Выдержка из текста работы
Задачи в области обеспечения безопасности электронной коммерции определяются объектами защиты. При этом, как отмечалось, необходимо выделить проблему защиты информации, т. е. информационную безопасность, под которой понимается состояние защищенности информационной среды.
Это обусловлено множеством причин, главные из которых заключаются:
• в новизне проблемы обеспечения безопасности электронной коммерции;
• отсутствии четко сформулированной системы обеспечения информационной безопасности;
• отставании России в области современных информационных технологий.
Основные направления решения проблем правового обеспечения в области информационной безопасности заключаются:
• в совершенствовании законодательства;
• разработке правил администрирования в сфере разработки и производства систем и средств обеспечения безопасности;
• совершенствовании системы страхования, связанной с обеспечением информационной безопасности.
Правовое регулирование сферы обеспечения безопасности основано на принципе защиты любого информационного ресурса, ценного для его владельца или собственника.
Правовую основу при этом составляют:
• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• законы «О безопасности», «О государственной тайне», «Об информации, информационных технологиях и о защите информации».
Правовой режим информации, правила, процедуры и распределение ответственности в области защиты информации и систем ее обработки определены в Федеральном законе «Об информации, информационных технологиях и о защите информации». В нем установлен порядок правовой защиты и гарантии реализации прав и ответственности субъектов информационных взаимо-отношений. В соответствии с этим Законом собственником информационных ресурсов является субъект, в полном объеме реализующий полномочия владения, пользования и распоряжения ими.
Информационные ресурсы в составе имущества могут находиться в собственности юридических и физических лиц. Отношения по поводу прав собственности на информационные ресурсы регулируются гражданским законодательством.
Правовой режим информационных ресурсов определяет:
• порядок документирования информации на бумажных и электронных (магнитных) носителях;
• права владения, пользования и распоряжения на отдельные документы, массивы информации в информационных системах;
• категории информации по уровню доступа к ней;
• порядок правовой защиты информации.
В соответствии с гражданским законодательством информация может составлять коммерческую тайну в том случае, если она:
• имеет действительную или потенциальную коммерческую ценность;
• неизвестна третьим лицам;
• к ней нет свободного доступа на законном основании;
• обладатель информации принимает меры к охране этой информации.
В соответствии с Законом «О конкуренции и ограничении монополистической деятельности на товарных рынках» и гражданским законодательством лица, незаконными методами получившие информацию, составляющую коммерческую тайну, обязаны возместить причиненные владельцу убытки.
Таким образом, фиксируется право собственника информации охранять свои интересы во взаимоотношениях со всеми субъектами рынка, включая государство.
Администрирование в области разработки и производства систем и средств обеспечения безопасности информации осуществляется государственными органами — Государственной технической комиссией и Федеральным агентством правительственной связи и информации.
К функциям этих органов относятся:
• координация деятельности организаций и предприятий с различными формами собственности в области защиты информации, обрабатываемой техническими средствами;
• организационно-методическое руководство этой деятельностью, включая разработку нормативно-технической документации;
• лицензирование деятельности предприятий и организаций по оказанию услуг в области защиты информации.
Технические, программно-технические и программные средства, системы, компьютерные сети и другие средства защиты и контроля эффективности защиты информации подлежат сертификации на соответствие требованиям по безопасности информации. Осуществляется она в соответствии с Положением о сертификации средств защиты информации, введенным постановлением Правительства РФ № 608.
При этом надо иметь в виду, что в вопросах сертификации средств защиты информации, и в особенности средств вычислительной техники и компьютерных систем, мы значительно отстали от развитых стран.
Риски в электронной коммерции
Необходимое условие эффективности любой экономической системы — экономическая свобода, которая предполагает наличие у экономического агента определенной совокупности прав, гарантирующих ему автономное, самостоятельное принятие решений. Экономическая свобода является источником неопределенности и риска, так как свободе одного экономического агента сопутствует одновременно и свобода других.
В условиях рыночной экономики риск — ключевой элемент предпринимательства. Предприниматель, умеющий вовремя рисковать, зачастую оказывается вознагражденным. Характерные особенности риска — неопределенность, неожиданность, неуверенность и предположение, что успех придет.
В условиях политической и экономической нестабильности степень риска значительно возрастает. В современных условиях экономики России проблема усиления рисков весьма актуальна, что подтверждается данными о росте убыточности предприятий промышленности.
Риск связан с конкретной рисковой ситуацией и возникает, когда решение вырабатывается в условиях неопределенности или осуществляется выбор из нескольких трудно-сопоставимых вариантов. Поэтому требуется оценить вероятность достижения заданного результата и выявить возможность неудачи. В предпринимательской деятельности рисковая ситуация связана с понятием собственности, прибыли и вероятностью потерь.
Предприниматель может понести потери в виде дополнительных расходов, не предусмотренных прогнозом, программой его действий, или получить доходы ниже того уровня, на который он рассчитывал. Снижение величины предполагаемого дохода, или упущенная выгода, также входит в категорию риска.
В абсолютном выражении риск может определяться величиной возможных потерь в материально-вещественном (физическом) или стоимостном (денежном) выражении, если вид такого ущерба поддается измерению в данной форме (математическое ожидание).
В относительном выражении риск определяется как величина возможных потерь, отнесенная к некоторой базе.
Все факторы, так или иначе влияющие на рост степени риска деятельности предприятия, можно условно разделить на группы: объективные и субъективные.
К объективным относятся факторы, не зависящие непосредственно от самого предприятия: инфляция, конкуренция, анархия, политические и экономические кризисы, экология, таможенные пошлины, наличие режима наибольшего благоприятствования, возможная работа в зонах свободного экономического предпринимательства и т. д.
К субъективным относятся факторы, характеризующие непосредственно данное предприятие: производственный потенциал, техническое оснащение, уровень предметной и технологической специализации, организация труда, уровень производительности труда, степень кооперированных связей, уровень техники безопасности, выбор типа контрактов с инвестором или заказчиком и т. д. Последний фактор играет важную роль для предприятия, так как от типа контракта зависит степень риска и величина вознаграждения по окончании проекта.
Комплексное исследование сущности предпринимательских рисков предполагает характеристику его разновидностей, существующих в реальной экономике. Классификация предпринимательских рисков зависит от источников их возникновения, характера и особенностей учета, методов оценки, возможностей регулирования и минимизации рисков и других оснований и обоснований. В принципе, сколько ситуаций, целей исследований, методик и авторских мнений, столько может существовать определений и классификаций рисков.
Электронная коммерция подвержена рискам в той же, а может, и большей мере, что и коммерция в ее традиционном понимании. Наряду с «классическими» присутствуют и новые, до этого момента неизвестные риски, управление которыми является сложной задачей в силу их неполной изученности, отсутствия четкой классификации и недостаточных навыков анализа.
Не претендуя на полное освещение и классификацию специфических рисков электронной коммерции, представляется целесообразным выделить три группы угроз: вирусы и вредоносные программы, хакерские атаки, а также мошенничества с использованием различных средств передачи данных. Первые две группы угроз вполне могут быть преддверием последней, наиболее значимой группы, поскольку времена написания «шуточных» вирусов и хакерских атак развлекательного характера постепенно уходят в прошлое и основной целью девиантных субъектов компьютерного мира становится обогащение с использованием не слишком законных методов.
Проблема усложняется еще и тем, что криминальные элементы становятся все более изощренными и образованными, а компьютерная среда дает им огромный арсенал средств и методов, позволяющих совершать сложные мошенничества, оставаясь практически анонимными и сложно уловимыми для правоохранительных органов. Кроме того, существует и некоторая не доработанность нормативно-правовой базы, что ставит под угрозу законопослушных пользователей и облегчает задачу криминализированным элементам.
Целью написания вирусов и вредоносных программ, как правило, служит приостановка либо полное отключение аппаратных и программных возможностей объекта атаки, а также получение конфиденциальных сведений о субъекте, будь то физическое или юридическое лицо.
Первыми объектами интереса вирусописателей (оставляя без внимания развлекательный характер написания вредоносных программ) стали данные, необходимые для доступа в Интернет за счет других пользователей. Специальные программы различными путями заносились в компьютер пользователя жертвы, отслеживали имена и пароли, необходимые для доступа во всемирную паутину, а затем передавали эти данные своим создателям.
В дальнейшем такая деятельность стала набирать обороты, поскольку вирусописатели сообразили, что полученные данные можно использовать не только в личных целях, но и продавать заинтересованным третьим лицам, желающим сэкономить на доступе во всемирную паутину. Следующим этапом стало незаконное выяснение личных данных о банковских счетах жертв.
Кроме выяснения конфиденциальных данных, зачастую программы вирусы предназначены для блокирования сетевого ресурса жертвы. В качестве примера здесь можно привести приостановку работы интернет магазина какого-либо предприятия компанией конкурентом.
Кроме специализированного антивирусного программного обеспечения, в борьбе с вредоносными программами хорошим подспорьем будет внимательность пользователя к источникам, из которых информация попадает на его компьютер, а также общая компьютерная грамотность. В штате предприятия целесообразно иметь специалиста или группу специалистов, основной целью работы которых будет защита информации от вирусов и общее работоспособное содержание компьютерного оборудования.
Взлом программного обеспечения и сетевых ресурсов из противоправных действий развлекательного характера со временем превратился в мощное орудие недобросовестной конкуренции. Взламывается абсолютно все: сайты интернет магазинов, провайдеров услуг Интернета, закрытые разделы на платных сайтах и даже сайты государственных учреждений.
Группа угроз, которая здесь условно обозначена как «хакерские атаки», может быть тесным образом связана с первой из трех групп угроз, а именно вирусами и вредоносными программами. Конечно, это не означает, что все вирусописатели являются хакерами и наоборот, все хакеры тратят время на написание вирусов — просто зачастую в своей деятельности хакеры прибегают к богатым возможностям вредоносных программ, позволяющим им проводить свои противоправные действия с гораздо большей эффективностью.
Стопроцентной защиты от хакеров, как, впрочем, и от вирусов, нет и быть не может. Это обусловлено тем, что абсолютно все дыры в программном обеспечении заделать невозможно, хакеры постоянно ищут новые, а когда находят — производят атаку в ответ на их действия разработчики программного обеспечения перекрывают доступ к ресурсу на основе этой уязвимости, а хакеры принимаются за поиск новой возможности для атаки. Получается, что атака хакеров опережает действия людей, им противостоящих.
Но так бывает далеко не всегда: существуют на сегодняшний день специальные программы и сетевые экраны, надежно закрывающие доступ неавторизованным пользователям. Конечно, талантливый хакер сможет обойти и их, но большинство хакеров не столь талантливы и используют несколько устаревшие наработки своих более серьезных коллег, а они уже не эффективны в силу того, что разработчики программного обеспечения тоже не стоят на месте и постоянно выпускают «заплатки» и обновления для своих продуктов, а следующие версии делают все более совершенными и защищенными.
Количество разнообразных видов мошенничества, создаваемых людьми для отъема денег, постоянно растет. Еще более бурный рост вызвало повсеместное развитие новых информационно-коммуникационных технологий, позволяющих криминальным элементам быстро и практически анонимно осуществлять свою противоправную деятельность. Учитывая невообразимое многообразие видов мошенничества, будет предпринята попытка осветить только те, которые в той или иной мере могут угрожать хозяйствующим субъектам и останутся без пристального внимания угрозы для обычных некоммерческих пользователей.
Можно выделить следующие виды мошенничества, связанные:
• с использованием номеров кредитных карт;
• использованием копий легальных сайтов;
• использованием фиктивных торговых площадок;
• инвестициями и возможностьюзаработать;
• несовершенством платежных систем.
Выше обозначенное деление в большей мере условно, поскольку существуют виды мошенничества, затрагивающие если не все, то многие обозначенные элементы, и провести четкую грань, к какому же виду мошенничества относится то или иное, представляется трудноосуществимым.
Мошенничества, связанные с использованием номеров кредитных карт. Под этим видом будем понимать использование реквизитов кредитных карт людьми, которым эти карты не принадлежат. Для начала нужно определить, как мошенники получают доступ к реквизитам. До сих пор, несмотря на бурное развитие информационных технологий, большинство перехватов личных данных происходит в онлайне. В основном сюда относится банальная кража карточки у пользователя, а также различные способы махинаций с банкоматами, вплоть до установки криминальными элементами своих собственных банкоматов, основной целью установки которых является получение сведений о личных данных жертвы, пусть и путем первоначальных довольно солидных затрат, которые с лихвой окупятся в будущем.
Менее многочисленные, но от этого не менее интересные способы получения конфиденциальных данных появляются и в онлайн. Здесь можно отметить бурно развивающийся в последнее время такой вид мошенничества, как «фишинг». Как можно догадаться, «рыбой» в данном случае является жертва, а точнее — ее персональные данные о банковском счете. Методов «фишинга» несколько, но в основном пользователю приходит письмо на фирменном бланке, в котором предлагается отправить свои персональные данные якобы «для перерегистрации» или «обновления базы данных», либо прямым ответом, либо после перехода по ссылке на сайт финансового учреждения. Во втором случае пользователя направляют не на реальный сайт, а на поддельный, на самом деле принадлежащий мошенникам.
В качестве рекомендаций пользователям кредитных карт стоит отметить внимательность и известный скептицизм при различного рода предложениях рассекретить свои персональные данные. Кроме того, необходимо отметить, ни один уважающий себя банк никогда не будет, не только заниматься спамерской рассылкой писем, но уж тем более никогда не попросит отправлять конфиденциальные данные по электронной почте. Подобная информация все чаще и чаще появляется на официальных сайтах финансовых учреждений, что полностью удовлетворяет пользователей, поскольку, согласно опросу, подавляющее большинство их считают, что основную защиту от «фишинга» должны осуществлять именно финансовые учреждения.
От неправомерного использования кредитных карт могут пострадать не только пользователи этих самых карт, но, к примеру, интернет магазины, в которых была произведена покупка с использованием украденных реквизитов. И именно эти интернет магазины при внимательности пользователя жертвы понесут самый ощутимый урон, поскольку сама жертва может элементарно отменить платеж, если возникнут какие-либо подозрения, а расходы интернет магазину по оформлению заказа и отправке товара никто не компенсирует.
Мошенничества, связанные с использованием копий легальных сайтов. В данном случае мошенники берут, к примеру, сайт какого-либо банка, полностью копируют его дизайн, а в качестве адреса сайта используют имя банка с одной «незначительной» опечаткой. Следующим шагом мошенников будет заманивание как можно большего числа клиентов банка на поддельный сайт, где не особо внимательным пользователям будет предложено подтвердить свои реквизиты, которые мошенники в дальнейшем смогут использовать по своему усмотрению.
Кроме подделки сайтов банков, имеет место и использование дизайнов известных интернет магазинов. В этом случае целей у мошенников может быть две: либо использовать сайт исключительно для получения реквизитов банковских карт клиентов, либо получать переводы денег за реально не существующий у них товар. Впрочем, эти две цели могут «удачным» образом сочетаться.
В качестве защиты от подобных противоправных действий стоит порекомендовать воздержаться от перехода на сайты банков и интернет магазинов по ссылкам. Гораздо надежнее каждый раз набирать название сайта в окошке браузера вручную, не доверяя его собственным ссылкам, поскольку в последнее время появились программы, меняющие названия определенных сайтов в закладках браузера на поддельные.
Мошенничества, связанные с использованием торговых площадок. Еще одним видом мошенничества может быть создание фиктивного интернет магазина, как правило, с чрезвычайно привлекательными ценами. После его создания начинается активная раскрутка, индексирование в поисковых системах и реклама на различных досках объявлений. В дальнейшем мошенники приступают к принятию денег за реально не существующий товар либо при помощи кредитных карт (тогда может иметь место и выяснение конфиденциальных сведений), либо при помощи электронных платежных систем. После того как необходимая мошенникам сумма заказов набрана и деньги получены, сайт благополучно закрывается и никакие товары, понятное дело, пользователю не приходят.
Кроме мошенничества с использованием фиктивных интернет магазинов, имеют место и мошенничества с использованием вполне реальных и долгое время существующих торговых площадок, главным образом различных интернет аукционов. Как правило, дело здесь в недобросовестности продавца и использовании электронных платежных систем. За отправленные деньги покупатель получает товар ненадлежащего качества либо вообще не получает ничего.
В России данный вид мошенничества не сильно развит, и дело здесь в природной подозрительности русских людей. Однако в Соединенных Штатах этот вид мошенничества занимает лидирующее место по экономическому ущербу, а учитывая то, что отрицательный опыт перенимается гораздо быстрее положительного, а также значима страсть русского человека к «халяве», можно ожидать, что и у нас скоро данное мошенничество будет на подъеме.
В качестве рекомендаций следует предложить пользователю иметь дело только с проверенными и хорошо себя зарекомендовавшими продавцами либо, если уж желание купить товар дешевле, чем у всех, непреодолимо, — оплачивать товар непосредственно при получении, не поддаваясь соблазну сэкономить еще по предоплате.
Мошенничества, связанные с инвестициями и возможностью заработать. Желание человека заработать денег, а особенно быстро и много, вполне можно понять и с выгодой для себя использовать, чем и занимаются мошенники. Опять же количество «деловых предложений» столь велико, что имеет смысл остановиться на трех наиболее характерных: инвестиции в ценные бумаги, выигрыш в лотерею и так называемые нигерийские письма.
Что касается инвестиций в ценные бумаги, то здесь наиболее распространенная схема следующая: мошенниками покупается довольно большой объем низко ликвидных акций малоизвестного небольшого предприятия. Следующим шагом становится распространение информации о небывалом потенциале для роста именно этих акций, зачастую с привлечением имен крупных корпораций и серьезных экспертов и аналитиков. При достижении пиковой цены на акции мошенниками продается весь пакет, после чего цена довольно быстро возвращается в свое исходное состояние. В итоге мошенники получают значительную прибыль на разнице курсов покупки и продажи, а жертвы мошенничества — столь же значительные убытки.
Небывалый по размерам выигрыш в лотерею — также эффективный способ выманивания денег. Смысл в том, что «счастливчик» выигрывает в лотерею иностранного государства, но для получения выигрыша ему необходимо оплатить различные налоги и сборы, предусмотренные законодательством этого государства. Желание «легких денег» настолько велико, что жертвы с готовностью расстаются с суммами, во много раз меньшими, чем мнимый выигрыш.
Еще один интересный способ мошенничества — так называемые нигерийские письма. На имя адресата приходит письмо от якобы высокопоставленного чиновника из Нигерии, зачастую на бланке какого-либо министерства. В этом письме чиновник просит посодействовать в переводе астрономической суммы денег, «зависшей» на счетах родной страны адресата. В силу ряда причин нигерийский чиновник сам не может договориться с людьми, ответственными за перевод денег, и просит о помощи жертву. Помощь заключается в переводе небольшой взятки на счет людей, которые поспособствуют переводу всей суммы «нигерийцу» и, естественно, солидных комиссионных посреднику. Надо ли говорить, что после того, как жертва переводит деньги взятку, связь с нигерийским чиновником прекращается.
Рекомендациями здесь могут быть только внимательность и всесторонний анализ «инвестиционного» проекта с точки зрения риск—доходность и понимание того, что высокая доходность априори подразумевает столь же большой риск потерять вложенные средства.
Мошенничества, связанные с несовершенством платежных систем. Основным несовершенством здесь является простота, с которой любой субъект может открыть счет в этой системе, точнее, не простота, а отсутствие точной и однозначной идентификации пользователя. В итоге найти человека, которому был осуществлен перевод средств.
Рекомендации здесь могут быть следующие — не переводить деньги неизвестному (либо не вызывающему доверия) субъекту посредством платежной системы, не обеспечивающей точную и однозначную идентификацию пользователя.
Таким образом, несмотря на усложнение применяемых в коммерции технологий и повышения образовательного уровня и технических возможностей девиантных субъектов, свести к минимуму риск возникновения деструктивных последствий рисковых ситуаций можно. Нужно лишь здраво подходить к любому новому начинанию, стараться почерпнуть как можно больше информации по теме вопроса и всегда быть внимательным, когда дело касается любых финансовых операций.
Список литературы:
- Бабенко Л КНовые технологии электронного бизнеса и безопасности / л К Бабенко, В АБыков, О Б Макаревич, О Б Спиридонов — М: Радио и связь — 2001 — 376 с
- Алексунин ВЭлектронная Коммерция и маркетинг в Интернете / В Алексунин, В Родигин — М: Дашков и Ко, 2005 — 216 с
- Балабанов И ПЭлектронная Коммерция / Балабанов И П — СПб: Питер, 2001 — 336 с — (серия \»Учебники для вузов\»)
