Uppdatering: Den 2 april 2020 tillkännagav videokonferensleverantören Zoom en 90-dagars frysning av funktioner för att identifiera och åtgärda integritets- och säkerhetsproblem som har rapporterats mycket om i pressen. Lifesize erbjuder för närvarande sex månader obegränsad, gratis videokonferenstjänst till alla Zoom-kunder som är i behov av en alternativ plattform.
Videokommunikation och samarbete har aldrig varit av större betydelse för organisationer. Förbi är de dagar då video på arbetsplatsen var en nyhet; det förväntas nu inte bara i många fall utan en kärnteknologi för att få arbetet gjort. Videokommunikationseran har anlänt och inleder en våg av nya samarbetsmetoder som sträcker sig från innehåll i 4K-kvalitet till digitala whiteboards och mer.
På Lifesize hör och ser vi detta varje dag genom samtal med nuvarande och potentiella kunder, våra partners och våra kollegor i hela vårt ekosystem. Trenden är naturligtvis inte isolerad till Lifesize, vilket illustreras av otaliga analytikerrapporter och marknadsanalyser, som alla pekar på den snabba uppgången av videosamarbete runt om i världen.
Analytikerföretaget Frost & Sullivan projekterar videokonferenser marknaden kommer att växa i genomsnitt 12.1 procent på årsbasis från 2018 till 2023, vilket motsvarar en industri på 13.82 miljarder dollar under de kommande fem åren. För en bransch 30 år på väg För att upprätthålla denna bana är det dock absolut nödvändigt att vi tillsammans tar itu med elefanten i rummet: säkerhet. Det är länge sedan dags för videokonferensleverantörer att anamma de grundläggande kriterierna som alla affärskritiska applikationer förväntas leverera – och att de gör det med öppenhet.
Cloud Security: A Hazy Forecast
Informationssäkerhet är ungefär som livförsäkring - viktigt, men inte det livligaste ämnet att diskutera.
Det är frestande att anta att tekniken vi använder i våra professionella och privata liv är säkra. Tyvärr är dataintrång alltför vanliga, och nästan alla teknikkategorier – från sociala medier till spel och detaljhandel till kommunikationsplattformar – har påverkats i det senaste minnet. Under de senaste veckorna har Washington Post skrev en lång exposé som beskriver hur enkelt det är för hackare att kompromissa med "smarta" enheter med en teknik som kallas "credential stuffing", där dåliga aktörer kombinerar läckta e-postadresser och lösenord med enkel automatisering för att få tillgång till termostater, kameror och mer. Om något, den stora mängden data och säkerhetsintrång har resulterat i en kultur av att bli okänslig för deras inverkan.
Enligt Gartners 2019 säkerhets- och riskhanteringstrender, det snabba införandet av molnteknik "täcker säkerhetsteamen tunna", vilket lägger en ännu större del av ansvaret på molnleverantörer att leverera direkta säkerhetsfunktioner för att både skydda kunder och lindra bördan för IT-proffs som har till uppgift att hantera ett ständigt växande antal applikationer och tjänster. När det gäller användningen av SaaS-applikationer (Software-as-a-Service) råder Gartner kunder att överväga om applikationer är "lämpligt styrda och säkert använda."
I en forskningsanteckning från februari 2019 skrev Gartner-analytikern Jay Heiser, "Avsaknaden av enighet om vilken företagsroll som är ansvarig för SaaS-styrning och den relativa avsaknaden av policy som kräver mer specificitet kring SaaS 'ägande' har hjälpt till att maskera brådskan över SaaS-kontroll. Den relativa bristen på synlighet och hantering av denna alltmer allmänt förekommande form av datoranvändning leder till säkerhets- och efterlevnadsfel.”
Det återstår att se var organisationer kommer att landa angående vem som är ytterst ansvarig för att upprätthålla och styra molnsäkerhet. Men det som är uppenbart är att leverantörer bör vara mycket mer proaktiva när det gäller att kommunicera säkerhetspraxis och funktioner för att hjälpa köpare och kunder att förstå vad de får för sina investeringar och vad de bör förvänta sig baserat på deras organisations säkerhetskrav och risktolerans.
Säker kommunikation: Den outtalade sanningen om video
På grund av det snabba antagandet av policyer för ta med din egen enhet (BYOD) och en trend mot att företagschefer väljer applikationer som inte hanteras av IT, kämpar många organisationer nu för att helt enkelt hålla koll på vilka applikationer som finns Begagnade, än mindre konsekvenserna för informationssäkerhet.
I en studie av IT-beslutsfattare utförd av Frost & Sullivan för att förstå varför organisationer väljer att göra det inte använda molntjänster var oro för obehörig åtkomst till data den främsta hämmaren för adoption.
Inom videokonferenser är säkerheten ofta en eftertanke. Med så mycket uppmärksamhet åt att skydda PII-data, sjukvårdsjournaler, ekonomi och mer är det lätt för organisationer att glömma att data överförs under möten och mellan anställda, partners och kunder inom och utanför företaget. När allt kommer omkring är videokonferenssamtal knappast lika frestande som en databas full av känsliga kundregister, eller hur?
Tyvärr har denna uppfattning lett till självbelåtenhet, vilket resulterat i att CISO:er och IT-beslutsfattare alltför ofta misslyckas med att redogöra för den data som delas och vem som i slutändan är ansvarig för att skydda den. Säkerheten för videokonferenser är mångfacetterad, vilket förvärrar problemet, vilket tvingar organisationer att tänka på ett antal nyckelaspekter av sin infrastruktur och styrning, inklusive hur data överförs och lagras, åtkomstkontroller, autentiseringspolicyer, HIPAA-efterlevnadOch mycket mer.
I många avseenden representerar kommunikationstjänster den "sista milen" inom informationssäkerhet.
Ingen vill tänka på vad-om-scenariot med någon som avlyssnar känslig information eller snokar på ett videomöte. Men den ökande volymen av dataintrång, "man i mitten” attacker och säkerhetshot illustrerar att organisationer noggrant bör överväga om videokommunikationsleverantörers säkerhetsinställningar är tillräckliga för den data som överförs via deras tjänster.
Vårt engagemang för säkerhet, transparens och öppenhet
Under 2014 initierade Lifesize ett flerårigt projekt för att bygga om vår molnvideokonferenstjänst från grunden för säkerhet och tillförlitlighet.
Engineering for Transparency
En kritisk komponent i det är protokollet Web Real-Time Communication (WebRTC), som ger kunderna transparens och sinnesfrid om hur tjänsten fungerar. Vi byggde om vår plattform på WebRTC av flera anledningar.
För det första vill vi att videokonferenser ska vara tillgängliga för alla. För att åstadkomma detta var WebRTC ett självklart val och den överlägset mest pålitliga, beprövade och välpresterande mekanismen för att leverera en sammanhållen videokonferensupplevelse över operativsystem, enheter och webbläsare som stöds av Lifesize. Sedan vi tillkännagav stöd för WebRTC 2015 har det mognat kraftigt; i dag nästan alla större webbläsare stöder WebRTC inbyggt.
För det andra är vi övertygade om att öppenhet är bra för kunderna. Som med all öppen källkodsteknik byggdes WebRTC (och fortsätter att förbättras) för allmänheten, med bidrag från tusentals ingenjörer och branschledande företag som Apple, Google, Mozilla, Microsoft och andra. Även om programvara med öppen källkod inte är säkrare per definition, har kod som regelbundet inspekteras och testas av flera enheter visat sig resultera i mer robusta, säkra tekniker.
Genom WebRTC kan Lifesize leverera en pålitlig, konsekvent och säker upplevelse till våra kunder utan tvetydighet om hur den upplevelsen utformas. Även om vi strävar efter att förtjäna varje kunds förtroende, förväntar vi oss och uppmuntrar dem att ställa frågor om hur vår tjänst fungerar – som de borde med vilken applikation eller tjänsteleverantör som helst.
Säkra den sista milen
Idag körs vårt moln på Amazon Web Services (AWS), vilket ger en mängd extra säkerhetsfördelar, inklusive klassens bästa nätverksbrandväggar, robusta efterlevnadskontroller och 99.9 % garanterad drifttid levereras genom mycket säkra datacenter runt om i världen.
Dessutom säkerställer Lifesize omfattande, säkra videokonferenser för våra kunder genom att lägga på:
- kryptering som standard: 100 procent av kommunikationen på Lifesize-plattformen säkras av företagsklass, 128-bitars AES (Advanced Encryption Standard)-kryptering för media och TLS-kryptering (transportlagersäkerhet) för signalering. Som standard är varje Lifesize-kunds anslutning krypterad med engångskrypteringsnycklar. Dessutom, eftersom Lifesize skapades från grunden med WebRTC, som kräver säkra anslutningar, är varje samtal – antingen genom våra inbyggda appar eller webbläsarbaserade webbapplikationer – säkrat utan undantag.
- Säker datalagring: Inspelning och uppspelning av Lifesize-möten krypteras med 128-bitars AES under överföring och 256-bitars AES under lagring. Användarlösenord är alltid krypterade och inga rentextlösenord lagras i molnet.
- Säker autentisering: Lifesize integreras med och stöder ledande leverantörer av enkel inloggning (SSO), inklusive Okta, Microsoft Azure® Active Directory, OneLogin och Ping Identity, vilket gör att IT-administratörer enkelt kan konfigurera användarbehörigheter och genomdriva krav på lösenordsuppdatering och komplexitet, vilket minskar sannolikheten för framgångsrik inloggningsfyllning eller andra slutanvändarfokuserade attackmetoder.
- Mötessäkerhet: Virtuella mötesrum i naturlig storlek (VMR) kan säkras och kräver ett lösenord för att komma in på ett möte. Mötesmoderatorer kan också enkelt komma åt en fullständig lista över deltagare och ta bort individer om behov skulle uppstå. Kunder har också möjlighet att använda "engångsmöten" för att förhindra obehöriga gäster från att gå med i möten med hjälp av information från en tidigare inbjudan.
- Brandvägg/NAT Traversal: Vår arkitektur håller Lifesize rumssystem och klientmjukvara säkert bakom befintliga brandväggar och hanterar brandväggar genom våra globala anropsnoder. Därför kräver vi inte att några brandväggsportar öppnas inkommande från internet, och det finns inte heller något behov av statisk offentlig IP-adressering eller komplicerade statiska NAT- och portvidarebefordran brandväggskonfigurationer. Organisationer kan behålla sin befintliga omkretsställning och skydda användare och enheter från SIP- och H.323-störande samtal som är vanliga på det öppna internet.
På jakt efter säkerhet, transparens och öppenhet
Säkerhet och dess följeslagare utgör en komplex och ständigt föränderlig utmaning för stora och små organisationer, men det bör vara en högsta prioritet. IT-beslutsfattare och företagsledare måste ta sig tid att utvärdera riskprofilerna för sina leverantörer och förstå om vart och ett av deras kommunikationsverktyg – oavsett om det hanteras centralt av IT – är byggt och konfigurerat för att skydda känslig data.
Tyvärr kräver många tjänsteleverantörer att användarna väljer grundläggande säkerhetsfunktioner istället för att följa företagsstandarder. Om leverantörer inte prioriterar säkerhet, transparens och öppenhet som standard, skulle företag göra klokt i att överväga om deras privata kommunikation och data är i fara.
