БЕЗПЕКА ЕЛЕКТРОННОЇ КОМЕРЦІЇ

«Однією з найзначніших та дискусійних тем комерції в Інтерне? сьогодні є безпека Інтер-нет-трансакцій. У той час, як технічні склад-ності можуть бути вирішені, менш очевидною проблемою стало визначення стандартів здійснення операцій між споживачами і підприємцями вимогами безпеки, що задо-вольняють фінансові інститути».

Peter Loshin

1 Довіра споживачів у Web

2 Безпека електронного бізнесу

3 Захист персональної інформації в Web

4 Правові аспекти ведення електронного бізнесу

5 Страхування електронного бізнесу

6 Сертифікація учасників електронного бізнесу

1. Довіра споживачів у Web

В основі успіху будь-якої комерційної діяльності лежить довіра споживачів. Стрімкий зліт електронної комерції за останні кілька років загострив цю проблему, виявивши недовіру користу-вачів до перенесення бізнесу у сферу Інтернет. Основні складові й інструменти завоювання довіри споживачів подані на рис. 9.1.

Саме у взаємодії перерахованих компонентів формується довіра споживачів до підприємств електронної комерції. Основ-ним користувачі вважають безпеку проведення платіжних трансакцій і конфіденційність їхньої персональної інформації. На захист інтересів користувачів спрямовані законодавчі акти, технологічні й організаційні заходи, процедури страхування і контролю. Не менш важливим користувачі вважають гаранту-вання послідовності та цілісності трансакцій і правомочність їх проведення всіма сторонами.

Рис. 9.1. Фактори завоювання довіри споживачів до електронного бізнесу

Якість і працездатність сайтів мають вирішальне значення, а сайти з поганим дизайном відлякують відвідувачів, що вико-навчий директор Enterpulse Michael Reene назвав «смертельним вироком Інтернет». Деякі дослідження показують, що коли після закінчення 20 секунд користувач не одержує цілком чи хо-ча б майже завантажену головну сторінку Web-сайта, він зали-шає його. Додатковими умовами завоювання довіри споживачів є проста, зручна навігація, відсутність виникаючих рекламних вікон і анкет реєстрації великого обсягу.

Незмінними залишаються вимоги споживачів до рівня клієнтського обслуговування. Як і у фізичному світі, споживачі очікують від віртуальних підприємств достатньої до себе уваги й адекватного її прояву, а також своєчасної реакції на клієнтські запити.

2. Безпека електронного бізнесу

На думку експертів, розвиток електронного бізнесу багато в чому визначається прогресом у галузі інформаційної безпеки, під якою розуміється стан стійкості інформації до випадкових чи навмисних впливів, що виключає неприпустимий ризик її знищення, спотворення і розкриття, які призводять до ма-теріальних збитків власника чи користувача інформації.

Для одержання доступу до інформації користувач повинен пройти процедури аутентифікації (встановлення особистості) і авторизації (визначення прав доступу). Крім того, сам сервер також повинен бути аутентифікований користувачем.

Основні завдання при досягненні безпеки інформації поляга-ють у забезпеченні ЇЇ доступності, конфіденційності, цілісності і юридичній значимості. Кожна загроза повинна розглядатися з по-гляду того, наскільки вона може торкнутися цих чотирьох влас-тивостей або якості безпечної інформації. Конфіденційність оз-начає, що інформація обмеженого доступу повинна бути доступ-на тільки тому, кому вона призначена. Під цілісністю інформації розуміється її властивість існування в неспотвореному вдгляді. Доступність інформації визначається здатністю системи забез-печувати своєчасний безперешкодний доступ до інформації для суб'єктів, які мають на це належні повноваження. Юридична зна-чимість інформації здобуває дедалі більшу важливість у резуль-таті створення нормативно-правової бази безпеки інформації в нашій країні.

Безпека будь-якої системи електронного бізнесу полягає в захисті від різного роду втручань у ЇЇ дані. Усі ці втручання мож-на умовно розділити на кілька категорій:

розкрадання даних (наприклад, розкрадання номерів кредитних карт із бази даних);

втручання (наприклад, перевантаження даними сайта, не призначеного для такого великого обсягу інформації);

перекручування даних (наприклад, зміна сум у файлах платежів і рахунків-фактур чи створення неіснуючих сер-тифікатів);

руйнування даних (наприклад, при передачі користува-чу і назад);

відмова від виконаних дій (наприклад, від факту оформ-лення замовлення чи одержання товару);

ненавмисне неправильне використання засобів сайта ко-ристувачем;

несанкціонований доступ до інформації (несанкціонова-не копіювання, відновлення або інше використання даних, про-ведення несанкціонованих трансакцій, несанкціонований пере-глятт чи пеоедача даних).

При цьому необхідно враховувати, що при забезпеченні без-пеки електронного бізнесу є ряд об'єктивних проблем - приско-рений розвиток технології! стосовно удосконалювання законо-давчої бази, складність упіймання зловмисників на місці злочи-ну, можливість безслідного знищення доказів і слідів злочинів і т.п. Усе це обумовлює необхідність ретельної розробки ком-паніями політики захисту свого електронного бізнесу.

Забезпечення безпеки електронного бізнесу ускладнюється наявністю безлічі готових і зроблених на замовлення програм-них додатків від різних постачальників і значної кількості зовнішніх послуг, надаваних провайдерами і бізнес-партнерами. Значна частина цих компонентів і послуг звичайно непрозорі для ІТ-фахівців компаній-замовників, крім того, багато з них ча-сто модифікуються й удосконалюються їхніми творцями. Усе це ускладнює їх ретельну перевірку на предмет потенційних де-фектів захисту.

Для захисту від зовнішнього вторгнення сьогодні існує безліч систем, які є різного роду фільтрами, що допомагають ви-явити спроби несанкціонованого втручання на ранніх етапах і по можливості не допустити зловмисників у систему через зовнішні мережі. До таких засобів належать:

маршрутизатори - пристрої керування трафіком мережі, розташовані між мережами другого порядку і керують вхідним та вихідним трафіком приєднаних до нього сегментів мережі;

брандмауери - засоби ізоляції приватних мереж від ме-реж загального користування, що використовують програмне забезпечення, яке відслідковує і припиняє зовнішні атаки на сайт за допомогою певного контролю типів запитів;

шлюзи додатків - засоби, за допомогою яких адміністра-тор мережі реалізує політику захисту, якою керуються маршру-тизатори, що здійснюють пакетну фільтрацію;

системи відстеження вторгнень - системи, які виявля-ють навмисні атаки і ненавмисне неправильне використання си-стемних ресурсів користувачами;

засоби оцінки захищеності (спеціальні сканери та ін.) -програми, які регулярно сканують мережу на предмет наявності проблем і тестують ефективність реалізованої політики безпеки.

Базовий набір інструментів для забезпечення інформаційної безпеки Web-вузлів, що користується довірою споживачів, ста-новлять технології SSL1 і SET2. Для аутентифікації використо-вується метод SSL, для шифрування даних - SET.