امنیت اطلاعات در نرم‌افزار مرکز تماس؛ چه استانداردها و کنترل‌هایی مهم‌اند؟

نرم‌افزار مرکز تماس فقط ابزاری برای دریافت و برقراری تماس نیست؛ این سامانه ممکن است به اطلاعات هویتی مشتریان، شماره‌های تماس، سوابق ارتباطی، فایل‌های ضبط مکالمات، اطلاعات فروش و داده‌های عملیاتی سازمان دسترسی داشته باشد. به همین دلیل، امنیت اطلاعات در مرکز تماس باید یکی از معیارهای اصلی انتخاب، راه‌اندازی و نگهداری نرم‌افزار باشد.

چک‌لیست خرید CRM و مرکز تماس · مقایسه Issabel و Asterisk · CRM یکپارچه با مرکز تماس · امکانات نرم‌افزار مرکز تماس

یک ضعف امنیتی در این سامانه می‌تواند پیامدهای مختلفی داشته باشد؛ از دسترسی غیرمجاز به مکالمات مشتریان و افشای اطلاعات گرفته تا تغییر سوابق تماس، سوءاستفاده از حساب‌های مدیریتی یا اختلال در زیرساخت ارتباطی.

با این حال، امنیت یک نرم‌افزار صرفاً با ادعای فروشنده درباره استفاده از فناوری‌های جدید یا داشتن قابلیت‌هایی مانند رمز عبور و ثبت گزارش فعالیت تضمین نمی‌شود. لازم است کنترل‌های امنیتی به‌صورت مشخص بررسی شوند و شواهدی برای نحوه عملکرد آن‌ها وجود داشته باشد.

در این مقاله، مهم‌ترین الزامات امنیتی نرم‌افزارهای مرکز تماس، استانداردهای مرتبط و چک‌لیست ارزیابی فروشندگان را بررسی می‌کنیم.

مرکز تماس یکی از نقاط مهم ارتباط سازمان با مشتریان است. اپراتورها و کارشناسان ممکن است در جریان مکالمات به اطلاعاتی دسترسی پیدا کنند که افشای آن‌ها برای مشتری یا سازمان پیامدهای جدی داشته باشد.

مهم‌ترین دسته‌های اطلاعاتی که در یک مرکز تماس ممکن است پردازش شوند عبارت‌اند از:

سطح حساسیت این اطلاعات یکسان نیست. برای مثال، دسترسی به گزارش تعداد تماس‌ها با دسترسی به فایل صوتی مکالمه‌ای که حاوی اطلاعات محرمانه مشتری است، ریسک متفاوتی دارد.

بنابراین، سیاست امنیتی مرکز تماس باید متناسب با نوع داده، نقش کاربران، نحوه استقرار سامانه و الزامات قانونی و قراردادی سازمان طراحی شود.

یکی از پایه‌ای‌ترین الزامات امنیتی در مرکز تماس، مشخص بودن این موضوع است که هر کاربر به چه اطلاعات و امکاناتی دسترسی دارد.

در یک ساختار مناسب، دسترسی اپراتور، کارشناس فروش، سرپرست تیم، مدیر مرکز تماس و مدیر فنی نباید یکسان باشد.

برای مثال:

کنترل دسترسی مبتنی بر نقش (RBAC): دسترسی کاربران بر اساس نقش و مسئولیت شغلی آن‌ها تعیین شود.

حداقل سطح دسترسی (Least Privilege): هر کاربر فقط به امکانات و اطلاعاتی دسترسی داشته باشد که برای انجام وظایف خود نیاز دارد.

محدودیت دسترسی به داده‌ها: امکان محدود کردن مشاهده اطلاعات بر اساس تیم، شعبه، واحد یا مالک پرونده مشتری وجود داشته باشد.

تفکیک وظایف: فعالیت‌های حساس، مانند مدیریت کاربران، تغییر تنظیمات امنیتی و دسترسی به اطلاعات محرمانه، تا حد امکان میان مسئولیت‌های مختلف تفکیک شوند.

بازبینی دوره‌ای دسترسی‌ها: دسترسی کارکنانی که مسئولیت آن‌ها تغییر کرده یا همکاری آن‌ها با سازمان پایان یافته است، باید اصلاح یا لغو شود.

نکته مهم این است که دسترسی مدیر سامانه نیز باید کنترل شود. داشتن عنوان «مدیر» نباید به معنای دسترسی نامحدود و بدون ثبت رویداد به تمام اطلاعات باشد.

ضبط مکالمات یکی از قابلیت‌های رایج در مراکز تماس است. این فایل‌ها برای کنترل کیفیت، آموزش کارشناسان، بررسی اختلافات و پیگیری درخواست‌های مشتریان استفاده می‌شوند.

اما فایل صوتی می‌تواند حاوی اطلاعات حساس باشد؛ به همین دلیل، حفاظت از آن باید مستقل از کنترل دسترسی به اطلاعات عمومی CRM بررسی شود.

محدودسازی دسترسی: فقط کاربران مجاز بتوانند فایل‌های صوتی را جست‌وجو، پخش یا دریافت کنند.

رمزنگاری در زمان ذخیره‌سازی: فایل‌های ضبط‌شده و محل نگهداری آن‌ها باید با توجه به سطح حساسیت داده و معماری سامانه محافظت شوند.

رمزنگاری هنگام انتقال: فایل‌های صوتی هنگام انتقال میان سرور و کاربران یا میان سامانه‌های مختلف باید از کانال ارتباطی امن عبور کنند.

کنترل دانلود و خروجی: امکان دانلود فایل‌های ضبط‌شده باید محدود و فعالیت‌های مرتبط با آن ثبت شود.

سیاست نگهداری: مدت زمان نگهداری فایل‌ها باید مشخص باشد و پس از پایان دوره مجاز، حذف یا بایگانی آن‌ها مطابق سیاست سازمان انجام شود.

پشتیبان‌گیری امن: نسخه‌های پشتیبان فایل‌های صوتی نیز باید تحت همان الزامات حفاظتی اطلاعات اصلی نگهداری شوند.

خیر. نگهداری نامحدود فایل‌های صوتی همیشه انتخاب مناسبی نیست. هرچه مدت نگهداری داده بیشتر باشد، حجم اطلاعات ذخیره‌شده و مدت مواجهه با ریسک‌های احتمالی نیز افزایش پیدا می‌کند.

بهتر است سازمان بر اساس هدف ضبط مکالمات، الزامات قانونی، تعهدات قراردادی و نیازهای عملیاتی، دوره نگهداری مشخصی تعریف کند.

برای مثال، ممکن است فایل‌های مربوط به تماس‌های عادی برای یک دوره مشخص نگهداری شوند، در حالی که برخی مکالمات مرتبط با شکایت یا اختلاف قراردادی، مشمول سیاست نگهداری جداگانه باشند.

همچنین اگر مکالمات ضبط می‌شوند، اطلاع‌رسانی مناسب به تماس‌گیرندگان و رعایت الزامات قانونی مرتبط با ضبط و پردازش اطلاعات باید بررسی شود.

ثبت رویدادها یکی از مهم‌ترین ابزارهای نظارت امنیتی در نرم‌افزار مرکز تماس است.

فرض کنید اطلاعات یک مشتری تغییر کرده، یک فایل صوتی دانلود شده یا دسترسی یک کاربر به اطلاعات محرمانه افزایش یافته است. اگر سامانه امکان ثبت رویدادهای مرتبط را نداشته باشد، تشخیص اینکه چه کسی، در چه زمانی و چه تغییری ایجاد کرده دشوار خواهد بود.

حداقل رویدادهای مهمی که بهتر است در سامانه ثبت شوند عبارت‌اند از:

برای بررسی دقیق رویدادها، ثبت صرف عبارت‌هایی مانند «کاربر وارد شد» کافی نیست. بهتر است اطلاعاتی مانند موارد زیر در گزارش وجود داشته باشند:

ثبت رویدادها زمانی ارزشمند است که کاربران عادی نتوانند آن‌ها را به‌سادگی تغییر دهند یا حذف کنند.

برای این منظور، می‌توان از محدودیت دسترسی به گزارش‌ها، نگهداری متمرکز، کنترل یکپارچگی و ارسال رویدادهای حساس به سامانه مدیریت رخدادهای امنیتی (SIEM) استفاده کرد.

همچنین باید مدت نگهداری لاگ‌ها و مسئولیت بررسی آن‌ها مشخص باشد.

در نرم‌افزار مرکز تماس، امنیت فقط به اطلاعات ذخیره‌شده محدود نمی‌شود. ارتباطات صوتی و سیگنالینگ تلفنی نیز باید در برابر شنود، دست‌کاری و دسترسی غیرمجاز محافظت شوند.

در زیرساخت‌های مبتنی بر VoIP، معمولاً دو بخش ارتباطی اهمیت دارند:

برای حفاظت از این دو بخش، فناوری‌ها و تنظیمات امنیتی متفاوتی مورد استفاده قرار می‌گیرند.

TLS برای SIP: در صورت پشتیبانی تجهیزات و معماری ارتباطی، می‌توان از TLS برای محافظت از ارتباطات سیگنالینگ SIP استفاده کرد.

SRTP برای رسانه صوتی: پروتکل Secure Real-time Transport Protocol برای محافظت از جریان رسانه صوتی در برابر شنود و دست‌کاری طراحی شده است.

کنترل دسترسی شبکه: دسترسی به سرورهای تلفنی، پنل‌های مدیریتی و سرویس‌های ارتباطی باید به مبدأهای مجاز محدود شود.

فایروال و تفکیک شبکه: بهتر است زیرساخت تلفنی و سرویس‌های مدیریتی بر اساس معماری شبکه و سطح ریسک از بخش‌های غیرضروری جدا شوند.

محدودیت تماس‌های خروجی: برای کاهش ریسک سوءاستفاده، می‌توان مقصدهای مجاز، محدودیت‌های تماس، سقف هزینه و سیاست‌های کنترل تماس را تعریف کرد.

مدیریت امن تجهیزات: حساب‌های پیش‌فرض باید تغییر کنند، دسترسی مدیریتی از اینترنت عمومی محدود شود و به‌روزرسانی‌های امنیتی تجهیزات پیگیری شوند.

نکته مهم: استفاده از TLS یا SRTP به‌تنهایی امنیت کامل تماس را تضمین نمی‌کند. پیکربندی صحیح، مدیریت کلیدها، سازگاری تجهیزات و حفاظت از نقاط انتهایی نیز اهمیت دارند. همچنین ممکن است بخشی از مسیر تماس، مانند ارتباط با اپراتور مخابراتی، خارج از کنترل مستقیم سازمان باشد.

حساب‌های مدیریتی معمولاً سطح دسترسی گسترده‌تری نسبت به حساب‌های عادی دارند. در صورت سرقت یا سوءاستفاده از این حساب‌ها، مهاجم ممکن است بتواند اطلاعات کاربران را مشاهده کند، تنظیمات را تغییر دهد یا به فایل‌های ضبط‌شده دسترسی پیدا کند.

به همین دلیل، حفاظت از حساب‌های مدیران باید با حساسیت بیشتری انجام شود.

احراز هویت چندعاملی (MFA): علاوه بر رمز عبور، یک عامل تأیید هویت دیگر نیز برای ورود به حساب‌های حساس در نظر گرفته شود.

رمز عبور قوی: استفاده از رمزهای منحصربه‌فرد و جلوگیری از استفاده مجدد از رمزهای عبور ضروری است.

محدودسازی ورود: دسترسی مدیریتی می‌تواند به شبکه‌ها، دستگاه‌ها یا مسیرهای مشخص محدود شود.

ثبت فعالیت‌های مدیریتی: تغییر تنظیمات، ایجاد کاربران، تغییر سطح دسترسی و عملیات حساس باید ثبت شوند.

مدیریت نشست‌ها: امکان پایان دادن به نشست‌های فعال، محدود کردن مدت اعتبار نشست و لغو دسترسی‌های مشکوک اهمیت دارد.

حساب‌های اختصاصی: بهتر است هر مدیر حساب شخصی خود را داشته باشد و از حساب‌های مشترک مدیریتی استفاده نشود.

اگر چند نفر از یک حساب مشترک استفاده کنند، تشخیص مسئول هر عملیات دشوار می‌شود. در این شرایط، حتی اگر سامانه رویدادها را ثبت کند، ممکن است نتوان فعالیت را به یک شخص مشخص نسبت داد.

بنابراین، استفاده از حساب‌های مستقل و ثبت دقیق هویت انجام‌دهنده عملیات، به پاسخ‌گویی و بررسی رخدادهای امنیتی کمک می‌کند.

امنیت اطلاعات فقط به جلوگیری از دسترسی غیرمجاز محدود نمی‌شود. مشخص بودن چرخه عمر داده‌ها نیز اهمیت زیادی دارد.

سازمان باید بداند چه اطلاعاتی جمع‌آوری می‌شوند، چرا نگهداری می‌شوند، چه کسانی به آن‌ها دسترسی دارند و چه زمانی باید حذف شوند.

طبقه‌بندی اطلاعات: اطلاعات مشتری، فایل صوتی، گزارش عملیاتی و داده‌های احراز هویت باید بر اساس حساسیت طبقه‌بندی شوند.

تعیین هدف نگهداری: برای هر نوع داده باید هدف مشخصی وجود داشته باشد.

تعیین دوره نگهداری: مدت نگهداری هر دسته از اطلاعات باید با توجه به نیاز سازمان و الزامات قانونی مشخص شود.

حذف امن: حذف اطلاعات باید به شکلی انجام شود که امکان بازیابی غیرمجاز آن‌ها از محل ذخیره‌سازی وجود نداشته باشد؛ روش مناسب به نوع رسانه و فناوری ذخیره‌سازی بستگی دارد.

مدیریت نسخه‌های پشتیبان: اطلاعات حذف‌شده ممکن است همچنان در نسخه‌های پشتیبان باقی مانده باشند. بنابراین، سیاست حذف باید چرخه نگهداری نسخه‌های پشتیبان را نیز در نظر بگیرد.

مدیریت درخواست‌های مشتریان: در صورت وجود حق یا الزام قانونی برای دسترسی، اصلاح یا حذف اطلاعات، فرآیند رسیدگی به این درخواست‌ها باید مشخص باشد.

از دست رفتن اطلاعات مرکز تماس می‌تواند باعث اختلال در پاسخ‌گویی، از بین رفتن سوابق مشتریان و ایجاد مشکل در فرآیندهای فروش و پشتیبانی شود.

پشتیبان‌گیری منظم یکی از کنترل‌های مهم برای کاهش این ریسک است؛ اما صرف داشتن نسخه پشتیبان کافی نیست. باید امکان بازیابی آن نیز به‌صورت عملی بررسی شود.

دو شاخص مهم در برنامه بازیابی عبارت‌اند از:

RPO (Recovery Point Objective): حداکثر میزان قابل قبول از دست رفتن داده بر حسب زمان. برای مثال، RPO چهار ساعت یعنی سازمان باید بتواند میزان از دست رفتن داده را به حدود چهار ساعت محدود کند.

RTO (Recovery Time Objective): حداکثر زمان هدف برای بازگرداندن سرویس پس از اختلال. برای مثال، RTO شش ساعت یعنی هدف سازمان بازیابی سرویس در مدت شش ساعت است.

این اعداد باید بر اساس اهمیت سامانه و نیاز عملیاتی سازمان تعیین شوند و صرفاً به‌عنوان نمونه‌های آموزشی در نظر گرفته شوند.

نرم‌افزار مرکز تماس ممکن است با CRM، نرم‌افزار حسابداری، سامانه پیامکی، فروشگاه اینترنتی یا سایر ابزارهای سازمان ارتباط داشته باشد.

هر اتصال جدید می‌تواند یک مسیر اضافی برای تبادل داده ایجاد کند. بنابراین، امنیت APIها و یکپارچه‌سازی‌ها باید به‌اندازه امنیت خود نرم‌افزار بررسی شود.

برای مثال، اگر یک سامانه پیامکی فقط باید شماره تماس و متن پیام را دریافت کند، نباید به اطلاعات کامل مشتریان یا فایل‌های ضبط‌شده مکالمات دسترسی داشته باشد.

اصل حداقل دسترسی در یکپارچه‌سازی‌ها نیز باید رعایت شود.

در ارزیابی امنیت یک نرم‌افزار، بهتر است میان سه مفهوم تفاوت قائل شویم:

برای مثال، ممکن است یک نرم‌افزار از کنترل‌های دسترسی، رمزنگاری و ثبت رویداد پشتیبانی کند؛ اما این موضوع به‌تنهایی به معنای دریافت گواهینامه ISO/IEC 27001 توسط شرکت سازنده نیست.

این استانداردها کاربرد یکسانی ندارند. برخی به مدیریت امنیت اطلاعات در سطح سازمان مربوط می‌شوند، برخی برای طراحی و ارزیابی نرم‌افزار کاربرد دارند و برخی نیز به امنیت ارتباطات تلفنی می‌پردازند.

بنابراین، انتخاب یک گواهینامه یا استاندارد به‌عنوان معیار قطعی امنیت تمام اجزای مرکز تماس صحیح نیست. باید مشخص شود هر مرجع دقیقاً کدام بخش از سامانه یا فعالیت ارائه‌دهنده را پوشش می‌دهد.

یکی از نکات مهم هنگام خرید نرم‌افزار مرکز تماس، بررسی ادعاهای امنیتی فروشندگان است.

ممکن است یک شرکت اعلام کند که از رمزنگاری، احراز هویت چندعاملی، ثبت رویداد و کنترل دسترسی استفاده می‌کند. این موارد می‌توانند قابلیت‌ها و کنترل‌های امنیتی واقعی باشند؛ اما به‌تنهایی نشان‌دهنده دریافت گواهینامه رسمی نیستند.

برای مثال:

برای بررسی اعتبار ادعا، موارد زیر را درخواست کنید:

به‌خصوص در مورد ISO/IEC 27001، باید بررسی کنید که دامنه گواهینامه با فعالیت مورد نظر شما ارتباط داشته باشد. برای مثال، گواهینامه‌ای که فقط یک واحد یا محل سازمانی را پوشش می‌دهد، الزاماً تمام خدمات و زیرساخت‌های آن شرکت را شامل نمی‌شود.

همچنین اگر فروشنده اعلام می‌کند زیرساخت ابری یا مرکز داده مورد استفاده دارای گواهینامه است، باید مدرک مربوط به همان ارائه‌دهنده زیرساخت و محدوده خدمات آن را بررسی کنید.

برای مقایسه چند راهکار، می‌توانید چک‌لیست زیر را در جلسات فنی و تجاری تکمیل کنید.

برای اینکه ارزیابی صرفاً به پاسخ‌های شفاهی فروشنده وابسته نباشد، می‌توانید برای هر مورد از صفر تا سه امتیاز در نظر بگیرید:

در کنار امتیاز، بهتر است وضعیت هر کنترل را نیز با یکی از عبارت‌های «تأییدشده»، «نیازمند بررسی» یا «فاقد شواهد» ثبت کنید.

توجه داشته باشید که امتیاز بالاتر لزوماً به معنای امنیت قطعی نیست. این روش صرفاً ابزاری برای مقایسه منظم‌تر راهکارها و شناسایی نقاط ضعف است.

امنیت اطلاعات در نرم‌افزار مرکز تماس مجموعه‌ای از کنترل‌های فنی، مدیریتی و عملیاتی است. کنترل سطح دسترسی کاربران، حفاظت از فایل‌های ضبط مکالمات، ثبت رویدادهای حساس، امنیت ارتباطات صوتی، مدیریت حساب‌های مدیریتی، سیاست نگهداری داده و پشتیبان‌گیری، از مهم‌ترین بخش‌هایی هستند که باید بررسی شوند.

در کنار این کنترل‌ها، آشنایی با استانداردهایی مانند ISO/IEC 27001، ISO/IEC 27002، NIST Cybersecurity Framework و OWASP به مدیران کمک می‌کند ارزیابی دقیق‌تری از راهکارهای موجود داشته باشند.

هنگام انتخاب نرم‌افزار، صرفاً به ادعاهای فروشنده درباره امنیت یا گواهینامه‌ها اکتفا نکنید. مدارک را بررسی کنید، دامنه اعتبار گواهینامه‌ها را بسنجید و کنترل‌های مهم را در دمو یا ارزیابی فنی آزمایش کنید.

در نهایت، یک انتخاب مناسب زمانی شکل می‌گیرد که سازمان بداند چه اطلاعاتی را در اختیار سامانه قرار می‌دهد، چه کسانی به آن دسترسی دارند، اطلاعات چگونه محافظت می‌شوند و در صورت بروز حادثه چه فرآیندی برای پاسخ‌گویی و بازیابی وجود دارد.