Elektron biznes va elektron biznesni himoya qilish muammolari

2013-yilning noyabr oyi, Amerika Qo'shma Shtatlaridagi eng yirik chakana savdo tarmoqlaridan biri bo'lgan Target kompaniyasi yil davomidagi eng gavjum savdo mavsumiga tayyorgarlik ko'rmoqda edi. Xuddi shu paytda tajovuzkorlar kompaniya tarmog'iga kirish yo'lini izlardi. Ular do'konning veb-saytiga ham, to'lov tizimiga ham to'g'ridan-to'g'ri hujum qilmadi. Buning o'rniga butunlay boshqa yo'lni tanladilar.

Tajovuzkorlar Target bilan hamkorlik qiladigan kichik bir kompaniyani, ya'ni isitish va havoni sovitish tizimlariga xizmat ko'rsatuvchi Fazio Mechanical Services korxonasini nishonga oldi. Bu korxonaning Target tarmog'idagi hamkorlar portaliga kirish huquqi bor edi, chunki u orqali hisob-kitob va loyiha hujjatlari yuritilardi. Xodimga fishing xati yuborildi, xat orqali zararli dastur o'rnatildi va shu yo'l bilan hamkorning kirish ma'lumotlari qo'lga kiritildi.

Keyingi bosqich osonroq kechdi. Target tarmog'ida hamkorlar tizimi bilan to'lov tizimlari o'rtasida yetarli ajratish yo'q edi. Shu sababli tajovuzkorlar hamkor huquqlari bilan kirgach, tarmoq ichida asta-sekin siljib, savdo nuqtalaridagi to'lov terminallariga yetib bordi. U yerga xotiradan ma'lumot o'qiydigan maxsus zararli dastur o'rnatildi. Noyabr oxiridan dekabr o'rtasigacha, ya'ni uch haftaga yaqin vaqt davomida bu dastur do'konlarda amalga oshirilgan har bir to'lovdan karta ma'lumotini yig'ib bordi.

Voqeaning eng achinarli jihati shundaki, kompaniyaning xavfsizlik tizimi hujumni aniqlagan edi: o'rnatilgan monitoring vositasi zararli dastur to'g'risida ogohlantirish bergan. Biroq bu ogohlantirish bo'yicha zarur chora ko'rilmadi. Buzilish faqat tashqi to'lov tashkiloti shubhali tranzaksiyalarni sezib, Targetga xabar berganidan keyin ma'lum bo'ldi. Natijada taxminan qirq million to'lov kartasi ma'lumoti va yetmish million mijozning shaxsiy ma'lumotlari o'g'irlandi. Kompaniyaning to'g'ridan-to'g'ri va bilvosita zarari yuz millionlab dollarni tashkil etdi, bosh direktor va axborot texnologiyalari bo'yicha rahbar iste'foga chiqdi.

Bu voqea elektron biznes xavfsizligi uchun uchta muhim saboq beradi va ular butun bob davomida takrorlanadi. Birinchidan, tashkilotning xavfsizligi uning eng zaif hamkori darajasida bo'ladi: siz o'z tizimingizni mustahkamlashingiz mumkin, biroq unga ulangan uchinchi tomon himoyalanmagan bo'lsa, hujum aynan o'sha yo'ldan keladi. Ikkinchidan, hujumni aniqlashning o'zi yetarli emas: ogohlantirishga javob beradigan tartib bo'lmasa, eng qimmat monitoring tizimi ham foydasiz. Uchinchidan, elektron biznesda zarar faqat pul bilan o'lchanmaydi: mijoz ishonchining yo'qolishi ko'pincha undan ham og'irroq oqibat hisoblanadi.

«Raqamli Yechim» MChJ ssenariysi yangi bosqichga o'tadi. Kompaniya endi buyurtmachi uchun onlayn savdo platformasini ishga tushirmoqda: foydalanuvchilar saytdan tovar tanlaydi, bank kartasi bilan to'lov qiladi va buyurtma yetkazib berish xizmati orqali yetkaziladi. Bu kompaniya uchun sifat jihatidan yangi vazifa, chunki avvalgi loyihalarda pul harakati ishtirok etmagan edi.

Vazifalar jamoa a'zolari o'rtasida taqsimlanadi. Bekzod veb-ilovani ishlab chiqadi va to'lov tizimini ulaydi. Otabek tahdidlarni baholaydi va himoya choralarini joriy etadi. Malika esa elektron tijorat qonunchiligiga muvofiqlikni ta'minlaydi: ommaviy oferta, maxfiylik siyosati va mijoz huquqlari bilan bog'liq masalalarni yuritadi (10.1-rasm).

Loyihaning markazida bitta savol turadi va bu savol butun bobning mag'zini tashkil etadi: mijoz o'z pulini va karta ma'lumotini ishonib topshiradigan tizimni qanday qurish mumkin? Bu savolga javob berish uchun texnik bilim yetarli emas, chunki elektron biznes xavfsizligi texnologiya, huquq va ishonchning kesishgan nuqtasida joylashgan.

Ushbu bobda elektron biznes va uni himoya qilish masalalari ko'rib chiqildi. Elektron biznes tashkilot jarayonlarini raqamli texnologiyalar yordamida amalga oshirishni qamrab olsa, elektron tijorat uning bevosita savdo bilan bog'liq qismidir. Ishtirokchilarga qarab B2B, B2C, C2C va B2G modellari ajratiladi va ularning har birida xavflar boshqacha bo'ladi.

Elektron tijorat bitimida ikki emas, bir necha tomon ishtirok etadi: xaridor, savdo maydonchasi, sotuvchi, to'lov tizimi, bank va yetkazib berish xizmati. Har bir bo'g'in mijoz ma'lumotining bir qismini qayta ishlaydi, shu sababli xavfsizlik butun zanjir bo'ylab taqsimlanadi va eng zaif bo'g'in umumiy himoya darajasini belgilaydi. Kirish voqeasidagi Target hodisasi aynan shu qonuniyatni ko'rsatdi: hujum kompaniyaning o'z tizimidan emas, kichik hamkor orqali kelgan edi.

Tahdidlar nishoniga qarab to'rt guruhga bo'linadi: xaridorga, sotuvchiga, platformaga va ta'minot zanjiriga qaratilgan tahdidlar. To'lovlar sohasida asosiy tamoyil sodda: nozik ma'lumotni imkon qadar qo'lga olmaslik. Bu tamoyil to'lovni tashqi tizim orqali amalga oshirish va tokenizatsiyani qo'llash orqali ta'minlanadi. To'lov kartalari bilan ishlaydigan tashkilotlar uchun esa PCI DSS standarti talablari amal qiladi.

Himoya bir necha qatlamda quriladi: tarmoq, ilova, ma'lumot, tashkiliy va huquqiy qatlamlar. Elektron biznesda mavjudlik alohida iqtisodiy ahamiyatga ega, chunki sayt ishlamagan har bir soat bevosita yo'qotilgan daromadni anglatadi. Hamkorlar bilan bog'liq xavfni boshqarish esa alohida e'tibor talab qiladi.

Huquqiy jihatdan soha «Elektron tijorat to'g'risida»gi Qonun (O'RQ-792, 2022-yil) va «To'lovlar va to'lov tizimlari to'g'risida»gi Qonun bilan tartibga solinadi, elektron hujjatlar esa qog'oz hujjatlarga tenglashtiriladi. Nihoyat, bob eng muhim xulosa bilan yakunlanadi: elektron biznesda xavfsizlik faqat texnik masala emas. Mijoz ko'rmaydigan sotuvchiga pul to'laganda, u aslida tizimga emas, ishonchga tayanadi. Ishonch esa yillar davomida shakllanadi va bitta hodisada yo'qolishi mumkin, shuning uchun uni himoyalash texnologiya, huquq va tashkiliy tartibning birgalikdagi vazifasidir.