Sekuriteit vir e-handel - Inligting - 2022
Sekuriteit vir e-handel
Veiligheid - die beskermingstoestand teen moontlike skade, die vermoë om gevaarlike invloede te bevat of te bewerk, sowel as om vinnig te vergoed vir die skade wat veroorsaak is. Veiligheid beteken dat die stelsel stabiliteit, stabiliteit en die moontlikheid van selfontwikkeling handhaaf. E-handelsveiligheid is een van die gewildste onderwerpe vir bespreking.
Maar tot nou toe is daar, ondanks al die waardevolle opinies en uitsprake, geen praktiese, "aardse" handleiding oor wat steeds die onderwerp van sekuriteit vir e-handel is. Hierdie artikel bied enkele standpunte oor hierdie kwessie en poog om mites van die werklikheid te skei. Kom ons probeer enkele basiese vrae beantwoord wat kenners voor die hand liggend is.
Stelsels kan beveilig word. Stelsels kan slegs beskerm word teen bekende bedreigings, met die aantal gepaardgaande risiko's tot 'n aanvaarbare vlak. Net u self kan die regte balans vind tussen die gewenste vlak van risikovermindering en die koste van die oplossing. Sekuriteit in die algemeen is een van die aspekte van risikobestuur. En inligtingsekuriteit is 'n kombinasie van gesonde verstand, bestuursrisikobestuur en basiese tegniese vaardighede onder die beheer van ordentlike bestuur, verstandige gebruik van gespesialiseerde produkte, vermoëns en kundigheid, en die regte ontwikkelingstegnologieë. Terselfdertyd is 'n webwerf slegs 'n manier om inligting aan 'n verbruiker te lewer.
Webwerf sekuriteit is 'n suiwer tegniese probleem. Te gereeld is sekuriteit meer beheer oor die ontwikkelingsproses, behoorlike bestuurstelselkonfigurasiebestuur en oor die algemeen konsekwente werfbestuur. Die regte sekuriteit is onder u direkte beheer - wat aanvaarbaar is in die ontwikkeling van interne stelsels is moontlik nie geskik vir dienste wat ten volle gedeel word nie. Stelselprobleme wat slegs 'n paar betroubare werknemers binne 'n onderneming raak, word duidelik wanneer hulle na gedeelde omgewings oorgaan.
Die media doen gereeld verslag oor alle sekuriteits swakhede en risiko's. Die media lewer dikwels slegs verslag oor die probleme wat almal se aandag kan trek en nie spesiale vaardighede benodig om die onderliggende probleem te verstaan ​​nie. Sulke boodskappe weerspieël selde werklike bedreigings vir die onderneming vanuit 'n veiligheidsoogpunt en het dikwels niks met sekuriteit te doen nie.
Kredietkaartinligting op die internet is nie veilig nie. In werklikheid is kredietkaartinligting baie minder vatbaar vir diefstal as dit via die internet oorgedra word as in 'n winkel of restaurant in die omgewing. 'N Gewetenlose onderneming wil dalk belangstel in die ongemagtigde gebruik van sulke inligting, en hoe u daarmee werk - via die internet of nie - is nie meer so belangrik nie. Dit is moontlik om die veiligheid van die werklike inligting wat versend is, te verhoog deur veilige transmissiekanale en betroubare webwerwe te gebruik. 'N Noodsaaklike bestanddeel in baie e-handelstelsels is die behoefte aan betroubare identifikasie van verbruikers. Die metode van identifikasie beïnvloed nie net die mate van risiko nie, maar selfs die soort strafregtelike vervolging.
Wagwoorde identifiseer mense. Wagwoorde bied slegs basiese verifikasie - dat iemand wat gemagtig is om 'n spesifieke stelsel te gebruik, aansluit. Mense is geneig om nie hul wagwoorde te veel vir ander weg te steek nie - veral nie van naasbestaandes en kollegas nie. Meer gevorderde verifikasietegnologie kan baie meer koste-effektief wees. Die mate van verifikasie wat gebruik word, moet die risiko van toegang tot inligting deur ewekansige persone weerspieël, ongeag die toestemming van die werklike eienaar.
Sodra dit gekonfigureer en geïnstalleer is, bly 'n veiligheidsoplossing mettertyd betroubaar. Ondernemings installeer nie altyd stelsels soos verwag nie, sake verander, en so ook dreigemente. U moet toesien dat die stelsels sekuriteitsprofiele handhaaf en dat u profiel voortdurend herwaardeer word ten opsigte van sake-ontwikkeling en die omgewing. Tegnologie is ewe belangrik, maar dit moet gesien word as deel van 'n breër spektrum van sekuriteitskontroles. Daar word gereeld na vuurmure verwys as die oplossing vir die beskerming van die inhoud van e-handelswebwerwe, maar selfs dit het hul swak punte.
Vuurmure is ondeurdringbaar. Deur 'n firewall te implementeer, kan u op u louere rus met die versekering dat aanvallers dit nooit sal binnedring nie. Die probleem is dat dit gekonfigureer moet word sodat daar nog steeds verkeer deur hulle vloei, en in albei rigtings. U moet dit wat u probeer beskerm, noukeurig oorweeg. Die voorkoming van 'n aanval op u tuisblad is baie anders as om te voorkom dat u webbediener as 'n pad na u bedienerstelsels gebruik word, en die firewall-vereistes verskil in albei gevalle. Baie stelsels benodig gesofistikeerde meerlaagse sekuriteit om te verseker dat meer sensitiewe data slegs toeganklik is vir gemagtigde gebruikers. E-pos is gewoonlik die sleutel tot enige e-handelswebwerf. Dit bring egter 'n aantal veiligheidsuitdagings mee wat nie geïgnoreer kan word nie, wat in twee hoofkategorieë val:
Die beskerming van e-posinhoud - dit kan verwoes of gelees word.
Die beskerming van u stelsel teen inkomende e-posaanvalle.
As u van plan is om vertroulik of sensitief te wees vir die integriteit van posinligting, is daar baie produkte om dit te beskerm.
Virusse is nie meer 'n probleem nie. Virusse hou steeds 'n ernstige bedreiging in. Die nuutste stokperdjie van virusskeppers is lêers wat aan briewe geheg is wat makro's uitvoer wanneer dit oopgemaak word en aksies uitvoer wat nie deur die ontvanger gemagtig is nie. Maar ander maniere om virusse te versprei word ook ontwikkel - byvoorbeeld via HTML-webblaaie. Maak seker dat u antivirusprodukte op datum is. As hulle ontwerp is om na virusse te soek, kan hulle moontlik net virusse opspoor en nie uitskakel nie.
'N Maatskappy met 'n openbare sleutel-sertifikaat van 'n gerespekteerde sertifiseringsowerheid (CA) is reeds op sigself betroubaar. Die sertifikaat impliseer bloot iets soos: "Ten tyde van die sertifikaatversoek het ek, die CA, bekende handelinge uitgevoer om die identiteit van hierdie onderneming te verifieer. U is al dan nie tevrede nie. Ek is nie vertroud met hierdie onderneming nie en weet nie of u dit kan vertrou nie, en selfs - wat presies haar besigheid is. Intussen word my ingelig dat die openbare sleutel in diskrediet gebring is, ek weet nie eens dat dit byvoorbeeld gesteel is of aan iemand anders oorgedra is nie, en dit is aan jou om na te gaan, nie is gekanselleer. My aanspreeklikheid is beperk tot die bepalings van die polisverklaring wat u moet lees voordat u die sleutels wat met hierdie maatskappy geassosieer word, gebruik. "
Digitale handtekeninge is die elektroniese ekwivalent van handgeskrewe handtekeninge. Daar is 'n paar ooreenkomste, maar daar is baie belangrike verskille, so dit is onredelik om hierdie twee soorte handtekeninge as gelykwaardig te beskou. Die betroubaarheid daarvan hang ook af van hoe streng vasgestel word dat die private sleutel eintlik in individuele gebruik is. Die belangrikste verskille is ook dat:
- Handgeskrewe handtekeninge is geheel en al onder die beheer van die ondertekenaar, digitale handtekeninge word geskep met behulp van 'n rekenaar en sagteware wat al dan nie kan werk op 'n manier waarop vertrou kan word om die handelinge uit te voer.
- Handgeskrewe handtekeninge, anders as digitale, het 'n oorspronklike dokument wat gekopieer kan word.
- Handgeskrewe handtekeninge hou nie te veel verband met wat deur hulle onderteken word nie; die inhoud van ondertekende referate kan na ondertekening verander word. Digitale handtekeninge is ingewikkeld gekoppel aan die spesifieke inhoud van die data wat hulle onderteken het.
- Die vermoë om 'n handgeskrewe handtekening uit te voer, kan nie die onderwerp van diefstal wees nie, anders as 'n privaat sleutel.
- Handgeskrewe handtekeninge kan met verskillende mate van ooreenkoms gekopieër word, en kopieë van digitale handtekeninge kan slegs geskep word deur gesteelde sleutels te gebruik en die identiteit van die regte eienaar van die sleutel moet 100% bevat.
- Sommige verifikasieprotokolle vereis dat u die data namens u digitaal onderteken, en u weet nooit wat onderteken is nie. U kan gedwing word om omtrent alles digitaal te onderteken.
Sekuriteitsprodukte kan volgens hul funksies beoordeel word, net soos sakepakke. Hulle vereis ook 'n evaluering van die veiligheid van die implementering daarvan en die bedreigings wat hulle nie kan beskerm nie (wat moontlik nie gedokumenteer is nie). In die algemeen word besigheidstoepassings gekies op grond van hul funksionaliteit en gemak. Dit word dikwels as vanselfsprekend aanvaar dat die funksies soos verwag word uitgevoer (byvoorbeeld, die belastingberekeningspakket bereken belasting korrek). Maar dit is nie billik vir sekuriteitsprodukte nie. Die grootste vraag hier is hoe die beskermingsfunksies geïmplementeer word. 'N Pakket kan byvoorbeeld 'n kragtige wagwoordverifikasie vir gebruikers bied, maar bewaar wagwoorde in 'n gewone tekslêer wat byna almal kan lees. En dit sou ver vanselfsprekend wees en 'n valse gevoel van veiligheid kan skep.
Sekuriteitsprodukte is maklik om te installeer. Die meeste produkte word met verstekinstellings gestuur. Organisasies het egter verskillende sekuriteitsbeleide en -konfigurasies van alle stelsels en werkstasies kom selde ooreen. In die praktyk moet die installasie aangepas word by die veiligheidsbeleid van die organisasie en elk van die spesifieke platformkonfigurasies. Die instandhouding van instandhoudingsmeganismes vir vinnig groeiende aantal gebruikers en ander eienskappe om 'n veilige omgewing vir honderde bestaande gebruikers te skep, kan 'n ingewikkelde en tydrowende proses wees.
PKI-produkte beskerm e-handel uit die kassie. PKI-produkte is 'n basiese hulpmiddel om sekuriteitsoplossings te implementeer, maar slegs as deel van die hele pakket, wat ook wetlike, prosedurele en ander tegniese elemente insluit. In die praktyk is dit dikwels baie moeiliker en duurder as om 'n basiese PKI te installeer.
Sekuriteitskonsultante verdien absolute vertroue. Onthou dat sekuriteitskonsultante toegang tot al u sensitiefste prosesse en data sal hê. As die konsultante wat gehuur word, nie by 'n betroubare firma werk nie, is dit nodig om inligting van 'n belangstellende bron oor hul bevoegdheid en ervaring te bekom - praat byvoorbeeld met hul vorige kliënte. Daar is baie konsultante wat beweer dat hulle professionele persone is wat inligtingbeveiliging het, maar hulle weet in werklikheid min of geen idee wat dit is nie. Dit kan selfs 'n valse gevoel van veiligheid skep deur u te oortuig dat u stelsels veiliger is as wat hulle regtig is.
Voordat u die nuutste veiligheidsbrosjures blaai, moet u dus die belangrikste dinge opsoek:
- Bereken die soorte risiko's wat u e-handelsonderneming bedreig, en hoeveel dit u sal kos, en sorg nie meer vir die beskerming as hierdie geraamde risikokoste nie.
- Bepaal 'n balans tussen prosedurele en tegniese sekuriteitskontroles.
- Ontwikkel 'n volledige projek waarin veiligheid een van die kernkomponente sal wees, en na afloop van die bespreking nie na facto bekendgestel sal word nie.