Dobre hasło i charyzmatyczny prowadzący nie wystarczą, gdy podczas webinaru omawiane są wyniki finansowe, plany produktowe albo szczegóły współpracy z klientem. W takiej sytuacji liczy się nie tylko jakość transmisji. Równie ważne jest to, kto może wejść do wirtualnego pokoju, którędy płyną dane i co dzieje się z nagraniem po zakończeniu spotkania.
Bezpieczeństwo platformy webinarowej trudno jednak ocenić po jednym znaczku umieszczonym w stopce strony. Szyfrowanie, certyfikat ISO/IEC 27001, kontrola dostępu i zgodność z RODO dotyczą różnych warstw ochrony. Dopiero ich połączenie tworzy środowisko, któremu można powierzyć komunikację dużej organizacji.
Czym właściwie jest szyfrowanie
W czasie webinaru przez sieć przesyłany jest nie tylko obraz i dźwięk. Platforma obsługuje również dane rejestracyjne, wiadomości na czacie, odpowiedzi na pytania, wyniki ankiet, udostępniane pliki oraz informacje o aktywności uczestników. Po transmisji dochodzą kolejne elementy: nagranie, transkrypcja, lista obecności i raport analityczny. Bezpieczna platforma do webinarów powinna chronić dane zarówno podczas przesyłania, jak i po zapisaniu ich na serwerach. W pierwszym przypadku mówimy o szyfrowaniu danych „w tranzycie”, w drugim — o szyfrowaniu „w spoczynku”. To ważne rozróżnienie, ponieważ bezpieczne połączenie z serwerem nie daje automatycznie odpowiedzi na pytanie, jak zabezpieczono archiwalne nagrania.
Do ochrony transmisji między przeglądarką a serwerem wykorzystuje się przede wszystkim protokół TLS. NIST wskazuje TLS 1.2 jako minimalny właściwy poziom bezpiecznego transportu przy odpowiedniej konfiguracji, a TLS 1.3 jako jego nowszą, udoskonaloną wersję. TLS 1.3 usuwa część przestarzałych mechanizmów i wykorzystuje algorytmy zapewniające jednocześnie poufność oraz integralność danych.
Obraz i dźwięk pod ochroną
Wiele współczesnych platform działa w przeglądarce z wykorzystaniem WebRTC. W tym modelu komunikaty sygnalizacyjne mogą być przesyłane przez bezpieczne połączenie WSS, dane chroni DTLS, a strumienie audio i wideo — SRTP. Mechanizmy te mają zapobiegać przechwyceniu lub podmianie treści w czasie transmisji. Nie oznacza to jednak, że każde połączenie WebRTC zapewnia pełne szyfrowanie end-to-end. Standardowe szyfrowanie transportowe zabezpiecza odcinek pomiędzy urządzeniem uczestnika a infrastrukturą usługodawcy. Serwer platformy może wtedy przetwarzać transmisję, co pozwala realizować nagrywanie w chmurze, automatyczną transkrypcję, napisy na żywo czy transmisję do dodatkowych kanałów.
W modelu E2EE klucze pozwalające odszyfrować treść mają wyłącznie urządzenia uczestników. Dostawca przekazuje zaszyfrowany strumień, lecz nie powinien mieć dostępu do jego zawartości. Taki wariant podnosi poufność spotkania, ale może wyłączyć nagrywanie w chmurze, połączenia telefoniczne, transkrypcję i część funkcji angażujących odbiorców.
Wybór nie sprowadza się więc do zasady „E2EE albo brak bezpieczeństwa”. Wewnętrzna narada zarządu może wymagać maksymalnej poufności kosztem dodatkowych funkcji. Podczas otwartego webinaru sprzedażowego ważniejsze mogą być nagranie, napisy, ankiety i integracja z CRM-em. Kluczowe jest to, aby firma znała rzeczywisty model szyfrowania, a nie opierała decyzji na ogólnym haśle „encrypted”.
Co daje ISO 27001
Fraza platforma webinarowa z ISO 27001 brzmi jak obietnica technologii odpornej na każdy atak. Certyfikat ma jednak inne znaczenie. ISO/IEC 27001:2022 określa wymagania dla systemu zarządzania bezpieczeństwem informacji, czyli ISMS. Obejmuje sposób identyfikowania ryzyka, wdrażania zabezpieczeń, kontrolowania procesów oraz ciągłego doskonalenia ochrony informacji.
Certyfikacja nie potwierdza zatem, że w oprogramowaniu nigdy nie pojawi się podatność. Pokazuje natomiast, że organizacja zarządza bezpieczeństwem według uporządkowanego i audytowanego modelu. W praktyce może to obejmować nadawanie uprawnień pracownikom, reagowanie na incydenty, wykonywanie kopii zapasowych, szkolenia, zarządzanie dostawcami oraz regularne przeglądy ryzyka. Przed podpisaniem umowy warto sprawdzić zakres certyfikatu. Zdarza się, że normą objęte jest centrum danych lub dostawca infrastruktury, ale nie cały podmiot rozwijający aplikację. Dlatego sama informacja o korzystaniu z certyfikowanego hostingu nie musi oznaczać, że procesy producenta platformy zostały poddane takiemu samemu audytowi.
Trzeba też zweryfikować wersję normy i aktualność dokumentu. Obowiązującym wydaniem jest ISO/IEC 27001:2022, podczas gdy edycja z 2013 roku została wycofana. Rzetelny dostawca powinien wskazać jednostkę certyfikującą, termin ważności oraz zakres certyfikacji, a przy większym wdrożeniu udostępnić dokument do wglądu zespołowi IT lub security.
Logowanie też jest zabezpieczeniem Nawet najmocniejsze szyfrowanie niewiele pomoże, jeśli link do zamkniętego wydarzenia trafi do niepowołanej osoby. Dlatego dobre narzędzie online dla dużych firm powinno chronić nie tylko transmisję, lecz również dostęp do panelu administratora i samego webinaru.
W środowisku enterprise znaczenie mają SSO, uwierzytelnianie wieloskładnikowe, role użytkowników i centralne zarządzanie kontami. SSO oparte na SAML lub OpenID Connect pozwala powiązać platformę z firmowym dostawcą tożsamości. Organizacja może wtedy stosować własne zasady logowania, wymuszać MFA, odbierać dostęp po zakończeniu współpracy i analizować zdarzenia w jednym systemie. Centralizacja ogranicza również problem kont założonych na prywatne adresy e-mail. Istotne są także precyzyjne role. Administrator, organizator, prezenter i moderator nie powinni mieć identycznych uprawnień. Aplikacja webinarowa dla dużych firm powinna pozwalać ustalić, kto może rozpocząć transmisję, udostępnić ekran, pobrać listę uczestników, uruchomić nagranie albo zmienić ustawienia prywatności. Zasada najmniejszych uprawnień zmniejsza ryzyko zarówno błędu, jak i celowego nadużycia.
W przypadku wydarzeń zamkniętych przydają się indywidualne linki, hasła, poczekalnia, zatwierdzanie rejestracji oraz ograniczenie zapisów do wskazanych domen. ENISA zaleca ochronę spotkań hasłem, unikanie publicznego udostępniania linków i stosowanie silnego uwierzytelniania, w tym MFA.
RODO nie kończy się na zgodzie Platforma webinarowa przetwarza dane osobowe jeszcze przed rozpoczęciem transmisji. Formularz może zbierać imię, nazwisko, adres e-mail, stanowisko i nazwę firmy. Podczas wydarzenia system rejestruje obecność, aktywność, pytania oraz wypowiedzi uczestników. Jeżeli spotkanie jest nagrywane, zakres danych staje się jeszcze szerszy.
Artykuł 32 RODO wymaga zastosowania środków technicznych i organizacyjnych odpowiadających ryzyku. Wśród nich wymienia szyfrowanie, a także zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów przetwarzania. Samo oznaczenie formularza jako „zgodnego z RODO” nie rozwiązuje więc kwestii bezpieczeństwa. Firma powinna wiedzieć, gdzie przechowywane są dane, którzy podwykonawcy mają do nich dostęp i czy informacje trafiają poza Europejski Obszar Gospodarczy. Znaczenie ma również umowa powierzenia przetwarzania, harmonogram usuwania danych, sposób realizacji żądań uczestników oraz procedura zgłaszania incydentów. ENISA rekomenduje ponadto analizę lokalizacji danych, czasu ich przechowywania, transferów do państw trzecich i domyślnych ustawień prywatności.
Nagranie po webinarze
Transmisja się kończy, ale ryzyko pozostaje. Plik z nagraniem może zawierać wypowiedzi ekspertów, fragmenty prezentacji, dane wyświetlone podczas udostępniania ekranu albo pytania podpisane imionami uczestników. Pozostawienie takiego materiału pod publicznym linkiem przekreśla sporą część zabezpieczeń zastosowanych podczas wydarzenia.
Dostęp do nagrania powinien podlegać tym samym zasadom co dostęp do webinaru. Liczą się hasła, indywidualne uprawnienia, terminy ważności linków, możliwość wyłączenia pobierania oraz rejestr aktywności. Przy materiałach poufnych warto ustalić automatyczną retencję: plik zostaje usunięty po określonym czasie, zamiast czekać w chmurze, aż ktoś sobie o nim przypomni. CERN zaleca ograniczanie publicznego udostępniania nagrań, stosowanie chronionych linków, regularną kontrolę uprawnień i usuwanie zbędnych materiałów.
Pełna paleta zabezpieczeń
Kompletna platforma do webinarów nie opiera bezpieczeństwa na pojedynczym mechanizmie. Potrzebuje szyfrowania połączeń i zapisanych danych, świadomego zarządzania kluczami, kontroli dostępu, SSO, MFA, dzienników audytowych oraz procedur reagowania na incydenty. Do tego dochodzą kopie zapasowe, polityka retencji, przejrzysta lista podmiotów przetwarzających i możliwość ustalenia regionu przechowywania informacji.
Podczas wyboru dostawcy warto poprosić o konkrety
- aktualny certyfikat ISO/IEC 27001 wraz z zakresem,
- opis szyfrowania danych podczas transmisji i po ich zapisaniu,
- informację, czy E2EE jest dostępne i które funkcje wyłącza,
- listę centrów danych oraz podmiotów przetwarzających,
- warunki SSO, MFA i zarządzania rolami,
- zasady przechowywania oraz usuwania nagrań,
- dostępność logów audytowych,
- procedurę reagowania na incydenty i czas powiadomienia,
- umowę powierzenia przetwarzania danych,
- wyniki testów bezpieczeństwa lub raporty z niezależnych audytów.
Bezpieczeństwo webinarów nie polega na znalezieniu jednego efektownego skrótu w tabeli funkcji. Polega na sprawdzeniu, czy technologia, procedury dostawcy i sposób korzystania z platformy tworzą spójną całość. Dopiero wtedy wydarzenie może być jednocześnie wygodne, funkcjonalne i rzeczywiście chronione.
