Door de onderneming beheerde mobiele identiteit op de plaats van herkomst
Een technisch overzicht voor leidinggevenden op het gebied van telecommunicatie, beveiliging en compliance
Whitepaper gepubliceerd door CallTower, Inc.
Samenvatting
Mobiele communicatie is uitgegroeid tot een van de belangrijkste kanalen voor zakelijke activiteiten, maar de meeste zakelijke mobiele gesprekken vinden plaats buiten de communicatie-infrastructuur van de onderneming of staan daar op een andere manier los van. Het resultaat is een structurele kloof op het gebied van identiteit, beleid en compliance die downstream-platforms niet kunnen dichten. Dit document definieert mobiele identiteit voor bedrijven, benoemt de specifieke risico's die voortvloeien uit het ontbreken daarvan, vergelijkt bestaande benaderingen van het probleem en beschrijft hoe CallTower's Mobile Native Dialer dit aanpakt op netwerkniveau in plaats van op applicatieniveau. Het betoog is bewust beperkt: wat CallTower levert, is geen vervanging voor unified communications, mobiel apparaatbeheer of bredere off-channel controles, maar een mechanisme om ervoor te zorgen dat elk zakelijk gesprek dat vanaf een mobiel apparaat wordt gevoerd, vanaf het moment van totstandkoming een gesprek is op de eigen communicatie-infrastructuur van de onderneming.
1. Het probleem dat mobiele apparaten hebben veroorzaakt
Gedurende het grootste deel van de geschiedenis van de zakelijke telefonie was de identiteit van een onderneming een bijproduct van de infrastructuur. De vaste telefoon, het toegewezen doorkiesnummer, de PBX en de bekabeling in het gebouw wezen allemaal op hetzelfde: een bekende zakelijke gebruiker, op een bekende zakelijke lijn, via een verbinding die de onderneming van begin tot eind beheerste. Identiteit hoefde niet te worden bevestigd. Die was inherent aan de manier waarop het gesprek tot stand kwam.
Mobiele telefonie heeft die afstemming tenietgedaan. Een mobiele telefoon die een medewerker bij zich draagt, wordt door een mobiele netwerkprovider geleverd via een consumenten- of kleinbedrijfaccount, geauthenticeerd door een simkaart die aan die abonnee is gekoppeld, en via het kernnetwerk van de provider gerouteerd voordat deze in aanraking komt met iets dat eigendom is van de onderneming. Wanneer de medewerker een zakelijk gesprek voert, is er niets in het oorspronkelijke traject dat het ontvangende systeem – of de eigen beleids-, opname- en nalevingssystemen van de onderneming – aangeeft dat dit een zakelijke communicatie is. Het gesprek is gewoon een mobiel gesprek dat toevallig wordt gevoerd door iemand die voor het bedrijf werkt.
Dit is geen kloof die door platforms verderop in de keten kan worden gedicht. Het is een kloof die moet worden gedicht op het punt waar het gesprek begint.
2. Definitie van mobiele identiteit binnen de onderneming
Voordat we verdergaan, moet de term eerst worden gedefinieerd, aangezien deze in de sector nogal vaag wordt gebruikt.
Met 'mobiele identiteit voor bedrijven', zoals hier gebruikt, worden drie specifieke voorwaarden bedoeld die bij het tot stand brengen van een gesprek worden vastgesteld:
Ten eerste is de communicatie gekoppeld aan een zakelijk DID-nummer – een zakelijk nummer dat eigendom is van en beheerd wordt door de onderneming – in plaats van aan een persoonlijk mobiel nummer dat door een provider aan een individu is toegewezen.
Ten tweede wordt de communicatie geverifieerd via het UC-platform van de onderneming als een uitbreiding van dat platform, en niet als een extern gesprek dat toevallig door of naar een medewerker wordt gevoerd.
Ten derde loopt het signaalpad van het gesprek via door de onderneming beheerde infrastructuur voordat het het openbare netwerk bereikt, zodat beleids-, opname- en nalevingssystemen het gesprek als een interne bedrijfsgebeurtenis beschouwen in plaats van als een externe.
Een oplossing die slechts één of twee van deze elementen biedt, zorgt niet voor een mobiele identiteit op bedrijfsniveau. Het levert slechts een gedeeltelijk signaal op dat door de daaropvolgende systemen nog moet worden geïnterpreteerd.
3. Wat het kost om dit niet op te lossen
De lacune op het gebied van mobiele identiteit is geen theoretisch probleem. Deze leidt tot concrete, meetbare risico’s in vier categorieën, die allemaal terug te vinden zijn in handhavingsgegevens, uitspraken in rechtszaken of operationele statistieken die bedrijven al bijhouden.
Risico’s in verband met de wettelijke administratieplicht.
Sinds eind 2021 hebben de SEC en de CFTC gezamenlijk miljarden dollars aan boetes opgelegd aan effectenmakelaars en beleggingsadviseurs wegens het niet bewaren van zakelijke communicatie die via persoonlijke apparaten en buiten de officiële kanalen om plaatsvond. Alleen al J.P. Morgan Securities betaalde een boete van 200 miljoen dollar voor dergelijke overtredingen. Dit handhavingspatroon strekt zich uit over de meeste grote financiële instellingen, en de redenering achter de zaak is consistent: als een gereguleerde medewerker zakelijke activiteiten uitvoerde via een mobiel kanaal dat het bedrijf niet registreerde, heeft het bedrijf zijn verplichting tot het bijhouden van gegevens niet nagekomen. Een model voor mobiele communicatie waarbij zakelijke telefoongesprekken en sms-berichten routinematig buiten het UC-platform plaatsvinden, creëert niet alleen risico's — het leidt ook tot precies die bewijsleemte waarop de handhavingsmaatregelen zijn gericht. Bedrijven in de financiële dienstverlening, de gezondheidszorg en andere gereguleerde sectoren kunnen niet vertrouwen op het gezond verstand van hun werknemers om deze leemte op te vullen.
Risico’s op het gebied van procesvoering en e-discovery.
Zelfs buiten gereguleerde sectoren vormen mobiele gesprekken via privénummers een juridisch risico wanneer er een rechtszaak ontstaat. Rechtbanken eisen steeds vaker dat communicatie vanaf persoonlijke apparaten wordt overgelegd wanneer daar zakelijke activiteiten op plaatsvonden. Dit leidt tot verhoren van beheerders, het maken van kopieën van apparaten en bewaarplichten die duur, ingrijpend en moeilijk netjes uit te voeren zijn. Een gesprek dat afkomstig is van de communicatie-infrastructuur van de onderneming wordt vastgelegd, bewaard en kan worden overgelegd via dezelfde processen die de onderneming al gebruikt voor e-mail- en vaste telefoongegevens. Een gesprek dat afkomstig is van een persoonlijke lijn is dat allemaal niet.
Identiteitsfraude en social engineering.
Wanneer leidinggevenden en medewerkers zakelijke gesprekken voeren via hun persoonlijke mobiele nummers, beschikt de onderneming niet over een betrouwbare referentiepunt om identiteitsfraude op te sporen. Elke aanvaller kan een persoonlijk nummer vervalsen. Ontvangers van zakelijke telefoontjes vanaf een onbekend mobiel nummer hebben geen betrouwbare manier om dit te verifiëren. Door bij uitgaande mobiele gesprekken een consistente zakelijke identiteit te hanteren – een verifieerbaar zakelijk DID-nummer in plaats van een persoonlijk nummer – wordt de onduidelijkheid weggenomen waar social-engineering-aanvallen misbruik van maken.
Operationele blinde vlekken.
Bedrijven investeren fors in tools die ervan uitgaan dat communicatie zichtbaar is voor het UC-platform: gespreksanalyses, CRM-integratie, kwaliteitsbeheer van het personeelsbestand, nalevingscontrole en, in toenemende mate, door AI aangestuurde conversatie-intelligentie. Mobiele gesprekken die het UC-platform omzeilen, zijn voor dit alles onzichtbaar. De onderneming betaalt voor inzicht, maar krijgt dit niet voor een groeiend deel van haar communicatie, en dat aandeel groeit omdat mobiel werken toeneemt. De tools presteren niet ondermaats; ze hebben een tekort aan data.
De gemeenschappelijke structuur voor alle vier de categorieën is dezelfde: elk risico vloeit voort uit bedrijfscommunicatie die buiten de communicatie-infrastructuur van de onderneming ontstaat. Door het punt van oorsprong aan te pakken, worden alle vier de risico’s aangepakt.
4. Waarom de voor de hand liggende alternatieven tekortschieten
Er worden op grote schaal drie benaderingen voor mobiele zakelijke communicatie toegepast. Elk daarvan pakt een deel van het probleem aan, maar laat de identiteitskwestie onopgelost.
Mobiele apps van UC (Teams Mobile, Webex, Zoom Phone en soortgelijke softphone-clients).
Deze apps voeren zakelijke gesprekken via het datanetwerk met behulp van een applicatie op het apparaat. Bij gebruik zorgen ze wel voor identiteitscontrole binnen de onderneming, omdat het gesprek vanuit het UC-platform wordt geïnitieerd. De zwakte is zowel gedragsmatig als technisch: gebruikers voeren zakelijke gesprekken vaak via de standaardkiezer in plaats van de app te openen, waardoor de identiteitscontrole volledig teniet wordt gedaan; en VoIP via mobiele data is minder betrouwbaar dan standaard spraak, met name in gebieden met een zwakke datadekking, waardoor gebruikers terugkeren naar de standaardkiezer. Het identiteitsmodel is in principe degelijk, maar vertoont in de praktijk lekken.
Beheer van mobiele apparaten en containers voor werkprofielen (Intune, Android Work Profile, Samsung Knox, beheerde iOS-configuraties).
Hierdoor worden zakelijke en persoonlijke gegevens op het apparaat gescheiden, maar worden gesprekken niet via de bedrijfsinfrastructuur tot stand gebracht. Een gesprek dat vanuit het werkprofiel wordt gevoerd, verlaat het apparaat nog steeds als een gewoon mobiel gesprek via het netwerk van de provider, waarbij het persoonlijke mobiele nummer van de gebruiker wordt weergegeven, tenzij er een UC-app in het traject zit. Containerisatie lost het gegevensprobleem op, maar biedt geen oplossing voor het probleem van de spraakidentiteit.
Integreerde mobiele oplossingen die rechtstreeks door UC-leveranciers worden aangeboden.
Deze oplossingen komen dichter in de buurt van het ideale model door het mobiele abonnement te koppelen aan het UC-platform, zodat het zakelijke nummer kan overgaan via de standaard telefoonapp. Het nadeel is dat deze aanbiedingen doorgaans gebonden zijn aan specifieke overeenkomsten met providers en een beperkt geografisch bereik. Een onderneming met een omgeving met meerdere providers, internationale gebruikers of een mix van BYOD- en bedrijfsapparaten kan vaak niet standaardiseren op één enkel direct aanbod. Een uniforme oplossing vereist een provider die zich tussen het mobiele netwerk en het UC-platform bevindt en de integratie kan leveren over het volledige bereik van de onderneming.
Dat is de rol die CallTower Mobile Native Dialer vervult.
5. Wat is de CallTower Mobile Native Dialer?
CallTower is sinds 2002 actief als aanbieder van cloudcommunicatieoplossingen voor UC in het bedrijfsleven en biedt PSTN-connectiviteit en platformintegratie voor Microsoft Teams (via Operator Connect en Direct Routing), Cisco Webex Calling en Zoom Phone. CallTower Mobile Native Dialer breidt deze rol uit naar mobiele apparaten door op netwerkniveau – en niet op app-niveau – een door de onderneming beheerde verbinding tot stand te brengen tussen het mobiele apparaat en het UC-platform.
Het mobiele apparaat van de gebruiker wordt voorzien van een zakelijke eSIM die is uitgegeven door CallTower. De eSIM kan op een apparaat dat eigendom is van het bedrijf worden geïnstalleerd als primaire simkaart, of op een persoonlijk BYOD-apparaat als tweede lijn naast de persoonlijke simkaart van de gebruiker. Na installatie maakt het apparaat verbinding met de mobiele kern van CallTower als VoLTE-abonnee op de zakelijke lijn van het bedrijf. In bepaalde landen kan deze verbinding gebruikmaken van GSM- of 2G-netwerken.
Het bedrijf wijst een zakelijk DID-nummer toe aan die simkaart — meestal het bestaande Microsoft Teams-nummer, Webex Calling-nummer of een ander zakelijk DID-nummer van de gebruiker dat al in het UC-platform is geconfigureerd. De rol van CallTower als Microsoft Teams Operator Connect-provider en Cisco Certified Mobile Calling Provider houdt in dat het DID-nummer geen parallel nummer is dat bovenop de mobiele telefoon wordt gelegd; het is hetzelfde zakelijke nummer, dat via hetzelfde besturingsvlak op de mobiele telefoon wordt aangeboden dat de onderneming al gebruikt voor haar vaste telefoons en softphones.
Vanaf dat moment verloopt elk gesprek dat via de zakelijke lijn wordt gevoerd of ontvangen via de infrastructuur van CallTower, die rechtstreeks is aangesloten op het UC-platform via dezelfde PSTN- en Session Border Controller-verbindingen die CallTower gebruikt voor de vaste communicatie van de onderneming. De mobiele telefoon is geen externe beller die naar het UC-platform wordt doorgeschakeld, maar een eindpunt van het UC-platform. Het verschil met het conventionele mobiele model wordt weergegeven in figuur 1.
Figuur 1. Uitgaand zakelijk gesprek, conventioneel mobiel pad versus CallTower Mobile Native Dialer-pad.
Uit deze architectuur vloeien drie implicaties voort.
Het gesprek komt nooit als anonieme consumentengesprek in het openbare mobiele netwerk terecht. Het begint als een geauthenticeerde sessie op een mobiele kernnetwerk die CallTower beheert in het kader van een commerciële en signaleringsovereenkomst met de onderneming.
Persoonsscheiding wordt op apparaatniveau toegepast, vóór de netwerk- en app-laag. Op een BYOD-apparaat vormen de zakelijke eSIM en de persoonlijke SIM twee onafhankelijke mobiele abonnementen op hetzelfde apparaat. De standaardkiesfunctie laat de gebruiker zien welke lijn actief is. Er is geen app die je per ongeluk zou kunnen vergeten te openen, en er is geen manier waarop een gesprek via de zakelijke lijn per ongeluk via de persoonlijke lijn kan verlaten.
Het UC-platform beschouwt de mobiele telefoon als een verlengstuk. Het opnemen van gesprekken, het bijhouden van nalevingsgegevens, aanwezigheidsinformatie, voicemail, het doorverbinden van gesprekken en het bellen via korte nummers werken op de mobiele telefoon omdat het UC-platform deze op precies dezelfde manier behandelt als een vaste telefoon. De blinde vlek die MDM- en UC-apps achterlaten – mobiele gesprekken die buiten het zicht van het UC-platform plaatsvinden – bestaat niet, omdat er geen mogelijkheid is om een zakelijk gesprek buiten dat platform om te voeren.
6. De drie vragen, mechanisch beantwoord
De definitie in paragraaf 2 riep drie vragen op over wat precies onder mobiele bedrijfsidentiteit valt. Nu het mechanisme bekend is, is er voor elke vraag een concreet antwoord. De identiteitsketen die deze elementen met elkaar verbindt, wordt weergegeven in figuur 2.
Figuur 2. De identiteitsketen van de benoemde gebruiker naar de geauthenticeerde mobiele sessie.
Wie voert het gesprek? Hetgesprek wordt geauthenticeerd via een specifieke zakelijke eSIM, die is gekoppeld aan een specifiek DID-nummer in het UC-platform, dat op zijn beurt is toegewezen aan een specifieke, bij naam genoemde gebruiker in de bedrijfsdirectory. De identiteitsketen is bij elke stap duidelijk zichtbaar.
Onder welke identiteit? Opeen BYOD-apparaat zijn de zakelijke en persoonlijke abonnementen op apparaatniveau gescheiden, waarbij de inbelidentiteiten afzonderlijk worden weergegeven in de standaardtelefoonapp. De identiteit wordt bepaald door de lijn die de gebruiker selecteert; er is geen mechanisme waardoor een gesprek op de zakelijke lijn ten onrechte aan de persoonlijke lijn kan worden toegewezen, of omgekeerd.
Via welke route? Hetgesprek wordt eerst doorgestuurd via de mobiele kern van CallTower en de bestaande UC-platformverbinding van de onderneming, voordat het een externe bestemming bereikt. De route wordt bepaald door de netwerkverbinding van de simkaart, niet door de keuze van een app.
7. Waarom dit van belang is voor naleving en beveiliging
Het identiteitsargument sluit naadloos aan bij de risico’s die in paragraaf 3 worden genoemd.
Voor gereguleerde ondernemingen wordt elk zakelijk gesprek via een mobiele telefoon automatisch een gesprek via het UC-platform. Dezelfde regels voor opname, bewaring en toezicht die de onderneming al hanteert voor vaste telefoons en softphones, gelden zonder aanpassingen ook voor mobiele telefoons. De lacune in de registratie die aanleiding gaf tot de handhavingsmaatregelen van de SEC is structureel gedicht, en niet via administratieve maatregelen.
Voor beveiligingsteams beschikt de onderneming nu over een consistente, verifieerbare bedrijfsidentiteit bij uitgaande mobiele gesprekken. Zero-trust-architecturen en op identiteit gebaseerde toegangscontroles krijgen hierdoor een mobiel signaal waarover ze voorheen niet beschikten. Identiteitsfraudeaanvallen die misbruik maken van het ontbreken van een officieel bedrijfsnummer, verliezen hun grond onder de voeten.
Wat de operationele tools betreft, biedt het UC-platform weer inzicht in mobiele communicatie. Analytics, CRM-logboekregistratie, kwaliteitsbeheer en conversatie-AI werken bij mobiele gesprekken op dezelfde manier als bij elk ander gesprek dat het platform verwerkt.
8. Wat de native dialer van CallTower Mobile niet is
De argumenten voor de oplossing zijn sterker als de grenzen ervan duidelijk zijn.
Het is geen vervanging voor een UC-platform. Het kan worden geïntegreerd met Teams, Webex en Zoom Phone; het concurreert niet met deze platforms. Een onderneming zonder UC-platform heeft er geen nut van.
Het is geen oplossing voor het beheer van mobiele apparaten. Het regelt het communicatiepad, niet het apparaat zelf. Organisaties die het apparaat moeten beheren – versleuteling, installatie van apps, wissen op afstand – hebben daarnaast nog steeds MDM nodig.
Dit is geen universele oplossing voor de risico’s van communicatie buiten de bedrijfskanalen om. Medewerkers kunnen nog steeds gebruikmaken van persoonlijke berichtenapps, privé-e-mail en andere kanalen die volledig buiten de bedrijfsinfrastructuur vallen. Wat deze oplossing wel voorkomt, is het specifieke geval waarin zakelijke communicatie via spraak of sms op een mobiele telefoon aan het zicht van het bedrijf ontsnapt.
9. Conclusie
Het probleem rond mobiele identiteit binnen bedrijven is specifiek: mobiele gesprekken vinden plaats in een netwerkcontext waarover het bedrijf geen controle heeft, met een identiteit die achteraf niet op betrouwbare wijze aan de bedrijfssystemen kan worden gekoppeld. UC-apps bieden hiervoor een gedeeltelijke oplossing, maar er ontstaan nog steeds lekken door het gedrag van gebruikers. MDM lost een verwant probleem op. Mobiele integraties die rechtstreeks van de leverancier komen, bieden een oplossing binnen beperkte grenzen wat betreft providers en geografische gebieden.
CallTower Mobile Native Dialer lost dit op netwerkniveau op door de door de onderneming beheerde mobiele kern van CallTower in het gesprekspad in te voegen, het apparaat via een zakelijke eSIM aan die kern te koppelen en de mobiele telefoon aan het UC-platform te presenteren als een native extensie, waarbij gebruik wordt gemaakt van dezelfde Operator Connect-, Direct Routing- en Webex Calling-integraties die CallTower al biedt voor de vaste omgeving. Het resultaat is dat een mobiel zakelijk gesprek, vanaf het moment dat het wordt geïnitieerd, een gesprek is op de communicatie-infrastructuur van de onderneming — met de identiteit, het beleid en de nalevingskenmerken die dat met zich meebrengt.
Dat is een beperktere bewering dan „mobiele identiteit, opgelost“. Het is ook een bewering die kan worden geverifieerd, in een architectuurdiagram kan worden uitgewerkt en in de praktijk kan worden getest. Dat zijn de eigenschappen die een argument de moeite waard maken om aan een koper voor te leggen.
Over CallTower
CallTower biedt oplossingen voor Microsoft Teams, Cisco Webex Calling, Zoom Phone en AI-gestuurde contactcenters, allemaal ondersteund door een wereldwijde serviceafdeling die 24 uur per dag, 7 dagen per week en 365 dagen per jaar bereikbaar is. Met diepgaande platformintegraties, een spraakarchitectuur met hoge beschikbaarheid en wereldwijde expertise op het gebied van nummerbeheer stelt CallTower organisaties in staat hun samenwerkingstools te standaardiseren, terwijl ze voor wereldwijde spraakcontinuïteit op één enkele partner kunnen vertrouwen. CallTower Mobile Native Dialer breidt deze integraties verder uit naar de mobiele ervaring en biedt consistente zakelijke telefonie op alle apparaten en locaties.
