Tack för din feedback.

Kärntjänster och komponenter för Webex Meetings

• Webex Meetings är en del av Webex Suite och tillhandahåller audio/video konferenser med innehållsdelning och webbkonferensfunktioner.
• Plattformen inkluderar flera mikrotjänster som mötestjänst, webbinartjänst, identitetstjänst, inspelningstjänst, AI-assistenttjänst, analystjänst, administrationstjänst och medietjänst.
• Webex Meetings stöder molnregistrerade appar och enheter, vilket gör det möjligt för användare att delta i möten från olika operativsystemplattformar och enheter. Användare kan också delta i möten via PSTN och med SIP-slutpunkter.

Arkitektur och driftsättning

• Webex Meetings-tjänster är regionaliserade och replikerade över flera oberoende datacenter för att säkerställa redundans och hög tillgänglighet.
• Medietjänster distribueras globalt med medieserverkluster i varje datacenter, vilket ger lokal och geografisk redundans.
• Medieservrar hanterar delning av röst, video och innehåll, där media vanligtvis krypteras med AES-256-GCM.
• Arkitekturen stöder krypterad signalering över TLS/HTTPS och krypterade medieströmmar.

Webex stöder deltagande i möten från flera plattformar och enheter, inklusive:

• Webex-skrivbordsapplikation på Windows, Mac och Linux.
• Webex mobilapplikation på Android och iOS.
• Webex webbapplikation med Chrome, Edge, Safari, Firefox och andra webbläsare.
• Cisco-rumsenheter och skrivbordsenheter.
• Ljud- och videoslutpunkter baserade på SIP-standarder från tredje part.
• PSTN-enheter.

Webex kundsuveränitet

Som svar på den växande efterfrågan på datalagring har Webex introducerat förbättrade suveränitetsfunktioner. Med början i inspelning, och med stöd för fler kommande tjänster, kan organisationer nu behålla kontrollen över sitt mötesinnehåll med:

• Lokaliserad bearbetning— Bearbetning av mötesinnehåll, såsom inspelningar, inom sin egen infrastruktur.
• Lokal lagring— Använder sina egna fillagringstjänster för att lagra känsliga mötestillgångar och säkerställer att data förblir inom angivna geografiska eller organisatoriska gränser.

Ultrasäkra Webex-möten

Historiskt sett krävde "Ultra Secure"-funktioner, som Zero Trust End-to-End Encryption (E2EE), ofta en kompromiss i mötesfunktionaliteten, eftersom molnbaserade mervärdestjänster krävde åtkomst till krypteringsnycklar, och endast ett begränsat antal slutpunktstyper kunde ansluta till dessa möten. Webex har eliminerat denna avvägning med:

• Funktionsrika Zero Trust-möten— Webex har förvandlat Zero Trust End-to-End Encrypted (E2EE)-möten och lagt till funktioner som gör Zero Trust-möten funktionsrika. Stöd för ett större antal slutpunktstyper ger en sömlös upplevelse utan att offra de verktyg som krävs för modernt samarbete.
• Nollförtroende för standardmöten— Webex har integrerat Nollförtroende E2EE-funktioner direkt i standardmöten. Detta säkerställer att även vardagligt samarbete kan dra nytta av högsta möjliga säkerhetsnivå, vilket ger ett konsekvent skydd i hela Webex-ekosystemet.

En enhetlig strategi för samarbete

Genom att integrera kundsuveränitet med dessa avancerade Zero Trust E2EE-funktioner ger Webex organisationer möjlighet att uppnå ett dubbelt mål: värdskap för mycket säkra möten med noll förtroende i Webex-molnet samtidigt som man bibehåller full kontroll över bearbetning och lagring av kritiskt mötesinnehåll lokalt. Denna synergi ger den flexibilitet och säkerhet som krävs för moderna, efterlevnadsdrivna företagsmiljöer.

Utöka säkerhetsgränsen med Video Mesh Node

Genom att lägga till en videonätnod i en organisation kan kunder tillhandahålla lokala mötestjänster och deras lokala slutpunkter kan ansluta till alla Webex-möten. Ur ett säkerhetsperspektiv upprätthåller integrationen av en Video Mesh-nod noll förtroende inom Webex-molnet samtidigt som det erbjuder nästan funktionsparitet med vanliga Webex-möten. Kunderna drar också nytta av datasuveränitet, eftersom tjänster som mötesinspelningar från Video Mesh Node bearbetas och lagras lokalt.

Att använda Zero Trust-kryptering från början till slut kan lägga till några extra sekunder vid deltagande i ett möte, men det ger en tydlig säkerhetsgaranti – endast mötesdeltagarna har tillgång till mötets krypteringsnycklar, så mötesinnehållet kan inte dekrypteras av tjänsteleverantören eller andra mellanhänder.

Sammanfattning: Webex Meetings och hybriddistributionsmodeller

Som visas i jämförelsen ovan, tillåter distribution av Video Mesh Node (VMN) att Zero Trust Webex Meetings uppnår nästan samma funktionsnivå som vanliga Webex-möten. Även om Zero Trust-möten inte stöder PSTN-deltagare, fungerar Webex webbaserade applikation som ett allmänt tillgängligt alternativ för krypterad åtkomst från början till slut. Dessutom gör VMN det möjligt för kontorsbaserade anställda som använder bordstelefoner att sömlöst delta i Zero Trust-möten.

Video Mesh Node säkerställer även datasuveränitet för kritiskt mötesinnehåll, inklusive inspelningar och – inom en snar framtid – transkriptioner, sammanfattningar och åtgärdspunkter. Genom att bearbeta och lagra dessa data lokalt ger VMN kunderna fullständig kontroll över sin information samtidigt som en nollförtroendearkitektur upprätthålls i Webex-molnet.

Krypterad Webex-signalering

Webex-tjänster stöder TLS-versioner 1.2 och 1.3, där TLS 1.3 föredras när det stöds av den anslutande slutpunkten. Om en klient endast stöder TLS 1.2 väljer Webex-servern den starkaste gemensamma chiffersviten som erbjuds av klienten. Till skillnad från TLS 1.2 använder TLS 1.3 inte serverbaserad val av chiffersvit eftersom den förlitar sig på en mindre, kuraterad uppsättning moderna chiffer. Denna design förenklar urvalsprocessen och fokuserar mer på prestandaförbättringar, såsom att minska den totala handskakningslängden, samtidigt som den bibehåller en stark säkerhet. Krypteringssviterna för TLS 1.2 och 1.3 som används av Webex är väldefinierade och prioriterade för att säkerställa säker kommunikation.

TLS Cipher Suites

TLS 1.3-krypteringssviter (TLS 1.3-servrar använder ingen preferensordning för val av svit)

TLS 1.2-krypteringssviter (sviter i serverföredragen ordning)

AES_256_CBC och AES_128_CBC-krypteringschiffer stöds för att upprätthålla kompatibilitet med äldre system, webbläsare och inbäddade enheter som inte stöder moderna AEAD-chiffer (Authenticated Encryption with Associated Data) som AES-GCM, t.ex. Internet Explorer 11 på Windows 7 och Windows 8.1, Safari. 6/7/8 På tidiga iOS- och MacOS-utgåvor används CBC-baserade chiffer.

CHACHA20_POLY1305 är en strömchiffer med lågt beroende av hårdvara, vilket gör den till en överlägsen chiffer att använda på mobila enheter eller enheter med processorer med låg strömförbrukning.

Mediakrypteringsstandarder för Webex

Webex-möten och samtal använder robust AES-baserad kryptering för alla mediepaket. Den specifika krypteringssviten beror på slutpunktstypen, där AES-256-GCM fungerar som den föredragna standarden för optimal säkerhet.

Viktiga säkerhetsöverväganden

• Föredragen standard—AES-256-GCM är den rekommenderade krypteringen för alla distributioner för att säkerställa högsta möjliga nivå av dataintegritet och konfidentialitet.
• Interoperabilitet— Även om Webex upprätthåller stöd för äldre chiffer (som AES-CM-128-HMAC-SHA1) för att säkerställa interoperabilitet med tredjeparts SIP- och H.323-system, bör organisationer som prioriterar en nollförtroendearkitektur tillämpa AES-256-GCM där enhetskompatibilitet tillåter det.

Medietransportprotokoll

Webex stöder medietransport via UDP, TCP eller TLS. För optimal röst- och videoprestanda rekommenderar Cisco starkt UDP.

Prestandaöverväganden:

• Realtidseffektivitet—UDP är den föredragna transporten för realtidsmedia eftersom den minimerar latens och jitter genom att undvika de återutsändnings- och buffringsmekanismer som är inneboende i anslutningsorienterade protokoll.
• Inverkan av TCP/TLS—Även om TCP och TLS tillhandahåller tillförlitlig och ordnad dataleverans, är detta beteende kontraproduktivt för realtidsmedia. De resulterande paketåterutsändningarna och strömningsbuffringen introducerar latens och jitter, vilket avsevärt kan försämra upplevelsen för deltagarna.

Webex användning av SRTP och SFrame för media

För att upprätthålla de höga säkerhetsstandarder som krävs för WebexZero Trust-miljöer är det viktigt att skilja mellan transportnivåsäkerhet (SRTP) och applikationslager-end-to-end-kryptering (SFrame).

Viktiga tekniska skillnader — SRTP & SFrame

1. SRTP (Säkert realtidstransportprotokoll)

   SRTP är branschstandarden för att säkra medieströmmar under överföring.

   • Omfattning— Tillhandahåller sekretess, meddelandeautentisering och uppspelningsskydd för RTP-nyttolasten.
   • Operativ kontext— I många arkitekturer avslutar medieservern/mediagatewayen (Selective Forwarding Unit (SFU)) SRTP-anslutningen för att utföra mediabearbetning (till exempel mixning, layoutkomposition eller omkodning). Eftersom SFU dekrypterar mediet för att bearbeta det är mediet tekniskt sårbart vid SFU-punkten.
2. SFrame (säker ram)

   SFrame är en IETF-standard. RFC 9605 är specifikt utformad för att underlätta äkta end-to-end-kryptering i en konferensmiljö med flera parter.

   • Omfattning— Krypterar paketerade mediaramar innan de inkapslas i RTP-paket. Webex lägger till ett extra krypteringslager med SRTP.
   • Nollförtroendearkitektur— Eftersom mediet är krypterat på applikationslagret fungerar SFU:n endast som ett "blindt" relä. Den dirigerar de krypterade paketen till andra deltagare utan att någonsin ha tillgång till dekrypteringsnycklarna.
   • Oberoende—SFrame är transportagnostisk. Den förblir säker även om den underliggande transporten (UDP/TCP/TLS) äventyras, eftersom säkerhetskontexten är knuten till deltagarnas slutpunkter snarare än transportanslutningen.

SFrame är den kritiska mekanismen som möjliggör E2EE. Medan SRTP säkerställer att data krypteras medan de passerar nätverket, säkerställer SFrame att mediet förblir krypterat under hela mötets livscykel, inklusive medan det finns på Ciscos infrastruktur (SFU), vilket effektivt tar bort tjänsteleverantören från förtroendegränsen.

Webex Meetings-innehåll

Mötesinnehåll består av data som skapats av deltagare eller genererats av Webex-tjänster på uppdrag av mötesvärden. Detta inkluderar:

• Medierelaterat innehåll— Inspelningar, transkriptioner, sammanfattningar och åtgärdspunkter.
• Samarbetsdata— Chattmeddelanden, shared/transferred filer, whiteboardtavlor och anteckningar.

Webex Meetings innehållssäkerhet – Webex end-to-end-kryptering

Webex säkrar mötesinnehåll som genereras av deltagarna med hjälp av ett robust ramverk för end-to-end-kryptering (E2EE). Centralt för denna arkitektur är Webex Key Management Service (KMS), som ansvarar för att generera, distribuera och hantera krypteringsnycklarna för allt användargenererat innehåll.

Säkerhetslager för mötesinnehåll

• Data under överföring— Webex-appen och Cisco-videoenheter använder Webex end-to-end-kryptering (E2EE) med AES-256-GCM för att kryptera användargenererat mötesinnehåll, till exempel inspelningsfiler, AI-sammanfattningsfiler, chattmeddelanden etc. Detta är ytterligare inkapslat i Transport Layer Security (TLS) för att ge dubbelskiktsskydd under överföring.
• Vilande data— När krypterat innehåll har lagrats i Webex-molnet skyddas det dessutom av AES-256-GCM-diskkryptering.
• Skyddsprofil— Den här metoden skyddar innehåll från TLS-avlyssning under överföring och säkerställer att lagrad data förblir oåtkomlig för obehöriga aktörer i molnmiljön.

Webex end-to-end-kryptering med hanterad innehållsåtkomst för Core Services

Till skillnad från Zero Trust end-to-end-kryptering, där Webex inte har åtkomst till media- eller innehållskrypteringsnycklar, tillåter Webex end-to-end-kryptering plattformen att använda Webex KMS-genererade nycklar för att dekryptera data för viktiga kärntjänster. Denna hanterade åtkomst möjliggör:

• Sökning och indexering— Tillåter användare att söka igenom innehållshistoriken.
• Efterlevnad och styrning— Möjliggör dataförlustförebyggande åtgärder (DLP), eDiscovery och dataarkivering.
• Medieoptimering—Stöder filomkodning för kompatibilitet mellan olika enheter.
• Säkerhet— Underlättar skanning efter skadlig kod med hjälp av det utökade säkerhetspaketet.

Webex Meetings-metadata

Mötesmetadata består av den administrativa och tekniska information som genereras av systemet för att underlätta, spåra och hantera ett möte, snarare än det faktiska innehållet (ljud, video eller delade filer) i själva mötet. Metadata kan delas in i flera kategorier:

• Sessionsinformation—Mötestitel, mötes-ID, schemalagda start- och sluttider och mötets faktiska längd.
• Deltagardata— En lista över inbjudna och faktiska deltagare, deras IP-adresser, enhetstyper (t.ex. Windows, iPhone, Cisco Room Kit) och deras join/leave tidsstämplar.
• Användnings- och kvalitetsmått—Data som används för felsökning, såsom paketförlust, jitter, latens och upplösningen för videoströmmen.

Hur metadata används

1. Analys och rapportering— Administratörer använder metadata i WebexControl Hub för att se hur många möten som äger rum, vilka avdelningar som är mest aktiva och den övergripande kvaliteten på upplevelsen.
2. Felsökning— Cisco TAC (Teknisk support) använder metadata för att identifiera och lösa mötesproblem.
3. Efterlevnad och eDiscovery— Efterlevnadsansvariga kan söka i metadata för att bevisa att ett möte ägde rum, vem som var där och om det spelades in, även om de inte kan se mötets krypterade innehåll.
4. Säkerhet— Metadata hjälper till att identifiera obehöriga åtkomstförsök eller ovanliga mönster som kan tyda på ett säkerhetshot.

Säkerhet och integritet för metadata

• Kryptering— Även om metadata inte är "end-to-end-krypterade", krypteras de fortfarande under överföring (med TLS) och i vila i Ciscos säkra datacenter.
• Åtkomstkontroll— Ciscos integritetspolicy begränsar strikt vem som kan komma åt dessa metadata, och de används för att tillhandahålla och förbättra tjänsten.

För mer information om Webex-mötesinnehåll och metadata, se Webex Meetings-erbjudanden.

Tilldela mötessessionstyper till användare

Webex Control Hub-administratörer kan tilldela en eller flera mötestyper som deras användare kan använda för schemalagda möten. Som standard tilldelas alla användare mötestyperna Pro Meeting och Pro-End to End Encryption_VoIPonly.

Schemalägg ett möte – Välj mötestyp

Användare kan välja vilken mötestyp de vill använda när de schemalägger ett möte från Webex-appen, Webex användarsida och Webex e-posttillägg för Microsoft Outlook.

Schemalägg ett möte – Välj mötestyp i Webex App

Schemalägg ett möte – välj mötestyp från Webex användarsida

Ange en standardmötestyp

Användare kan ställa in sin standardmötestyp från Möten > Inställningar på deras Webex-användarsida.

Ange standardmötestypen från Webex användarsida

Nollförtroende End-to-End-identitet och djupförfalskningsförebyggande

Kundtillhandahållna slutanvändaridentitetscertifikat är en hörnsten i att förhindra personifiering i Webex end-to-end-krypterade (E2EE) möten. Till skillnad från traditionella deepfake-blockeringsmekanismer som förlitar sig på att analysera ljud- och videoströmmar, tillhandahåller denna metod kryptografisk identitetsvalidering vid antagningstillfället. Denna verifierade status visas direkt i möteslistan, vilket ger transparens för alla deltagare.

Webex har utökat sitt stöd för kundhanterade certifikat – tidigare tillgängliga på RoomOS-enheter – till Webex-appen som en del av vår funktion "Deepfake-förebyggande". Organisationer kan tillhandahålla och hantera sina egna digitala certifikat, utfärdade av betrodda externa certifikatutfärdare (CA:er) med hjälp av branschstandardprotokoll som ACME. Dessa certifikat, baserade på X.509-standarder och ECDSA P-256-nyckelpar, ger kryptografiskt bevis på deltagarnas identitet under E2EE-möten.

End-to-End-verifierad identitet och MLS-protokollet

MLS-protokollet (Messaging Layer Security) använder standard X.509-certifikat för att autentisera mötesdeltagare. Ett certifikat är ett digitalt signerat uttalande från en betrodd CA som verifierar identiteten på innehavaren av signeringsnyckeln. Deltagarna erhåller dessa certifikat genom två huvudsakliga metoder:

• Hanterade enheter (kundtillhandahållna certifikat)—För organisationshanterade stationära och mobila klienter kan ett identitetscertifikat från en betrodd certifikatutfärdare installeras på enheten. När en användare loggar in med enkel inloggning (SSO) hämtar Webex-appen detta certifikat från operativsystemets förtroendearkiv för att presentera användarens verifierade identitet. Den här processen stöds även för Webex-molnregistrerade Cisco-videoenheter.
• Standard (Webex-tillhandahållna certifikat)— Om inget kundtillhandahållet certifikat är tillgängligt använder Webex-klienten eller -enheten automatiskt ett certifikat utfärdat av Webex-certifikatutfärdaren, vilket återspeglar en identitet som verifierats av Cisco.

Identitetsdelning och reservmekanism

Under ett möte delar varje deltagare sitt Webex-identitetscertifikat och, om tillgängligt, sitt kundlevererade identitetscertifikat med alla andra deltagare. För att säkerställa sömlös anslutning följer Webex-slutpunkten en strikt hierarki: Den prioriterar det kundlevererade certifikatet för verifiering; om det certifikatet saknas eller misslyckas med valideringen återgår systemet automatiskt till det Webex-levererade identitetscertifikatet.

Visar status för verifiering av användaridentitet

När deltagare ansluter till ett möte med Webex-appen eller RoomOS-enheter med kundtillhandahållna certifikat, verifieras deras identiteter av andra mötesmedlemmar mot den utfärdande certifikatutfärdaren. Detta säkerställer att endast auktoriserade användare känns igen, vilket förhindrar att angripare utger sig för att vara legitima deltagare, eftersom dessa certifikat är unikt knutna till verifierade identiteter och inte kan förfalskas av Cisco eller mellanhänder.

Deltagarlistan i ett E2E-krypterat möte visar identitetsverifieringsstatus för varje användare:

• Zero-Trust E2E-verifierad ( domain.com) – När ett kundtillhandahållet identitetscertifikat används visas deltagarens domän i blå text. Detta indikerar en sann E2E-verifierad identitet som Cisco inte kan manipulera. Till exempel kan du i möteslistan se att "Kevin" har en verifierad e-postadress från example.com i blått.
• Webex-verifierad ( domain.com) – Certifikat utfärdade av en Webex CA ger en mer begränsad skyddsnivå. Även om dessa deltagare är bättre än att inte ha någon identitetsskydd, markeras de inte som "Noll förtroende E2E-verifierad". Istället visas deras identitetsstatus i grå text, vilket indikerar att identiteten har verifierats av Webex CA.
• Overifierad gästanvändare ( Overifierad) – Även om gästdeltagarnas identitet inte autentiseras (eftersom det inte finns någon inloggningsprocess) behöver de fortfarande ett certifikat för att gå med i MLS-gruppen för ett samtal eller möte. Detta certifikat utfärdas av en Webex CA och använder "anonym" som användarnamn.

Dessutom hjälper en mötessäkerhetskod som härleds från alla deltagares kryptografiska status till att upptäcka person-in-the-middle-attacker genom att låta deltagarna verifiera att alla delar samma säkra möteskontext. Genom att kombinera kryptografisk identitetsverifiering med end-to-end-kryptering erbjuder denna funktion för "Deepfake-förebyggande" ett robust försvar mot personifiering och hot från syntetiska medier, vilket skyddar mötesintegritet och konfidentialitet på både Webex-appen och RoomOS-enheter.

Hantera certifikatutrullning

Organisationer kan förenkla utrullningen och hanteringen av dessa kundtillhandahållna slutanvändaridentitetscertifikat genom att installera dem i företagshanterade enheter med hjälp av Mobile Device Management (MDM), Mobile Application Management (MAM) eller Enterprise Mobility Management (EMM). Dessa hanteringsplattformar gör det möjligt för IT-administratörer att centralt tillhandahålla, konfigurera och kontrollera certifikat och relaterade säkerhetspolicyer över en mängd olika enheter, oavsett om de är företagsägda eller privatägda. Till exempel stöder Microsoft Intune både MDM- och MAM-funktioner som gör det möjligt för organisationer att distribuera och hantera Webex-appen och dess säkerhetskonfigurationer, inklusive identitetscertifikat, på hanterade enheter. På liknande sätt tillhandahåller Cisco Meraki Systems Manager MDM-funktioner för att registrera enheter, pusha konfigurationsprofiler och distribuera certifikat för att säkerställa statusen för betrodda enheter. Genom att utnyttja dessa hanteringslösningar minskas administrativa kostnader, hanteringen av certifikatlivscykeln förenklas och säkerhetsställningen för Webex E2EE-möten förbättras med funktioner för "Deepfake-förebyggande".

De tre pelarna för identitet

Effektiv identitets- och åtkomsthantering (IAM) för Webex bygger på:

• Provisionering (CRUD) – Hantera användarlivscykler (skapande, läsning, uppdatering, borttagning) för att säkerställa att "källan till sanningen" matchar samarbetsplattformen.
• Autentisering (AuthN) – Verifierar användaridentitet via säkra autentiseringsuppgifter eller tokens.
• Auktorisering (AuthZ) – Definierar detaljerade behörigheter och API-åtkomstnivåer efter autentisering.

Provisionering & Livscykelhantering

Webex stöder flera metoder för att synkronisera användare och grupper:

• SCIM 2.0— Den föredragna molnstandarden. Det automatiserar användarlivscykeln och säkerställer att offboarding i IdP:n automatiskt återkallar Webex-åtkomst.
• Kataloganslutning— Ett Cisco-verktyg för hybridmiljöer som överbryggar lokala Active Directory (AD) till Webex Cloud.
• API-baserad provisionering– Använder Webex "People API" för programmatisk användarskapande och licenstilldelning i komplexa miljöer.
• Äldre LDAP— Stöds för lokala kataloger (t.ex. CUCM), men mindre optimerad för modern molntrafik.

Autentisering & Auktoriseringsramverk

• Autentisering (AuthN):

• SAML 2.0— Företagsstandarden för enkel inloggning (SSO). Webex agerar som tjänsteleverantör (SP) och validerar XML-intyg från företagets IdP.
• OIDC (OpenID Connect)— Ett modernt, lättviktigt identitetslager byggt på OAuth 2.0 med JSON Web Tokens (JWTs). Den stöder "Discovery URLs" för automatiserad konfiguration.

• Auktorisering (AuthZ):

• OAuth 2.0—Hanterar API-åtkomst via kortlivade åtkomsttokens (definierar omfång) och långlivade uppdateringstokens. Den upprätthåller säkerhet via PKCE (Proof Key for Code Exchange) för offentliga klienter.

Integration & Strategier för flera IdP:er

Webex erbjuder specialiserade vägar för sömlös integration:

• Entra ID Wizard— Den rekommenderade sökvägen för Microsoft-miljöer. Den använder Microsoft Graph API för avancerad attributsynkronisering (avatarer, hierarkier) och automatiserar OIDC/SAML konfiguration.
• Duo Security– Lägger till "Kontinuerlig identitetssäkerhet" genom att verifiera enhetens position och aktivera nätfiskeresistent MFA.

Stöd för flera IdP:er:Webex låter organisationer federera flera oberoende IdP:er inom en enda kontrollhubb.

• Användningsfall – Fusioner, förvärv eller decentraliserade IT-avdelningar.
• Routning – Autentiseringsförfrågningar dirigeras baserat på domäner eller användargrupper.
• Hänsyn – Kräver strikt samordning för att upprätthålla konsekventa säkerhetspolicyer över alla federerade källor.

Exempel på de vanligaste IdP-identitetsintegrationerna med Webex:

Bästa praxis och motståndskraft

• SSO-återställning – Använd alltid den inbyggda länken "SSO-återställning" i Control Hub för att kringgå SSO via ett engångslösenord (OTP) om IdP-konfigurationen misslyckas.
• Certifikathantering – Övervaka utgångsdatum för SAML-certifikat. SSO-guiden automatiserar metadatautbyte, vilket minskar manuella fel.
• Felsökning – Använd SAML Tracer-verktyget för att inspektera XML-intyg och validera NameID-format om autentiseringsproblem uppstår.
• Säkerhetsställning – Avskriv regelbundet äldre beviljandetyper och se till att PKCE implementeras för alla integrationer med publika klienter.

Slutsats – Identitet för Webex-möten

En robust identitetsstrategi är en kontinuerlig livscykelprocess. Genom att kombinera SCIM för provisionering, OIDC/SAML för autentisering och OAuth för auktorisering, kan organisationer säkerställa en säker och smidig upplevelse för användare samtidigt som de bibehåller strikt administrativ kontroll.

Ciscos säkera utvecklingslivscykel

På Cisco är säkerhet inte en eftertanke. Det är ett disciplinerat tillvägagångssätt för att bygga och leverera produkter och tjänster i världsklass från grunden. Alla produktutvecklingsteam på Cisco^® måste följa Ciscos Secure Development Lifecycle. Det är en repeterbar och mätbar process utformad för att öka motståndskraften och tillförlitligheten hos Cisco-produkter. Kombinationen av verktyg, processer och medvetenhetsutbildning som introduceras i alla faser av utvecklingslivscykeln bidrar till att säkerställa ett djupgående försvar. Det ger också en helhetssyn på produktmotståndskraft. Webex produktutvecklingsteam följer passionerat denna livscykel i varje aspekt av produktutvecklingen.

Läs mer om Säker utvecklingslivscykel.

Cisco Foundation Security Tools

Ciscos säkerhets- och förtroendeorganisation tillhandahåller processen och de nödvändiga verktygen som ger varje utvecklare möjlighet att inta en konsekvent ståndpunkt när de står inför ett säkerhetsbeslut.

Att ha dedikerade team för att bygga och tillhandahålla sådana verktyg tar bort osäkerheten i produktutvecklingsprocessen.

Några exempel på verktyg inkluderar:

• Produktsäkerhetsgrundkrav (PSB) som produkter måste uppfylla
• Hotbyggarverktyg som används vid hotmodellering
• Kodningsriktlinjer
• Validerade eller certifierade bibliotek som utvecklare kan använda istället för att skriva sin egen säkerhetskod
• Verktyg för testning av säkerhetssårbarheter (för statisk och dynamisk analys) som används efter utveckling för att testa mot säkerhetsbrister
• Programvaruspårning som övervakar Ciscos och tredjepartsbibliotek och meddelar produktteamen när en sårbarhet identifieras

Organisationsstruktur som införlivar säkerhet i Ciscos processer

Cisco har dedikerade avdelningar på plats för att implementera och hantera säkerhetsprocesser i hela företaget. För att ständigt hålla sig à jour med säkerhetshot och utmaningar förlitar sig Cisco på:

• Cisco Information Security (InfoSec) Cloud-teamet
• Ciscos produktsäkerhetsincidentresponsteam (PSIRT)
• Delat säkerhetsansvar

Cisco InfoSec Cloud

Detta team, som leds av säkerhetschefen för molnet, ansvarar för att leverera en säker Webex-miljö till våra kunder. InfoSec uppnår detta genom att definiera och tillämpa säkerhetsprocesser och verktyg för alla funktioner som är involverade i leveransen av Webex till våra kunder.

Dessutom samarbetar Cisco InfoSec Cloud med andra team inom Cisco för att hantera eventuella säkerhetshot mot Webex-tjänsten.

Cisco InfoSec ansvarar också för kontinuerlig förbättring av Webex säkerhetsställning.

Ciscos produktsäkerhetsincidentresponsteam (PSIRT)

Cisco PSIRT är ett dedikerat globalt team som hanterar inflödet, utredningen och rapporteringen av säkerhetsproblem relaterade till Cisco-produkter och -tjänster. PSIRT använder olika medier för att publicera information, beroende på hur allvarligt säkerhetsproblemet är. Rapporteringstypen varierar beroende på följande villkor:

• Programvaruuppdateringar eller lösningar finns för att åtgärda sårbarheten, eller så planeras en efterföljande offentliggörande av kodkorrigeringar för att åtgärda allvarliga sårbarheter.
• PSIRT har observerat aktivt utnyttjande av en sårbarhet som kan leda till en större risk för Ciscos kunder. PSIRT kan i det här fallet påskynda publiceringen av ett säkerhetsmeddelande som beskriver sårbarheten utan fullständig tillgänglighet av patchar.
• Allmänhetens medvetenhet om en sårbarhet som påverkar Ciscos produkter kan leda till en större risk för Ciscos kunder. Återigen kan PSIRT varna kunder, även utan fullständig tillgänglighet av patchar.

I samtliga fall redovisar PSIRT den minsta mängd information som slutanvändare behöver för att bedöma effekterna av en sårbarhet och vidta nödvändiga åtgärder för att skydda sin miljö. PSIRT använder skalan Common Vulnerability Scoring System (CVSS) för att rangordna allvarlighetsgraden av ett avslöjat problem. PSIRT tillhandahåller inte information om sårbarheter som skulle kunna göra det möjligt för någon att skapa ett exploit.

För mer information om PSIRT, se Cisco Product Security Incident Response Team.

Säkerhetsansvar

Även om varje person i Webex-gruppen är ansvarig för säkerheten är huvudreglerna följande:

• Säkerhetschef, moln
• Vice VD och chef, Cisco Cloud Collaboration Applications
• Vice vd, teknik, Cisco Cloud Collaboration Applications
• Vice VD, produktledning, Cisco Cloud Collaboration Applications

Interna och externa penetrationstester

Webex-gruppen genomför regelbundet rigorösa penetrationstester med hjälp av interna bedömare. Utöver sina egna strikta interna rutiner anlitar Cisco InfoSec även flera oberoende tredje parter för att genomföra rigorösa granskningar av Ciscos interna policyer, rutiner och applikationer. Dessa revisioner är avsedda att verifiera viktiga säkerhets krav för såväl kommersiella som offentliga program. Cisco använder även tredjepartsleverantörer för att utföra löpande, djupgående, kodassisterade penetrationstester och tjänstebedömningar. Som en del av ett engagemang utför en tredje part följande säkerhets utvärderingar:

• Identifiera kritiska sårbarheter i applikationer och tjänster och föreslå lösningar
• Rekommendera allmänna områden för arkitektonisk förbättring
• Identifiera kodningsfel och ge vägledning om förbättringar av kodningspraxis

Tredjepartsbedömare arbetar direkt med Webex tekniska personal för att förklara resultaten och validera åtgärden. Se Webex Meetings Letters of Attestation Trust Package för information om attestering av penetrationstest.

Fysisk säkerhet

Den fysiska säkerheten i datacentret inkluderar videoövervakning av anläggningar och byggnader och tvångsbaserad tvåfaktorsidentifiering för inträde. Inom Ciscos datacenter kontrolleras åtkomst genom en kombination av passerkortsläsare och biometriska kontroller. Dessutom bidrar miljökontroller (till exempel temperatursensorer och brandsläckningssystem) och infrastruktur för driftkontinuitet (såsom strömförsörjning) till att systemen körs utan avbrott.

Datacenterservrar är segmenterade i "förtroendezoner" baserat på infrastrukturens känslighet. Till exempel är databaser "inlåsta", nätverksinfrastrukturen har dedikerade rum och alla utrustningsställ är låsta. Endast Ciscos säkerhetspersonal och behöriga besökare i sällskap med Cisco-personal har tillträde till datacentren.

Ciscos produktionsnätverk är ett mycket pålitligt nätverk: endast ett fåtal personer med höga förtroendenivåer har tillgång till nätverket.

Infrastruktur och plattformssäkerhet

Plattformsäkerhet omfattar säkerheten för nätverket, systemen och hela Webex-datacentret. Alla system genomgår en grundlig säkerhetsgranskning och acceptansvalidering före produktionsdriftsättning, samt regelbunden löpande härdning, säkerhetspatchar och sårbarhetsskanning och bedömning.

Servrar är härdade med hjälp av Security Technical Implementation Guidelines (STIGs) publicerade av National Institute of Standards and Technology (NIST). Brandväggar skyddar nätverkets perimeter. Åtkomstkontrolllistor (ACL:er) separerar de olika säkerhetszonerna. Intrångsdetekteringssystem (IDS) finns på plats och aktiviteter signeras och övervakas kontinuerligt. Dagliga interna och externa säkerhetsskanningar utförs över Webex. Alla system härdas och lagas som en del av det regelbundna underhållet. Dessutom utförs sårbarhetsskanning och -bedömningar kontinuerligt.

Tjänstekontinuitet och katastrofåterställning är viktiga komponenter i säkerhetsplanering. Utformningen av Ciscos datacenter med globala säkerhetskopior och hög tillgänglighet möjliggör geografisk redundansväxling av Webex-tjänster. Det finns ingen enskild felpunkt.

Administrativa uppgifter

Information om anställda eller representanter för en kund eller annan tredje part som samlas in och används av Cisco för att administrera eller hantera Ciscos leverans av produkter eller tjänster, eller för att administrera eller hantera kundens eller tredje parts konto för Ciscos egna affärsändamål.

Administrativa uppgifter kan inkludera namn, adress, telefonnummer, e-postadress och information om avtalsenliga åtaganden mellan Cisco och en tredje part, oavsett om de samlats in vid tidpunkten för den första registreringen eller senare i samband med hantering eller administration av Ciscos produkter eller tjänster.

Administrativa data kan också inkludera mötestitel, tid och andra attribut för de möten som genomförs på Webex av anställda eller representanter för en kund. Andra exempel på administrativa data kan inkludera mötestitel, mötestid och andra attribut för de möten som hålls på Webex.

Kunddata

Detta inkluderar all data (inklusive text, ljud, video, bildfiler och inspelningar) som antingen tillhandahålls Cisco av en kund i samband med kundens användning av Ciscos produkter eller tjänster, eller som utvecklats av Cisco på kundens specifika begäran i enlighet med en arbetsbeskrivning eller ett avtal.

Kunddata inkluderar även logg-, konfigurations- eller firmwarefiler och kärndumpar.

Det är data som hämtas från en produkt eller tjänst och tillhandahålls Cisco för att hjälpa oss att felsöka ett problem i samband med en supportförfrågan. Kunddata inkluderar inte administrativa data, supportdata eller telemetridata.

Supportdata

Information som Cisco samlar in när en kund skickar in en begäran om supporttjänster eller annan felsökning, inklusive information om hårdvara eller programvara. Den innehåller detaljer relaterade till supportincidenten, såsom autentiseringsinformation, information om produktens skick, system- och registerdata om programvaruinstallationer och hårdvarukonfigurationer samt felspårningsfiler. Supportdata inkluderar inte logg-, konfigurations- eller firmwarefiler, eller kärndumpar som tagits från en produkt och tillhandahållits oss för att hjälpa oss felsöka ett problem i samband med en supportförfrågan, vilka alla är exempel på kunddata.

Telemetridata

Information som genereras av instrument- och loggsystem som skapats genom användning och drift av produkten eller tjänsten.

All data som samlas in i Webex-molnet skyddas av flera lager av robusta säkerhetstekniker och processer. Nedan följer exempel på kontroller som placerats i olika lager av Webex-åtgärder för att skydda kunddata:

• Fysisk åtkomstkontroll— Fysisk åtkomst kontrolleras med biometri, brickor och videoövervakning. Åtkomst till datacentret kräver godkännanden och hanteras via ett elektroniskt ärendesystem.
• Nätverksåtkomstkontroll— Webex-nätverkets perimeter skyddas av brandväggar. All nätverkstrafik som kommer in i eller lämnar Webex datacenter övervakas kontinuerligt med hjälp av ett intrångsdetekteringssystem (IDS). Webex-nätverket är också segmenterat i separata säkerhetszoner. Trafiken mellan zonerna styrs av brandväggar och åtkomstkontrolllistor (ACL:er).
• Övervakning och hantering av infrastruktur— Varje komponent i infrastrukturen, inklusive nätverksenheter, applikationsservrar och databaser, är försedd med strikta riktlinjer. De genomgår också regelbundna skanningar för att identifiera och åtgärda eventuella säkerhetsproblem.
• Kryptografiska kontroller— Som tidigare nämnts är all data till och från Webex-datacentret till molnregistrerade Webex-appar och Webex-enheter krypterad, förutom PSTN-trafik och okrypterad data. SIP/H323 videoenheter i ett molnaktiverat möte. Dessutom krypteras kritiska data som lagras i Webex, till exempel lösenord.

Ciscos anställda har inte åtkomst till kunddata om inte kunden begär åtkomst av supportskäl. Åtkomst till systemen i detta fall tillåts endast av chefen i enlighet med principen om "uppdelning av arbetsuppgifter". Det beviljas endast på behovsbasis och med den åtkomstnivå som krävs för att utföra jobbet. Medarbetarnas åtkomst till dessa system granskas också regelbundet för att säkerställa efterlevnad. Anställda med sådan åtkomst är skyldiga att genomgå årlig utbildning i informationssäkerhet enligt International Organization for Standardization (ISO) 27001.

Utöver dessa specialiserade kontroller genomgår varje Cisco-anställd en bakgrundskontroll, skriver under ett sekretessavtal (NDA) och genomför utbildning i uppförandekod (Code of Business Conduct).

Bärbarhets- och ansvarighetsakt för hälsa (HIPAA)

Cisco kan tillhandahålla information om Webex funktionalitet, teknik och säkerhet. En HIPAA-omfattad enhet skulle behöva rådgöra med sin egen juridiska rådgivare för att avgöra om Webex funktionalitet är kompatibel med dess affärsprocesser och GDPR-redo.

• GDPR-efterlevnad
• Information om erbjudandet för Cisco Webex Meetings

Branschstandarder och certifieringar

Förutom att följa våra strikta interna standarder upprätthåller Webex även kontinuerligt tredjepartsvalideringar för att visa vårt engagemang för informationssäkerhet. Webex är:

• ISO 27001, 27017, 27018 och 27701-certifierade
• Serviceorganisationskontroller (SOC) 2 Typ II granskade
• SOC 3-certifierad
• Uppförandekod för molnet
• CSTAR
• Attestering av katalogen över efterlevnadskontroller för molntjänster (C5)
• FedRAMP-certifierad (besök cisco.com/go/fedramp för mer information, omfattning och tillgänglighet)

Se Cisco Trust Portal för en komplett uppsättning dokument om säkerhet, integritet och efterlevnad, inklusive information om ovanstående standarder och certifieringar.