La semaine dernière, nous avons parlé des avantages d’intégrer les services téléphoniques de bureau aux plateformes Unified Communications as a Service (UCaaS), comme Microsoft Teams et Webex. Mais si vous vous inquiétez des risques associés au partage de renseignements confidentiels sur ces plateformes – sur divers réseaux et appareils – sachez que vous n’êtes pas seuls.
Cette semaine, nous avons demandé à Ash Brar, directeur de l’ingénierie des produits et des solutions chez Beanfield, de nous parler des risques de cybersécurité auxquels vous pourriez faire face lorsque vous adopterez et déploierez des plateformes UCaaS entièrement intégrées dans votre entreprise.
L’intégration d’un système téléphonique de bureau dans une plateforme UCaaS peut-elle entraîner plus de risques en matière de cybersécurité?
L’intégration du RTCP dans une plateforme UCaaS crée une « surface d’attaque » nouvelle, plus grande et plus complexe que si vous gardez votre système téléphonique séparé. Comme tout ce qui vit sur Internet, les services de voix sur IP (VoIP) et les plateformes UCaaS font face à des risques de cybersécurité. Avec la fonction d’appel intégré, les appels se font par Internet, à partir de n’importe quel appareil, et fonctionnent comme une application, de sorte qu’il y a plus de vecteurs par lesquels les acteurs malveillants peuvent accéder à des données sensibles, qu’elles soient stockées ou en transit.
Voici les principaux sujets de préoccupation :
Compromission du stockage de contenu
La plupart des plateformes UCaaS stockent des outils administratifs et des renseignements d’ouverture de session, ainsi que du contenu de collaboration (comme des fichiers partagés, des journaux de clavardage et des enregistrements d’appels) dans leurs propres réseaux. Que ce soit localement ou sur le nuage, vous devez être sûr que le stockage réseau de ces plateformes est sécurisé.
Interception des données
Les appels que vous recevez ou faites si vous avez un RTCP intégré contiennent probablement les renseignements les plus sensibles, puisqu’ils concernent probablement les clients et les fournisseurs. La voix non chiffrée et les flux multimédias sont plus vulnérables à l’interception que les appels sur un réseau RTCP traditionnel parce qu’ils se font par Internet. Les interceptions peuvent exposer des renseignements des parties appelantes et appelées, des messages instantanés et d’autres données de contenu, ainsi que les appels vocaux ou vidéo eux-mêmes.
Cela semble effrayant! Comment pouvons-nous éviter cela?
En termes de sécurisation du contenu stocké…
La bonne nouvelle, c’est que les solutions UCaaS les plus populaires et les plus efficaces sur le plan commercial sont les meilleures pour assurer la sécurité des données. Il est donc peu probable qu’une atteinte à la sécurité des données vienne de ces solutions. Ils assurent le chiffrement de bout en bout et ont la réputation d’assurer la sécurité de leurs réseaux. Certains des meilleurs fournisseurs d’UCaaS peuvent même vous permettre de tirer parti de votre nuage sécurisé existant et de l’intégrer à leur plateforme, de sorte que vous n’avez pas à vous inquiéter d’avoir des données sur plusieurs réseaux.
Les plateformes UCaaS avec une sécurité moins robuste sont rapidement tombées en désuétude depuis 2020, en grande partie parce qu’elles ne pouvaient pas assurer la sécurité. Pour cette raison, vous devriez vous lasser des joueurs plus petits et moins réputés.
Un autre aspect important à considérer lors de la migration vers une plateforme UCaaS : Personne ne devrait avoir un accès inutile aux données, surtout les collaborateurs de l’extérieur de votre organisation!
Il est important de pouvoir configurer les autorisations appropriées pour chaque utilisateur qui accède au système. Une plateforme UCaaS reconnue fournira une assistance exceptionnelle pour la configuration des règles d’authentification des utilisateurs et des autorisations d’accès.
Pour protéger les données pendant qu’elles sont en transit…
La meilleure façon de protéger les données en transit est de les chiffrer. Le chiffrement des données permet de s’assurer que toute personne qui les intercepterait trouverait celles-ci inutilisables. Pour s’assurer que les données sont chiffrées tout au long de leur parcours, elles doivent être chiffrées aux points terminaux (qu’il s’agisse de points terminaux physiques comme les téléphones de bureau ou de points terminaux logiciel comme une application fonctionnant sur un ordinateur ou un dispositif mobile) à l’aide de protocoles de chiffrement.
Deux protocoles de chiffrement sont nécessaires pour assurer la sécurité des déplacements des données de session : Secure Real-time Transport Protocol (SRTP), qui chiffre le contenu lui-même des appels, et un contrôle à l’aide du protocole de sécurité de la couche transport (TLS), qui crypte l’information de l’interlocuteur, les messages instantanés et d’autres données de contenu.
Mais qu’en est-il des gens qui travaillent à domicile?
La sécurité des points terminaux devrait être une immense préoccupation pour toute entreprise qui permet le travail à distance et le travail sur des appareils mobiles. Dans ce type de scénario, il est difficile de savoir a) si les personnes qui accèdent à distance à vos ressources réseau sont bien celles qu’elles disent être; b) si les appareils qu’elles utilisent pour accéder à votre réseau sont compromis de quelque façon que ce soit; c) si les utilisateurs utilisent des applications tierces non vérifiées. (comme les applications VoIP génériques) pour accéder aux ressources de l’entreprise en entrant leurs justificatifs d’identité.
Une façon d’atténuer ces risques est d’adopter un modèle de sécurité avec une administration de réseau à vérification systématique. Dans un environnement à vérification systématique, les utilisateurs doivent s’identifier sur un système centralisé à l’aide d’une authentification à deux facteurs, et ils ont l’obligation de s’assurer que leurs appareils sont approuvés et sécurisés. Au niveau informatique, le cadre permet une évaluation et une authentification constantes des utilisateurs, leur donne une visibilité sur les ressources auxquelles un utilisateur accède et offre la capacité de détecter les comportements suspects.
Si vous avez des employés qui travaillent de l’extérieur, un logiciel de gestion des appareils mobiles doit être intégré à votre stratégie d’administration de réseau à vérification systématique. Votre équipe des TI devrait être en mesure de contrôler les applications qui peuvent être installées sur les appareils de l’entreprise et d’évaluer la posture de sécurité de ces appareils – ce qui est extrêmement important – parce qu’une application douteuse ou un logiciel malveillant provenant d’un appareil infecté pourrait intercepter des données.
Ash Brar occupe le poste de directeur de l’ingénierie des produits et des solutions chez Beanfield. Fort de plus de 23 ans d’expérience, il a travaillé dans le domaine des fournisseurs de services et a occupé différents postes liés aux secteurs de l’infrastructure et du service à la clientèle.
Avez-vous une question à poser à Ash? Envoyez-nous un courriel à l’adresse askash@beanfield.com
