CTI论坛(ctiforum.com) （编译/老秦）： 每天，联络中心都会生成、管理和存储大量敏感的个人数据，例如支付卡详细信息、社会保险号码、联系方式等等。然而，这些数据具有巨大的财务价值，因为它可以被网络犯罪分子买卖，使联络中心成为内部和外部数据安全威胁的持续目标。
根据 IBM 最近的一份报告，在所研究的 550 个组织中，有 83% 的组织在其一生中发生了不止一次违规行为。毫不奇怪，全球数据泄露造成的平均成本在 2022 年攀升至 435 万美元的历史新高，而 2021 年为 424 万美元。
在极端情况下，通话录音可能会被窃取然后被员工出售，或者黑客可能会监听实时对话并等待客户提供他们的信用卡信息。这并不像你想象的那么不可能。根据 TRUSTID 的一项调查，在金融服务行业工作的受访者中有 51% 表示呼叫中心是账户接管攻击的主要渠道。
不幸的是，随着威胁形势的不断发展，可能很难保持领先地位并在潜在风险出现之前识别它们。这就是为什么我们将您的联络中心可能面临安全漏洞风险的 10 个迹象汇总在一起的原因。让我们仔细看看。
1、您没有对登录凭据使用 双重/多重身份验证
在当今世界，为所有在线帐户使用一个用户名和密码已不足以保护您的数据。黑客变得越来越老练，如果他们掌握了您的登录凭据，他们就可以访问敏感的客户信息。
保护您的联络中心免受黑客攻击的最佳方法之一是使用双重身份验证，因为它为您的联络中心增加了一层额外的安全性，并且可以在很大程度上保护您的系统免受攻击。
有了双因素身份验证，黑客将需要的不仅仅是用户名和密码来访问您的系统。它需要两种形式的身份验证才能访问您的联络中心应用程序：登录凭据和通过短信 (SMS) 发送到已注册电话号码、电子邮件或身份验证应用程序（例如Authy）的一次性密码。
2、您没有加密通话录音文件
不幸的是，许多联络中心仍然使用过时的方法，例如将录音存储在未加密的硬盘驱动器或未加密的云中。虽然企业表示加密客户数据是首要任务，但在 Entrust 的全球加密趋势报告中，只有 42% 的受访者在 2021 年这样做了！
考虑到每天有 700 万条未加密的数据记录被泄露，这令人难以置信。根据Ponemon Institute 的说法，如果您仍然不相信加密至关重要，那么了解您的组织可以通过使用强大的加密和执行网络安全策略为每次攻击节省 140 万美元会有所帮助。
有许多不同类型的加密算法可用，因此必须选择一种适合您存储的数据类型的算法。您还应该考虑实施静态和传输中的加密，以及用于客户通信的端到端加密。
保护客户数据的最佳方式是使用 256 位高级加密标准 (AES) 或更高版本加密记录。这将使黑客更难访问录音，即使他们掌握了文件。
3、您的座席在便利贴或类似物品上写下信用卡号
任何处理支付卡信息（例如信用卡号）的联络中心都必须符合 PCI DSS。支付卡行业数据安全标准 (PCI DSS) 是主要信用卡公司为帮助保护客户数据而制定的一套安全标准。联络中心必须满足 12 项要求才能符合 PCI DSS。其中包括加密所有敏感数据、确保所有系统安全以及维护安全网络。
不合规可以有多种形式。一个例子是在便利贴上写下信用卡号码（很常见！）。与其依赖手动流程（例如信任座席在客户提供支付卡详细信息时暂停记录），不如依赖基于规则或人工智能驱动的自动编辑。
您的联络中心必须符合 PCI DSS 的原因是它有助于保护您的客户数据。如果您的联络中心发生数据泄露并且客户数据受到损害，则可能会对您的业务造成破坏性影响。您不仅要对任何损害负责，而且还可能会失去客户的信任。
4、您没有监控（远程）联络中心员工活动
为了防止数据泄露，监控员工活动非常重要，因为大部分数据泄露都有内部来源。不幸的是，许多联络中心没有适当的监控，使他们容易受到恶意或疏忽员工的攻击。
有许多不同的方法来监控员工的活动。过去，最有效的方法之一是视频监控，但随着虚拟或混合联络中心的兴起，这是不可行的--谁喜欢在工作中被视频监控？
一种不那么侵入性且高效的方法是结合实时监控（主管强插正在进行的呼叫）、屏幕捕获（允许您以高质量记录多个屏幕）和 AI 驱动的座席评估。
5、您的通话录音文件没有加“水印”
为您的通话录音文件加水印是确保它们不会被篡改的最佳方法之一，并且在发生争议时将被接受为证据。水印是嵌入在文件中的小而透明的图像。水印看不到也听不到，但可以用来识别文件的来源。
例如，MiaRec提供了一个强大的工具，用于对音频文件进行防篡改水印，以确保数据完整性。这可以通过在许多数字数据传输中使用"校验和"方法来保证。"校验和"是一种数学函数，可为每个文件生成唯一值。即使文件中的一个字节被更改，校验和也会不同，这可用于检测对文件所做的任何更改。
6、您没有监控活动日志
监控活动日志是识别潜在安全风险的关键步骤。日志文件可以帮助您查看员工在他们的计算机上正在做什么以及他们何时执行这些操作。此信息可用于识别任何潜在的安全问题。
通过跟踪谁在访问什么数据以及何时访问，您可以快速识别可能表明企图破坏的异常或可疑活动。活动日志应包括每一项活动，包括管理活动。
您应该监控许多不同的日志类型，包括应用程序日志、系统日志和数据库日志。根据您的联络中心基础设施，您可能还需要监控 Web 服务器日志和防火墙日志。请务必注意，活动记录与通话记录不同。通话录音会捕获通话的音频，而活动记录会跟踪系统上发生的事情。
7、你没有进行定期的安全审计
定期安全审计对于识别潜在的安全风险和确保您的联络中心符合行业法规至关重要。在安全审计期间，外部方将检查您的联络中心基础设施和程序，以确定任何弱点。他们还将评估您对行业法规的遵守情况。
安全审计应定期进行--至少每年一次。如果您经历过数据泄露或正在引入新技术，您可能需要更频繁地进行审计。安全审核完成后，您将获得一份报告，其中详细说明了已识别的任何风险以及需要采取哪些措施来减轻这些风险。
8、您不限制员工访问敏感数据
基于角色的访问权限是任何安全策略的重要组成部分。它们确保只有授权用户才能访问敏感数据和系统。使用基于角色的访问权限，您可以控制用户在您的联络中心内可以查看和执行的操作。这可以防止对敏感数据的未经授权的访问，并有助于确保符合行业法规。
基于角色的访问权限还可以更轻松地管理用户权限。无需为每个单独的用户分配权限，您只需将角色分配给一组用户即可。这可以节省时间并更容易跟踪谁可以访问什么。
最后，基于角色的访问权限通过使黑客更难访问您的系统来帮助提高安全性。通过使用基于角色的访问权限，您可以使黑客更难猜测密码和访问敏感数据。这是因为每个用户只能访问其工作所需的数据和系统。
9、您没有书面的安全和监管合规政策
有据可查的安全性和法规遵从性政策对于任何组织来说都是必不可少的，无论其规模大小。它应概述为确保数据（尤其是敏感的客户数据）安全而必须遵循的程序，并详细说明不遵守该政策的后果。
所有员工都应了解安全政策并被要求签署。书面政策应定期审查并在必要时更新。保持最新的安全策略以反映最新的风险和威胁至关重要。
专业提示：您可以使用 AI 驱动的关键字提取，通过查找政策文档中概述的特定触发词来确保您的座席遵守您的政策。
10、您的员工没有接受网络安全培训
黑客访问联络中心系统的最常见方式之一是通过员工错误。例如，员工可能会不小心点击网络钓鱼电子邮件或下载恶意附件。
这就是为什么对您的联络中心座席进行安全风险培训以及如何避免这些风险至关重要的原因。除了一般的安全意识培训外，您还应该提供有关员工使用的系统和应用程序的特定培训。
网络安全培训应涵盖各种主题，包括社会工程、网络钓鱼、密码管理和数据保护。对员工进行与联络中心相关的特定风险的教育也很重要。例如，座席可能成为攻击者的目标，这些攻击者试图通过借口或其他社会工程技术获取敏感的客户数据。
专业提示：应定期进行培训，至少每年一次。还应让员工了解不遵守前面提到的安全政策的后果。有关如何使用语音分析更好、更有效地培训员工的具体提示，请查看本文。
结论
联络中心是任何业务的关键部分，负责处理客户交互和敏感数据。但是，由于他们的工作，他们也面临着安全漏洞和数据泄露的高风险。了解您的联络中心可能存在风险的迹象非常重要，这样您就可以采取措施避免安全漏洞。
您的联络中心面临风险的一些迹象包括缺乏安全协议、密码管理不善、身份验证方法薄弱、缺乏基于角色的访问权限以及缺乏员工网络安全培训。通过采取措施解决这些风险，您可以帮助保护您的联络中心免受安全漏洞的影响。
声明：版权所有 非合作媒体谢绝转载
作者；Anthony Perez
原文网址：https://blog.miarec.com/10-signs-that-your-contact-center-is-at-risk-for-a-security-breach
