Безопасность ВКС и импортозамещение для компаний и госсектора

Сервис видеоконференций видит больше, чем кажется. Через него проходят голоса и лица сотрудников, демонстрация экрана с отчётами, чат со ссылками на внутренние документы, а после встречи — запись и расшифровка. Если всё это лежит неизвестно где и доступно неизвестно кому, совещание становится каналом утечки.

Пять вопросов службы безопасности

1. Где хранятся данные

Записи, расшифровки и переписка — это данные компании, а голос и изображение сотрудника — ещё и его персональные данные. Российский закон требует, чтобы персональные данные граждан при сборе записывались и хранились в базах на территории России.

В Контур.Толке серверы облачной версии находятся в России. Если и этого мало, есть локальная установка: сервис разворачивается на серверах компании, и данные не выходят за её периметр.

2. Как защищён трафик

Звук и видео в Толке шифруются по SRTP/DTLS, остальной трафик — по TLS. Это означает, что перехватить поток между участником и сервером и прочитать его без ключей нельзя.

3. Кто может зайти на встречу

Самая частая проблема — не взлом, а ссылка, пересланная не тому человеку. Защита строится в несколько слоёв:

4. Как управляются учётные записи

Когда у компании сотни пользователей, вручную раздавать и отзывать доступы — источник ошибок. Единый вход по SSO с корпоративным доменом решает это централизованно: сотрудник заходит своей рабочей учётной записью, а при увольнении теряет доступ вместе с ней. Не нужно помнить, что надо удалить его ещё и из сервиса видеосвязи.

5. С чем сервис связан

Каждая интеграция — потенциальная точка входа. В Толке есть интеграция с Outlook, календари по CalDav, подключение АТС и открытый API для портала, CRM или системы обучения. Служба безопасности должна знать, какие из них включены и кто к ним имеет доступ. При локальной установке эти связи остаются внутри вашего контура.

Импортозамещение: что важно госсектору

Для государственных заказчиков и компаний с госучастием выбор сервиса связан с требованиями к российскому программному обеспечению. Основные ориентиры:

• Реестр российского ПО. Ограничения на закупку иностранных программ для госнужд опираются на единый реестр российских программ, который ведёт Минцифры. Наличие продукта в нём проверяют на официальном сайте реестра.
• Значимые объекты КИИ. Указ Президента № 166 от 30 марта 2022 года запретил заказчикам с 1 января 2025 года использовать иностранное ПО на значимых объектах критической информационной инфраструктуры. Относится ли ваша система ВКС к таким объектам, определяет категорирование в вашей организации.
• Внутренние требования. Многие корпорации идут дальше закона: требуют локальной установки, аудита, совместимости с российскими ОС.

Наша рекомендация простая: прежде чем выбирать, запросите у службы ИБ письменный перечень требований и проверяйте каждый пункт на конкретном продукте, а не по рекламным материалам.

Облако или своя установка

Что запросить у поставщика

Для заключения службы ИБ обычно нужно: описание архитектуры и мест хранения данных, перечень используемых протоколов шифрования, описание ролевой модели и прав модератора, порядок работы единого входа, а для локальной установки — требования к серверам и операционной системе. Чем раньше эти документы попадут к специалистам, тем быстрее пройдёт согласование.

Правила, которые работают в любом сервисе

• Не публикуйте ссылки на внутренние встречи в открытых каналах.
• Для совещаний с конфиденциальной повесткой включайте PIN и зал ожидания.
• Предупреждайте участников о записи и ограничивайте доступ к ней.
• Перед демонстрацией экрана закрывайте лишние окна и уведомления.
• Раз в квартал проверяйте список активных пользователей и интеграций.

Как устроены запись и хранение, мы рассказали на странице о записи и расшифровке. Сравнить российские платформы по критериям безопасности поможет материал о выборе сервиса. А если безопасность важна и в документообороте, посмотрите на электронную подпись и Диадок.