Elektroninės prekybos saugumas
Nors gali būti šiek tiek nuobodu skaityti visas naudojimo sąlygas interneto puslapiuose , jei mus domina mūsų asmeninė informacija, svarbu apsvarstyti galimybę perskaityti šią informaciją apie saugią el. prekybą.
Šiame dokumente nurodomi skirtingi būdai, kaip įmonės gali naudoti mūsų informaciją. Todėl labai svarbu peržiūrėti šią informaciją , kad pažeidus mūsų teises galėtume pateikti skundą.
Šio tipo verslo saugumo lygis prasideda nuo to, kad informacija, kurios jie prašo iš savo klientų, turi būti apribota iki tos, kurios jiems reikia parduotuvės funkcijoms atlikti . Jie neturi teisės prašyti daugiau informacijos; net jei ir prašytų, mes galime ir turėtume atsisakyti.
Vis dėlto daugelis parduotuvių į savo informacijos tvarkymo procesus įtraukia aukštą saugumo lygį ne todėl, kad ketina netinkamai panaudoti informaciją, o todėl, kad skaitmeninis šių duomenų formatas daro parduotuves pažeidžiamas kibernetinėms atakoms , kurios gali juos išgauti. Dėl to parduotuvėse atsirado tendencija savo procesuose įdiegti technologinio saugumo sluoksnius (pvz., biometrinius duomenis ).
Norint užtikrinti savo saugumą, svarbu stebėti technologijas, kurias mūsų mėgstamos parduotuvės naudoja savo procesuose, ir tai verta, nes tai mūsų neskelbtina informacija.
Grasinimas ir sukčiavimas, darantis įtaką internetinei parduotuvei
Didelės apimties skaitmeninė aplinka bet kuriam el. prekybos verslui kelia grėsmę pasikartojančios kibernetinės grėsmės: phishing ir apsimetinėjimas kitu asmeniu, duomenų vagystės, kenkėjiška programa ir virusai, DDoS, kodo injekcija (SQL, XSS), CSRF, elektroninis nugriebimas prie kasos, žiaurios jėgos išpuoliai, kredencialų užpildymas, galinės durys, MitM, nulinės dienos išnaudojimai ir išpuolius prieš tiekimo grandinėTaip pat dažni yra kreditinių kortelių sukčiavimas, karšimas ir trikampiaiŠių maršrutų žinojimas padeda prioritetizuoti valdiklius.
Didelę riziką padidina trečiosios šalys: mokėjimo šliuzai, prieglobos paslaugų teikėjai , analizės įrankiai, papildiniai ir rinkodaros sistemos. Trečiųjų šalių rizikai valdyti reikalinga griežta atranka, sutartys su saugumo sąlygomis, reguliarūs auditai ir galimybė diversifikuoti svarbiausius paslaugų teikėjus; taip pat apsvarstykite galimybę apsidrausti savo el. prekybos verslui.
Esminės techninės priemonės
Norint sumažinti atakos paviršių, patartina naudoti kelis sluoksnius:
- SSL / TLS visoje svetainėje ir HSTS, siekiant užšifruoti ryšį ir apsaugoti prisijungimo duomenis, slapukus ir mokėjimo duomenis.
- WAF ir apsauga DDoS pasienyje, su blokavimo taisyklėmis injekcijos, žiauri jėga ir neįprastas eismas.
- Daugiafaktoris autentifikavimas Administravimo skydeliui, talpinimui, „Git“ ir vidiniams įrankiams; apriboti iki IP arba naudoti VPT.
- Atnaujinimai platformos konstantos, papildiniai ir priklausomybės; taikyti saugos pataisas ir peržiūrėti versijų ciklas kalbos ir TVS.
- Saugi prieiga iki SFTP/SSHraktų rotacija ir politikos minimalios privilegijos su failų teisių valdymu.
- Stebėsena įvykių, centralizuotų žurnalų, įspėjimų apie neįprastą veiklą ir saugumo auditai ir periodinius įsiskverbimo bandymus.
Mokėjimai ir sukčiavimo prevencija
Pasitikėjimas apsipirkimu internetu priklauso nuo saugių mokėjimų : PCI DSS ir 3D Secure sertifikatus turinčių vartų, CVV patvirtinimo , žetonų išdavimo , virtualių kortelių ir tokių metodų kaip mobiliosios piniginės . Sukčiavimo aptikimo sistema turėtų analizuoti modelius (įrenginius, geolokaciją, greitį, rizikos sąrašus) ir prireikus inicijuoti rankines peržiūras . Aiški grąžinimo ir ginčų politika sumažina nuostolius ir pagerina klientų patirtį.
Saugumo infrastruktūra ir talpinimas
Techninis pagrindas yra svarbus. Kritiniams projektams venkite bendro naudojimo aplinkų ir pirmenybę teikite valdomai arba debesijos infrastruktūrai, izoliuodami svetaines, naudodami perimetro užkardas , apsaugą nuo DDoS, automatines atsargines kopijas ir greitą atkūrimą. Geras tiekėjas siūlo veikimo laiko patikrinimus , kenkėjiškų IP adresų blokavimą , kenkėjiškų programų skenavimą ir palaikymą visą parą. Tokie sertifikatai kaip SOC 2 ir ISO 27001/27017/27018 suteikia garantiją dėl procesų ir kontrolės.
Platformos valdymas, papildiniai ir turinys
TVS ir atvirojo kodo parduotuvėse (angl. headless stores) nuolat atnaujinkite branduolį, temas ir papildinius ; venkite anuliuotų plėtinių, patikrinkite reputaciją ir išbandykite juos testavimo aplinkoje prieš pradedant gamybą. Įdiekite prisijungimo bandymų apribojimus , CAPTCHA, jei reikia, stiprių slaptažodžių politiką ir išjunkite katalogų sąrašus ar klaidų puslapius, iš kurių nuteka slapta informacija . Įdiekite papildomus atsarginius kopijavimus , išorinę saugyklą ir atkūrimo planus , kad sumažintumėte RTO/RPO.
Valdymas, atitiktis ir duomenys
Duomenų valdytojas privalo apibrėžti tvarkymo tikslus ir priemones , dokumentuoti teisinį pagrindą, įgyvendinti duomenų kiekio mažinimą ir palengvinti naudotojų teisių įgyvendinimą. Pridėti pasitikėjimo ženklus ir skaidrią privatumo politiką. Sudėtingoms integracijoms „iPaaS“ platforma su išsamiu registravimu, detalia prieigos kontrole ir debesijos architektūra sustiprina saugumą ir atsekamumą; reguliuojamiems sektoriams naudinga laikytis tokių reglamentų kaip BDAR, CCPA, HIPAA ar FERPA .
Žmonės, procesai ir skaitmeninė higiena
Žmogiškasis elementas yra labai svarbus: nuolatiniai mokymai apie apsaugą nuo sukčiavimo apsimetant, saugus el. pašto ir tinklų naudojimas, išimamų įrenginių kontrolė, atnaujinimų sertifikavimas ir užšifruoti kanalai. Venkite viešojo „Wi-Fi“ arba naudokite VPN. Galiniuose įrenginiuose nuolat atnaujinkite antivirusines / kenkėjiškas programas naikinančias programas ir užkardas ir apibrėžkite incidentų reagavimo planą su priskirtais vaidmenimis, ryšio protokolais ir praktinėmis pratybomis.
Žvilgsnis į ateitį: pažangi analizė ir dirbtinis intelektas
Svarbiausi klausimai, kuriuos dažnai gauname
Ar įmanomas absoliutus saugumas? Ne, tačiau daugiasluoksnis metodas su WAF, MFA, šifravimu, auditu ir reagavimu smarkiai sumažina riziką ir poveikį.
Kokius tiekėjų sertifikatus turėčiau teikti pirmenybę? Bent jau SOC 2 ir ISO 27001 ; jei tvarkote debesijos ar asmens duomenis, apsvarstykite galimybę atitikti ISO 27017/27018 ir PCI DSS standartus mokėjimams.
Šių praktikų taikymas paverčia saugumą pardavimų skatintoju : tai pagerina konversiją, apsaugo jūsų reputaciją ir sukuria ilgalaikius pasitikėjimo santykius su klientais.
