安全性：開發安全聯絡中心的設計原則 - Amazon Connect
Amazon Connect 安全性旅程Amazon Connect 中的資料安全身分和存取權管理偵測性控制基礎設施保護資料保護Amazon Connect 安全向量資源

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

安全性：開發安全聯絡中心的設計原則

安全性包括能夠保護資訊、系統和資產，同時透過風險評估和緩解策略提供商業價值。本節提供設計原則、最佳實務以及 Amazon Connect 工作負載安全性相關問題的概觀。

Amazon Connect 安全性旅程

決定將工作負載移至 Amazon Connect 之後，除了檢閱 Amazon Connect 的安全 和 Amazon Connect 的安全最佳實務，還需要遵循以下準則和步驟，以瞭解並實作與下列核心安全性區域相關的安全性需求：

安全性旅程。

了解安 AWS 全性模型

當您將電腦系統和資料移至雲端時，安全性責任會由您和 AWS. AWS 負責保護支援雲端的基礎架構安全，而且您必須負責放置在雲端或連線到雲端的任何項目。

了解安 AWS 全模型。

您使用的 AWS 服務將決定您必須執行多少組態作為安全性責任的一部分。當您使用 Amazon Connect 時，共用模型會反映 AWS 高層次的客戶責任，如下圖所示。

AWS Amazon Connect 的共同責任模式。

合規性基礎

第三方稽核員會評估 Amazon Connect 的安全性和合規性，作為多個 AWS 合規計劃的一部分。其中包括SOCPCI、HIPAA、C5 (法蘭克福) 和 HITRUSTCSF.

如需特定合規方案範圍內的 AWS 服務清單，請參閱合規方案範圍內的AWS 服務。如需一般資訊，請參閱 AWS 服務合規計劃。

區域選擇

託管 Amazon Connect 執行個體的區域選擇取決於資料主權限制以及聯絡人和客服人員的所在位置。決定後，請檢閱 Amazon Connect 的網路需求，以及您需要允許的連接埠和協定。此外，若要減少影響範圍，請使用 Amazon Connect 執行個體的網域允許清單或允許的 IP 地址範圍。

如需詳細資訊，請參閱 設定您的網路。

AWS 服務整合

我們建議您根據組織的安全性需求來檢閱解決方案中的每項 AWS 服務。請參閱下列資源：

Amazon Connect 中的資料安全

在您的安全性旅程中，您的安全團隊可能需要更深入地了解 Amazon Connect 中資料的處理方式。請參閱下列資源：

工作負載圖

檢閱您的工作負載圖，並在 AWS上架構最佳解決方案。這包括分析和決定哪些其他 AWS 服務應該包含在您的解決方案以及任何需要整合的第三方和內部部署應用程式中。

AWS Identity and Access Management (IAM)

Amazon Connect 角色的類型

根據正在執行的活動，Amazon Connect 角色的類型有四種。

Amazon Connect 角色的類型。

  1. AWS 管理 AWS 員 — 管理員建立或修改 Amazon Connect 資源，也可以使用 AWS Identity and Access Management (IAM) 服務將管理存取權委派給其他主體。此角色的範圍著重於建立和管理您的 Amazon Connect 執行個體。

  2. Amazon Connect 管理員 — 服務管理員可決定員工應在 Amazon Connect 管理網站內存取哪些 Amazon Connect 功能和資源。服務管理員會指派安全性設定檔，以決定誰可以存取 Amazon Connect 管理員網站，以及他們可以執行哪些工作。此角色的範圍著重於建立和管理您的 Amazon Connect 聯絡中心。

  3. Amazon Connect 客服人員 – 客服人員與 Amazon Connect 互動以履行其工作職責。服務使用者可能是聯絡中心客服人員或主管。

  4. Amazon Connect 服務聯絡人 – 與您的 Amazon Connect 聯絡中心互動的客戶。

IAM管理員最佳作法

IAM管理存取權限應限於組織內已核准的人員。IAM管理員也應瞭解哪些IAM功能可與 Amazon Connect 搭配使用。如需IAM最佳做法，請參閱《IAM使用指南》IAM中的「安全性最佳作法」。另請參閱Amazon Connect 的身分型政策範例。

Amazon Connect 服務管理員最佳實務

服務管理員負責管理 Amazon Connect 使用者，包括將使用者新增至 Amazon Connect，提供他們的憑證，並指派適當的許可，以便他們能夠存取執行工作所需的功能。管理員應從最低的許可開始，然後依需要授予額外的許可。

安全性描述檔 可協助您管理可存取 Amazon Connect 儀表板和聯絡控制面板的使用者，以及可執行特定任務的使用者。檢閱在原生可用的預設安全性設定檔中授予的精細權限。您可以設定自訂安全性設定檔以符合特定需求。例如，能夠接管通話也能存取報告的權責客服人員。完成此操作之後，應將使用者指派至正確的安全性設定檔。

Multi-Factor Authentication

為了提高安全性，我們建議您對帳戶中的所有IAM使用者都需要多重驗證 (MFA)。MFA您可以透過 AWS IAM或您的 SAML 2.0 身分識別提供者或 Radius 伺服器進行設定 (如果這更適用於您的使用案例)。設定MFA完成後，Amazon Connect 登入頁面上會顯示第三個文字方塊，以提供第二個因素。

聯合身分

除了將使用者存放在 Amazon Connect 中之外，您還可以使用聯合身分啟用 Amazon Connect 的單一登入 (SSO)。聯合是一項建議的做法，可讓員工生命週期事件在來源身分供應商中進行時反映在 Amazon Connect 中。

存取整合應用程式

流程中的步驟可能需要憑證才能存取外部應用程式和系統中的資訊。若要提供認證以安全的方式存取其他 AWS 服務，請使用IAM角色。IAM角色是擁有自己的權限集，但不是使用者或群組的實體。角色也沒有擁有自己的永久性憑證，而且會自動輪換。

諸如API金鑰之類的認證應儲存在流程應用程式程式碼之外，以程式設計方式擷取這些認證。為此，您可以使用 AWS Secrets Manager 或現有的第三方解決方案。Secrets Manager 可讓您透過API呼叫 Secrets Manager 來取代程式碼中的硬式編碼認證 (包括密碼)，以程式設計方式擷取密碼。

偵測性控制

登入和監控對於聯絡中心的可用性、可靠性和效能來說至關重要。您應該將相關信息從 Amazon Connect 流程記錄到 Amazon， CloudWatch 並根據相同的信息構建警報和通知。

您應該儘早定義日誌保留需求和生命週期原則，並計劃盡快將日誌檔移至具成本效益的儲存位置。Amazon Connect 公共APIs日誌連接到 AWS CloudTrail。您應該檢閱並根據 CloudTrail 記錄自動化設定動作。

Amazon S3 是長期保留和存檔日誌資料的最佳選擇，特別是對於具有需要以原生格式稽核日誌資料的合規計劃的組織而言。日誌資料存放在 S3 儲存貯體後，請定義生命週期規則以自動強制執行保留政策，並將這些物件移至其他具成本效益的儲存類別，例如 Amazon S3 Standard – 不常存取 (Standard - IA) 或 Amazon S3 Glacier。

AWS 雲端提供彈性的基礎架構和工具，可支援與產品和自我管理的集中式記錄解決方案相互合作的複雜性。這包括 Amazon OpenSearch 服務和 Amazon CloudWatch 日誌等解決方案。

根據的客戶要求的 Amazon Connect 流程，為傳入的聯絡實作詐騙偵測和預防。例如，客戶可以根據 DynamoDB 中先前的聯絡活動檢查撥入的聯絡，然後採取行動，例如中斷聯絡的連線，因為他們是遭到封鎖的聯絡人。

基礎設施保護

雖然 Amazon Connect 中沒有可管理的基礎設施，但在某些情況下，Amazon Connect 執行個體需要與位於內部部署基礎設施中的其他元件或應用程式進行交互。因此，確保在此假設下考慮網路邊界非常重要。檢閱並實作特定的 Amazon Connect 基礎設施安全考量。此外，請檢閱聯絡中心專員和主管桌上型電腦或VDI解決方案以瞭解安全性

您可以將 Lambda 函數設定為連線至帳戶中虛擬私有雲 (VPC) 中的私有子網路。使用 Amazon Virtual Private Cloud，為資料庫、快取執行個體或內部服務等資源建立私有網路。Amazon 將您的函數連接到以在VPC執行過程中訪問私有資源。

資料保護

客戶應分析通過客服中心解決方案擷取的資料，並與聯絡中心互動。

  • 第三方和外部資料

  • 混合式 Amazon Connect 架構中的內部部署資料

在分析資料範圍之後，應進行資料分類，注意識別敏感資料。Amazon Connect 符合 AWS 共同的責任模式。 Amazon Connect 的資料保護包括使用MFATLS和使用其他 AWS 服務 (包括 Amazon Macie) 等最佳實務。

Amazon Connect 處理與聯絡中心相關的各種資料。這包括電話通話媒體、通話錄音、聊天記錄、聯絡中繼資料以及流程、轉接描述檔和貯列。Amazon Connect 會根據帳戶 ID 和執行個體 ID 隔離資料，來處理靜態資料。與 Amazon Connect 交換的所有資料都會在使用者的網頁瀏覽器和 Amazon Connect 之間使用開放標準TLS加密的傳輸過程中受到保護。

您可以指定用於加密的 AWS KMS 金鑰，包括自攜金鑰 (BYOK)。此外，您還可以在 Amazon S3 中使用金鑰管理選項。

使用用戶端加密保護資料

您的使用案例可能需要對流程收集的敏感資料進行加密。例如，收集適當的個人資訊，以便在客戶與您的互動時自訂客戶體驗IVR。要做到這一點，你可以使用公鑰加密與加密。AWS SDKEn AWS cryption SDK 是一個用戶端加密程式庫，旨在讓每個人都能使用開放標準和最佳做法來加密和解密資料。

輸入驗證

執行輸入驗證，以確保只有正確格式的資料才會進入流程。這應該在流程中盡早發生。例如，當提示客戶說出或輸入電話號碼時，可能包含，也可能不包含國家/地區代碼。

Amazon Connect 安全向量

Amazon Connect 安全性可分為三個邏輯層，如下圖所示：

Amazon Connect 安全向量。

  1. 客服人員工作站。代理程式工作站層不是由任何實體設備和第三方技術、服務和端點所 AWS 組成，可促進客服人員的語音、資料和存取 Amazon Connect 界面層。

    請特別注意下列事項，請遵循此層的安全性最佳作法：

    • 規劃身分管理時，請牢記上述的最佳實務 Amazon Connect 的安全最佳實務。

    • 透過建立可讓您略過代理程式存取敏感資訊的安全IVR解決方案，降低與處理敏感資訊之工作負載相關的內部威脅和合規性風險。透過加密流程中的聯絡人輸入，您可以安全地擷取資訊，而不會將資訊暴露給客服人員、其工作站或其作業環境。如需詳細資訊，請參閱 加密客戶輸入。

    • 您有責任維護使用 Amazon Connect 所需的 AWS IP 地址、連接埠和協定的允許清單。

  2. AWS：該 AWS 層包括 Amazon Connect 和 AWS 集成 AWS Lambda，包括 Amazon DynamoDB，Amazon API 網關，Amazon S3 和其他服務。請遵循 AWS 服務的安全性支柱準則，並特別注意以下事項：

  3. 外部：外部層包括聊天、 click-to-call 端點和語音通話的聯絡點、您可能與混合式客服中心架構中的舊式聯絡中心解決方案整合，以及您可能與其他第三方解決方案的整合。PSTN工作負載中第三方的任何進入點或退出點都會被視為外部層。

    此層還涵蓋了客戶可能與其他第三方解決方案和應用程式 (例如CRM系統、工作力管理 (WFM) 以及報告和視覺化工具和應用程式 (例如 Tableau 和 Kibana) 的整合。保護外部層時，應考量下列幾點：

    • 您可以為重複和詐騙聯絡人建立聯絡人篩選器，方法是從流程中將聯絡人詳細資料寫入 DynamoDBANI，包括用 AWS Lambda 於 click-to-dial 和聊天端點的 IP 位址，以及任何其他識別資訊，以追蹤在特定時間段內發生的聯絡請求次數。這種方法允許您查詢聯絡並將其新增至拒絕清單，如果超出合理水平，則會自動斷開連線。

    • ANI使用 Amazon Connect 電話語音中繼資料和合作夥伴解決方案的詐騙偵測解決方案可用來防範來電者 ID 詐騙。

    • Amazon Connect Voice ID 和其他語音生物特徵識別合作夥伴解決方案，可用於增強和簡化身分驗證程序。主動語音生物特徵身分驗證，可讓聯絡人選擇說出特定片語，並將其用於語音簽名驗證。被動語音生物識別技術可讓聯絡人登記其獨特的聲紋，並且任何輸入長度滿足身分驗證要求的語音，皆可使用聲紋來驗證其身分。

    • 在 Amazon Connect 主控台中維護應用程式整合區段，以將任何第三方應用程式或整合點新增至允許清單，並移除未使用的端點。

    • 僅傳送必要資料，以滿足外部系統處理敏感資料時的最低要求。例如，如果您只有一個業務單位使用通話錄音分析解決方案，則可以在 S3 儲存貯體中設定 AWS Lambda 觸發器來處理聯絡記錄、檢查聯絡錄音資料中業務單位的特定佇列，如果是屬於該單位的佇列，請僅將該通話錄音傳送至外部解決方案。使用這種方法，您只需發送必要的資料，並避免與處理不必要的錄製相關的成本和開銷。

      如需可讓 Amazon Connect 與 Amazon Kinesis 和 Amazon Redshift 通訊以啟用聯絡記錄串流的整合，請參閱 Amazon Connect 整合：資料串流。

資源

文件

文章

影片