· Чеки - банківська індустрія розробляє стандарт для електронних чеків, що визначає як інформація, що міститься у фізичних чеках, повинна представлятися в електронному повідомленні. Електронні чеки завжди вимагають участі фінансових установ при їх передачі.

· Дебітовиє карти - смарт-карты і карти з пам'яттю можуть зберігати електронні гроші поряд способів. Кожна транзакція дебитует певна кількість, поки карта не спустіє. Карти з пам'яттю не вимагають використання фінансових установ.

· Кредитні карти - основні гравці в індустрії кредитних карт(Visa, Master Card, і American Express) розробили стандарт для виконання транзакцій з кредитними картами по глобальних мережах. Відомий під назвою Безпечні Електронні Транзакції (Secure Electronic Transactions), цей стандарт визначає трьохетапні транзакції між клієнтом, продавцем і власником дебіта кредитної карти, зазвичай банком. Транзакції електронних кредитних карт, використовуючі SET, завжди вимагають участі фінансової установи.

· Електронний переклад фондів(EFT) - він використовує криптографію для забезпечення безпеки перекладу фондів між банками і іншими фінансовими установами. Клієнти можуть авторизувати банки на посилку і прийом платежів за допомогою EFT для клієнта.

Кожна з цих форм електронних фінансових транзакцій включає використання криптографії для забезпечення цілісності, конфіденційності, аутентифікації і контролю учасників взаємодії.

4.11. Постійна доступність для взаємодії

У міру того, як Інтернет стає важливішим для виконання повсякденної ділової діяльності, до засобів забезпечення безпеки з'єднання з Інтернетом все частіше пред'являються вимоги безперервності роботи. Ці вимоги часто роблять великий вплив на політику безпеки, вимагаючи компромісних рішень між вартістю дублюючих комплектів і вартістю тимчасової роботи без засобів забезпечення безпеки.

Простим прикладом є брандмауер. Брандмауер може виявитися критичним місцем - якщо він вийде з ладу, зв'язок з Інтернетом може стати неможливим на час усунення аварії. Якщо тимчасова втрата зв'язку з Інтернетом не робить великого впливу на діяльність організації, політика може просто визначати, що робота з Інтернетом припиняється до тих пір, поки не буде відновлений брандмауер. Для організацій з низьким рівнем загрози політика може дозволяти відключати брандмауер і працювати з Інтернетом без нього на час аварії. Проте, якщо зв'язок з Інтернетом важливий, або організація має високий рівень риски, політика може вимагати використання брандмауера гарячим або холодним резервом. Завдання організації визначають, яке рішення буде ухвалено.

Для дуже великих організацій продуктивність може також диктувати використання декількох засобів безпеки, таких як брандмауери і сервера аутентифікації. Наприклад, організації, що забезпечує діяльність декількох тисяч зовнішніх користувачів в Інтернеті, може потрібно декілька з'єднань з Інтернетом класу T1, що у свою чергу зажадає використання декількох брандмауерів. Організації з декількома тисячами внутрішніх користувачів, що мають тенденцію з'єднуватися з системою в один і той же час (вранці, увечері і так далі) може потрібно декілька серверів аутентифікації для того, щоб час підключення був в допустимих межах.

Основними способами задоволення вимог постійної доступності є:

· Планування ресурсів. Відмічений цікавий феномен - як тільки

брандмауер встановлений, користувачі починають скаржитися, що з'єднання з Інтернетом стало повільніше. Правильно вибрані засоби безпеки, такі як брандмауер, зазвичай не є найвужчим местомом в системі. Але важливе детальне планування виділення ресурсів, оскільки засоби безпеки, роботи, що сильно зменшують продуктивність, швидко відключатимуться. Дані із специфікацій брандмауерів повинні ділитися навпіл при моделюванні потрібної продуктивності, а продуктивність критичних засобів забезпечення безпеки повинна перевірятися і настроюватися в тестовій мережі.

· Надмірність - для всіх організацій, окрім тих, що мають низький рівень риски, необхідний резервний брандмауер в гарячому резерві. Аналогічно, використання серверів аутентифікації або серверів безпечного видаленого доступу зазвичай вимагає наявність можливості швидко перемикатися на резервний сервер. Синхронізація - ось головне питання при використанні резервних серверів безпеки - всі оновлення, резервні копії і модифікації повинні проводитися на обох системах.

· Відновлення - коли блок, що вийшов з ладу, відновлений і принесений назад, повинен здійснюватися ретельний контроль його конфігурації. Повинна бути проаналізована конфігурація програм і устаткування, щоб гарантувати, що працюють всі необхідні продукти, їх версії актуальні, і до них застосовані всі модифікації і виправлення, і що не додані або включені непотрібні сервіси в ході відновлення. Будь-які налагоджувальні можливості, що використалися для тестування, повинні бути видалені або відключені.

4.12. Легкість використання

Склад користувачів багатьох систем, підключених до Інтернету, може бути вельми різноманітним - від секретарів до учених, від новачків до досвідчених користувачів. Частим бизнес-требованием є вимога, щоб всі застосування можна було легко використовувати середньому користувачеві. Цю вимогу важко оцінити, але з погляду безпеки часто воно переводиться так: "якщо засіб безпеки стає перешкодою людям при виконанні ними своєї роботи, ви повинні відключити

такий засіб".

Двома складовими елементами легкості використання є зменшення числа разів, коли користувач винен аутентифікуватись в системі і розробка інтерфейсу користувачів із засобами безпеки таким, щоб він відповідав рівню або перевагам користувачів системи. Ці питання обговорюються в наступних розділах.

4.13. Одноразова реєстрація

Для виконання своїх повсякденних завдань користувачеві може знадобитися реєструватися на великому числі комп'ютерів і мереж. Часто кожна система вимагає від користувача введення імені і пароля. Оскільки запам'ятовування великого числа паролів для користувачів є важким, це веде до того, що паролі пишуться на папері (і часто на моніторах ПЕВМ) або забуваються. Іншою реакцією користувача є використання одного і того ж пароля на всіх комп'ютерах. Проте, різні системи можуть мати різні правила для паролів або мати різні періоди перевірки