E-commerce

Вы можете скачать буклет "Кибербезопасность в ритейле и e-commerce" по ссылке.

Растущий рынок e-commerce сталкивается с серьезными киберугрозами, направленными на кражу личных данных покупателей и финансовое мошенничество. 

Предприятия электронной коммерции - работают с большим массивом данных клиентов и онлайн транзакций. Поэтому безопасность предприятий отрасли e-commerce – это в первую очередь безопасность персональных данных и платежей клиентов онлайн магазина.

Если хакеры получат доступ к конфиденциальным данным, включая личные данные клиентов или информацию о кредитных картах это может привести к многочисленным негативным последствиям. 

Мотивы атак на предприятия e-commerce: вымогательство, недобросовестная конкуренция, личные мотивы. Основные причины - кража базы пользователей, нарушение работоспособности магазина, получение доступа к отдельным учетным записям, шантаж и мошенничество с целью получения товаров.

Типы и методы кибератак на предприятия e-commerce:

• Финансовые махинации
• Спам.
• Фишинг
• Боты
• DDoS-атаки
• Брутфорс
• SQL-инъекции
• XSS
• Вредоносные программы 

Задачи ИБ в e-commerce:

• Обеспечить финансовую стабильность
• Обеспечение безопасности корпоративных ресурсов (информационная инфраструктура, веб-ресурсы);
• Защита конечных устройств;
• Защита чувствительной информации и персональных данных;
• Соответствие требованиям регуляторов;
• Предотвращение утечек информации;
• Выявление внутренних злоупотреблений и нелояльных сотрудников.

Решения кибербезопасности для электронной коммерции:

• Регулярные ИБ тренинги - для повышения осведомленности персонала в вопроссах информационной безопасности;
• Аудит информационной безопасности и инструменты сканирования сети для обнаружения и предотвращения эксплуатации уязвимостей, своевременного патчинга;
• Анализ безопасности кода - для поиска потенциальных уязвимостей, ошибок и угроз безопасности приложений;
• Корректная сегментация сети - для лучшего контроля сетевого трафика и повышения эффективности систем кибербезопасности;
• Системы защиты от DDoS-атак - идентификации и фильтрации "плохого" трафик до того, как он достигнет вашего ресурса. Позволяют следить за поведением посетителей и блокировать нелегитимную активность. Использование защиты от DDoS-атак позволяет сократить время простоя ресурсов и минимизировать бизнес-риски;
• NTA (Network Traffic Analysis) - для обнаружение аномалий в трафике и выявление кибератак на ранних этапах;
• Межсетевые экраны и системы обнаружения и предотвращения вторжений (IDS/IPS) - для защита периметра сети, блокировка несанкционированного доступа и обнаружения потенциально вредоносного трафика;
• WAF (Web Application Firewall) - для защиты веб-ресурсов с помощью межсетевых экранов приложений от таких атак, как межсайтовая подделка запроса (CSRF), межсайтовый скриптинг (XSS), SQL-инъекция и других угроз; 
• Защита конечных точек для снижения риска заражения программами и вирусами, шифрования информации, соблюдения соответствия политикам и регламентам ИБ;
• VPN - для организацию безопасного удаленного доступа к сети и создания зашифрованного канала связи с помощью;
• DLP системы - для предотвращения утечки конфиденциальных материалов, а именно анализа и блокировки данных, передаваемых с помощью электронной почты, мессенджеров, интернет-ресурсов и других источников;
• Системы управления доступом (IDM, PIM) - для контроля жизненного цикла учетных записей и разграничения прав доступа к сегментам сети;
• Решения для управления сетевым доступом (NAC) - для инвентаризации устройств, обеспечения видимости и контроля подключений к корпоративной сети;
• Системы классификации данных - для повышения безопасности конфиденциальной информации путем классификации, определения пользователей, взаимодействовавших с документами, упрощения доступа, поиска и отслеживания данных, а также устранения дублирований;
• SIEM системы - для централизованного мониторинга информационной безопасности, сбора и анализа данных от инструментов кибербезопасности.

Требования регуляторов для предприятий электронной коммерции:

• 152-ФЗ: «О защите персональных данных», 
• GDPR (персональные данные).
• PCI DSS. Законы требуют от компаний принятия на себя обязательств по обеспечению безопасности данных клиентов. Любая компания, управляющая транзакциями по кредитным картам, должна соответствовать требованиям PCI-DSS, касающимся защиты данных о держателях карт