Информационная безопасность электронной коммерции

В результате изучения материала данной главы студент должен:

знать

• • определение защиты информации;
• • основные меры информационной безопасности;
• • назначение аутентификации, идентификации, поверки целостности, авторизации;

уметь

• • давать оценку информационной безопасности ИТ-инфраструктуры торгового предприятия;
• • применять основные меры информационной безопасности торгового предприятия;
• • использовать цифровые сертификаты для подтверждения подлинности физического лица и веб-узла;

владеть

• • знаниями по криптографической защите данных и применению ЭЦП;
• • навыками применения аутентификации, идентификации, проверки целостности, авторизации для обеспечения информационной безопасности торгового предприятия.

Защита информации

В ст. 16 Федерального закона «Об информации, информационных технологиях и о защите информации» приводится следующее определение защиты информации: «Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:

• 1. 1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
• 2) соблюдение конфиденциальности информации ограниченного доступа;
• 3) реализацию права на доступ к информации.
• 2. Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации, а также ответственности за нарушение законодательства Российской

Федерации об информации, информационных технологиях и о защите информации" .

Одним из важнейших условий осуществления электронного бизнеса является информационная безопасность предприятий, осуществляющих электронные сделки, и их посредников. Она подразумевает защищенность информации и поддержку всей инфраструктуры информационной системы от случайных или преднамеренных воздействий, которые могут нанести вред.

Определять и обеспечивать необходимый уровень защиты своих информационных систем обязаны все участники электронных сделок. К таким системам относятся базы данных, информационные сети, ЦОД, среды хранения документов и сообщений, средства защиты документов и проверки их достоверности, персональные вычислительные устройства пользователей.

Для ряда сфер деятельности применяются повышенные требования к информационной безопасности. К ним относятся банковская деятельность, финансовая деятельность, деятельность оборонных и силовых государственных структур. Меры, обеспечивающие информационную безопасность, подразделяют на технические, организационные и правовые. С внедрением новых информационных технологий третьей волны выросли возможности предприятий, но вместе с тем возросли и угрозы их безопасности. Облачные сервисы, мобильные приложения, социальные сети становятся объектом атак злоумышленников и угрозой информационной безопасности предприятий.

Так, социальные сети ориентированы на доверительное взаимодействие участников. Это позволяет злоумышленникам получать личные данные и персональную информацию о пользователях социальных сетей. Затем эта информация используется для атак на ИТ-структуру предприятий, где работают пользователи социальных сетей. При этом для получения нужной информации злоумышленники используют изощренные методы социальной инженерии. Для нейтрализации таких атак могут использоваться средства защиты, расположенные на персональных устройствах сотрудников предприятия.

Облачные структуры могут быть защищены устройствами как корпоративного уровня, так и на стороне владельцев облачных структур. Для облачных сред уязвимыми являются гипервизоры, виртуальные машины, серверы приложений, пользовательские вычислительные устройства (ПК, ноутбуки, планшеты, смартфоны), сети передачи данных системы хранения данных. Особую опасность представляют пользовательские устройства. Для проникновения в облачную среду злоумышленнику достаточно похитить логин и пароль пользователя, которые используются пользователем для работы с облачным сервисом. В результате злоумышленник получает доступ к конфиденциальной информации предприятия.

Особенностью современных компьютерных атак является их целенаправленность, воздействие на конкретный объект атаки. Веб-приложения — один из основных источников сетевой безопасности. Значительный вред информационной безопасности предприятия приносят спам, распространение интеллектуальных вредоносных программ, халатность сотрудников либо их злонамеренные действия. Одну из серьезных угроз информационной безопасности предприятия представляют целенаправленные продолжительные кибератаки (advanced persistent threats, APT). Снизить вероятность успешности таких атак может использование специальных процедур и механизмов поиска и наказания организаторов и исполнителей таких атак либо применение механизмов, делающих такие атаки сложными и дорогими. Подобные механизмы разработаны в «Лаборатории Касперского» .

Одним из ведущих системных интеграторов России в области информационной безопасности является ЗАО РНТ (rnt.ru). В 2014 г. в Российской Федерации образован «Союз защитников информации». Это отраслевое сообщество, объединяющее организации-совладельцы лицензий ФСТЭК, ФСБ России и специалистов в сфере обеспечения информационной безопасности.