Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Sicherheit: Gestaltungsprinzipien für die Entwicklung eines sicheren Kontaktzentrums
Sicherheit umfasst die Fähigkeit, Informationen, Systeme und Vermögenswerte zu schützen und gleichzeitig durch Risikobewertungen und Strategien zur Risikominderung einen geschäftlichen Nutzen zu erzielen. Dieser Abschnitt bietet einen Überblick über Entwurfsprinzipien, bewährte Methoden und Fragen zur Sicherheit von Amazon Connect-Workloads.
Der Weg zur Sicherheit bei Amazon Connect
Nachdem Sie die Entscheidung getroffen haben, Ihren Workload auf Amazon Connect zu verlagern, haben Sie zusätzlich zur ÜberprüfungSicherheit in Amazon ConnectundBewährte Sicherheitsmethoden für Amazon Connect, befolgen Sie diese Richtlinien und Schritte, um Ihre Sicherheitsanforderungen in Bezug auf die folgenden zentralen Sicherheitsbereiche zu verstehen und umzusetzen:
Verstehen derAWSSicherheitsmodell
Wenn Sie Computersysteme und Daten in die Cloud verlagern, werden die Sicherheitsaufgaben zwischen Ihnen undAWS.AWSist verantwortlich für den Schutz der zugrunde liegenden Infrastruktur, die die Cloud unterstützt, und Sie sind für alles verantwortlich, was Sie in die Cloud stellen oder eine Verbindung zur Cloud herstellen.
WelchesAWSWelche Dienste Sie verwenden, hängt davon ab, wie viel Konfigurationsarbeit Sie im Rahmen Ihrer Sicherheitsaufgaben durchführen müssen. Wenn Sie Amazon Connect verwenden, entspricht das gemeinsame ModellAWSund Kundenverantwortlichkeiten auf hoher Ebene, wie in der folgenden Abbildung dargestellt.
Grundlagen der Einhaltung von Vorschriften
Externe Prüfer bewerten die Sicherheit und Konformität von Amazon Connect im Rahmen mehrererAWSCompliance-Programme. Dazu gehörenSOC
Eine Liste der AWS-Services, die in den Geltungsbereich bestimmter Compliance-Programme fallen, finden Sie auf der Seite AWS-Services in Scope nach Compliance-Programm
Auswahl der Region
Die Auswahl der Region für das Hosten der Amazon Connect-Instance hängt von den Einschränkungen der Datenhoheit und dem Standort der Kontakte und Agenten ab. Nachdem Sie diese Entscheidung getroffen haben, überprüfen Sie die Netzwerkanforderungen für Amazon Connect sowie die Ports und Protokolle, die Sie zulassen müssen. Verwenden Sie außerdem die Domain-Zulassungsliste oder die zulässigen IP-Adressbereiche für Ihre Amazon Connect-Instance, um den Explosionsradius zu reduzieren.
Weitere Informationen finden Sie unter Einrichten Ihres Netzwerks.
AWSIntegration von Diensten
Wir empfehlen, jeden zu überprüfenAWSDer Service in Ihrer Lösung entspricht den Sicherheitsanforderungen Ihres Unternehmens. Weitere Informationen finden Sie in den folgenden Ressourcen:
Datensicherheit in Amazon Connect
Während Ihrer Reise zur Sicherheit benötigen Ihre Sicherheitsteams möglicherweise ein tieferes Verständnis dafür, wie Daten in Amazon Connect behandelt werden. Weitere Informationen finden Sie in den folgenden Ressourcen:
Arbeitsauslastungsdiagramm
Überprüfen Sie Ihr Workload-Diagramm und entwerfen Sie eine optimale Lösung aufAWS. Dies beinhaltet die Analyse und Entscheidung, welche zusätzlichenAWSDienste sollten in Ihrer Lösung sowie in allen Drittanbieter- und lokalen Anwendungen, die integriert werden müssen, enthalten sein.
AWS Identity and Access Management (IAM)
Arten von Amazon Connect Personas
Es gibt vier Arten von Amazon Connect-Personas, die auf den ausgeführten Aktivitäten basieren.
-
AWSAdministrator —AWSAdministratoren erstellen oder ändern Amazon Connect-Ressourcen und können den administrativen Zugriff auch an andere Principals delegieren, indem sieAWS Identity and Access Management(IAM) -Service. Der Umfang dieser Persona konzentriert sich auf die Erstellung und Verwaltung Ihrer Amazon Connect-Instance.
-
Amazon Connect-Administrator — Service-Administratoren legen fest, auf welche Amazon Connect-Funktionen und -Ressourcen Mitarbeiter innerhalb derAmazon ConnectAdmin-Website. Der Dienstadministrator weist Sicherheitsprofile zu, um zu bestimmen, wer auf die zugreifen kannAmazon ConnectAdmin-Website und welche Aufgaben sie ausführen können. Der Umfang dieser Persona konzentriert sich auf die Einrichtung und Verwaltung Ihres Amazon Connect-Kontaktzentrums.
-
Amazon Connect-Agent — Agenten interagieren mit Amazon Connect, um ihre Aufgaben zu erfüllen. Servicebenutzer können Contact-Center-Agenten oder Supervisoren sein.
-
Amazon Connect Service-Kontakt — Der Kunde, der mit Ihrem Amazon Connect-Kontaktzentrum interagiert.
Bewährte Methoden für IAM-Administratoren
Der Administratorzugriff auf IAM sollte auf autorisiertes Personal innerhalb Ihrer Organisation beschränkt sein. IAM-Administratoren sollten auch wissen, welche IAM-Funktionen mit Amazon Connect verwendet werden können. Bewährte Methoden für IAM finden Sie unterBewährte Sicherheitsmethoden in IAMin derIAM-Benutzerhandbuch. Lesen Sie auch Beispiele für identitätsbasierte Amazon Connect Connect-Richtlinien.
Bewährte Methoden für Amazon Connect Service-Administratoren
Service-Administratoren sind für die Verwaltung von Amazon Connect-Benutzern verantwortlich, einschließlich des Hinzufügens von Benutzern zu Amazon Connect, geben ihnen ihre Anmeldeinformationen und weisen ihnen die entsprechenden Berechtigungen zu, damit sie auf die Funktionen zugreifen können, die sie für ihre Arbeit benötigen. Administratoren sollten mit einem Mindestsatz an Berechtigungen beginnen und bei Bedarf zusätzliche Berechtigungen gewähren.
Sicherheitsprofilehilft Ihnen zu verwalten, wer auf das Amazon Connect-Dashboard und das Contact Control Panel zugreifen kann und wer bestimmte Aufgaben ausführen kann. Prüfen Sie die detaillierten Berechtigungen, die in den nativ verfügbaren Standard-Sicherheitsprofilen gewährt wurden. Benutzerdefinierte Sicherheitsprofile können eingerichtet werden, um spezifische Anforderungen zu erfüllen. Zum Beispiel ein Power Agent, der Anrufe entgegennehmen kann, aber auch Zugriff auf Berichte hat. Sobald dies abgeschlossen ist, sollten die Benutzer den richtigen Sicherheitsprofilen zugewiesen werden.
Multi-Factor Authentication
Für zusätzliche Sicherheit empfehlen wir, für alle IAM-Benutzer in Ihrem Konto eine Multi-Faktor-Authentifizierung (MFA) vorzuschreiben. MFA kanneingerichtet durchAWSICH BINoder Ihr SAML 2.0-Identitätsanbieter oder Radius-Server, falls dies für Ihren Anwendungsfall besser geeignet ist. Nach der Einrichtung von MFA wird auf der Amazon Connect-Anmeldeseite ein drittes Textfeld angezeigt, das den zweiten Faktor angibt.
Identitätsverbund
Zusätzlich zum Speichern von Benutzern in Amazon Connect können SieSingle Sign-On (SSO) für Amazon Connect aktivierenmithilfe von Identity Federation. Der Verbund ist eine empfohlene Vorgehensweise, um sicherzustellen, dass Ereignisse im Lebenszyklus von Mitarbeitern in Amazon Connect berücksichtigt werden, wenn sie im Quell-Identitätsanbieter vorgenommen werden.
Zugriff auf integrierte Anwendungen
Für Schritte in Ihren Flows sind möglicherweise Anmeldeinformationen erforderlich, um auf Informationen in externen Anwendungen und Systemen zugreifen zu können. Um Anmeldeinformationen für den Zugriff auf andere bereitzustellenAWSDienste auf sichere Weise, verwenden Sie IAM-Rollen. Eine IAM-Rolle ist eine Entität mit eigenen Berechtigungen, bei der es sich jedoch nicht um einen Benutzer oder eine Gruppe handelt. Rollen haben auch keine eigenen permanenten Anmeldeinformationen und werden automatisch rotiert.
Anmeldeinformationen wie API-Schlüssel sollten außerhalb Ihres Flow-Anwendungscodes gespeichert werden, wo sie programmgesteuert abgerufen werden können. Um dies zu erreichen, können Sie Folgendes verwendenAWS Secrets Manageroder eine bestehende Lösung eines Drittanbieters. Mit Secrets Manager können Sie hartcodierte Anmeldeinformationen, einschließlich Passwörter, in Ihrem Code durch einen API-Aufruf an Secrets Manager ersetzen, um das Secret programmgesteuert abzurufen.
Detektive Kontrollen
Protokollierung und Überwachung sind wichtig für die Verfügbarkeit, Zuverlässigkeit und Leistung des Contact Centers. Sie sollten relevante Informationen von Amazon Connect Flows bei Amazon protokollierenCloudWatchund darauf aufbauend Warnmeldungen und Benachrichtigungen erstellen.
Sie sollten frühzeitig Anforderungen an die Aufbewahrung von Protokollen und Lebenszyklusrichtlinien festlegen und planen, Protokolldateien so schnell wie möglich an kosteneffiziente Speicherorte zu verschieben. Öffentliche Amazon Connect-APIs protokollieren unterAWS CloudTrail. Sie sollten die Aktionen überprüfen und automatisieren, die auf folgender Grundlage eingerichtet wurdenCloudTrailProtokolle.
Amazon S3 ist die beste Wahl für die langfristige Aufbewahrung und Archivierung von Protokolldaten, insbesondere für Unternehmen mit Compliance-Programmen, die verlangen, dass Protokolldaten in ihrem nativen Format überprüfbar sind. Nachdem sich die Protokolldaten in einem S3-Bucket befinden, definieren Sie Lebenszyklusregeln, um Aufbewahrungsrichtlinien automatisch durchzusetzen, und verschieben Sie diese Objekte in andere, kostengünstige Speicherklassen wie Amazon S3 Standard — Infrequent Access (Standard — IA) oder Amazon S3 Glacier.
DasAWSDie Cloud bietet eine flexible Infrastruktur und Tools zur Unterstützung sowohl anspruchsvoller Angebote als auch selbstverwalteter zentralisierter Logging-Lösungen. Dazu gehören Lösungen wie AmazonOpenSearchService und AmazonCloudWatchLogs.
Die Betrugserkennung und -prävention bei eingehenden Kontakten kann implementiert werden, indem Amazon Connect Flows an die Kundenanforderungen angepasst wird. Beispielsweise können Kunden eingehende Kontakte mit früheren Kontaktaktivitäten in DynamoDB vergleichen und dann Maßnahmen ergreifen, z. B. die Verbindung eines Kontakts trennen, weil es sich um einen blockierten Kontakt handelt.
Schutz der Infrastruktur
Obwohl in Amazon Connect keine Infrastruktur verwaltet werden muss, kann es Szenarien geben, in denen Ihre Amazon Connect-Instance mit anderen Komponenten oder Anwendungen interagieren muss, die in einer lokalen Infrastruktur bereitgestellt werden. Daher ist es wichtig sicherzustellen, dass Netzwerkgrenzen unter dieser Annahme berücksichtigt werden. Überprüfen und implementieren Sie spezifische Überlegungen zur Sicherheit der Amazon Connect-Infrastruktur. Prüfen Sie außerdem die Desktops oder VDI-Lösungen für Contact Center Agents und Supervisor auf Sicherheitsaspekte.
Sie können eine Lambda-Funktion konfigurieren, um Verbindungen mit privaten Subnetzen in einer Virtual Private Cloud (VPC) in Ihrem -Konto herzustellen. Verwenden Sie Amazon Virtual Private Cloud, um ein privates Netzwerk für Ressourcen wie Datenbanken, Cache-Instances oder interne Dienste einzurichten. Amazon Verbinden Sie Ihre Funktion mit der VPC, um während der Ausführung auf private Ressourcen zuzugreifen.
Datenschutz
Kunden sollten die Daten analysieren, die die Contact-Center-Lösung durchlaufen und mit ihr interagieren.
-
Daten von Drittanbietern und externe Daten
-
Lokale Daten in hybriden Amazon Connect-Architekturen
Nach der Analyse des Datenumfangs sollten Datenklassifizierungen durchgeführt werden, wobei auf die Identifizierung sensibler Daten zu achten ist. Amazon Connect entspricht demAWSModell der geteilten Verantwortung.Datenschutz bei Amazon Connectbeinhaltet bewährte Verfahren wie die Verwendung von MFA und TLS sowie die Verwendung andererAWSDienste, einschließlich Amazon Macie.
Amazon Connectverarbeitet eine Vielzahl von Daten im Zusammenhang mit Kontaktzentren. Dazu gehören Telefonanrufmedien, Anrufaufzeichnungen, Chat-Transkripte, Kontaktmetadaten sowie Abläufe, Routing-Profile und Warteschlangen. Amazon Connect verarbeitet Daten im Ruhezustand, indem Daten nach Konto-ID und Instance-ID getrennt werden. Alle mit Amazon Connect ausgetauschten Daten werden bei der Übertragung zwischen dem Webbrowser des Benutzers und Amazon Connect mithilfe einer offenen Standard-TLS-Verschlüsselung geschützt.
Sie können Folgendes angebenAWS KMSSchlüssel, die für die Verschlüsselung verwendet werden sollen, einschließlich Bring Your Own Key (BYOK). Darüber hinaus können Sie die Schlüsselverwaltungsoptionen in Amazon S3 verwenden.
Schutz von Daten durch clientseitige Verschlüsselung
Ihr Anwendungsfall erfordert möglicherweise die Verschlüsselung sensibler Daten, die durch Datenflüsse erfasst werden. Zum Beispiel, um geeignete personenbezogene Daten zu sammeln, um das Kundenerlebnis bei der Interaktion mit Ihrem IVR individuell zu gestalten. Dazu können Sie Public-Key-Kryptografie mit dem verwendenAWSVerschlüsselungs-SDK. DasAWSDas Encryption SDK ist eine clientseitige Verschlüsselungsbibliothek, mit der alle Daten mithilfe offener Standards und bewährter Verfahren effizient ver- und entschlüsseln können.
Validierung der Eingaben
Führen Sie eine Eingabevalidierung durch, um sicherzustellen, dass nur korrekt formatierte Daten in den Flow gelangen. Dies sollte so früh wie möglich im Flow geschehen. Wenn ein Kunde beispielsweise aufgefordert wird, eine Telefonnummer zu sagen oder einzugeben, kann er die Landesvorwahl angeben oder auch nicht.
Amazon Connect-Sicherheitsvektoren
Die Amazon Connect-Sicherheit kann in drei logische Ebenen unterteilt werden, wie in der folgenden Abbildung dargestellt:
-
Arbeitsstation für Agenten. Die Agenten-Workstation-Ebene wird nicht verwaltet vonAWSund besteht aus beliebigen physischen Geräten und Technologien, Diensten und Endpunkten von Drittanbietern, die Ihrem Agenten die Sprach- und Datenkommunikation sowie den Zugriff auf die Amazon Connect-Schnittstellenebene ermöglichen.
Halten Sie sich an Ihre bewährten Sicherheitsmethoden für diese Ebene und achten Sie dabei besonders auf Folgendes:
-
Planen Sie das Identitätsmanagement und berücksichtigen Sie dabei die bewährten Verfahren, die unter aufgeführt sindBewährte Sicherheitsmethoden für Amazon Connect.
-
Reduzieren Sie interne Bedrohungen und Compliance-Risiken im Zusammenhang mit Workloads, die vertrauliche Informationen verarbeiten, indem Sie eine sichere IVR-Lösung entwickeln, mit der Sie den Zugriff von Agenten auf vertrauliche Informationen umgehen können. Durch die Verschlüsselung der Kontakteingaben in Ihren Datenströmen sind Sie in der Lage, Informationen sicher zu erfassen, ohne sie Ihren Agenten, ihren Workstations oder deren Betriebsumgebungen zugänglich zu machen. Weitere Informationen finden Sie unter Verschlüsseln der Kundeneingabe.
-
Sie sind verantwortlich für die Pflege der Zulassungsliste vonAWSIP-Adressen, Ports und Protokolle, die für die Verwendung von Amazon Connect erforderlich sind.
-
-
AWS: DasAWSDie Ebene umfasst Amazon Connect undAWSIntegrationen einschließlichAWS Lambda, Amazon DynamoDB, Amazon API Gateway, Amazon S3 und andere Dienste. Folgen Sie den Richtlinien zur Sicherheitssäule fürAWSDienstleistungen, mit besonderer Aufmerksamkeit auf Folgendes:
-
Planen Sie das Identitätsmanagement und berücksichtigen Sie dabei die unterBewährte Sicherheitsmethoden für Amazon Connect.
-
Integrationen mit anderenAWSDienste: Identifizieren Sie jedenAWSService im Anwendungsfall sowie alle Integrationspunkte von Drittanbietern, die für diesen Anwendungsfall relevant sind.
-
Amazon Connect kann integriert werden mitAWS LambdaFunktionen, die innerhalb einer Kunden-VPC ausgeführt werden, und zwar überVPC-Endpunkte für Lambda.
-
-
Extern: Die externe Ebene umfasst Kontaktpunkte einschließlich Chat,click-to-callEndgeräte und das PSTN für Sprachanrufe, Integrationen, die Sie möglicherweise mit älteren Contact-Center-Lösungen in einer hybriden Contact-Center-Architektur haben, und Integrationen, die Sie möglicherweise mit anderen Lösungen von Drittanbietern haben. Jeder Ein- oder Ausstiegspunkt für einen Drittanbieter in Ihrem Workload wird als externe Ebene betrachtet.
Diese Ebene deckt auch Integrationen ab, die Kunden möglicherweise mit anderen Lösungen und Anwendungen von Drittanbietern wie CRM-Systemen, Workforce Management (WFM) sowie Tools und Anwendungen für Berichte und Visualisierungen wie Tableau und Kibana nutzen. Bei der Sicherung der externen Ebene sollten Sie die folgenden Bereiche berücksichtigen:
-
Sie könnenKontaktfilter für wiederholte und betrügerische Kontakte erstellen
unter Verwendung vonAWS Lambdaum Kontaktdaten aus Ihrem Flow heraus in DynamoDB zu schreiben, einschließlich ANI, IP-Adresse fürclick-to-dialund Chat-Endpunkte und alle anderen identifizierenden Informationen, um nachzuverfolgen, wie viele Kontaktanfragen in einem bestimmten Zeitraum eingegangen sind. Mit diesem Ansatz können Sie Kontakte abfragen und zu Ablehnungslisten hinzufügen und sie automatisch trennen, wenn sie ein angemessenes Maß überschreiten. -
ANI-Lösungen zur Betrugserkennung mitAmazon Connect-Telefonie-MetadatenundPartnerlösungen
kann zum Schutz vor Anrufer-ID-Spoofing verwendet werden. -
Amazon Connect Sprach-IDund andere sprachbiometrische Partnerlösungen können verwendet werden, um den Authentifizierungsprozess zu verbessern und zu rationalisieren. Durch die aktive biometrische Sprachauthentifizierung haben Kontakte die Möglichkeit, bestimmte Ausdrücke zu sprechen und diese für die Authentifizierung per Sprachsignatur zu verwenden. Passive Sprachbiometrie ermöglicht es Kontakten, ihren individuellen Stimmabdruck zu registrieren und diesen Stimmabdruck zur Authentifizierung mit jeder Spracheingabe zu verwenden, die die für die Authentifizierung erforderlichen Längenanforderungen erfüllt.
-
Pflegen Sie dieAnwendungsintegrationAbschnitt in der Amazon Connect-Konsole, in dem Sie Anwendungen oder Integrationspunkte von Drittanbietern zu Ihrer Zulassungsliste hinzufügen und ungenutzte Endpunkte entfernen können.
-
Senden Sie nur die Daten, die zur Erfüllung der Mindestanforderungen erforderlich sind, an externe Systeme, die sensible Daten verarbeiten. Wenn Sie beispielsweise nur eine Geschäftseinheit haben, die Ihre Analyselösung für die Anrufaufzeichnung verwendet, können Sie eine festlegenAWS Lambdalösen Sie in Ihrem S3-Bucket die Verarbeitung von Kontaktdatensätzen aus, suchen Sie in den Kontaktdatensatzdaten nach den spezifischen Warteschlangen der Geschäftseinheit und senden Sie, falls es sich um eine Warteschlange handelt, die zu der Einheit gehört, nur diese Anrufaufzeichnung an die externe Lösung. Mit diesem Ansatz senden Sie nur die erforderlichen Daten und vermeiden die Kosten und den Aufwand, der mit der Verarbeitung unnötiger Aufzeichnungen verbunden ist.
Eine Integration, die es Amazon Connect ermöglicht, mit Amazon Kinesis und Amazon Redshift zu kommunizieren, um das Streaming von Kontaktdatensätzen zu ermöglichen, finden Sie unterAmazon Connect-Integration: Datenstreaming
.
-
Ressourcen
Dokumentation
Artikel
Videos
