Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Sicherheit: Entwurfsprinzipien für die Entwicklung eines sicheren Kontakt-Centers
Zur Sicherheit gehört die Fähigkeit, Informationen, Systeme und Komponenten zu schützen und gleichzeitig durch Risikobewertungen und Strategien zur Risikovermeidung Unternehmenswert zu schaffen. Dieser Abschnitt bietet einen Überblick über Entwurfsprinzipien, bewährte Methoden und Fragen zur Sicherheit bei Amazon-Connect-Workloads.
Der Weg zur Sicherheit mit Amazon Connect
Nachdem Sie die Entscheidung getroffen haben, Ihren Workload zu Amazon Connect zu migrieren, sollten Sie sich mit dem Inhalt der Artikel Sicherheit in Amazon Connect und Bewährte Methoden für die Sicherheit in Amazon Connect vertraut machen und zusätzlich diesen Richtlinien und Schritten folgen, um Ihre Sicherheitsanforderungen in Bezug auf die folgenden zentralen Sicherheitsbereiche zu verstehen und umzusetzen:
Grundlagen des AWS-Sicherheitsmodells
Wenn Sie Computersysteme und Daten in die Cloud verlagern, teilen Sie sich die Verantwortung für die Sicherheit mit AWS. AWS ist für die Sicherung der Infrastruktur verantwortlich, die der Cloud zugrunde liegt, und Sie sind für alles verantwortlich, was Sie in der Cloud speichern oder mit ihr verbinden.
Wie viel Arbeit Sie im Rahmen Ihrer Sicherheitsverantwortlichkeiten in die Konfiguration investieren müssen, hängt davon ab, welche AWS-Dienste Sie nutzen. Wenn Sie Amazon Connect verwenden, spiegelt bei umfassender Betrachtung das Modell der geteilten Verantwortung die Verantwortung von AWS und der Kunden wider, wie auf der folgenden Abbildung zu sehen.
Compliance-Grundlagen
Externe Prüfer bewerten im Rahmen verschiedener AWS-Compliance-Programme die Sicherheit und Compliance von Amazon Connect. Dazu gehören SOC
Eine Liste der AWS-Services, die in den Geltungsbereich bestimmter Compliance-Programme fallen, finden Sie auf der Seite AWS-Services in Scope nach Compliance-Programm
Auswahl der Region
Die Auswahl der Region für das Hosten der Amazon-Connect-Instance hängt von Einschränkungen der Datenhoheit und dem Standort der Kontakte und Kundendienstmitarbeiter ab. Nachdem diese Entscheidung getroffen wurde, prüfen Sie die Netzwerkanforderungen für Amazon Connect sowie die Ports und Protokolle, die zugelassen werden müssen. Verwenden Sie zur Reduzierung des Explosionsradius außerdem die Domainzulassungsliste oder die zulässigen IP-Adressbereiche für Ihre Amazon-Connect-Instance.
Weitere Informationen finden Sie unter Einrichten Ihres Netzwerks.
AWS-Dienstintegration
Wir empfehlen, jeden AWS-Dienst in Ihrer Lösung auf Konformität mit den Sicherheitsanforderungen Ihres Unternehmens zu überprüfen. Weitere Informationen finden Sie in den folgenden Ressourcen:
Datensicherheit in Amazon Connect
Bei Ihrem Weg zur Sicherheit benötigen Ihre Sicherheitsteams möglicherweise ein tiefgreifenderes Verständnis dafür, wie Daten in Amazon Connect verarbeitet werden. Weitere Informationen finden Sie in den folgenden Ressourcen:
Workload-Diagramm
Prüfen Sie Ihr Workload-Diagramm und entwerfen Sie eine optimale Lösung für AWS. Dazu gehört die Analyse zusätzlicher AWS-Dienste und die Entscheidung darüber, welche davon in Ihrer Lösung enthalten sein sollten. Das Gleiche muss für alle Drittanbieter- und On-Premises-Anwendungen erfolgen, die integriert werden sollen.
AWS Identity and Access Management (IAM)
Typen von Amazon-Connect-Personas
Es gibt vier Typen von Amazon-Connect-Personas, basierend auf den Aktivitäten, die ausgeführt werden.
-
AWS-Administrator – AWS-Administratoren erstellen oder ändern Amazon-Connect-Ressourcen und können mithilfe des IAM-Dienstes (AWS Identity and Access Management) auch Administratorzugriff an andere Prinzipale delegieren. Die Rolle dieser Persona ist auf die Erstellung und Verwaltung Ihrer Amazon-Connect-Instance ausgelegt.
-
Amazon-Connect-Administrator – Serviceadministratoren legen fest, auf welche Amazon-Connect-Funktionen und -Ressourcen Mitarbeiter auf der Admin-Website von Amazon Connect zugreifen sollen. Der Serviceadministrator weist Sicherheitsprofile zu und gibt damit vor, wer auf die Admin-Website von Amazon Connect zugreifen kann und welche Aufgaben ausgeführt werden können. Die Rolle dieser Persona ist auf die Erstellung und Verwaltung Ihres Amazon-Connect-Kontakt-Centers ausgelegt.
-
Amazon-Connect-Kundendienstmitarbeiter – Kundendienstmitarbeiter interagieren mit Amazon Connect, um ihre Aufgaben zu erfüllen. Servicebenutzer können Kontakt-Center-Kundenservicemitarbeiter oder -Supervisoren sein.
-
Amazon-Connect-Servicekontakt – Kunden, die mit Ihrem Amazon-Connect-Kontakt-Center interagieren
Bewährte Methoden für IAM-Administratoren
Der Administratorzugriff auf IAM sollte auf autorisiertes Personal innerhalb Ihres Unternehmens beschränkt sein. IAM-Administratoren sollten sich auch darüber informieren, welche IAM-Funktionen für die Verwendung mit Amazon Connect verfügbar sind. Weitere Informationen zu bewährten Methoden für IAM finden Sie unter Bewährte Methoden für die Sicherheit in IAM und im IAM-Benutzerhandbuch. Lesen Sie auch Beispiele für identitätsbasierte Richtlinien für Amazon Connect.
Bewährte Methoden für Amazon-Connect-Serviceadministratoren
Serviceadministratoren sind für die Verwaltung von Amazon-Connect-Benutzern verantwortlich. Dazu gehören das Hinzufügen von Benutzern zu Amazon Connect, die Übergabe ihrer Anmeldeinformationen und die Zuweisung entsprechender Berechtigungen, damit sie auf die Funktionen zugreifen können, die sie für ihre Arbeit benötigen. Administratoren sollten mit einem Mindestsatz von Berechtigungen beginnen und zusätzliche Berechtigungen nach Bedarf gewähren.
Mit Sicherheitsprofile können Sie festlegen, wer auf das Amazon-Connect-Dashboard und das Contact Control Panel zugreifen und wer bestimmte Aufgaben ausführen kann. Prüfen Sie die Berechtigungen genau, die in den standardmäßig verfügbaren Standardsicherheitsprofilen gewährt werden. Benutzerdefinierte Sicherheitsprofile können eingerichtet werden, um spezielle Anforderungen zu erfüllen. Ein Beispiel hierfür wären Kundendienstmitarbeiter mit Sonderrechten, die Anrufe entgegennehmen können, aber auch Zugriff auf Berichte haben. Sobald dies abgeschlossen ist, sollten die Benutzer den richtigen Sicherheitsprofilen zugewiesen werden.
Multi-Faktor-Authentifizierung
Für zusätzliche Sicherheit empfehlen wir die Multi-Faktor-Authentifizierung (MFA) für alle IAM-Benutzer in Ihrem Konto. Die MFA kann über AWS IAM eingerichtet werden, oder über Ihren SAML-2.0-Identitätsanbieter oder RADIUS-Server, falls dies für den Anwendungsfall geeigneter ist. Nachdem die MFA eingerichtet wurde, wird für die Eingabe des zweiten Faktors ein drittes Textfeld auf der Amazon-Connect-Anmeldeseite angezeigt.
Identitätsverbund
Zusätzlich zur Speicherung von Benutzern in Amazon Connect können Sie mithilfe eines Identitätsverbunds Single Sign-On (SSO) für Amazon Connect aktivieren. Ein Verbund ist eine empfohlene Methode, mit der es möglich wird, Ereignisse im Lebenszyklus von Mitarbeitern in Amazon Connect zu erfassen, wenn diese im zugrunde liegenden Identitätsanbieter erstellt werden.
Zugriff auf integrierte Anwendungen
Für Schritte innerhalb Ihrer Flows sind möglicherweise Anmeldeinformationen erforderlich, damit auf Informationen in externen Anwendungen und Systemen zugegriffen werden kann. Verwenden Sie IAM-Rollen, um Anmeldeinformationen für den sicheren Zugriff auf andere AWS-Dienste bereitzustellen. Eine IAM-Rolle ist eine Entität mit einem eigenen Satz von Berechtigungen, bei der es sich nicht um Benutzer oder Gruppen handelt. Rollen haben auch keine eigenen dauerhaften Anmeldeinformationen und werden automatisch rotiert.
Anmeldeinformationen wie API-Schlüssel sollten außerhalb des Codes Ihrer Flowanwendung gespeichert werden, wo sie programmgesteuert abgerufen werden können. Dazu können Sie AWS Secrets Manager oder eine geeignete Drittanbieterlösung verwenden. Mit Secrets Manager können Sie hartcodierte Anmeldeinformationen, einschließlich Passwörter, in Ihrem Code durch einen API-Aufruf an Secrets Manager ersetzen, um das Secret programmgesteuert abzurufen.
Detektivische Kontrollen
Protokollierung und Überwachung sind wichtig, um die Zuverlässigkeit, Verfügbarkeit und Leistung des Kontakt-Centers aufrechtzuerhalten. Sie sollten relevante Informationen von Amazon Connect Flows in Amazon protokollieren CloudWatch und Warnmeldungen und Benachrichtigungen basierend auf diesen erstellen.
Definieren Sie frühzeitig Protokollaufbewahrungsanforderungen und Lebenszyklusrichtlinien und planen Sie ein, Protokolldateien bei der ersten Gelegenheit an kosteneffiziente Speicherorte zu verschieben. Öffentliche Amazon-Connect-APIs speichern Protokolle bei AWS CloudTrail. Sie sollten die auf der Grundlage von CloudTrail Protokollen eingerichteten Aktionen überprüfen und automatisieren.
Amazon S3 ist die beste Wahl für die langfristige Aufbewahrung und Archivierung von Protokolldaten, insbesondere für Unternehmen mit Compliance-Programmen, die voraussetzen, dass Protokolldaten in ihrem nativen Format geprüft werden können. Sobald sich die Protokolldaten in einem S3-Bucket befinden, definieren Sie Lebenszyklusregeln, um Aufbewahrungsrichtlinien automatisch durchzusetzen, und verschieben Sie diese Objekte in andere, kostengünstige Speicherklassen wie Amazon S3 Standard – Infrequent Access (Standard – IA) oder Amazon S3 Glacier.
Die AWS-Cloud bietet eine flexible Infrastruktur und Tools zur Unterstützung sowohl komplexer Protokollierungslösungen, zusammen mit Angeboten, als auch solcher mit Zentralisierung und Selbstverwaltung. Dazu gehören Lösungen wie Amazon OpenSearch Service und Amazon CloudWatch Logs.
Betrugserkennung und -prävention für eingehende Kontakte können implementiert werden, indem Amazon-Connect-Flows an Kundenanforderungen angepasst werden. Beispielsweise können Kunden eingehende Kontakte mit früheren Kontaktaktivitäten in DynamoDB vergleichen und dann Maßnahmen ergreifen, etwa die Verbindung trennen, weil es sich um einen blockierten Kontakt handelt.
Schutz der Infrastruktur
Obwohl in Amazon Connect keine Infrastruktur verwaltet werden muss, kann es Szenarien geben, in denen Ihre Amazon-Connect-Instance mit anderen Komponenten oder Anwendungen interagieren muss, die in einer On-Premises-Infrastruktur bereitgestellt sind. Daher ist es wichtig, dass Netzwerkgrenzen unter dieser Annahme berücksichtigt werden. Prüfen und implementieren Sie spezifische Aspekte zur Sicherheit der Amazon-Connect-Infrastruktur. Prüfen Sie außerdem die Desktops oder VDI-Lösungen von Kundendienstmitarbeitern und Supervisoren im Kontakt-Center auf Sicherheitsaspekte.
Sie können eine Lambda-Funktion konfigurieren, um Verbindungen mit privaten Subnetzen in einer Virtual Private Cloud (VPC) in Ihrem Konto herzustellen. Verwenden Sie Amazon Virtual Private Cloud zum Erstellen eines privaten Netzwerks für Ressourcen wie z. B. Datenbanken, Cache-Instances oder interne Services. Verbinden Sie Ihre Funktion mit der VPC, um während der Ausführung auf private Ressourcen zuzugreifen.
Datenschutz
Kunden sollten die Daten analysieren, die durch die Kontakt-Center-Lösung übertragen werden und Teil von Interaktionen sind.
-
Drittanbieterdaten und externe Daten
-
On-Premises-Daten in hybriden Amazon-Connect-Architekturen
Nach der Analyse des Datenumfangs sollten Datenklassifizierungen durchgeführt werden, wobei auf die Identifizierung sensibler Daten zu achten ist. Amazon Connect entspricht dem Modell der gemeinsamen Verantwortung von AWS. Der Datenschutz in Amazon Connect umfasst bewährte Methoden wie die Verwendung von MFA und TLS sowie die Nutzung anderer AWS-Dienste, einschließlich Amazon Macie.
Amazon Connect verarbeitet eine Vielzahl von Daten im Zusammenhang mit Kontakt-Centern. Dazu gehören Telefonanrufmedien, Anrufaufzeichnungen, Chat-Transkripte, Kontaktmetadaten sowie Flows, Weiterleitungsprofile und Warteschlangen. Amazon Connect verarbeitet Daten im Ruhezustand, indem Daten nach Konto-ID und Instance-ID segmentiert werden. Alle Daten, die mit Amazon Connect ausgetauscht werden, sind während der Übertragung zwischen dem Webbrowser des Benutzers und Amazon Connect unter Verwendung der TLS-Verschlüsselung nach offenem Standard geschützt.
Sie können Schlüssel von AWS KMS angeben, die für die Verschlüsselung verwendet werden sollen, einschließlich BYOK (Bring Your Own Key). Darüber hinaus können Sie Schlüsselverwaltungsoptionen in Amazon S3 nutzen.
Schutz von Daten mithilfe clientseitiger Verschlüsselung
Ihr Anwendungsfall erfordert möglicherweise die Verschlüsselung sensibler Daten, die durch Flows erhoben werden. Entsprechende personenbezogene Daten können zum Beispiel erhoben werden, um den Kundenweg bei der Interaktion mit Ihrem IVR-System zu personalisieren. Dazu können Sie die asymmetrische Kryptografie mit dem AWS-Verschlüsselungs-SDK verwenden. Das AWS-Verschlüsselungs-SDK ist eine clientseitige Verschlüsselungsbibliothek, die darauf ausgelegt ist, das Verschlüsseln und Entschlüsseln von Daten unter Verwendung von offenen Standards und bewährten Methoden effizient zu gestalten.
Überprüfung von Eingaben
Führen Sie eine Überprüfung von Eingaben durch, um sicherzustellen, dass nur korrekt formatierte Daten in den Flow gelangen. Dies sollte so früh wie möglich im Flow geschehen. Wenn Kunden beispielsweise aufgefordert werden, mündlich eine Telefonnummer durchzugeben oder diese einzugeben, geben sie diese möglicherweise mit oder ohne Landesvorwahl an.
Amazon-Connect-Sicherheitsvektoren
Die Sicherheit in Amazon Connect kann in drei logische Ebenen unterteilt werden, wie auf der folgenden Abbildung zu sehen:
-
Kundendienstmitarbeiter-Workstation Die Ebene der Kundendienstmitarbeiter-Workstation wird nicht von AWS verwaltet und besteht aus beliebigen physischen Geräten und Technologien, Diensten und Endpunkten von Drittanbietern, die Ihren Kundendienstmitarbeitern die Sprach- und Datenübertragung sowie den Zugriff auf die Amazon-Connect-Schnittstellenebene ermöglichen.
Folgen Sie den bewährten Methoden für Sicherheit für diese Ebene und achten Sie dabei besonders auf Folgendes:
-
Planen Sie das Identitätsmanagement unter Berücksichtigung der bewährten Methoden unter Bewährte Methoden für die Sicherheit in Amazon Connect.
-
Reduzieren Sie interne Bedrohungen und Compliance-Risiken im Zusammenhang mit Workloads, in denen sensible Informationen verarbeiten werden, indem Sie eine sichere IVR-Lösung entwickeln, mit der Sie den Zugriff von Kundendienstmitarbeitern auf sensible Informationen umgehen können. Durch die Verschlüsselung der Kontakteingaben in Ihren Flowsn sind Sie in der Lage, Informationen sicher zu erheben, ohne sie Ihren Kundendienstmitarbeitern, ihren Workstations oder deren Betriebsumgebungen zugänglich zu machen. Weitere Informationen finden Sie unter Verschlüsseln der Kundeneingabe.
-
Sie sind für die Pflege der Zulassungsliste mit AWS-IP-Adressen, -Ports und -Protokollen verantwortlich, die für die Verwendung von Amazon Connect erforderlich sind.
-
-
AWS: Die AWS-Ebene umfasst Amazon Connect und AWS-Integrationen wie AWS Lambda, Amazon DynamoDB, Amazon API Gateway, Amazon S3 und andere Dienste. Folgen Sie den Richtlinien der Sicherheitssäule für AWS-Dienste und achten Sie dabei insbesondere auf Folgendes:
-
Planen Sie das Identitätsmanagement unter Berücksichtigung der bewährten Methoden unter Bewährte Methoden für die Sicherheit in Amazon Connect.
-
Integrationen in andere AWS-Dienste: Identifizieren Sie jeden AWS-Dienst im Anwendungsfall sowie alle Integrationspunkte von Drittanbietern, die für diesen Anwendungsfall relevant sind.
-
Amazon Connect kann über die VPC-Endpunkte für Lambda in Funktionen von AWS Lambda integriert werden, die innerhalb einer Kunden-VPC ausgeführt werden.
-
-
Extern: Die externe Ebene umfasst Kontaktpunkte wie Chat, click-to-call Endpunkte und PSTN für Sprachanrufe, Integrationen, die Sie möglicherweise mit Legacy-Kontaktcenter-Lösungen in einer hybriden Kontaktcenter-Architektur haben, und Integrationen, die Sie möglicherweise mit anderen Drittanbieterlösungen haben. Jeder Ein- oder Ausstiegspunkt für einen Drittanbieter in Ihrem Workload wird als externe Ebene betrachtet.
Diese Ebene deckt auch Integrationen ab, die bei Kunden möglicherweise mit anderen Lösungen und Anwendungen von Drittanbietern wie CRM- und WFM-Systemen (Work Force Management) bestehen, sowie mit Tools und Anwendungen für Berichte und Visualisierungen wie Tableau und Kibana. Sie sollten Folgendes berücksichtigen, wenn Sie die externe Schicht sichern:
-
Sie können Kontaktfilter für wiederholte und betrügerische Kontakte erstellen
, indem Sie verwendenAWS Lambda, um Kontaktdaten aus Ihrem Flow heraus in DynamoDB zu schreiben, einschließlich ANI, IP-Adresse für click-to-dial und Chat-Endpunkte sowie alle anderen identifizierenden Informationen, um zu verfolgen, wie viele Kontaktanfragen während eines bestimmten Zeitraums auftreten. Mit diesem Ansatz können Sie Kontakte abfragen und zu Verweigerungslisten hinzufügen, wodurch Sie automatisch getrennt werden, wenn sie bestimmte Kriterien für negatives Verhalten erfüllen. -
ANI-Lösungen zur Betrugserkennung, die Amazon-Connect-Telefonie-Metadaten und Partnerlösungen
verwenden, können zum Schutz vor Anrufer-ID-Spoofing eingesetzt werden. -
Amazon Connect Voice ID und andere Sprachbiometrie-Partnerlösungen können zur Verbesserung und Optimierung des Authentifizierungsvorgangs verwendet werden. Die Authentifizierung mit aktiver Sprachbiometrie ermöglicht Kontakten, bestimmte Wortgruppen zu sprechen und diese für die Sprachsignaturauthentifizierung zu nutzen. Die passive Sprachbiometrie gibt Kontakten die Möglichkeit, ihren individuellen Stimmabdruck zu registrieren und diesen dann zur Authentifizierung mit einer beliebigen Spracheingabe zu verwenden, die die für die Authentifizierung erforderlichen Längenanforderungen erfüllt.
-
Nutzen Sie den Bereich Anwendungsintegration in der Amazon-Connect-Konsole, um Anwendungen oder Integrationspunkte von Drittanbietern zu Ihrer Zulassungsliste hinzufügen und ungenutzte Endpunkte zu entfernen.
-
Senden Sie nur die Daten, die zur Erfüllung der Mindestanforderungen erforderlich sind, an externe Systeme, die sensible Daten verarbeiten. Wenn Sie beispielsweise nur eine Geschäftseinheit haben, die Ihre Analyselösung für die Anrufaufzeichnung verwendet, können Sie in Ihrem S3-Bucket einen Auslöser von AWS Lambda einrichten, um Kontaktdatensätze zu verarbeiten, nach den spezifischen Warteschlangen der Geschäftseinheit im Kontaktdatensatz suchen und, falls es sich um eine Warteschlange handelt, die zu der Einheit gehört, nur diese Anrufaufzeichnung an die externe Lösung senden. Mit diesem Ansatz senden Sie nur die erforderlichen Daten und vermeiden die Kosten und den Mehraufwand, der mit der Verarbeitung unnötiger Aufzeichnungen verbunden ist.
Eine Integration, bei der Amazon Connect mit Amazon Kinesis und Amazon Redshift kommunizieren darf, um das Streaming von Kontaktdatensätzen zu ermöglichen, finden Sie unter Amazon-Connect-Integration: Datenströme
.
-
Ressourcen
Dokumentation
Artikel
Videos
