiden automatiserar utbyte av metadata, vilket minskar manuella fel.
• Felsökning — Använd SAML-spårningsverktyget för att inspektera XML-påståenden och validera NameID-format om autentiseringsproblem uppstår.
• Säkerhetsställning — Avveckla regelbundet äldre bidragstyper och se till att PKCE implementeras för alla offentliga klientintegrationer.

Slutsats — Identitet för Webex Meetings

En robust identitetsstrategi är en kontinuerlig livscykelprocess. Genom att kombinera SCIM för provisionering, OIDC/SAML för autentisering och OAuth för auktorisering kan organisationer säkerställa en säker, friktionsfri upplevelse för användarna samtidigt som strikt administrativ kontroll upprätthålls.

Ciscos livscykel för säker utveckling

På Cisco är säkerhet inte en eftertanke. Det är ett disciplinerat tillvägagångssätt för att bygga och leverera produkter och tjänster i världsklass från grunden. Alla Cisco ^® produktutvecklingsteam måste följa Cisco Secure Development Lifecycle. Det är en repeterbar och mätbar process utformad för att öka elasticiteten och pålitligheten hos Cisco-produkter. Kombinationen av verktyg, processer och medvetenhetsträning som introduceras i alla faser av utvecklingscykeln hjälper till att säkerställa försvaret på djupet. Det ger också en helhetssyn på produktens motståndskraft. Webex produktutvecklingsteam följer passionerat denna livscykel i alla aspekter av produktutvecklingen.

Läs mer om Secure Development Lifecycle.

Ciscos grundläggande säkerhetsverktyg

Ciscos säkerhets- och förtroendeorganisation tillhandahåller processen och de nödvändiga verktygen som ger varje utvecklare möjlighet att inta en konsekvent ståndpunkt när de står inför ett säkerhetsbeslut.

Att ha dedikerade team för att bygga och tillhandahålla sådana verktyg tar bort osäkerhet från produktutvecklingsprocessen.

Några exempel på verktyg inkluderar:

• PSB-krav (Product Security Baseline) som produkterna måste uppfylla
• Hotbyggnadsverktyg som används vid hotmodellering
• Riktlinjer för kodning
• Validerade eller certifierade bibliotek som utvecklare kan använda istället för att skriva sin egen säkerhetskod
• Testverktyg för säkerhetssårbarhet (för statisk och dynamisk analys) som används efter utveckling för att testa mot säkerhetsfel
• Programvaruspårning som övervakar Cisco- och tredjepartsbibliotek och meddelar produktteamen när en sårbarhet identifieras

Organisationsstruktur som skapar säkerhet i Cisco-processer

Cisco har dedikerade avdelningar på plats för att införa och hantera säkerhetsprocesser i hela företaget. För att ständigt hålla sig à jour med säkerhetshot och utmaningar förlitar sig Cisco på:

• Ciscos molnteam för informationssäkerhet (InfoSec)
• Ciscos produktsäkerhetsincidenthanteringsteam (PSIRT)
• Delat säkerhetsansvar

Cisco InfoSec-moln

Ledd av Chief Security Officer för Cloud ansvarar detta team för att leverera en säker Webex-miljö till våra kunder. InfoSec uppnår detta genom att definiera och genomdriva säkerhetsprocesser och verktyg för alla funktioner som är involverade i leveransen av Webex till våra kunders händer.

Dessutom arbetar Cisco InfoSec Cloud med andra team i Cisco för att svara på eventuella säkerhetshot mot Webex-tjänsten.

Cisco InfoSec ansvarar också för kontinuerlig förbättring av Webex säkerhetsställning.

Ciscos produktsäkerhetsincidenthanteringsteam (PSIRT)

Cisco PSIRT är ett dedikerat globalt team som hanterar inflöde, utredning och rapportering av säkerhetsproblem relaterade till Ciscos produkter och tjänster. PSIRT använder olika medier för att publicera information, beroende på hur allvarlig säkerhetsproblemet är. Rapporteringstypen varierar beroende på följande villkor:

• Programkorrigeringar eller lösningar finns för att åtgärda sårbarheten, eller ett efterföljande offentligt avslöjande av kodkorrigeringar planeras för att åtgärda sårbarheter med hög svårighetsgrad
• PSIRT har observerat aktivt utnyttjande av en sårbarhet som kan leda till en större risk för Cisco-kunder. PSIRT kan påskynda publiceringen av ett säkerhetsmeddelande som beskriver sårbarheten i det här fallet utan fullständig tillgänglighet av patchar.
• Allmänhetens medvetenhet om en sårbarhet som påverkar Cisco-produkter kan leda till en större risk för Cisco-kunder. Återigen kan PSIRT varna kunder, även utan fullständig tillgänglighet av patchar.

I samtliga fall avslöjar PSIRT den minsta mängd information som slutanvändare behöver för att bedöma effekterna av en sårbarhet och vidta nödvändiga åtgärder för att skydda sin miljö. PSIRT använder CVSS (Common Vulnerability Scoring System) -skalan för att rangordna svårighetsgraden av ett avslöjat problem. PSIRT tillhandahåller inte sårbarhetsinformation som kan göra det möjligt för någon att skapa ett utnyttjande.

Mer information om PSIRT finns i Cisco Product Security Incident Response Team.

Säkerhetsansvar

Även om varje person i Webex-gruppen ansvarar för säkerheten är huvudreglerna följande:

• Säkerhetschef, Cloud
• Vice VD och General Manager, Cisco Cloud Samarbetsapplikationer
• Vice rektor, teknik, Cisco Cloud samarbetsapplikationer
• Vice President, Produkthantering, Cisco Cloud Samarbetsapplikationer

Interna och externa penetrationstester

Webex-gruppen genomför rigorösa penetrationstester regelbundet med hjälp av interna bedömare. Utöver sina egna stränga interna procedurer engagerar Cisco InfoSec också flera oberoende tredje parter för att genomföra noggranna granskningar av Ciscos interna policyer, procedurer och applikationer. Dessa granskningar är utformade för att validera uppdragskritiska säkerhetskrav för både kommersiella och statliga applikationer. Cisco använder även tredjepartsleverantörer för att utföra löpande, djupgående, kodassisterade penetrationstester och tjänstebedömningar. Som en del av uppdraget utför en tredje part följande säkerhetsutvärderingar:

• Identifiera kritiska sårbarheter i applikationer och tjänster och föreslå lösningar
• Rekommenderar allmänna områden för arkitektonisk förbättring
• Identifiera kodningsfel och ge vägledning om förbättringar av kodningspraxis

Tredjepartsbedömare arbetar direkt med Webex ingenjörspersonal för att förklara resultat och validera åtgärden. Se Letters of Webex Meetings Attestation Trust Package för information om penetrationstestintyg.

Fysisk säkerhet

Fysisk säkerhet i datacentret inkluderar videoövervakning för anläggningar och byggnader och tvingad tvåfaktorsidentifiering för inträde. Inom Ciscos datacenter styrs åtkomsten genom en kombination av märkesläsare och biometriska kontroller. Dessutom bidrar miljökontroller (till exempel temperatursensorer och brandbekämpningssystem) och infrastruktur för driftskontinuitet (t.ex. reservkraft) till att säkerställa att systemen körs utan avbrott.

Datacenterservrar är segmenterade i ”förtroendezoner”, baserat på infrastrukturens känslighet. Till exempel är databaser ”burade”, nätverksinfrastrukturen har dedikerade rum och alla utrustningsställ är låsta. Endast Ciscos säkerhetspersonal och auktoriserade besökare tillsammans med Cisco-personal kan komma in i datacentren.

Ciscos produktionsnätverk är ett mycket pålitligt nätverk: endast mycket få personer med höga förtroendenivåer har tillgång till nätverket.

Infrastruktur och plattformssäkerhet

Plattformssäkerhet omfattar säkerheten för nätverket, systemen och det övergripande Webex-datacentret. Alla system genomgår en grundlig säkerhetsgranskning och godkännandevalidering före produktionsdistribution, liksom regelbunden pågående härdning, säkerhetsuppdateringar och sårbarhetsskanning och bedömning.

Servrar härdas med hjälp av Security Technical Implementation Guidelines (STIG) publicerade av National Institute of Standards and Technology (NIST). Brandväggar skyddar nätverkets omkrets. Åtkomstkontrolllistor (ACL) separerar de olika säkerhetszonerna. Intrångsdetekteringssystem (IDS) finns på plats och aktiviteter signeras och övervakas kontinuerligt. Dagliga interna och externa säkerhetsskanningar utförs över Webex. Alla system härdas och lappas som en del av regelbundet underhåll. Dessutom utförs sårbarhetsskanning och utvärderingar kontinuerligt.

Tjänstekontinuitet och katastrofåterställning är viktiga komponenter i säkerhetsplaneringen. Utformningen av Cisco-datacenter med globala säkerhetskopior av webbplatser och hög tillgänglighet möjliggör geografisk failover av Webex-tjänster. Det finns ingen enda punkt för misslyckande.

Administrativa uppgifter

Information om anställda eller representanter för en kund eller annan tredje part som samlas in och används av Cisco för att administrera eller hantera Ciscos leverans av produkter eller tjänster, eller för att administrera eller hantera kundens eller tredje parts konto för Ciscos egna affärsändamål.

Administrativa uppgifter kan omfatta namn, adress, telefonnummer, e-postadress och information om avtalsenliga åtaganden mellan Cisco och en tredje part, oavsett om de samlas in vid tidpunkten för den första registreringen eller senare i samband med hantering eller administration av Ciscos produkter eller tjänster.

Administrativ data kan också innehålla mötestitel, tid och andra attribut för möten som utförs på Webex av anställda eller representanter för en kund. Andra exempel på administrativa data kan inkludera mötestitel, mötestid och andra attribut för möten som är värd på Webex.

Kunddata

Detta inkluderar all data (inklusive text, ljud, video, bildfiler och inspelningar) som antingen tillhandahålls Cisco av en kund i samband med kundens användning av Ciscos produkter eller tjänster, eller som utvecklats av Cisco på en specifik begäran från en kund i enlighet med en arbets- eller kontraktsförklaring.

Kunddata inkluderar även logg-, konfigurations- eller firmwarefiler och kärndumpar.

Det är data som hämtas från en produkt eller tjänst och tillhandahålls till Cisco för att hjälpa oss att felsöka ett problem i samband med en supportförfrågan. Kunddata inkluderar inte administrativa data, supportdata eller telemetridata.

Supportdata

Information som Cisco samlar in när en kund skickar in en begäran om supporttjänster eller annan felsökning, inklusive information om maskinvara eller programvara. Den innehåller information relaterad till supportincidenten, till exempel autentiseringsinformation, information om produktens skick, system och registerdata om programvaruinstallationer och maskinvarukonfigurationer och felspårningsfiler. Supportdata inkluderar inte logg-, konfigurations- eller firmwarefiler eller kärndumpar som tagits från en produkt och tillhandahålls till oss för att hjälpa oss att felsöka ett problem i samband med en supportförfrågan, som alla är exempel på kunddata.

Telemetridata

Information som genereras av instrumentering och loggningssystem som skapats genom användning och drift av produkten eller tjänsten.

All data som samlas in i Webex-molnet skyddas av flera lager av robusta säkerhetstekniker och processer. Nedan följer exempel på kontroller placerade i olika lager av Webex-operationer för att skydda kunddata:

• Fysisk åtkomstkontroll — Fysisk åtkomst styrs genom biometri, märken och videoövervakning. Tillgång till datacentret kräver godkännanden och hanteras via ett elektroniskt biljettsystem.
• Nätverksåtkomstkontroll — Webex-nätverkets omkrets skyddas av brandväggar. All nätverkstrafik som kommer in eller lämnar Webex-datacentret övervakas kontinuerligt med hjälp av ett Intrusion Detection System (IDS). Webex-nätverket är också uppdelat i separata säkerhetszoner. Trafiken mellan zonerna styrs av brandväggar och åtkomstkontrolllistor (ACL).
• Övervakning och hanteringskontroll av infrastruktur — Varje komponent i infrastrukturen, inklusive nätverksenheter, applikationsservrar, och databaser, är härdade till stränga riktlinjer. De är också föremål för regelbundna skanningar för att identifiera och ta itu med eventuella säkerhetsproblem.
• Kryptografiska kontroller — Som nämnts tidigare krypteras all data till och från Webex-datacentret till molnregistrerade Webex-appar och Webex-enheter, med undantag för PSTN-trafik och okrypterade SIP/H323-videoenheter i ett molnaktiverat möte. Dessutom krypteras kritiska data som lagras i Webex, till exempel lösenord.

Cisco-anställda får inte åtkomst till kunddata såvida inte åtkomst begärs av kunden av supportskäl. Tillgång till system i detta fall tillåts av chefen endast i enlighet med principen om ”uppdelning av uppgifter”. Det beviljas endast på behovsbasis och med endast den åtkomstnivå som krävs för att utföra jobbet. Anställdas tillgång till dessa system granskas också regelbundet för efterlevnad. Anställda med sådan tillgång måste ta årlig utbildning i International Organization for Standardization (ISO) 27001 Information Security Awareness.

Utöver dessa specialiserade kontroller genomgår varje Cisco-anställd en bakgrundskontroll, undertecknar ett NDA (NDA) och genomgår utbildning i Code of Business Conduct (COBC).

Lagen om sjukförsäkringsportabilitet och ansvarsskyldighet (HIPAA)

Cisco kan tillhandahålla information om funktionalitet, teknik och säkerhet för Webex. En HIPAA-täckt enhet skulle behöva samråda med sin egen juridiska rådgivare för att avgöra om Webex funktionalitet är kompatibel för dess affärsprocesser och GDPR-redo.

• GDPR-efterlevnad
• Offentliggörande Webex Meetings av Ciscos erbjudande

Branschstandarder och certifieringar

Förutom att följa våra stränga interna standarder upprätthåller Webex också kontinuerligt tredjepartsvalideringar för att visa vårt engagemang för informationssäkerhet. Webex är:

• ISO 27001, 27017, 27018 och 27701 certifierad
• Service Organization Controls (SOC) 2 Typ II granskad
• SOC 3-certifierad
• Uppförandekod för molnet
• CSTAR
• Certifiering av katalog för efterlevnadskontroller för molntjänster (C5)
• FedRAMP-certifierad (besök cisco.com/go/fedramp för mer information, omfattning och tillgänglighet)

Se Cisco Trust Portal för en komplett uppsättning säkerhets-, sekretess- och efterlevnadsdokument inklusive information om ovanstående standarder och certifieringar.