Электронная коммерция: требования к безопасности

Различия между службами электронной коммерции и обычными службами DMZ

Очевидно, что службы электронной коммерции могут предоставляться с использованием аналогичных инфраструктур тем, которые применяются для реализации интернет-соединений. Однако существует ряд различий между способами разработки служб электронной коммерции и конструкцией обычных служб интернета.

Первым различием между этими инфраструктурами является набор требований к службам. В случае с обычными службами интернета или DMZ (для получения более подробной информации о DMZ обратитесь к "Архитектура интернета" ) организации требуется предоставлять информацию общественности (веб-сайты) или передавать информацию между сотрудниками компании и широкой общественностью (почта). От организации может потребоваться подтвердить тот факт, что она предоставляет корректную информацию через свой веб-сайт, и что веб-сайт большую часть времени находится в рабочем состоянии. То же самое относится к электронной почте. Функция электронной почты заключается в сохранении сообщений и их пересылке. Иногда доставка сообщения занимает определенное время. Если доставка входящей почты отложена из-за системной ошибки, то это не представляет каких-либо особых проблем для организации. Входящая почта не является жизненно важной для ежедневных деловых процессов, и поэтому источник электронной почты не обязательно должен верифицироваться на предмет адреса электронной почты источника.

Теперь рассмотрим коммерческие требования. Организации по-прежнему требуется предоставлять услуги широкой общественности (коммерческие взаимоотношения "компания-клиент"); однако организации должно быть известно, кто заказывает товары и осуществляет их оплату. По крайней мере, организация должна реализовать подтверждение личности человека, заказывающего товары. Так как мы не имеем дела с личными идентификационными карточками, должна использоваться иная форма идентификации. Как правило, это кредитная карта в комбинации с адресом доставки товаров.

Еще одним новым аспектом электронной коммерции является потребность в конфиденциальном содержании некоторой информации. Информация может быть предназначена для продажи (т. е. организация получает доход от продажи информации), это могут быть данные о клиентах, предназначенные для сохранного содержания, либо информация, используемая при совершении покупок (номера кредитных карт).

Эти два основных отличия - верификация и конфиденциальность - представляют собой разницу между службами электронной коммерции и обычными службами DMZ. Существует еще один момент, который необходимо принимать в расчет, когда речь идет об электронной коммерции, - доступность информации. Веб-сайты теперь не просто содержат информацию об организациях - они обеспечивают доход компании и предоставляют услуги клиентам. Доступность является критическим вопросом безопасности, связанным с сайтом электронной коммерции.

Примеры служб электронной коммерции

Когда мы говорим о применении системы безопасности к службам электронной коммерции, можно рассматривать этот вопрос относительно четырех основных аспектов безопасности, обсужденных в "Службы информационной безопасности" : конфиденциальность, целостность, доступность и ответственность. Также можно подразумевать, что доступность является аспектом, связанным с любым типом электронной коммерции. Моменты, связанные с другими аспектами, различаются в зависимости от типа предлагаемых услуг электронной коммерции. Следующие разделы содержат примеры того, каким образом можно обеспечить безопасность служб электронной коммерции.

Продажа товаров

Допустим, организации требуется продавать свою продукцию через интернет. Основной концепцией здесь является то, что клиенты будут посещать веб-сайт, знакомиться с перечнем товаров и заказывать товары с доставкой. Оплата будет производиться посредством кредитной карты, а доставка товаров будет осуществляться с использованием наиболее экономичного метода.

Для данного сценария можно вывести следующие требования безопасности для каждой базовой функции безопасности.

• Конфиденциальность. Большая часть информации не является конфиденциальной. Однако номер кредитной карты - это конфиденциальные данные. Адрес электронной почты клиента и другая личная информация также может являться конфиденциальной в зависимости от политики секретности сайта.
• Целостность. Клиент потребует обеспечения целостности данных, чтобы он смог получить то, что ему требуется. Для содержания информации в корректном виде потребуется обеспечить целостность на протяжении всей процедуры, а также гарантировать целостность каталога, чтобы цены в каталоге соответствовали действительности.
• Ответственность. Организации нужно будет подтверждать тот факт, что лицо, использующее кредитную карту, действительно является ее владельцем.

Из приведенного краткого примера видно, что безопасность играет очень большую роль в архитектуре данной системы электронной коммерции.

Предоставление конфиденциальной информации

Рассмотрим еще одну службу электронной коммерции. В данном примере организация предоставляет пользователям информацию за определенную плату. Эта информация является собственностью организации, и руководство организации хочет контролировать то, каким образом информация распространяется. Организация фактически продает доступ к данным отдельным пользователям или другим организациям на основе подписки.

Основываясь на данном сценарии, можно составить список требований к безопасности базовых служб.

• Конфиденциальность. Прайс-листы, заказы и отчеты о дефектах представляют собой конфиденциальные данные. Кроме того, на каждого распространителя должно быть наложено ограничение на то, какие прайс-листы и заказы он может просматривать.
• Целостность. Прайс-листы необходимо защищать от несанкционированного изменения. Каждый заказ должен быть корректен в любом месте системы.
• Ответственность. Производителю потребуется узнать, какой распространитель запрашивает прайс-лист или размещает заказ; это необходимо для предоставления корректной информации.

Важность доступности

Доступность в данной книге рассматривается как отдельная тема, так как это ключевой вопрос, связанный с работой служб электронной коммерции. Если сайт недоступен, то бизнес компании стоит на месте. Все даже более серьезно, так как доступность сайта влияет непосредственно на доверие клиента предоставляемым услугам. Это не значит, что ошибки в других службах безопасности не повлияют на доверие клиента (просмотрите информацию о недавних сбоях при обеспечении конфиденциальности, чтобы выяснить, какое влияние они оказывают), однако сбой в доступности почти наверняка переведет внимание потенциального клиента на конкурента компании.