翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Connect Customer で安全なコンタクトセンターを開発するための設計原則

セキュリティの中には、リスクの評価と軽減戦略を通じて、ビジネス価値を生み出しながら情報、システム、アセットを保護する能力も含まれます。このセクションでは、Connect Customer ワークロードのセキュリティに関する設計原則、ベストプラクティス、質問の概要を説明します。

カスタマーセキュリティジャーニーを接続する

ワークロードを Connect Customer に移行することを決定したら、 Connect カスタマーのセキュリティ と を確認するだけでなくConnect Customer のセキュリティのベストプラクティス、以下のガイドラインと手順に従って、以下の主要なセキュリティ領域に関連するセキュリティ要件を理解し、実装します。

AWS セキュリティモデルについて

コンピュータシステムとデータをクラウドに移動すると、セキュリティ上の責任はお客様と の間で共有されます AWS。 AWS は、クラウドをサポートする基盤となるインフラストラクチャを保護する責任があり、クラウドに配置するものやクラウドに接続するものはすべてお客様の責任となります。

使用する AWS サービスによって、セキュリティ責任の一環として実行する設定作業の量が決まります。Connect Customer を使用すると、次の図に示すように、共有モデルには AWS とお客様の責任の概要が反映されます。

コンプライアンスの基礎

サードパーティーの監査者は、複数のコンプライアンスプログラムの一環として Connect Customer のセキュリティと AWS コンプライアンスを評価します。これらのプログラムには、SOC、PCI、HIPAA、C5 (フランクフルト)、HITRUST CSF などがあります。

特定のコンプライアンスプログラムの対象となる AWS サービスのリストについては、AWS 「コンプライアンスプログラムによる対象範囲内のサービス」を参照してください。一般的な情報については、「AWS コンプライアンスプログラム」を参照してください。

リージョンの選択

Connect Customer インスタンスをホストするリージョンの選択は、データ主権の制限と、問い合わせとエージェントの拠点によって異なります。その決定が下されたら、Connect Customer のネットワーク要件と、許可する必要があるポートとプロトコルを確認します。さらに、ブラスト半径を減らすには、Connect Customer インスタンスのドメイン許可リストまたは許可された IP アドレス範囲を使用します。

詳細については、「Connect Customer Contact Control Panel (CCP) を使用するようにネットワークを設定する」を参照してください。

AWS サービス統合

組織のセキュリティ要件に照らして、ソリューション内の各 AWS サービスを確認することをお勧めします。以下のリソースを参照してください。

Connect カスタマーのデータセキュリティ

セキュリティジャーニー中に、セキュリティチームは Connect Customer でのデータの処理方法をより深く理解する必要がある場合があります。以下のリソースを参照してください。

ワークロード図

ワークロード図を確認し、 AWSで最適なソリューションを設計します。これには、ソリューションに含める追加 AWS サービス、および統合する必要があるサードパーティーおよびオンプレミスアプリケーションの分析と決定が含まれます。

AWS Identity and Access Management (IAM)

Connect Customer Personas のタイプ

Connect Customer ペルソナには、実行されているアクティビティに基づいて 4 つのタイプがあります。

IAM 管理者のベストプラクティス

IAM の管理アクセス許可は、組織内の承認された担当者に限定して付与する必要があります。IAM 管理者は、Connect Customer で使用できる IAM 機能も理解する必要があります。詳細については、IAM ユーザーガイドの「IAM でのセキュリティのベストプラクティス」を参照してください。また、「Connect Customer アイデンティティベースのポリシーの例」も参照してください。

Connect Customer Service Administrator のベストプラクティス

サービス管理者は、Connect Customer にユーザーを追加して認証情報を付与し、ジョブの実行に必要な機能にアクセスできるように適切なアクセス許可を割り当てるなど、Connect Customer ユーザーを管理する責任があります。管理者は、最小限のアクセス許可の付与から開始し、その後で、必要に応じて追加のアクセス許可を付与していきます。

Connect Customer and Contact Control Panel (CCP) アクセスのセキュリティプロファイル Connect Customer ダッシュボードと問い合わせコントロールパネルにアクセスできるユーザーと、特定のタスクを実行できるユーザーを管理するのに役立ちます。ネイティブに使用可能な、デフォルトのセキュリティ・プロファイル内で付与された詳細なアクセス許可を確認します。カスタムのセキュリティプロファイルでは、特定の要件を満たすような設定が可能です。例えば、通話は受けられると同時に、レポートにもアクセスできるパワーエージェントなどを設定します。これが確定した後に、ユーザーは適切なセキュリティプロファイルに割り当てられます。

Multi-Factor Authentication

セキュリティを高めるために、アカウントのすべての IAM ユーザーに対して、多要素認証 (MFA) を要求することをお勧めします。MFA は、IAM AWS または SAML 2.0 ID プロバイダー、またはユースケースにより適している場合は Radius サーバーを介して設定できます。MFA を設定すると、3 番目のテキストボックスが Connect Customer ログインページに表示され、2 番目の要素が提供されます。

認証フェデレーション

Connect Customer にユーザーを保存するだけでなく、ID フェデレーションを使用して、シングルサインオン (SSO) を有効にして Customer に接続することもできます。フェデレーションは、従業員ライフサイクルイベントがソース ID プロバイダーで作成されたときに Connect Customer に反映されるようにするための推奨プラクティスです。

統合されたアプリケーションへのアクセス

フロー内の各ステップでは、外部アプリケーションやシステムの情報にアクセスするために、認証情報が必要になる場合があります。安全な方法で他の AWS サービスにアクセスするための認証情報を提供するには、IAM ロールを使用します。IAM ロールは独自のアクセス許可を持ったエンティティではありますが、ユーザーまたはグループではありません。また、ロールには独自の恒久的な認証情報は設定されておらず、自動的なローテーションが実行されます。

API キーなどの認証情報は、フロー用アプリケーションコードの外部に格納する必要があります。この認証情報は、プログラムで取得できます。これを実現するには、 AWS Secrets Manager または既存のサードパーティーソリューションを使用できます。Secrets Manager を使用すると、コード内のハードコードされた認証情報 (パスワードを含む) を、Secrets Manager への API コールで置き換えて、プログラムでシークレットを取得できるようになります。

Detective の制御

ログ記録とモニタリングは、コンタクトセンターの可用性、信頼性、そしてパフォーマンスにとって重要な要素です。Connect Customer Flows から Amazon CloudWatch に関連情報を記録し、それに基づいてアラートと通知を構築する必要があります。

ログの保存要件とライフサイクルポリシーを早期に定義し、可能になったらすぐに、ログファイルをコスト効率に優れたストレージのロケーションに移動するよう計画します。カスタマーパブリック APIsログを に接続します AWS CloudTrail。CloudTrail ログに基づいてセットアップされたアクションを確認し、自動化する必要があります。

Amazon S3 は、ログデータの長期保存とアーカイブに最適な選択肢です。特に、ログデータをネイティブ形式で監査可能にするコンプライアンスプログラムがある組織に適しています。ログデータが S3 バケットに保存されたら、ライフサイクルルールを定義して保持ポリシーを自動的に適用します。さらに、これらのオブジェクトを Amazon S3 Standard - 低頻度アクセス (標準-IA) や Amazon Glacier など、費用対効果の高い他のストレージクラスに移動します。

AWS クラウドは柔軟なインフラストラクチャとツールを提供し、 製品とセルフマネージド型の集中ロギングソリューションとの協力で高度な の両方をサポートします。これのソリューションには、Amazon OpenSearch Service や Amazon CloudWatch Logs などが含まれます。

顧客要件に従って Connect Customer Flows をカスタマイズすることで、着信問い合わせの不正検出と防止を実装できます。例えば、DynamoDB 内で過去の問い合わせアクティビティとの照合を行い、着信問い合わせをチェックし、それがブロックされている場合に問い合わせを切断するなどのアクションを実行できます。

インフラストラクチャの保護

Connect Customer で管理するインフラストラクチャはありませんが、Connect Customer インスタンスがオンプレミスにあるインフラストラクチャにデプロイされた他のコンポーネントやアプリケーションとやり取りする必要があるシナリオがある場合があります。したがって、この前提の下でネットワーク境界を考慮することが重要です。特定の Connect Customer インフラストラクチャのセキュリティ上の考慮事項を確認して実装します。また、セキュリティに関する考慮事項については、コンタクトセンターのエージェントおよびスーパーバイザ用のデスクトップ、または VDI ソリューションも確認します。

アカウントの Virtual Private Cloud (VPC) で、プライベートサブネットに接続するように Lambda 関数を設定します。Amazon Virtual Private Cloud を使用して、データベース、キャッシュインスタンス、または内部サービスなどのリソース用に、プライベートネットワークを作成します。関数を VPC に接続して、実行中にプライベートリソースにアクセスします。

データ保護

顧客は、コンタクトセンターソリューションを通過しこのソリューションとやり取りするデータを、分析する必要があります。

データの範囲を分析した後は、データの分類を、注意深く機密データを識別しながら実行する必要があります。Connect Customer は 責任 AWS 共有モデルに準拠しています。 Connect Customer でのデータ保護には、MFA と TLS の使用、Amazon Macie を含む他の AWS サービスの使用などのベストプラクティスが含まれています。

Connect Customer は、コンタクトセンターに関連するさまざまなデータを処理します。これらのデータには、通話メディア、通話録音、チャットのトランスクリプト、問い合わせのメタデータに加え、フロー、ルーティングプロファイル、およびキューが含まれます。Connect Customer は、アカウント ID とインスタンス ID でデータを分離することで、保管中のデータを処理します。Connect Customer と交換されたすべてのデータは、オープンスタンダードの TLS 暗号化を使用して、ユーザーのウェブブラウザと Connect Customer の間で転送中に保護されます。

Bring Your Own AWS KMS Key (BYOK) など、暗号化に使用するキーを指定できます。さらに、Amazon S3 内でキー管理オプションを使用することもできます。

クライアント側の暗号化を使用したデータの保護

ユースケースによっては、フローによって収集された機密データの暗号化が求められることがあります。例えば、IVR とやり取りする顧客のエクスペリエンスをカスタマイズするために、適切な個人情報を収集するケースが当てはまります。これを行うには、AWS Encryption SDK を通じて、パブリックキー暗号を使用する暗号方式を使用できます。 AWS Encryption SDK は、オープンスタンダードとベストプラクティスを使用して、すべてのユーザーが効率的にデータを暗号化および復号化できるように設計されたクライアント側の暗号化ライブラリです。

入力の検証

入力の検証を実行して、正しく形成されたデータのみがフローに入力されていることを確認します。これは、フローの可能な限り早い段階で、実行される必要があります。例えば、顧客に電話番号を伝えてもらったり、入力を促したりする場合、この番号には国コードが含まれる場合と含まれない場合があり得ます。

お客様のセキュリティベクトルを接続する

Connect 次の図に示すように、お客様のセキュリティを 3 つの論理レイヤーに分割できます。

リソース

ドキュメント

記事

動画