۰۲ تير ۱۴۰۵
ویدئو کنفرانس امن؛ سپری برای محافظت از دادهها و ارتباطات سازمانی
راهنمای کامل امنیت جلسات آنلاین؛ از احراز هویت تا رمزگذاری سرتاسری
سرفصل مطالب
- ویدئو کنفرانس امن چیست و چرا مهم است؟
- چرا استفاده از ویدئو کنفرانس امن بیشتر از همیشه اهمیت دارد؟
- رایجترین تهدیدهای امنیتی در ویدئو کنفرانس
- رمزنگاری چگونه از تماسهای ویدئویی محافظت میکند؟
- احراز هویت و کنترل دسترسی در ویدئو کنفرانس امن چگونه است؟
- نقش زیرساخت در ویدئو کنفرانس امن
- چرا رمزگذاری بهتنهایی برای یک ویدئو کنفرانس امن کافی نیست؟
- چکلیست ویدئو کنفرانس امن برای سازمانها
- هنگام انتخاب پلتفرم ویدئو کنفرانس امن باید چه سوالاتی بپرسید؟
- کلام آخر
با گسترش دورکاری و جلسات آنلاین، نگرانی درباره امنیت ارتباطات ویدئویی هم بیشتر از همیشه شده است. طبق نظرسنجی انجامشده به سفارش شرکت Zerify، حدود 97 درصد کاربران اعلام کردهاند که درباره حفظ حریم خصوصی و امنیت دادهها در پلتفرمهای ویدئو کنفرانس نگرانی دارند و 92 درصد نیز از وجود آسیبپذیریهای امنیتی در این سرویسها آگاه هستند.
این آمار نشان میدهد که امنیت در جلسات آنلاین دیگر فقط یک دغدغه فنی برای تیمهای IT نیست، بلکه به یکی از اولویتهای اصلی سازمانها و کسبوکارها تبدیل شده است. با ما همراه باشید تا در این بلاگ بررسی کنیم یک ویدئو کنفرانس امن چه ویژگیهایی دارد، چه تهدیدهایی امنیت آن را به خطر میاندازد و سازمانها برای محافظت از ارتباطات و دادههای خود باید به چه نکاتی توجه کنند.
ویدئو کنفرانس امن چیست و چرا مهم است؟
ویدئو کنفرانس امن به مجموعهای از راهکارهای فنی و سازمانی گفته میشود که از جلسات مجازی در برابر دسترسی غیرمجاز، رهگیری اطلاعات و نقض حریم خصوصی محافظت میکنند. این امنیت معمولاً سه بخش اصلی را در بر میگیرد: رمزنگاری داده (encryption) برای محافظت از دادهها هنگام انتقال و ذخیرهسازی، کنترل دسترسی (access control) برای مدیریت ورود کاربران و جلوگیری از دسترسیهای غیرمجاز و زیرساخت (infrastructure) بهعنوان محل پردازش و نگهداری دادهها.
اگر از تماسهای ویدئویی برای موضوعات حساس مثل جلسات مشتریان، مشاورههای پزشکی، جلسات مدیریتی یا گفتوگوهای منابع انسانی استفاده میکنید، داشتن یک ویدئو کنفرانس امن دیگر یک انتخاب نیست. یک تماس ویدئویی با امنیت ضعیف، در عمل میتواند به دروازهای باز برای نفوذ و سوءاستفاده تبدیل شود.
چرا استفاده از ویدئو کنفرانس امن بیشتر از همیشه اهمیت دارد؟
جرائم سایبری با سرعت زیادی در حال افزایش هستند. آمارهای منتشرشده از سوی مرکز IC3 وابسته به FBI نشان میدهد که تنها در سال ۲۰۲۴ بیش از ۸۵۹ هزار شکایت در این حوزه ثبت شده و خسارتهای ناشی از آن به حدود ۱۶.۶ میلیارد دلار رسیده است؛ رقمی که نسبت به سال قبل 33 درصد افزایش داشته است. در این میان، حملات فیشینگ (phishing) و جعل هویت (spoofing) با بیش از 193 هزار گزارش، جزو رایجترین تهدیدها بودهاند.
پلتفرمهای ویدئو کنفرانس نیز از این تهدیدها در امان نیستند. با تبدیلشدن دورکاری و مدلهای کاری هیبریدی به بخشی ثابت از فضای کسبوکار، تماسهای ویدئویی به بستری روزمره برای تبادل اطلاعات محرمانه تبدیل شدهاند؛ از دادههای مالی و مالکیت فکری گرفته تا سوابق پزشکی و گفتوگوهای حقوقی. همین موضوع باعث شده این پلتفرمها به هدفی جذاب برای مهاجمان سایبری تبدیل شوند.
بیشتر بخوانید:
چابکی و نوآوری در محیط کار هیبریدی با راهکارهای مخابراتی
همزمان، فشارهای قانونی و نظارتی نیز افزایش یافته است. مقررات عمومی حفاظت از داده اتحادیه اروپا (GDPR) قوانین سختگیرانهای را برای پردازش دادههای شخصی در تماسهای ویدئویی تعیین کرده است. همچنین دستورالعمل NIS2 که از سال 2024 اجرایی شده، الزامات امنیت سایبری را برای طیف گستردهتری از سازمانها توسعه داده است. در آمریکا نیز قوانین HIPAA بر امنیت ویدئو کنفرانس در حوزه بهداشت و درمان نظارت میکنند و صنایع مالی و دولتی نیز مقررات اختصاصی خود را دارند.
نتیجه روشن است: سازمانها دیگر نمیتوانند امنیت ویدئو کنفرانس را موضوعی فرعی یا قابلچشمپوشی بدانند. ویدئو کنفرانس امن باید از همان ابتدا بخشی جداییناپذیر از استراتژی کلان امنیت سایبری سازمان باشد.
بیشتر بخوانید:
امنیت سایبری در عصر دیجیتال: محافظت از دادهها در دنیای آنلاین
رایجترین تهدیدهای امنیتی در ویدئو کنفرانس
شناخت تهدیدهای رایج به شما کمک میکند ارزیابی دقیقتری از امنیت پلتفرم فعلی خود داشته باشید. مهمترین تهدیدها عبارتاند از:
- نفوذ در جلسه (Meeting Hijacking)
ورود افراد ناشناس و بدون مجوز به جلسات آنلاین (اتفاقی که بعد از موج حملات سال 2020 با عنوان «Zoombombing» شناخته شد) همچنان یکی از خطرات رایج در پلتفرمهایی است که فقط به لینک جلسه متکی هستند و کنترل دسترسی پیشرفته ندارند. این نفوذها میتوانند از ایجاد مزاحمت ساده تا افشای اطلاعات محرمانه ادامه پیدا کنند.
- حملات مرد میانی (Man-in-the-Middle)
اگر ارتباط میان کاربر و سرور ویدئو کنفرانس بهدرستی رمزگذاری نشده باشد، مهاجم میتواند در مسیر انتقال داده قرار بگیرد، اطلاعات را رهگیری کند یا حتی آنها را تغییر دهد.
به همین دلیل امنیت لایه انتقال Transport Layer Security) یا(TLS حداقل استاندارد امنیتی محسوب میشود و استفاده از رمزنگاری سرتاسری (End-to-End Encryption) برای تماسهای حساس اهمیت بالایی دارد.
- سرقت اطلاعات کاربری و دسترسی غیرمجاز
رمز عبورهای ضعیف یا سرقتشده همچنان یکی از اصلیترین مسیرهای نفوذ در سرویسهای دیجیتال هستند. در پلتفرمهای ویدئو کنفرانس، این موضوع میتواند به دسترسی مهاجمان به اتاق جلسات، فایلهای ضبطشده یا پنلهای مدیریتی منجر شود. استفاده از احراز هویت چندمرحلهای (Multi-factor authentication یا MFA) و توکنهای دسترسی محدود، این ریسک را تا حد زیادی کاهش میدهد.
بیشتر بخوانید:
۱۰ روش احراز هویت برای ورود مطمئن به دنیای دیجیتال امروز!
- رهگیری فایلهای صوتی و تصویری بدون رمزگذاری
اگر دادههای صوتی و تصویری بدون رمزگذاری در اینترنت منتقل شوند، هر فردی که به مسیر شبکه دسترسی داشته باشد میتواند آنها را رهگیری کند. پلتفرمهای مدرن برای محافظت از دادههای صوتی و تصویری هنگام انتقال، از پروتکل DTLS-SRTP استفاده میکنند، اما این قابلیت در همه سرویسها بهصورت پیشفرض فعال نیست.
- سرقت اطلاعات از فایلهای ضبطشده
فایلهای ضبطشدهای که بدون رمزگذاری ذخیره میشوند یا کنترل دسترسی مناسبی ندارند، یک نقطه آسیبپذیر جدی محسوب میشوند. اگر مهاجم به سرور ذخیرهسازی دسترسی پیدا کند، در واقع به تمام مکالمات ذخیرهشده دسترسی خواهد داشت.
- فیشینگ از طریق دعوتنامه جلسات
در این روش، مهاجمان دعوتنامههای جعلی شبیه به سرویسهای واقعی ارسال میکنند و کاربران را به صفحات مخرب هدایت میکنند تا اطلاعات ورود آنها را سرقت کنند. از آنجا که لینک جلسات آنلاین بخشی عادی از ارتباطات کاری روزمره شدهاند، بسیاری از کاربران بدون دقت کافی روی این لینکها کلیک میکنند.
رمزنگاری چگونه از تماسهای ویدئویی محافظت میکند؟
رمزنگاری، یکی از مهمترین اصول ایجاد یک ویدئو کنفرانس امن محسوب میشود. برای درک بهتر عملکرد یک ویدئو کنفرانس امن باید سه لایه مختلف رمزنگاری را بشناسید؛ لایههایی که هرکدام نقش متفاوتی در محافظت از اطلاعات دارند .
- رمزگذاری لایه انتقال TLS) و (DTLS-SRTP
پروتکل امنیت لایه انتقال یا TLS از دادههای سیگنالینگ (signalling data) محافظت میکند؛ یعنی اطلاعاتی که هنگام برقراری و مدیریت تماس میان کاربران و سرور ردوبدل میشود. در کنار آن، پروتکلDTLS-SRTP وظیفه محافظت از جریان واقعی صدا و تصویر را هنگام انتقال برعهده دارد.
این پروتکلها در کنار هم مانع از آن میشوند که افراد حاضر در مسیر شبکه بتوانند تماس را رهگیری یا در اطلاعات آن دستکاری کنند. درحالحاضر TLS 1.3 استاندارد رایج این حوزه است و پلتفرمهایی که همچنان از TLS 1.0 یا TLS 1.1 استفاده میکنند، با آسیبپذیریهای شناختهشده مواجه هستند.
البته رمزگذاری انتقال بهصورت «Hop-by-Hop» عمل میکند؛ یعنی سرور رسانهای که وظیفه هدایت جریان ویدئو میان کاربران را برعهده دارد، از نظر فنی میتواند هنگام عبور دادهها به محتوای رمزگشایینشده دسترسی داشته باشد. برای بسیاری از تماسهای سازمانی این سطح از امنیت کافیست، اما برای ارتباطات بسیار حساس به لایه امنیتی پیشرفتهتری نیاز خواهد بود.
- رمزنگاری سرتاسری End-to-End Encryption) یا (E2EE
رمزنگاری سرتاسری یک لایه امنیتی فراتر از رمزگذاری لایه انتقال ایجاد میکند. در این مدل، دادههای صوتی و تصویری از همان دستگاه فرستنده رمزگذاری میشوند و فقط روی دستگاه گیرندگان قابل رمزگشایی هستند. در نتیجه، حتی سرور واسط یا ارائهدهنده سرویس نیز تنها دادههای رمزگذاریشده را مشاهده میکند و به محتوای واقعی جلسه دسترسی نخواهد داشت.
در یک سیستم با رمزگذاری سرتاسری (E2EE) که بهدرستی پیادهسازی شده باشد، هر کاربر کلیدهای رمزگذاری را بهصورت محلی تولید میکند. زمانی که یک کاربر جلسه را ترک میکند، کلیدها تغییر میکنند تا او نتواند ارتباطات بعدی را رمزگشایی کند. همچنین اگر فرد جدیدی وارد جلسه شود، به محتوای گفتوگوهای قبلی دسترسی نخواهد داشت.
با این حال، E2EE بدون محدودیت نیست. چون سرور به محتوای جلسه دسترسی ندارد، قابلیتهایی مانند ضبط ابری جلسات، تبدیل گفتار به متن یا زیرنویسهای مبتنی بر هوش مصنوعی معمولاً در این حالت غیرفعال میشوند. به همین دلیل، سازمانها باید مشخص کنند کدام جلسات واقعاً به رمزگذاری سرتاسری نیاز دارند و در چه شرایطی استفاده از رمزگذاری لایه انتقال برای داشتن یک ویدئو کنفرانس امن کافی خواهد بود.
بیشتر بخوانید:
هوش مصنوعی چگونه تصمیم میگیرد؟ آشنایی با دنیای هوش مصنوعی توضیحپذیر
- رمزگذاری دادهها در حالت ذخیره (Encryption at Rest)
رمزنگاری دادهها در حالت سکون یا ذخیرهسازی، از اطلاعات ذخیرهشده روی سرور شامل فایلهای ضبطشده، تاریخچه چتها و فایلهای اشتراکی محافظت میکند. استاندارد رایج در این حوزه AES-256 است.
اگر دادههای ذخیرهشده رمزگذاری نشده باشند، هر فردی که از طریق نفوذ امنیتی، تنظیمات اشتباه دسترسی یا حتی تهدیدات داخلی به سیستم ذخیرهسازی دسترسی پیدا کند، میتواند تمام اطلاعات ذخیرهشده را مشاهده کند. به همین دلیل، رمزگذاری دادهها در حالت ذخیرهسازی یکی از مهمترین الزامات برای ایجاد یک ویدئو کنفرانس امن محسوب میشود.
بیشتر بخوانید:
تابآوری سایبری؛ هنر ادامه دادن در دنیای تهدیدات پیچیده دیجیتال
احراز هویت و کنترل دسترسی در ویدئو کنفرانس امن چگونه است؟
رمزگذاری از دادهها محافظت میکند، اما کنترل دسترسی از خودِ جلسه محافظت میکند. در یک ویدئو کنفرانس امن، فقط رمزگذاری کافی نیست؛ بلکه باید مشخص باشد چه کسی میتواند وارد جلسه شود، چه سطحی از دسترسی دارد و چه اقداماتی مجاز است انجام دهد.
- احراز هویت مبتنی بر توکن (Token-Based Authentication)
پلتفرمهای امن بهجای اتکای صرف به لینک جلسات، از توکنها استفاده میکنند؛ اعتبارنامههایی کوتاهمدت و محدود که به یک کاربر مشخص اجازه دسترسی به یک جلسه مشخص را میدهند. این توکنها میتوانند زمان انقضا داشته باشند، به هویت یک کاربر خاص متصل شوند و تنها برای مجموعهای مشخص از مجوزها تعریف شوند.
این رویکرد بهویژه در پلتفرمهایی که از طریق API با سیستمهای دیگر یکپارچه میشوند اهمیت زیادی دارد؛ زیرا مدیریت دسترسی به جلسات بهصورت برنامهنویسیشده انجام میشود.
بیشتر بخوانید:
API شبکه چه درهایی را به روی کسبوکارها باز میکند؟
- کنترل دسترسی مبتنی بر نقش (RBAC)
در مدل کنترل دسترسی مبتنی بر نقش یا Role-Based Access Control (RBAC)، سطح دسترسی کاربران براساس نقش آنها تعیین میشود. برای مثال، میزبان جلسه ممکن است بتواند کاربران دیگر را بیصدا کند، صفحه نمایش را به اشتراک بگذارد یا ضبط جلسه را آغاز کند. در مقابل، یک کاربر عادی شاید فقط امکان مشاهده محتوا و استفاده از چت را داشته باشد و مدیر جلسه، سطحی بین این دو نقش داشته باشد.
نکته کلیدی اینجاست که این نقشها باید در سمت سرور (Server-side) اعمال شوند، نه در سمت سرویسگیرنده (Client-side). اگر کنترل دسترسی تنها در ظاهر رابط کاربری (UI) اعمال شده باشد، یک مهاجم فنی میتواند آن را دور بزند. اما در کنترل سمت سرور، سیستم بهصورت واقعی از اجرای اقداماتی که خارج از سطح دسترسی کاربر است جلوگیری میکند.
- کنترلهای سطح جلسه
برخی قابلیتهای کاربردی نیز میتوانند امنیت جلسات را افزایش دهند؛ از جمله اتاق انتظار (Waiting Room) که در آن میزبان ورود کاربران را بهصورت دستی تأیید میکند، قفلکردن جلسه برای جلوگیری از ورود کاربران جدید و استفاده از شناسههای منحصربهفرد برای هر جلسه. این اقدامات احتمال دسترسی غیرمجاز را به میزان قابل توجهی کاهش میدهند.
نقش زیرساخت در ویدئو کنفرانس امن
در یک ویدئو کنفرانس امن، محل پردازش و ذخیرهسازی دادههای ویدئو کنفرانس فقط یک موضوع فنی یا عملیاتی نیست؛ بلکه بخشی از تصمیمات امنیتی سازمان محسوب میشود.
براساس مقررات GDPR، انتقال دادههای شخصی به خارج از اتحادیه اروپا نیازمند سازوکارهای قانونی مشخص و ارزیابیهای امنیتی است. در صنایع حساس مانند بهداشت و درمان، امور مالی، خدمات حقوقی و نهادهای دولتی، الزامات مربوط به محل نگهداری دادهها حتی سختگیرانهتر هم میشود.
در کنار این موضوع، مفهوم پایداری مراکز داده (Data Center Sustainability) نیز مطرح است؛ یعنی زیرساختی که علاوهبر امنیت، از نظر مصرف انرژی، پایداری عملیاتی و قابلیت اطمینان بلندمدت نیز استانداردهای لازم را داشته باشد.
بیشتر بخوانید:
رایانش ابری سبز؛ ترکیبی از فناوری پیشرفته و پایداری زیستمحیطی
چرا رمزگذاری بهتنهایی برای یک ویدئو کنفرانس امن کافی نیست؟
- فقط رمزگذاری کافی نیست
امنیت واقعی به چیزی فراتر از رمزگذاری نیاز دارد. رمزگذاری میتواند از محتوای جلسه هنگام انتقال دادهها محافظت کند، اما یک ویدئو کنفرانس امن به احراز هویت قوی، کنترل دسترسی، ثبت و مانیتورینگ فعالیتها و مدیریت امن کلیدهای رمزگذاری نیز وابسته است.
- چالش متادیتا (Metadata)
حتی اگر محتوای جلسات رمزگذاری شده باشد، متادیتا معمولاً رمزگذاری نمیشود. این دادهها میتوانند اطلاعات حساسی مانند هویت افراد حاضر در جلسه، زمان برگزاری، تعداد دفعات ارتباط، مدت مکالمه و حتی موقعیت مکانی کاربران را آشکار کنند.
- اهمیت هویت کاربران بیشتر از همیشه است
رمزنگاری بر این فرض استوار است که به دستگاهها و کاربران اعتماد دارید. اما از کجا میتوان مطمئن شد فردی که در جلسه حضور دارد واقعاً همان شخص موردنظر است؟ رشد فناوریهایی مانند جعل هویت مبتنی بر هوش مصنوعی و دیپفیک (deepfake) باعث شده صرفاً اعتماد به تصویر یا صدا دیگر کافی نباشد.
بیشتر بخوانید:
۱۰ روند امنیت سایبری در سال ۲۰۲۵؛ وقتی هکرها با هوش مصنوعی و دیپفیک وارد بازی میشوند!
تحلیل رفتار کاربر و موجودیت (UEBA)؛ وقتی عادتهای دیجیتال، سد راه هکرها میشوند!
- دسترسپذیری هم بخشی از امنیت است
در بسیاری از بحثهای امنیتی، موضوع دسترسپذیری نادیده گرفته میشود؛ در حالیکه این مؤلفه بهاندازه محرمانگی و یکپارچگی دادهها اهمیت دارد. اگر کاربران نتوانند در زمان لازم به سیستم دسترسی داشته باشند، عملاً امنیت آن بیمعنا خواهد بود.
چکلیست ویدئو کنفرانس امن برای سازمانها
برای داشتن یک ویدئو کنفرانس امن در سطح سازمانی، رعایت این موارد ضروری است:
۱. رمزنگاری پلتفرم خود را بررسی کنید. مطمئن شوید از TLS 1.3، پروتکل DTLS-SRTP و در صورت نیاز از رمزگذاری سرتاسری (E2EE) پشتیبانی میشود.
۲. احراز هویت چندمرحلهای (MFA) را فعال کنید. اپلیکیشنهای احراز هویت معمولاً امنیت بیشتری نسبت به کدهای پیامکی دارند.
۳. از شناسه و رمز عبور منحصربهفرد برای هر جلسه استفاده کنید و لینک جلسات را دوباره استفاده نکنید.
۴. دسترسی به فایلهای ضبطشده را محدود کنید. فایلهای ذخیرهشده باید رمزگذاری شوند و فقط کاربران مجاز به آنها دسترسی داشته باشند.
۵. دسترسیها را براساس نقش کاربران تنظیم کنید تا فقط افراد مشخص بتوانند اقداماتی مانند اشتراکگذاری صفحه یا دانلود فایل را انجام دهند.
۶. نرمافزارها و سیستمها را بهروز نگه دارید تا آسیبپذیریهای شناختهشده برطرف شوند.
۷. به تیم خود درباره حملات فیشینگ و لینکهای جعلی آموزش دهید.
۸. توافقنامههای پردازش داده (DPA) ارائهدهنده سرویس را بررسی کنید تا مشخص شود دادهها چگونه ذخیره و پردازش میشوند.
۹. محل ذخیرهسازی و پردازش دادهها را بررسی کنید؛ موضوعی که برای سازمانهای مشمول GDPR، HIPAA یا NIS2 اهمیت ویژهای دارد.
۱۰. فرایند واکنش به رخدادهای امنیتی را تست کنید تا در صورت بروز نشت اطلاعات، سازمان آمادگی لازم را داشته باشد.
هنگام انتخاب پلتفرم ویدئو کنفرانس امن باید چه سوالاتی بپرسید؟
هنگام ارزیابی سرویسهای ویدئو کنفرانس امن، بهتر است این موارد را بررسی کنید:
- از چه پروتکلهایی برای رمزگذاری دادهها و انتقال رسانه استفاده میشود؟
- آیا رمزگذاری سرتاسری (E2EE) ارائه میشود؟ مدیریت و چرخش کلیدهای رمزگذاری چگونه انجام میشود؟
- زیرساخت اصلی سرویس در کجا میزبانی میشود و مالک آن چه شرکتی است؟
- آیا ارائهدهنده سرویس توافقنامه پردازش داده (DPA) ارائه میدهد؟
- چه روشهایی برای احراز هویت پشتیبانی میشود؟) مانند SSO، MFA یا (Token
- آیا کنترل نقش کاربران در سمت سرور اعمال میشود یا فقط در رابط کاربری؟
- سرویس موردنظر چه گواهیهای امنیتیای مانند ISO 27001 یا SOC 2 را دارد؟
- فرایند پاسخگویی به رخدادها و اطلاعرسانی نشت اطلاعات چگونه است؟
- آیا فایلهای ضبطشده رمزگذاری میشوند و امکان محدودسازی دسترسی به آنها وجود دارد؟
- آیا مستندات امنیتی یا Security Whitepaper منتشر شده است؟
کلام آخر
امروزه استفاده از سرویس ویدئو کنفرانس امن برای سازمانها به یک ضرورت تبدیل شده است. با افزایش تهدیدهای سایبری و اهمیت حفاظت از اطلاعات، انتخاب پلتفرمی که از رمزگذاری داده، کنترل دسترسی و زیرساخت امن پشتیبانی کند، نقش مهمی در حفظ امنیت ارتباطات سازمانی دارد.
سرویس «دانا پلاس» ایرانسل بهعنوان راهکار ویدئو کنفرانس ابری، امکان برگزاری جلسات آنلاین امن، پایدار و حرفهای را برای کسبوکارها فراهم میکند. برای آشنایی بیشتر با این سرویس و سایر راهکارهای سازمانی ایرانسل، میتوانید با شمارهگیری #۳* از خطوط ایرانسل یا از طریق ایمیل EB@mtnirancell.ir با کارشناسان ما در ارتباط باشید.
منبع:
https://www.digitalsamba.com/blog/what-makes-video-conferencing-secure
اخبار مرتبط
