有一家做精密光学仪器出口的浙江企业，每月跟海外代理商开一次电话会议，讨论销售进度和市场情报。公司采用的就是普通的电话会议服务，参会人员通过拨入号码和密码进入。有个月底财务发现某个区域的销售数据异常，代理商反馈的价格跟公司记录的不一样。查了几个来回才发现，竞争对手买通了电话会议服务平台的内部人员，每个月定时调取了这个会议的通话录音。这件事暴露了两个问题：一是他们用的电话会议服务没有加密功能，二是录音文件被保存在服务商的服务器上没有任何保护。
虽然视频会议越来越普及，但电话会议在某些商务场景中仍然不可替代。比如在信号不好的地区，在网络基础设施欠发达的发展中国家，在需要快速连接多个国际参会人时，传统的电话会议或者基于VoIP的语音会议仍然是很多企业的推荐。正是这种常规的操作，让很多人放松了对电话会议的信息安全警惕。
先说说线路安全。传统的公共交换电话网络虽然不是数字互联网那样的公开网络，但它也不是绝对安全的。攻击者可以通过搭线、信号拦截和交换机访问来窃听电话通讯。在涉及敏感信息的商务通话中，不应该使用普通电话线路，而应该使用加密的VoIP服务。加密VoIP会在语音数据被转换成数字信号后立即进行加密，在接收端解密还原，使得线路上的拦截者只能听到噪音或者无法识别的数据流。
加密VoIP服务的质量取决于加密协议的强度和密钥管理的安全性。目前比较成熟的安全协议包括SRTP和ZRTP。SRTP会对实时传输协议的数据流进行加密和认证，防止语音数据被篡改和窃听。ZRTP则是一种端到端的密钥协商协议，通话双方在通话开始时通过短认证字符串来验证对方的身份。在使用加密VoIP时，参会人应该在会议开始前核对认证字符串，确认没有中间人攻击存在。
接入密码的管理也是一个关键点。很多电话会议平台使用固定的会议室号码和密码，一个月甚至一年都不换一次。这等于给攻击者提供了无限次尝试的机会。正确的做法是每次会议生成独立的接入码和密码，会议结束后立即作废。会议密码应该足够复杂，不要使用电话号码的末四位或者参会人的生日等容易猜测的数字。
电话会议的主持人应该有邀约功能的控制权限。开启邀约功能之后，新参会人需要主持人逐个审核身份才能加入会场。这能有效阻断不明账号混入的情况。如果不需要参会人发言，也可以考虑使用全员静音模式，只允许指定的发言人在发言时临时开启麦克风。这样即使有不明号码混入了会议，也只能听不能说，至少可以控制信息的外泄方向。
会议过程中如果有人需要通过电话传输文件，应该使用独立的加密文件传输通道。这不能通过电话线路的传真功能进行。传统传真在传输过程中容易被截获，而且传真机内部会缓存影像数据。如果有涉及数字文件的传输需求，建议在电话会议开始前就通过加密邮件或者安全文档共享平台完成交换，通话期间只做口头说明。
电话会议的录音也是一个需要严格管控的环节。如果会议确实需要录音，应该事先告知所有参会人并获得同意，这是很多国家的法律要求。录音文件在生成之后需要加密存储，只能由授权人员访问。录音的保存期限也要提前确定，超过期限后执行安全删除。录音文件如果不再有用，删除时不要只用删除操作，要使用专业的数据擦除工具对存储区域做覆写处理。
给参会人的提醒也要到位。每一个通过电话或者VoIP参加跨国会议的人，都应该在一个相对隔音、没有外人的环境中接听电话。如果是在公共场所用手机接入，声音会通过扬声器传播出去，旁边的人都能听到。如果确实需要在公共环境参会，使用耳麦并将音量调到只有自己能听到的程度。同时注意不要在通话中说出其他参会人的全名和公司全称，以免被有心人记录下来进行后续的社交工程攻击。
最后再强调一下平台的选择。做跨国电话会议时，尽量选择总部位于有强数据保护法律的国家或地区的会议服务商。比如欧盟境内的服务商受通用数据保护条例的约束，对用户数据的保护要求更严格。在签约之前，问清楚服务商的数据存储位置、加密标准和录音保留政策。如果服务商自己都无法清楚说出数据是怎么处理的，那就趁早换一家。
