Безопасность — это состояние, при котором отсутствует возможность причинения ущерба потребностям и интересам субъектов отношений.
Угроза согласно словарю русского языка определяется как непосредственная опасность, которая носит общий, потенциальный характер, но так как противоречия между субъектами отношений возникают постоянно, то и опасность интересам может существовать постоянно.
Одним из принятых определений является следующее: угроза безопасности — это совокупность условий и факторов, создающих опасность жизненно важным интересам, т. е. угроза представляется некой совокупностью обстоятельств (условий) и причин (факторов).
С юридической точки зрения понятие «угроза» определяется, как намерение нанести зло (ущерб).
Таким образом, угрозу безопасности можно обозначить как «деятельность, которая рассматривается в качестве враждебной по отношению к интересам».
При всем многообразии видов угроз все они взаимосвязаны и воздействуют на интересы, как правило, комплексно. Поэтому для их ослабления, нейтрализации и парирования создается система обеспечения безопасности.
Понятие защита (защищенность) означает ограждение субъекта отношений от угроз.
Обеспечение безопасности — это особым образом организованная деятельность, направленная на сохранение внутренней устойчивости объекта, его способности противостоять разрушительному, агрессивному воздействию различных факторов, а также на активное противодействие существующим видам угроз.
Система безопасности предназначена для выявления угроз интересам, поддержания в готовности сил и средств обеспечения безопасности и управления ими, организации нормального функционирования объектов безопасности.
Задавайте вопросы нашему консультанту, он ждет вас внизу экрана и всегда онлайн специально для Вас. Не стесняемся, мы работаем совершенно бесплатно!!!
Также оказываем консультации по телефону: 8 (800) 600-76-83, звонок по России бесплатный!
Применительно к электронной коммерции определение безопасности можно сформулировать как состояние защищенности интересов субъектов отношений, совершающих коммерческие операции (сделки) с помощью технологий электронной коммерции, от угроз материальных и иных потерь.
Обеспечение безопасности независимо от форм собственности необходимо для любых предприятий и учреждений, начиная от государственных организаций и заканчивая маленькой палаткой, занимающейся розничной торговлей. Различия будут состоять лишь в том, какие средства и методы и в каком объеме требуются для обеспечения их безопасности.
Рыночные отношения с их неотъемлемой частью — конкуренцией основаны на принципе «выживания» и потому обязательно требуют обеспечения защиты от угроз.
По сложившейся международной практике безопасности объектами защиты с учетом их приоритетов являются: человек; информация; материальные ценности.
Опираясь на понятие безопасности и перечисленные объекты защиты, можно сказать, что понятие «безопасность» любого предприятия или организации включает:
• физическую безопасность, под которой понимается обеспечение защиты от посягательств на жизнь и личные интересы сотрудников;
• экономическую безопасность, под которой понимается защита экономических интересов субъектов отношений. В рамках экономической безопасности рассматриваются также вопросы обеспечения защиты материальных ценностей от пожара, стихийных бедствий, краж и других посягательств;
• информационную безопасность, под которой понимается защита информации от модификации (искажения, уничтожения) и несанкционированного использования.
Повседневная практика показывает, что к основным угрозам физической безопасности относятся:
• грабеж с целью завладения материальными ценностями или документами;
• похищение сотрудников предприятия или членов их семей;
• убийство сотрудника предприятия.
В настоящее время ни один человек не может чувствовать себя в безопасности. Не затрагивая специфических вопросов обеспечения физической безопасности, можно сказать, что для совершения преступления преступники предварительно собирают информацию о жертве, изучают ее «слабые места». Без необходимой информации об объекте нападения степень риска для преступников значительно увеличивается. Поэтому одним из главных принципов обеспечения физической безопасности является сокрытие любой информации о сотрудниках предприятия, которой преступники могут воспользоваться для подготовки преступления.
В общем случае можно сформулировать следующие виды угроз экономической безопасности:
• общая неплатежеспособность;
• утрата средств по операциям с фальшивыми документами;
• подрыв доверия к предприятию.
Практика показывает, что наличие этих угроз обусловлено в первую очередь следующими основными причинами:
1) утечкой, уничтожением или модификацией (например, искажением) коммерческой информации;
2) отсутствием полной и объективной информации о сотрудниках, партнерах и клиентах предприятия;
3) распространением конкурентами необъективной, компрометирующей предприятие информации.
Обеспечение информационной безопасности является одним из ключевых моментов обеспечения безопасности предприятия. Как считают западные специалисты, утечка 20 % коммерческой информации в шестидесяти случаях из ста приводит к банкротству предприятия. Потому физическая, экономическая и информационная безопасность очень тесно взаимосвязаны.
Коммерческая информация имеет разные формы представления. Это может быть и информация, переданная устно, и документированная информация, зафиксированная на различных материальных носителях (например, на бумаге или на дискете), и информация, передаваемая по различным линиям связи или компьютерным сетям.
Злоумышленниками в информационной сфере используются разные методы добывания информации. Сюда входят «классические» методы шпионажа (шантаж, подкуп и др.), методы промышленного шпионажа, несанкционированное использование средств вычислительной техники, аналитические методы. Поэтому спектр угроз информационной безопасности чрезвычайно широк.
Новую область для промышленного шпионажа и различных других правонарушений открывает широкое использование средств вычислительной техники и технологий электронной коммерции.
С помощью технических средств промышленного шпионажа не только различными способами подслушивают или подсматривают за действиями конкурентов, но и получают информацию, непосредственно обрабатываемую в средствах вычислительной техники. Наибольшую опасность здесь представляет непосредственное использование злоумышленниками средств вычислительной техники, что породило новый вид преступлений — компьютерные преступления, т. е. несанкционированный доступ к информации, обрабатываемой в ЭВМ, в том числе и с помощью технологий электронной коммерции.
Противодействовать компьютерной преступности сложно, что главным образом объясняется:
• новизной и сложностью проблемы;
• сложностью своевременного выявления компьютерного преступления и идентификации злоумышленника;
• возможностью выполнения преступления с использованием средств удаленного доступа, т. е. злоумышленника может вообще не быть на месте преступления;
• трудностями сбора и юридического оформления доказательств компьютерного преступления.
Обобщая вышеприведенные виды угроз безопасности, можно выделить три составляющие проблемы обеспечения безопасности:
Организационная защита включает организацию охраны и режима работы объекта.
Под инженерно-технической защитой понимается совокупность инженерных, программных и других средств, направленных на исключение угрозы безопасности.
Принципы создания и функционирования систем обеспечения безопасности можно разбить на три основных блока: общие принципы обеспечения защиты, организационные принципы и принципы реализации системы защиты.
К общим принципам обеспечения защиты относятся:
1) принцип неопределенности. Обусловлен тем, что при обеспечении защиты неизвестно, кто, когда, где и каким образом попытается нарушить безопасность объекта защиты;
2) принцип невозможности создания идеальной системы защиты. Этот принцип следует из принципа неопределенности и ограниченности ресурсов, которыми, как правило, располагает система безопасности;
3) принцип минимального риска. Заключается в том, что при создании системы защиты необходимо выбирать минимальную степень риска исходя из особенностей угроз безопасности, доступных ресурсов и конкретных условий, в которых находится объект защиты в любой момент времени;
4) принцип защиты всех от всех. Данный принцип предполагает необходимость защиты всех субъектов отношений против всех видов угроз.
К организационным принципам относят:
1) принцип законности. Важность соблюдения этого очевидного принципа трудно переоценить. Однако с возникновением новых правоотношений в российском законодательстве наряду с хорошо знакомыми объектами права, такими как «государственная собственность», «государственная тайна», появились новые — «частная собственность», «собственность предприятия», «интеллектуальная собственность», «коммерческая тайна», «конфиденциальная информация», «информация с ограниченным доступом». Нормативная правовая база, регламентирующая вопросы обеспечения безопасности, пока несовершенна;
2) принцип персональной ответственности. Каждый сотрудник предприятия, фирмы или их клиент несет персональную ответственность за обеспечение режима безопасности в рамках своих полномочий или соответствующих инструкций. Ответственность за нарушение режима безопасности должна быть заранее конкретизирована и персонифицирована;
3) принцип разграничения полномочий. Вероятность нарушения коммерческой тайны или нормального функционирования предприятия прямо пропорциональна количеству осведомленных лиц, обладающих информацией. Поэтому никого не следует знакомить с конфиденциальной информацией, если это не требуется для выполнения его должностных обязанностей;
4) принцип взаимодействия и сотрудничества. Внутренняя атмосфера безопасности достигается доверительными отношениями между сотрудниками. При этом необходимо добиваться того, чтобы персонал предприятия правильно понимал необходимость выполнения мероприятий, связанных с обеспечением безопасности, и в своих собственных интересах способствовал деятельности службы безопасности.
К принципам реализации системы защиты относят:
1) принцип комплексности и индивидуальности. Безопасность объекта защиты не обеспечивается каким-либо одним мероприятием, а лишь совокупностью комплексных, взаимосвязанных и дублирующих друг друга мероприятий, реализуемых с индивидуальной привязкой к конкретным условиям;
2) принцип последовательных рубежей. Реализация данного принципа позволяет своевременно обнаружить посягательство на безопасность и организовать последовательное противодействие угрозе в соответствии со степенью опасности;
3) принцип защиты средств защиты является логическим продолжением принципа защиты «всех от всех». Иначе говоря, любое мероприятие по защите само должно быть соответственно защищено. Например, средство защиты от попыток внести изменения в базу данных должно быть защищено программным обеспечением, реализующим разграничение прав доступа.
Обеспечение комплексной защиты объектов является в общем случае индивидуальной задачей, что обусловлено экономическими соображениями, состоянием, в котором находится объект защиты, и многими другими обстоятельствами.
Прежде чем приступить к созданию системы безопасности, необходимо определить объекты защиты, уничтожение, модификация или несанкционированное использование которых может привести к нарушению интересов, убыткам и пр.
Определив объекты защиты, следует выявить сферы их интересов и проанализировать множество угроз безопасности объектов зашиты. Если угрозы безопасности преднамеренные, то необходимо разработать предполагаемую модель злоумышленника. Далее нужно проанализировать возможные угрозы и источники их возникновения, выбрать адекватные средства и методы защиты и таким образом сформулировать задачи и определить структуру системы обеспечения безопасности.
Для анализа проблемы обеспечения безопасности электронной коммерции необходимо определить интересы субъектов взаимоотношений, возникающих в процессе электронной коммерции.
Принято выделять следующие категории электронной коммерции: бизнес—бизнес, бизнес—потребитель, бизнес—администрация. При этом независимо от категории электронной коммерции выделяют классы субъектов: финансовые институты, клиенты и бизнес организации.
Финансовые институты могут быть разные, но в первую очередь это банки, так как именно в них все остальные объекты электронной коммерции имеют счета, которые отражают движение средств. Правила и условия движения этих средств определяются используемой платежной системой.
Клиентами (покупателями, потребителями) могут быть физические и юридические лица.
Бизнес организации — это любые организации, продающие или приобретающие что-либо через Интернет.
Открытый характер интернет технологий, доступность передаваемой по сети информации означает, что общие интересы субъектов электронной коммерции заключаются в обеспечении информационной безопасности электронной коммерции. Информационная безопасность включает в себя обеспечение аутентификации партнеров по взаимодействию, целостности и конфиденциальности передаваемой по сети информации, доступности сервисов и управляемости инфраструктуры.
Спектр интересов субъектов электронной коммерции в области информационной безопасности можно подразделить на следующие основные категории:
• доступность (возможность за приемлемое время получить требуемую услугу);
• целостность (актуальность и непротиворечивость информации, ее защищенность от разрушений и несанкционированного изменения);
• конфиденциальность (защита информации от несанкционированного ознакомления).
Информационная безопасность является одним из важнейших компонентов интегральной безопасности электронной коммерции.
Число атак на информационные системы по всему миру каждый год удваивается. В таких условиях система информационной безопасности электронной коммерции должна уметь противостоять многочисленным и разнообразным внутренним и внешним угрозам.
Основные угрозы информационной безопасности электронной коммерции связаны:
• с умышленными посягательствами на интересы субъектов электронной коммерции (компьютерные преступления и компьютерные вирусы);
• неумышленными действиями обслуживающего персонала (ошибки, упущения и т. д.);
• воздействием технических факторов, способным привести к искажению и разрушению информации (сбои электроснабжения, программные сбои);
• воздействием техногенных факторов (стихийные бедствия, пожары, крупномасштабные аварии и т. д.).
Угрозы безопасности могут быть связаны с действиями факторов, значение и влияние которых практически всегда неизвестно. Поэтому невозможно создать абсолютно безопасную систему. При создании системы безопасности электронной коммерции необходимо минимизировать степень риска возникновения ущерба исходя из особенностей угроз безопасности и конкретных условий предприятия, занимающегося электронной коммерцией.
При этом необходимо основываться на принципе достаточности, который заключается в том, что проводимые в интересах обеспечения безопасности электронной коммерции мероприятия с учетом потенциальных угроз должны быть минимальны и достаточны.
Объем принимаемых мер безопасности должен соответствовать существующим угрозам, в противном случае система безопасности будет экономически неэффективна. В соответствии с этим для обоснования эффективности мероприятий по обеспечению безопасности электронной коммерции применяется ряд критериев, так или иначе основанных на сравнении убытков, возникающих при нарушении безопасности, и стоимости проведения мероприятий по обеспечению безопасности электронной коммерции.
Убытки, которые могут возникать на предприятии, занимающемся электронной коммерцией, из-за нарушения информационной безопасности можно разделить на прямые и косвенные.
Прямые убытки могут быть выражены в стоимости:
• восстановления поврежденной или физически утраченной информации в результате пожара, стихийного бедствия, кражи, ограбления, ошибки в эксплуатации, неосторожности обслуживающего персонала, взлома компьютерных систем и действий вирусов;
• ничтожных (незаконных) операций с денежными средствами и ценными бумагами, проведенных в электронной форме, путем несанкционированного проникновения в компьютерные системы и сети, а также злоумышленной модификации данных, преднамеренной порчи данных на электронных носителях при хранении, перевозке или перезаписи информации, передачи и получения сфальсифицированных поручений в сетях электронной передачи данных и др.;
• возмещения причиненного физического и/или имущественного ущерба третьим лицам (субъектам электронной коммерции — клиентам, пользователям).
При пожарах, стихийных бедствиях и других событиях могут возникать убытки, напрямую не связанные с информационной безопасностью, например убытки, определяемые стоимостью утраченного оборудования или расходами на восстановление поврежденного оборудования.
Косвенные убытки могут выражаться в текущих расходах на выплату заработной платы, процентов по кредитам, арендной платы, амортизации и потерянной прибыли, возникающих при вынужденной приостановке коммерческой деятельности предприятия из-за нарушения безопасности предприятия.
Убытки и связанные с их возникновением риски относятся к финансовым категориям, методики экономической оценки которых разработаны и известны. Поэтому не будем останавливаться на их подробном анализе.
Можно выделить два основных критерия, позволяющих оценить эффективность системы защиты:
• отношение стоимости системы защиты (включая текущие расходы на поддержание работоспособности этой системы) к убыткам, которые могут возникнуть при нарушении безопасности;
• отношение стоимости системы защиты к стоимости взлома этой системы с целью нарушения безопасности.
Смысл указанных критериев заключается в следующем: если стоимость системы защиты, обеспечивающей заданный уровень безопасности, оказывается меньше затрат по возмещению убытков, понесенных в результате нарушения безопасности, то мероприятия по обеспечению безопасности считаются эффективными.
Уровень безопасности при этом в силу объективной неопределенности факторов, влияющих на безопасность, оценивается, как правило, вероятностными показателями.
Таким образом, если, например, злоумышленник в процессе разработки мероприятий по нарушению безопасности обнаружит, что затраты, которые он понесет, будут сравнимы с убытками, которые он причинит предприятию, то он, вероятно, откажется от своих планов. При этом он будет, конечно, продолжать искать брешь в системе безопасности, чтобы повысить эффективность своих действий.
Вопросы правового регулирования безопасности электронной коммерции
Задачи в области обеспечения безопасности электронной коммерции определяются объектами защиты. При этом, как отмечалось, необходимо выделить проблему защиты информации, т. е. информационную безопасность, под которой понимается состояние защищенности информационной среды.
Это обусловлено множеством причин, главные из которых заключаются:
• в новизне проблемы обеспечения безопасности электронной коммерции;
• отсутствии четко сформулированной системы обеспечения информационной безопасности;
• отставании России в области современных информационных технологий.
Основные направления решения проблем правового обеспечения в области информационной безопасности заключаются:
• в совершенствовании законодательства;
• разработке правил администрирования в сфере разработки и производства систем и средств обеспечения безопасности;
• совершенствовании системы страхования, связанной с обеспечением информационной безопасности.
Правовое регулирование сферы обеспечения безопасности основано на принципе защиты любого информационного ресурса, ценного для его владельца или собственника.
Правовую основу при этом составляют:
• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• законы «О безопасности», «О государственной тайне», «Об информации, информационных технологиях и о защите информации».
Правовой режим информации, правила, процедуры и распределение ответственности в области защиты информации и систем ее обработки определены в Федеральном законе «Об информации, информационных технологиях и о защите информации». В нем установлен порядок правовой защиты и гарантии реализации прав и ответственности субъектов информационных взаимо-отношений. В соответствии с этим Законом собственником информационных ресурсов является субъект, в полном объеме реализующий полномочия владения, пользования и распоряжения ими.
Информационные ресурсы в составе имущества могут находиться в собственности юридических и физических лиц. Отношения по поводу прав собственности на информационные ресурсы регулируются гражданским законодательством.
Правовой режим информационных ресурсов определяет:
• порядок документирования информации на бумажных и электронных (магнитных) носителях;
• права владения, пользования и распоряжения на отдельные документы, массивы информации в информационных системах;
• категории информации по уровню доступа к ней;
• порядок правовой защиты информации.
Собственник информационных ресурсов имеет право, закрепленное законодательством Российской Федерации:
• назначать лицо, осуществляющее хозяйственное ведение информационных ресурсов или оперативное управление ими;
• устанавливать режим и правила обработки, защиты информационных ресурсов и доступа к ним;
• определять условия распоряжения информацией при копировании и распространении.
Права и обязанности государственных органов, юридических и физических лиц в отношении информации, составляющей государственную тайну, регулируются Законом «О государственной тайне».
В соответствии с Гражданским кодексом РФ информация и результаты интеллектуальной деятельности, в том числе исключительные права на них (интеллектуальная собственность), являются объектами гражданского права.
В условиях рыночных отношений важное значение имеет правовая зашита информации, составляющей коммерческую тайну.
В соответствии с гражданским законодательством информация может составлять коммерческую тайну в том случае, если она:
• имеет действительную или потенциальную коммерческую ценность;
• неизвестна третьим лицам;
• к ней нет свободного доступа на законном основании;
• обладатель информации принимает меры к охране этой информации.
Предприятия и лица, занимающиеся предпринимательской деятельностью, обязаны представлять указанные сведения по требованию органов власти, органов управления, контролирующих и правоохранительных органов, других юридических лиц, имеющих на это право в соответствии с законодательством.
Институт коммерческой тайны наряду с авторским и патентным правом и законодательством в области защиты прав на программы для ЭВМ и базы данных является одной из правовых форм защиты интеллектуальной собственности.
В соответствии с Законом «О конкуренции и ограничении монополистической деятельности на товарных рынках» и гражданским законодательством лица, незаконными методами получившие информацию, составляющую коммерческую тайну, обязаны возместить причиненные владельцу убытки.
Такая же обязанность возлагается и на работников, разгласивших служебную или коммерческую тайну вопреки трудовому договору, и на контрагентов, с которыми заключен гражданско-правовой договор о конфиденциальности информации.
Из упомянутых норм следует, что предприятие может охранять информацию, составляющую коммерческую тайну, а этой тайной может быть все, что не запрещено законами или иными правовыми актами, имеет ценность для предпринимательской деятельности, давая преимущества перед конкурентами, не владеющими этой информацией.
Таким образом, фиксируется право собственника информации охранять свои интересы во взаимоотношениях со всеми субъектами рынка, включая государство.
Преступления в сфере информации преследуются в соответствии с действующим в Российской Федерации законодательством. В частности, Уголовный кодекс РФ содержит специальную главу, которая называется «Преступления в сфере компьютерной информации». В соответствии с ней преследуется по закону: неправомерный доступ к компьютерной информации; создание и использование вредоносных программ для ЭВМ; нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети.
Наряду с правовыми нормативными актами в сфере разработки и производства систем и средств обеспечения безопасности используются и административные способы регулирования этого процесса.
Администрирование в области разработки и производства систем и средств обеспечения безопасности информации осуществляется государственными органами — Государственной технической комиссией и Федеральным агентством правительственной связи и информации.
К функциям этих органов относятся:
• координация деятельности организаций и предприятий с различными формами собственности в области защиты информации, обрабатываемой техническими средствами;
• организационно-методическое руководство этой деятельностью, включая разработку нормативно-технической документации;
• лицензирование деятельности предприятий и организаций по оказанию услуг в области защиты информации.
Система лицензирования направлена на создание условий, при которых право заниматься работами по защите информации для стороннего заказчика предоставляется только организациям, имеющим на этот вид деятельности специальное разрешение — лицензию. Система лицензирования деятельности в области защиты информации основана на Законе «О защите государственной тайны». Предоставление лицензий осуществляется в соответствии с Положением «О государственном лицензировании деятельности в области защиты информации».
Следует отметить, что на проведение работ по защите информации только в своих собственных нуждах получение рассматриваемой лицензии не требуется.
Технические, программно-технические и программные средства, системы, компьютерные сети и другие средства защиты и контроля эффективности защиты информации подлежат сертификации на соответствие требованиям по безопасности информации. Осуществляется она в соответствии с Положением о сертификации средств защиты информации, введенным постановлением Правительства РФ № 608.
При этом надо иметь в виду, что в вопросах сертификации средств защиты информации, и в особенности средств вычислительной техники и компьютерных систем, мы значительно отстали от развитых стран.
Риски в электронной коммерции
Необходимое условие эффективности любой экономической системы — экономическая свобода, которая предполагает наличие у экономического агента определенной совокупности прав, гарантирующих ему автономное, самостоятельное принятие решений. Экономическая свобода является источником неопределенности и риска, так как свободе одного экономического агента сопутствует одновременно и свобода других.
В условиях рыночной экономики риск — ключевой элемент предпринимательства. Предприниматель, умеющий вовремя рисковать, зачастую оказывается вознагражденным. Характерные особенности риска — неопределенность, неожиданность, неуверенность и предположение, что успех придет.
В условиях политической и экономической нестабильности степень риска значительно возрастает. В современных условиях экономики России проблема усиления рисков весьма актуальна, что подтверждается данными о росте убыточности предприятий промышленности.
Риск связан с конкретной рисковой ситуацией и возникает, когда решение вырабатывается в условиях неопределенности или осуществляется выбор из нескольких трудно-сопоставимых вариантов. Поэтому требуется оценить вероятность достижения заданного результата и выявить возможность неудачи. В предпринимательской деятельности рисковая ситуация связана с понятием собственности, прибыли и вероятностью потерь.
Предприниматель может понести потери в виде дополнительных расходов, не предусмотренных прогнозом, программой его действий, или получить доходы ниже того уровня, на который он рассчитывал. Снижение величины предполагаемого дохода, или упущенная выгода, также входит в категорию риска.
В абсолютном выражении риск может определяться величиной возможных потерь в материально-вещественном (физическом) или стоимостном (денежном) выражении, если вид такого ущерба поддается измерению в данной форме (математическое ожидание).
В относительном выражении риск определяется как величина возможных потерь, отнесенная к некоторой базе.
Все факторы, так или иначе влияющие на рост степени риска деятельности предприятия, можно условно разделить на группы: объективные и субъективные.
К объективным относятся факторы, не зависящие непосредственно от самого предприятия: инфляция, конкуренция, анархия, политические и экономические кризисы, экология, таможенные пошлины, наличие режима наибольшего благоприятствования, возможная работа в зонах свободного экономического предпринимательства и т. д.
К субъективным относятся факторы, характеризующие непосредственно данное предприятие: производственный потенциал, техническое оснащение, уровень предметной и технологической специализации, организация труда, уровень производительности труда, степень кооперированных связей, уровень техники безопасности, выбор типа контрактов с инвестором или заказчиком и т. д. Последний фактор играет важную роль для предприятия, так как от типа контракта зависит степень риска и величина вознаграждения по окончании проекта.
Комплексное исследование сущности предпринимательских рисков предполагает характеристику его разновидностей, существующих в реальной экономике. Классификация предпринимательских рисков зависит от источников их возникновения, характера и особенностей учета, методов оценки, возможностей регулирования и минимизации рисков и других оснований и обоснований. В принципе, сколько ситуаций, целей исследований, методик и авторских мнений, столько может существовать определений и классификаций рисков.
Электронная коммерция подвержена рискам в той же, а может, и большей мере, что и коммерция в ее традиционном понимании. Наряду с «классическими» присутствуют и новые, до этого момента неизвестные риски, управление которыми является сложной задачей в силу их неполной изученности, отсутствия четкой классификации и недостаточных навыков анализа.
Не претендуя на полное освещение и классификацию специфических рисков электронной коммерции, представляется целесообразным выделить три группы угроз: вирусы и вредоносные программы, хакерские атаки, а также мошенничества с использованием различных средств передачи данных. Первые две группы угроз вполне могут быть преддверием последней, наиболее значимой группы, поскольку времена написания «шуточных» вирусов и хакерских атак развлекательного характера постепенно уходят в прошлое и основной целью девиантных субъектов компьютерного мира становится обогащение с использованием не слишком законных методов.
Проблема усложняется еще и тем, что криминальные элементы становятся все более изощренными и образованными, а компьютерная среда дает им огромный арсенал средств и методов, позволяющих совершать сложные мошенничества, оставаясь практически анонимными и сложно уловимыми для правоохранительных органов. Кроме того, существует и некоторая не доработанность нормативно-правовой базы, что ставит под угрозу законопослушных пользователей и облегчает задачу криминализированным элементам.
Рекомендации в отношении изменения и улучшения нормативно-правовой базы, так или иначе связанной с электронной коммерцией, рассмотрены в предыдущих разделах учебника, и потому основное внимание будет уделено описанию трех вышеперечисленных типов угроз, а также будут даны рекомендации хозяйствующим субъектам, направленные на минимизацию потерь от деструктивных факторов, сопутствующих электронной коммерции.
Целью написания вирусов и вредоносных программ, как правило, служит приостановка либо полное отключение аппаратных и программных возможностей объекта атаки, а также получение конфиденциальных сведений о субъекте, будь то физическое или юридическое лицо.
Первыми объектами интереса вирусописателей (оставляя без внимания развлекательный характер написания вредоносных программ) стали данные, необходимые для доступа в Интернет за счет других пользователей. Специальные программы различными путями заносились в компьютер пользователя жертвы, отслеживали имена и пароли, необходимые для доступа во всемирную паутину, а затем передавали эти данные своим создателям.
В дальнейшем такая деятельность стала набирать обороты, поскольку вирусописатели сообразили, что полученные данные можно использовать не только в личных целях, но и продавать заинтересованным третьим лицам, желающим сэкономить на доступе во всемирную паутину. Следующим этапом стало незаконное выяснение личных данных о банковских счетах жертв.
Кроме выяснения конфиденциальных данных, зачастую программы вирусы предназначены для блокирования сетевого ресурса жертвы. В качестве примера здесь можно привести приостановку работы интернет магазина какого-либо предприятия компанией конкурентом.
В качестве превентивной меры (причем превентивной она будет только для пользователя) в борьбе с вирусами можно порекомендовать использование специальных антивирусных программ, причем самые свежие и обновленные версии, поскольку вирусописатели постоянно находят недоработки в антивирусных программах и пишут вирусы, нацеленные именно на эти бреши в защите, а разработчики антивирусного программного обеспечения соответственно пытаются эти бреши заделать.
Кроме специализированного антивирусного программного обеспечения, в борьбе с вредоносными программами хорошим подспорьем будет внимательность пользователя к источникам, из которых информация попадает на его компьютер, а также общая компьютерная грамотность. В штате предприятия целесообразно иметь специалиста или группу специалистов, основной целью работы которых будет защита информации от вирусов и общее работоспособное содержание компьютерного оборудования.
Взлом программного обеспечения и сетевых ресурсов из противоправных действий развлекательного характера со временем превратился в мощное орудие недобросовестной конкуренции. Взламывается абсолютно все: сайты интернет магазинов, провайдеров услуг Интернета, закрытые разделы на платных сайтах и даже сайты государственных учреждений.
Группа угроз, которая здесь условно обозначена как «хакерские атаки», может быть тесным образом связана с первой из трех групп угроз, а именно вирусами и вредоносными программами. Конечно, это не означает, что все вирусописатели являются хакерами и наоборот, все хакеры тратят время на написание вирусов — просто зачастую в своей деятельности хакеры прибегают к богатым возможностям вредоносных программ, позволяющим им проводить свои противоправные действия с гораздо большей эффективностью.
Стопроцентной защиты от хакеров, как, впрочем, и от вирусов, нет и быть не может. Это обусловлено тем, что абсолютно все дыры в программном обеспечении заделать невозможно, хакеры постоянно ищут новые, а когда находят — производят атаку в ответ на их действия разработчики программного обеспечения перекрывают доступ к ресурсу на основе этой уязвимости, а хакеры принимаются за поиск новой возможности для атаки. Получается, что атака хакеров опережает действия людей, им противостоящих.
Но так бывает далеко не всегда: существуют на сегодняшний день специальные программы и сетевые экраны, надежно закрывающие доступ неавторизованным пользователям. Конечно, талантливый хакер сможет обойти и их, но большинство хакеров не столь талантливы и используют несколько устаревшие наработки своих более серьезных коллег, а они уже не эффективны в силу того, что разработчики программного обеспечения тоже не стоят на месте и постоянно выпускают «заплатки» и обновления для своих продуктов, а следующие версии делают все более совершенными и защищенными.
Количество разнообразных видов мошенничества, создаваемых людьми для отъема денег, постоянно растет. Еще более бурный рост вызвало повсеместное развитие новых информационно-коммуникационных технологий, позволяющих криминальным элементам быстро и практически анонимно осуществлять свою противоправную деятельность. Учитывая невообразимое многообразие видов мошенничества, будет предпринята попытка осветить только те, которые в той или иной мере могут угрожать хозяйствующим субъектам и останутся без пристального внимания угрозы для обычных некоммерческих пользователей.
Можно выделить следующие виды мошенничества, связанные:
• с использованием номеров кредитных карт;
• использованием копий легальных сайтов;
• использованием фиктивных торговых площадок;
• инвестициями и возможностью заработать;
• несовершенством платежных систем.
Выше обозначенное деление в большей мере условно, поскольку существуют виды мошенничества, затрагивающие если не все, то многие обозначенные элементы, и провести четкую грань, к какому же виду мошенничества относится то или иное, представляется трудноосуществимым.
Мошенничества, связанные с использованием номеров кредитных карт. Под этим видом будем понимать использование реквизитов кредитных карт людьми, которым эти карты не принадлежат. Для начала нужно определить, как мошенники получают доступ к реквизитам. До сих пор, несмотря на бурное развитие информационных технологий, большинство перехватов личных данных происходит в онлайне. В основном сюда относится банальная кража карточки у пользователя, а также различные способы махинаций с банкоматами, вплоть до установки криминальными элементами своих собственных банкоматов, основной целью установки которых является получение сведений о личных данных жертвы, пусть и путем первоначальных довольно солидных затрат, которые с лихвой окупятся в будущем.
Менее многочисленные, но от этого не менее интересные способы получения конфиденциальных данных появляются и в онлайн. Здесь можно отметить бурно развивающийся в последнее время такой вид мошенничества, как «фишинг». Как можно догадаться, «рыбой» в данном случае является жертва, а точнее — ее персональные данные о банковском счете. Методов «фишинга» несколько, но в основном пользователю приходит письмо на фирменном бланке, в котором предлагается отправить свои персональные данные якобы «для перерегистрации» или «обновления базы данных», либо прямым ответом, либо после перехода по ссылке на сайт финансового учреждения. Во втором случае пользователя направляют не на реальный сайт, а на поддельный, на самом деле принадлежащий мошенникам.
В качестве рекомендаций пользователям кредитных карт стоит отметить внимательность и известный скептицизм при различного рода предложениях рассекретить свои персональные данные. Кроме того, необходимо отметить, ни один уважающий себя банк никогда не будет, не только заниматься спамерской рассылкой писем, но уж тем более никогда не попросит отправлять конфиденциальные данные по электронной почте. Подобная информация все чаще и чаще появляется на официальных сайтах финансовых учреждений, что полностью удовлетворяет пользователей, поскольку, согласно опросу, подавляющее большинство их считают, что основную защиту от «фишинга» должны осуществлять именно финансовые учреждения.
От неправомерного использования кредитных карт могут пострадать не только пользователи этих самых карт, но, к примеру, интернет магазины, в которых была произведена покупка с использованием украденных реквизитов. И именно эти интернет магазины при внимательности пользователя жертвы понесут самый ощутимый урон, поскольку сама жертва может элементарно отменить платеж, если возникнут какие-либо подозрения, а расходы интернет магазину по оформлению заказа и отправке товара никто не компенсирует.
Мошенничества, связанные с использованием копий легальных сайтов. В данном случае мошенники берут, к примеру, сайт какого-либо банка, полностью копируют его дизайн, а в качестве адреса сайта используют имя банка с одной «незначительной» опечаткой. Следующим шагом мошенников будет заманивание как можно большего числа клиентов банка на поддельный сайт, где не особо внимательным пользователям будет предложено подтвердить свои реквизиты, которые мошенники в дальнейшем смогут использовать по своему усмотрению.
Кроме подделки сайтов банков, имеет место и использование дизайнов известных интернет магазинов. В этом случае целей у мошенников может быть две: либо использовать сайт исключительно для получения реквизитов банковских карт клиентов, либо получать переводы денег за реально не существующий у них товар. Впрочем, эти две цели могут «удачным» образом сочетаться.
В качестве защиты от подобных противоправных действий стоит порекомендовать воздержаться от перехода на сайты банков и интернет магазинов по ссылкам. Гораздо надежнее каждый раз набирать название сайта в окошке браузера вручную, не доверяя его собственным ссылкам, поскольку в последнее время появились программы, меняющие названия определенных сайтов в закладках браузера на поддельные.
Мошенничества, связанные с использованием торговых площадок. Еще одним видом мошенничества может быть создание фиктивного интернет магазина, как правило, с чрезвычайно привлекательными ценами. После его создания начинается активная раскрутка, индексирование в поисковых системах и реклама на различных досках объявлений. В дальнейшем мошенники приступают к принятию денег за реально не существующий товар либо при помощи кредитных карт (тогда может иметь место и выяснение конфиденциальных сведений), либо при помощи электронных платежных систем. После того как необходимая мошенникам сумма заказов набрана и деньги получены, сайт благополучно закрывается и никакие товары, понятное дело, пользователю не приходят.
Кроме мошенничества с использованием фиктивных интернет магазинов, имеют место и мошенничества с использованием вполне реальных и долгое время существующих торговых площадок, главным образом различных интернет аукционов. Как правило, дело здесь в недобросовестности продавца и использовании электронных платежных систем. За отправленные деньги покупатель получает товар ненадлежащего качества либо вообще не получает ничего.
В России данный вид мошенничества не сильно развит, и дело здесь в природной подозрительности русских людей. Однако в Соединенных Штатах этот вид мошенничества занимает лидирующее место по экономическому ущербу, а учитывая то, что отрицательный опыт перенимается гораздо быстрее положительного, а также значима страсть русского человека к «халяве», можно ожидать, что и у нас скоро данное мошенничество будет на подъеме.
В качестве рекомендаций следует предложить пользователю иметь дело только с проверенными и хорошо себя зарекомендовавшими продавцами либо, если уж желание купить товар дешевле, чем у всех, непреодолимо, — оплачивать товар непосредственно при получении, не поддаваясь соблазну сэкономить еще по предоплате.
Мошенничества, связанные с инвестициями и возможностью заработать. Желание человека заработать денег, а особенно быстро и много, вполне можно понять и с выгодой для себя использовать, чем и занимаются мошенники. Опять же количество «деловых предложений» столь велико, что имеет смысл остановиться на трех наиболее характерных: инвестиции в ценные бумаги, выигрыш в лотерею и так называемые нигерийские письма.
Что касается инвестиций в ценные бумаги, то здесь наиболее распространенная схема следующая: мошенниками покупается довольно большой объем низко ликвидных акций малоизвестного небольшого предприятия. Следующим шагом становится распространение информации о небывалом потенциале для роста именно этих акций, зачастую с привлечением имен крупных корпораций и серьезных экспертов и аналитиков. При достижении пиковой цены на акции мошенниками продается весь пакет, после чего цена довольно быстро возвращается в свое исходное состояние. В итоге мошенники получают значительную прибыль на разнице курсов покупки и продажи, а жертвы мошенничества — столь же значительные убытки.
Небывалый по размерам выигрыш в лотерею — также эффективный способ выманивания денег. Смысл в том, что «счастливчик» выигрывает в лотерею иностранного государства, но для получения выигрыша ему необходимо оплатить различные налоги и сборы, предусмотренные законодательством этого государства. Желание «легких денег» настолько велико, что жертвы с готовностью расстаются с суммами, во много раз меньшими, чем мнимый выигрыш.
Еще один интересный способ мошенничества — так называемые нигерийские письма. На имя адресата приходит письмо от якобы высокопоставленного чиновника из Нигерии, зачастую на бланке какого-либо министерства. В этом письме чиновник просит посодействовать в переводе астрономической суммы денег, «зависшей» на счетах родной страны адресата. В силу ряда причин нигерийский чиновник сам не может договориться с людьми, ответственными за перевод денег, и просит о помощи жертву. Помощь заключается в переводе небольшой взятки на счет людей, которые поспособствуют переводу всей суммы «нигерийцу» и, естественно, солидных комиссионных посреднику. Надо ли говорить, что после того, как жертва переводит деньги взятку, связь с нигерийским чиновником прекращается.
Рекомендациями здесь могут быть только внимательность и всесторонний анализ «инвестиционного» проекта с точки зрения риск—доходность и понимание того, что высокая доходность априори подразумевает столь же большой риск потерять вложенные средства.
Мошенничества, связанные с несовершенством платежных систем. Основным несовершенством здесь является простота, с которой любой субъект может открыть счет в этой системе, точнее, не простота, а отсутствие точной и однозначной идентификации пользователя. В итоге найти человека, которому был осуществлен перевод средств.
Рекомендации здесь могут быть следующие — не переводить деньги неизвестному (либо не вызывающему доверия) субъекту посредством платежной системы, не обеспечивающей точную и однозначную идентификацию пользователя.
Таким образом, несмотря на усложнение применяемых в коммерции технологий и повышения образовательного уровня и технических возможностей девиантных субъектов, свести к минимуму риск возникновения деструктивных последствий рисковых ситуаций можно. Нужно лишь здраво подходить к любому новому начинанию, стараться почерпнуть как можно больше информации по теме вопроса и всегда быть внимательным, когда дело касается любых финансовых операций.
В советские времена у телефонисток на коммутаторе висел лозунг, из которого следовало, что они все ратуют за свободные сексуальные отношения. Что это был за лозунг?
Статью подготовила доцент кафедры социально-гуманитарных дисциплин Волгушева Алла Александровна. 
