Viac ako polovica všetkých nákupov na svete už prebieha cez internet. Tento trend potvrdzujú aj najnovšie čísla z Eurostatu – v roku 2016 si cez internet kúpilo nejaký produkt až 56 % Slovákov. Nakupovanie v e-shopoch ale okrem pohodlia pre zákazníkov prináša aj značné bezpečnostné riziká. V článku sa dozviete, ako si s nimi čo najlepšie poradiť.
Pre elektronický obchod nie je nič dôležitejšie ako dôvera zákazníkov. Stačí trochu „deravá“ webstránka či nedostatočné bezpečnostné opatrenia, vedúce k zneužitiu platobných či osobných údajov zákazníkov, a môže dôjsť k zásadnému poškodeniu reputácie e-shopu. Nejde o maličkosť – v minuloročnom prieskume nám až 16 % slovenských a českých firiem priznalo priamu skúsenosť s hacknutím. V prípade úniku citlivých dát klientov dokáže poškodená reputácia narobiť veľké problémy aj firmám s miliónovými obratmi.
Preto sme pre vás pripravili 20 rád ako zvýšiť bezpečnosť vášho e-shopu.
1. Zvoľte si bezpečný a spoľahlivý hosting
Základným kameňom každého e-shopu alebo webstránky predajcu je hosting – teda virtuálny priestor, v ktorom je „uložený“ váš e-shop. Je dôležité vybrať si naozaj spoľahlivého poskytovateľa hostingu, ktorý vás ochráni pred útokmi z vnútornej i vonkajšej infraštruktúry a drží krok s najnovšími bezpečnostnými trendmi. Zaujímajte sa o monitorovanie a prevenciu útokov, pravidelné aktualizovanie a opravu bezpečnostných chýb, či možnosť obmedzenia šírenia infikovaných súborov v sieti po jej napadnutí.
Tí náročnejší z vás sa môžu zaujímať aj o možnosť hostovania vlastného servera, ktorý je možné dodatočne zabezpečiť vlastným šifrovaním, či o krajinu, v ktorej sú servery umiestnené (kvôli zákonom o ochrane súkromia). Ideálnymi destináciami sú v tomto prípade Švajčiarsko, Švédsko alebo Island.
Dôležitým aspektom bezpečnosti sú aj firewally a ich možnosti. Ak vám nedokáže provider poskytnúť hosting s dostatočnou ochranou, zvážte možnosť vlastného hostingu. Pri jeho zriaďovaní vám rozhodne odporúčame konzultácie s bezpečnostnými expertmi.
2. Vyberte si bezpečný CMS systém
Pri tvorbe e-shopu je rovnako ako bezpečný hosting dôležitá aj voľba dôveryhodného CMS systému. Pri výbere toho správneho riešenia treba brať ohľad na viacero parametrov, ako napríklad na programovací jazyk, v ktorom bol daný CMS systém vytvorený. Jedným z hlavných dôvodov, prečo si daný CMS systém vyberiete, by však mala byť jeho bezpečnosť a otvorenosť (open source projekt). Pri výbere správneho CMS systému vám môže poslúžiť web CSM Martix.
Zatiaľ čo vo svete má najväčšie zastúpenie WooCommerce, ktorého základom je WordPress, mnohí odborníci označujú za bezpečnejší CMS systém Magento. Ten používajú aj spoločnosti Nike, Coca-Cola, Nestlé alebo Burger King. Za zmienku však rozhodne stoja aj Drupal a RefineryCMS, či e-commerce platformy OpenCart, Shopify či PrestaShop.
3. Nová funkcia = nová hrozba
Je prirodzené, že každý e-shop a web sa časom musí vyvíjať. S novými možnosťami a funkciami však prichádzajú aj nové hrozby. Pri implementácii noviniek vo vašom e-shope by ste tak mali zvoliť ako top prioritu ich bezpečnosť, aby sa nestalo, že pridaním novej funkcie ohrozíte bezpečnosť celého systému.
Prioritou číslo jedna by pre vás mala byť vždy bezpečnosť.
Zvýšenú pozornosť treba venovať rôznym „3rd party“ ako aj vlastným vyvinutým „proprietárnym“ pluginom a doplnkom v CMS systémoch, ktoré sú samostatnými prvkami systému s nedostatočnou úrovňou ochrany. Práve tie sú často zdrojom rôznych bezpečnostných dier a zraniteľností, cez ktoré je možné hacknúť celú stránku. (Na ich etické vyhľadávanie sa naopak zameriava služba Hacktrophy.) Preto je naozaj dôležitá aj ich pravidelná aktualizácia a sledovanie zmien, ktoré môžu občas priniesť aj nový druh zraniteľnosti.
Pokiaľ vami vybraný plugin nedostáva pravidelné aktualizácie, porozhliadnite sa po jeho alternatíve alebo komunikujte s developermi o možnostiach pravidelnejších update-ov s opravami chýb.
4. Bezpečnostné pluginy pre CMS systémy
Pokiaľ ste si na beh vášho e-shopu alebo webstránky vybrali CMS systém WordPress, jeho bezpečnosť môžete zvýšiť aj použitím bezpečnostných pluginov. Ich ponuka je dnes naozaj bohatá, a tak vyberáme niekoľko pluginov, ktoré by nemali ujsť vašej pozornosti:
Ak si vyberiete iný CMS systém, informujte sa o možnostiach doinštalovania doplnkov, ktorými dokážete zvýšiť jeho bezpečnosť. Či už pôjde o základný Captcha systém, alebo zložitejšie riešenia, ako napríklad ochrana pred DoS a DDoS útokmi. Výrazné zvýšenie bezpečnosti vášho CMS systému dosiahnete aj nasadením WAF (webového aplikačného firewall-u), napríklad mod_security do webového servera (Apache, NGINX).
Kvalitný CMS systém by sa tejto téme mal venovať aktívne a komunikovať ju svojim používateľom.
5. Integrácia služieb tretích strán
Samostatnou kapitolou, ktorá si zaslúži vašu pozornosť, je integrácia služieb tretích strán. Dôležitou je najmä svedomitá voľba platobnej brány, ktorá by mala byť lokalizovaná do slovenčiny a mala by ponúkať dostatočné zabezpečenie.
Odporúčame tiež zvoliť takú platobnú bránu, ktorá spracúva dáta o zákazníkoch samostatne a vám v konečnom dôsledku ponúkne len informáciu o úspešnosti platby. V tom prípade do istej miery prenesiete právnu zodpovednosť za platobné údaje vašich zákazníkov na prevádzkovateľa platobnej brány a nemusíte sa zaoberať PCI DSS auditmi, ktoré sú časovo i finančne náročné.
5 krokov ako si správne vybrať platobnú bránu:
-
- Interná alebo externá
Rozhodnite sa, či chcete platobnú bránu prevádzkovať priamo vo vašom e-shope, alebo ju chcete využívať vo forme externej služby. Každé z týchto riešení má svoje pre a proti. Najväčšou nevýhodou interného riešenia sú už spomínané PCI DSS audity (viac v bode č.5). - Zoznam funkcií a možnosti integrácie
Presvedčte sa, že danú platobnú bránu môžete integrovať do vášho CMS systému. Zamerajte sa tiež na funkcie, ktoré ponúka – typ podporovaných platobných kariet, podpora platby cez služby typu PayPal či platba v kryptomenách. Ako obchodníka by vás tiež mali zaujímať výpisy platieb, časový interval od zaplatenia po prevod peňazí na váš účet, či možnosti administrácie. - Poplatky
Niektoré platobné brány si za platby účtujú percentá z prevedenej sumy, iné ponúkajú fixné poplatky za všetky druhy platieb a niektoré platobné brány fungujú na základe mesačných poplatkov. Vyberte si taký typ platobnej brány, ktorá najviac vyhovuje vášmu typu biznisu. - Podpora
Hoci na to mnoho obchodníkov nemyslí, podpora zo strany poskytovateľa platobnej brány je naozaj dôležitá. Najlepšie, ak je poskytovaná 24/7 a v jazyku, ktorým sa dorozumiete. - Bezpečnosť
Každá bezpečná platobná brána by mala akceptovať pravidlá PCI štandardu. Ten definuje súbor pravidiel a povinností, ktoré je potrebné dodržiavať pri práci s platobnými kartami a údajmi na nich. Pri výbere platobnej brány sa tiež informujte o pravidelnosti bezpečnostných aktualizácií a o tom, akú dodatočnú ochranu ponúka dané platobné riešenie.
- Interná alebo externá
6. Vyhýbajte sa najčastejším zraniteľnostiam
Váš e-shop môže obsahovať množstvo chýb, ktoré môžu zneužiť zlí hackeri. Podľa štatistík OWASP ide najmä o vloženie nechceného (SQL) kódu, zle ošetrovaného „uploadu“, chybný manažment overenia totožnosti a prebiehajúcich relácií a zraniteľnosti typu XSS.
Obrázok: TOP 10 najčastejších bezpečnostných nedostatkov webstránok podľa OWASP.
Existuje hneď niekoľko možností, ako sa chrániť pred vložením SQL kódu, ako aj pred cross-site scripting útokmi. Platí však, že ochrana by mala byť čo najviac univerzálna a nemali by ste sa zameriavať len na niekoľko typov hackerských útokov.
Poznáme dva všeobecné prístupy k filtrovaniu nebezpečného obsahu:
-
-
- Blacklisting – v princípe povoľuje všetky typy pripojení. Deteguje a filtruje len nebezpečné vstupy. V prípade webovej aplikačnej bezpečnosti a prístupu do administratívneho prostredia e-shopu sa tento postup neodporúča.
- Whitelisting – funguje tak, že sú povolené len určité typy pripojení (vstupov) a všetky ostatné spojenia sú blokované (princíp firewall-u). Tento prístup je v otázke online bezpečnosti odporúčaný a mal by nahradiť blacklisting prístup, aspoň v administratívnej časti vášho riešenia.
-
7. Nastavenia limitov a bezpečnostných pravidiel
Hoci za tvorbou vírusu či infikovaného súboru stojí vždy človek – zlý hacker – ich následné šírenie je v drvivej väčšine prípadov automatizované. Počítačové skripty a samostatne fungujúce roboty hľadajú donekonečna cestu ako infikovať čo najviac súborov na vašom webe.
Nastavením limitov a bezpečnostných pravidiel však môžete znížiť pravdepodobnosť šírenia infekcie vašim systémom. V tomto prípade je nutné zamerať sa najmä na sieťovú časť vášho online riešenia a obmedziť podozrivé pripojenia a opakujúce sa sieťové požiadavky rovnakého typu. Na to vám môžu poslúžiť aplikačné firewall-y. Samostatnú ochranu si samozrejme zaslúžia aj viackrát spomínané citlivé dáta.
Pri tvorbe bezpečnostných pravidiel vo vašej spoločnosti vám ako dobrý príklad môže poslúžiť americká Federálna obchodná komisia. Tá vo všeobecnom návode na tvorbu bezpečnostných pravidiel ponúka 5 základných krokov:
-
-
- Analyzujte: Zistite, aký typ a aký objem citlivých dát uchovávate vo vašich serveroch, systémoch a osobných počítačoch zamestnancov.
- Škálujte: Uchovajte len tie dáta, ktoré naozaj potrebujete vo svojom biznise.
- Uzamknite: Bezpečne ochráňte všetky dáta, ktoré ste sa rozhodli uložiť vo vašom systéme.
- Kontrolujte a odstraňujte: Zlikvidujte všetky dáta, ktoré sú neaktuálne alebo ich už nepotrebujete pri vašom podnikaní.
- Plánujte: Plánujte to, ako sa o vaše dáta budete starať v prípade expanzie. Plánujte tiež kroky, ktoré podniknete v prípade, že o niektoré z vašich dát prídete. Buďte predvídaví a pripravení na každú situáciu!
-
8. Šifrovanie
Dnes je už nutnosťou, aby vaša stránka ponúkala šifrované pripojenie. Základom je SSL certifikát, ktorý zabezpečuje šifrované pripojenie používateľov, pokiaľ sú na vašom webe alebo e-shope. HTTP protokol zabalený do bezpečného SSL/TLS spojenia (HTTPS) u klientov vyvoláva dojem, že ich komunikácia s vami je v bezpečí (nie vždy to však zaručuje bezpečnosť celého riešenia). A pokiaľ zákazník získa dojem, že je v bezpečí, oveľa radšej u vás bude nakupovať a je väčšia šanca, že sa na váš e-shop vráti aj v budúcnosti.
Pokiaľ váš zákazník získa pocit, že nakupuje v bezpečnom e-shope, oveľa radšej u vás bude nakupovať aj v budúcnosti.
9. Zálohujte
Zálohovanie je odporúčanou praktikou nielen v oblasti webových stránok a elektronických obchodov. Ide o základný pilier bezpečnosti ako takej a ponúka možnosť vrátiť váš systém do pôvodného stavu po tom, ako ho napadne hacker, infikuje ho agresívny vírus alebo zlyhá niektorý zo softvérových či hardvérových prvkov. Ak ste doteraz nezálohovali svoje dáta, mali by ste s tým okamžite začať!
10. Pravidelné aktualizácie
Ak vám pravidelné aktualizácie operačných systémov vo vašich zariadeniach pripadajú ako zbytočnosť, opak je pravdou. Drvivá väčšina automatizovaných hackerských útokov by mala v prípade vždy aktuálneho systému radikálne menší dosah, prípadne by nebola vôbec úspešná. Dbajte preto na to, aby ste používali vždy najaktuálnejšiu verziu operačného systému a všetkých používaných aplikácií a služieb, ktorá okrem nových funkcií môže častokrát opraviť aj kritické bezpečnostné chyby a nedostatky.
11. Ochrana pred DoS a DDoS útokmi
Univerzálnou ochranou môžu byť služby založené na cloudovom riešení, napríklad Cloudfare. Tie pôsobia ako sprostredkovatelia bezpečnostných riešení pre online služby rôzneho typu. Okrem zvýšenia výkonu webovej stránky ponúkajú aj ochranu pred DoS a DDoS útokmi, ako aj ďalšími typmi útokov. Principiálne ide o externý filter webovej prevádzky, ktorý útoky eliminuje skôr, ako sa stihnú dostať na úroveň vášho e-shopu či webstránky.
Internou ochranou pred týmito typmi útokov sa však môže stať aj už spomínaný WAF (napríklad modul mod_evasive, ktorý je vyslovene určený proti DDoS útokom). Jeho výhodou sú financie, nakoľko ide o riešenie, za ktoré nemusíte nikomu pravidelne platiť.
12. Firemná politika hesiel
Heslá z pohľadu administrácie e-shopu
Pre zvýšenú ochranu vášho webu je potrebné používať silné heslo, pri ktorého tvorbe je nutné dodržať niekoľko pravidiel. Heslo musí byť dostatočne dlhé, nemalo by obsahovať vaše meno a priezvisko, malo by obsahovať veľké aj malé písmená, čísla aj znaky.
Vo všeobecnosti ale platí, že zložitosť a teda aj sila hesla rastie exponenciálne s jeho dĺžkou, a tak sa odporúča použitie dlhšej heslovej frázy, ktorú si ľahko zapamätáte, no nie je s vami či firmou priamo spätá. Taktiež sa odporúča, aby ste si heslo nepísali na papier, ktorý si následne nalepíte na monitor svojho počítača alebo vložíte do peňaženky. 🙂
Silu vášho hesla si môžete skontrolovať cez viacero nástrojov (napríklad Passwordmeter).
Silné heslo je základným bezpečnostným prvkom administratívnej časti vášho e-shopu, ale aj prístupovej časti zo strany zákazníkov.
Okrem silného hesla vám rozhodne odporúčame aj používanie tzv. 2-stupňovej autentifikácie, ktorá identitu okrem hesla overí napríklad aj zaslaním SMS správy alebo generovaním kódu zo špeciálnej mobilnej aplikácie.
Heslá z pohľadu zákazníkov e-shopu
Aj na klientskej strane odporúčame podporovať čo najbezpečnejšiu politiku hesiel vrátane spomínaného dvojfaktorového overovania. Je dôležité, aby váš systém neakceptoval príliš jednoduché heslá používateľov, heslá, ktoré súvisia s prihlasovacím loginom, a tie heslá, ktoré patria do zoznamu najčastejšie používaných hesiel. Vo WordPresse môžete využiť aj plugin Force Strong Password.
Dôležitá je aj anonymizácia. Namiesto hlášok „nesprávne prihlasovacie meno“ či „nesprávne heslo“ by mal systém vypísať radšej informáciu „nesprávne prihlásenie“, prípadne „zadali ste nesprávne meno alebo heslo“. Vtedy útočník nebude vedieť, ktorá časť autorizačnej dvojice je chybná.
Samozrejmosťou by malo byť aj obmedzenie zadania nesprávnych prihlasovacích údajov. Jednou možnosťou je dočasné zamietnutie prihlásenia na istú dobu (napríklad po 5 nesprávnych pokusoch nie je možné prihlásenie ďalších 15 minút), prípadne dočasné zablokovanie účtu po X-násobnom zadaní nesprávnych prihlasovacích údajov, kým nie je dodatočne overená totožnosť prihlasujúceho sa používateľa.
Zaužívanou praktikou sú aj kontrolné otázky, ktoré sú vytvárané počas registrácie a systém sa na ne používateľa opýta počas prihlasovania v momente, keď si nie je istý jeho identitou. Ich problémom je však to, že množina odpovedí je príliš malá alebo ľahko zistiteľná – napríklad z údajov, ktoré o sebe zdieľajú ľudia na sociálnych sieťach.
13. Ochrana pomocou VPN
Extra vrstvou ochrany vášho administratívneho rozhrania môže byť aj kombinácia reštrikcie IP adries a VPN pripojenia, prípadne TLS pripojenia s nutnosťou použitia klientskych TLS certifikátov. Samostatným šifrovaním pripojením, ktoré je navyše možné uskutočniť len z vášho PC, takmer odstránite možnosť sledovať komunikáciu medzi vašim PC a firemným systémom.
VPN pripojenie je pritom možné použiť aj pri prihlasovaní sa na stránky s citlivým obsahom cez nedôveryhodné siete, či zo zahraničia. Týmto spôsobom môžete do istej miery ochrániť napríklad aj prístup zamestnancov do administratívneho rozhrania vášho e-shopu cez nezabezpečené Wi-Fi siete v dovolenkových rezortoch alebo na letiskách.
14. Penetračné testy a bezpečnostné audity
Penetračné testy sú jednorazovým testom bezpečnosti počítačového systému. Simulujú rozsiahly kybernetický útok a upozorňujú na bezpečnostné nedostatky, ktoré by mohli viesť k úniku a zneužitiu dát, prípadne k nefunkčnosti vášho e-shopu. Testovanie tzv. pentestom sa odporúča pri spustení novej webovej stránky alebo e-shopu ako prvý krok k dosiahnutiu vyššej bezpečnosti celého riešenia.
Podobne ako penetračný test, nárazovým preverením potenciálnych hrozieb je aj bezpečnostný audit. V ňom sa skúma, či spoločnosť a jej systém podliehajú prísnym bezpečnostným pravidlám a aké kroky by mali podstúpiť, aby im v prípade nájdenia nedostatku vyhoveli. Pentesty a audity vykonávajú napríklad firmy ako Citadelo, Nethemba či Eset.
15. Testovanie zabezpečenia e-shopu etickými hackermi
Ďalšou možnosťou testovania bezpečnosti elektronického obchodu sú tzv. bug bounty programy, aké nájdete v európskom Hacktrophy alebo v amerických Hackerone a Bugcrowd. O ich význame si môžete prečítať v samostatnom článku. Výhodou bug bounty programov je to, že platíte len za chyby, ktoré etickí hackeri reálne objavia vo vašom systéme. V porovnaní s penetračnými testami je tento typ testovania zvyčajne lacnejší a priebežný – komunita etických hackerov vašu bezpečnosť testuje dlhodobo a za vopred stanovené odmeny.
Pentest ponúka jednorázový test bezpečnosti e-shopu v danom čase. Bug bounty program zabezpečuje kontinuálne testovanie v spolupráci so stovkami expertov.
Zapojenie spoločnosti do bug bounty programu je možné buď po vykonaní penetračného testu, alebo aj bez neho – napríklad, keď si do e-shopu doprogramujete novú funkcionalitu, ktorá môže obsahovať bezpečnostné diery. V prípade, že nemáte dostatok financií na vykonanie bezpečnostného auditu, je Hacktrophy ideálnym riešením.
16. Sledovanie trendov
Pokiaľ sa o bezpečnosť vášho produktu stará interný tím špecialistov alebo vy sami, odporúčame vám sledovať aj online databázy známych chýb a bezpečnostných nedostatkov podľa softvéru či CMS, ktoré používate (napríklad Exploit Database, OSVDB či CVE). V nich môžete nájsť informácie o hrozbách, ktoré sa týkajú aj vášho systému. Medzi vhodné zdroje, ktoré sa tiež oplatí sledovať, patrí napríklad The Hacker News alebo Stop The Hacker.
Zaujímavé články a informácie o online hrozbách týkajucich sa slovenských a českých spoločností nájdete aj na našom blogu o IT bezpečnosti.
17. Vzdelávajte svojich zamestnancov
Až 32 % všetkých prípadov straty dát má na svedomí ľudské zlyhanie. Aj preto je neustále vzdelávanie vás a vašich zamestnancov v témach online bezpečnosti takmer nutnosťou. Kurzy a školenia tohto typu ponúkajú aj slovenské spoločnosti Nethemba a Citadelo.
Okrem vzdelávania je nutné vo vašej firme stanoviť aj striktnú bezpečnostnú politiku pre zamestnancov. Tá by mala ohraničovať podmienky používania súkromných zariadení, obmedzovať používanie sociálnych sietí cez pracovnú dobu či stanovovať prísne pravidlá narábania s citlivými údajmi.
Zodpovednosť za bezpečnosť vášho e-shopu a citlivých údajov zákazníkov majú aj všetci vaši zamestnanci.
Porušenie týchto pravidiel by totižto podľa novej normy na ochranu osobných údajov (GDPR) mohlo vašu spoločnosť vyjsť poriadne draho – v extrémnych prípadoch vám hrozí pokuta vo výške 20 miliónov eur alebo 4 % ročného obratu.
Bezpečnostná politika pre zamestnancov môže byť pokojne súčasťou ich pracovnej zmluvy. Predídete tak úniku dát a zbytočným problémom, ktoré by mohla spôsobiť nezodpovednosť vašich zamestnancov. Pozor však na to, že podľa slovenského zákonníka práce môže ručiť človek v zamestnaneckom pomere len za škody do výšky 4-násobku svojho platu. Na projekty s väčšou finančnou hodnotou je tak vhodnejšie „zamestnávať“ živnostníkov alebo súkromné firmy, s ktorými je možné dohodnúť zodpovednosť za škody pomocou NDA alebo inej zmluvy tohto charakteru.
18. Vzdelávajte svojich zákazníkov
Každá minca má dve strany a hoci svoj e-shop zabezpečíte najlepšie ako viete, ešte stále nedokážete predísť všetkým bezpečnostným incidentom. Je dôležité, aby ste o bezpečnosti verejne hovorili a edukovali svojich zákazníkov. Vysvetlite im, prečo neakceptujete jednoduché heslá, prečo používate 2-stupňovú autentifikáciu aj to, aké bezpečnostné opatrenia na svojom webe robíte. Ocenia to a budú vášmu e-shopu viac dôverovať.
19. Právne aspekty e-commerce podnikania
Pri podnikaní na internete platia v otázke právnych aspektov obdobné pravidlá ako pri klasickom podnikaní. Je preto potrebné vypracovať bezpečnostný projekt, ktorý obsahuje bezpečnostný zámer, analýzu bezpečnosti informačného systému, ako aj závery z bezpečnostného zámeru a analýzy bezpečnosti IS.
Pokiaľ si nie ste istí, aké všetky dokumenty je potrebné vytvoriť pri zakladaní e-shopu, poraďte sa so svojim právnikom. Myslite na to ale ešte pred spustením e-shopu, aby ste sa vyhli pokutám zo strany štátnych orgánov ako Česká obchodní inspekce či Slovenská obchodná inšpekcia.
20. Duševné vlastníctvo a ochranné známky
Hoci sa téma ochrany duševného vlastníctva dotýka bezpečnosti vášho e-shopu len okrajovo, nemali by ste na ňu zabúdať. Ešte pred spustením svojho e-shopu si zaregistrujte ochrannú známku na logo a názov vášho e-shopu. Predídete tak možným problémom pri vytvorení kópií vášho e-shopu neprajníkmi.
Jednou z najvzácnejších komodít, s ktorými v dnešnom svete budete obchodovať, je vaša povesť. A to, aby vám ju poškvrnil niekto z konkurencie tým, že okopíruje váš e-shop a bude vystupovať vo vašom mene a kaziť vašu povesť, je posledná vec, ktorú by ste chceli riešiť.
