Jak zabezpieczyć sklep internetowy?

• Jan Wróblewski
• /
• 16 marca 2021

Jak zadbać o bezpieczeństwo sklepu internetowego?

Cyberbezpieczeństwo stanowi jeden z najważniejszych aspektów handlu prowadzonego w internecie  (e-commerce). W dzisiejszych czasach sklepy internetowe obracają bardzo wrażliwymi danymi swoich klientów. Udany cyberatak może nie tylko zrujnować wiarygodność i wizerunek danej firmy, ale również narazić na straty finansowe klientów. Co prawda firmy, które posiadają własne sklepy internetowe, często usprawniają swoje witryny pod względem technicznym, zdarza się jednak, że kwestia bezpieczeństwa zostaje zaniedbana. Istnieje kilka podstawowych sposobów, dzięki którym można zabezpieczyć swój sklep internetowy. Poniżej omówimy kilka z nich.

Przygotowanie odpowiedniej infrastruktury sieciowej

Przygotowanie odpowiedniej infrastruktury sieciowej ma ogromne znaczenie  w kontekście minimalizacji możliwych skutków działalności cyberprzestępców. Mówiąc o infrastrukturze sieciowej mamy na myśli zapory, serwery, routery itd. W przypadku tej pierwszej najlepiej ustawić ją w taki sposób, aby automatycznie wykrywała podejrzany ruch i natychmiast go blokowała. Można to zrobić np. poprzez zamknięcie niepotrzebnych portów na publicznych interfejsach. Równie przydatne może się okazać odpowiednie ograniczenie usług widocznych poza siecią wewnętrzną i wprowadzenie list kontroli dostępu, czyli mechanizmu filtrowania pakietów przetwarzanych przez router. Warto również pochylić się nad analizą przychodzących i wychodzących danych w celu wykrycia anomalii. Zastosowanie wymienionych rozwiązań sprawi, że wykorzystanie całego dostępnego łącza przez osoby niepowołane, będzie po prostu niemożliwe.

Wyciekły w Twojej firmie dane osobowe

możemy Ci pomóc w analizie i zgłoszeniu do UODO

Sprawdź szczegóły

Bezpieczny hosting dla sklepu internetowego

Wybierając usługę hostingową, to właśnie bezpieczeństwo powinno być naszym 

priorytetem. W tym celu należy zadbać o to, by hosting posiadał możliwość tworzenia automatycznych kopii zapasowych. Dzięki temu w przypadku naruszenia zabezpieczeń w łatwy sposób będziemy mogli przywrócić sklep internetowy do stanu sprzed awarii. Warto pamiętać, aby przechowywać kopie zapasowe na oddzielnym serwerze oraz oddzielnej fizycznej lokalizacji, tak by w razie ataku backupy nie zostały zainfekowane przez złośliwe oprogramowanie, a w razie działania tzw. siły wyższej by backupy nie były objęte tym działaniem. Przy wyborze hostingu warto zwrócić również uwagę, czy oferuje on:

• Szyfrowanie AES — Backupy

• Monitorowanie sieci

• Dobrą obsługę techniczną pracującą 24 godzin na dobę

• Szybkie reagowanie w przypadku problemów

Wybór platformy dla sklepu internetowego

Na rynku funkcjonuje wiele modeli w zakresie oprogramowania do prowadzenia sprzedaży. Można

• korzystać z bezpłatnych rozwiązań typu open source,

• kupić licencję na oprogramowanie sklepu

• skorzystać z rozwiązań SaaS (dzierżawy oprogramowania sklepu)

• utworzyć swój własny sklep zlecając jego napisanie w jednym z języków programowania.

Przy wyborze rozwiązania należy kierować się nie tylko obsługą, czy funkcjonalnością, ale również stopniem bezpieczeństwa. Dlatego też, zanim dokonamy wyboru, warto dokładnie przeanalizować obecny stan rynku. Platforma powinna zapewniać przede wszystkim dobrą obsługę i szybkie aktualizacje związane z cyberbezpieczeństwem.

Najbardziej podatne na automatyczne ataki z zewnątrz są rozwiązania open source. Dzieje się tak dlatego, że implementacji danego oprogramowania jest dużo w sieci, więc jeżeli hakerzy wykryją jakąś lukę w zabezpieczeniach zaczynają zmasowany atak na witryny oparte o dane rozwiązanie open source, chcą osiągnąć swoje cele.

W przypadku rozwiązań licencyjnych aktualizacje bezpieczeństwa spoczywają w większości na firmie produkującej lub dzierżawiącej dane oprogramowanie.

W przypadku własnego oprogramowania sklepowego również jesteśmy podatni na zagrożenia. Ważne jest, aby na bieżąco aktualizować biblioteki, na których bazie powstało dane oprogramowanie. Tu również zdarzają się błędy i luki, które ktoś może wykrozystać.

Szyfrowanie danych 

Z badań przeprowadzonych przez firmy zajmujące się sprzedażą programów antywirusowych wynika, że praktycznie większość firm z branży e-commerce doświadczyła incydentów związanych z naruszeniem bezpieczeństwa. Wśród najczęściej wymienianych zagrożeń znalazły się: 

• infekcje szkodliwego oprogramowania, 

• włamania do sieci firmowej, 

• wycieki krytycznych danych.

Należy pamiętać, że niezaszyfrowana komunikacja może zostać przejęta i odczytana przez niepowołane osoby. Chcąc temu zapobiec, należy używać certyfikatów SSL, dzięki którym komunikacja z serwerami będzie szyfrowana. 

Użycie firewalla

Firewall to podstawowe narzędzie wykorzystywane w walce przeciwko próbom ataków. Bariera może również informować o podejrzanym ruchu w naszej sieci. Sprawna zapora powinna blokować wszystkie porty, które nie są niezbędne do funkcjonowania strony. Optymalnym ustawieniem firewalla jest aktywne monitorowanie ruchu, dzięki, któremu od razu można wykryć dziwne zachowania, a w przypadku udanego ataku, komunikację z serwerami C&C (command and control), z którymi łączy się złośliwy kod.

Aktualizacja oprogramowania

Zarówno firewall, oprogramowanie antywirusowe, jak i oprogramowanie serwera, czy też plugin-y i motywy naszego systemu CMS muszą być aktualne. Jest to niezwykle ważne, ponieważ nie jest tajemnicą, że co jakiś czas w oprogramowaniu znajdowane są luki. To z kolei może zostać wykorzystane do ataku na nasz serwis, a nawet do przejęcia całkowitej kontroli. W internecie niestety nadal istnieją setki tysięcy stron, które korzystają z przestarzałego oprogramowania. Tym samym od dłuższego czasu zawierają luki, które w łatwy sposób mogą zostać wykorzystane do ataku.

Wszystko to sprawia, że kwestie aktualizacji należy potraktować bardzo poważnie. Często zdarza się, że po odkryciu jakiejś dziury w systemie, zostaje ona bardzo szybko zautomatyzowana, a specjalne boty skanują internet w poszukiwaniu stron podatnych na dany rodzaj ataku.

Przeszkolenie pracowników 

Mówiąc o bezpieczeństwie w cyberprzestrzeni, należy pamiętać, że aspekty techniczne to nie wszystko. Owszem nasza strona może być bardzo dobrze zabezpieczona, jednak nie uchroni jej to przed atakiem opierającym się na wykorzystaniu czynnika ludzkiego. To właśnie ludzie są coraz częstszym celem ataku. W związku z tym warto przeszkolić naszych pracowników pod względem ataków socjotechnicznych oraz ogólnych zasad cyberbezpieczeństwa, czyli bezpiecznego logowania, haseł, urządzeń USB itd.

Ważne jest, aby pracownicy wiedzieli, jak mają postępować w określonych sytuacjach. Najgorszym scenariuszem postępowania jest brak takiego scenariusza, gdy zdarzy się incydent bezpieczeństwa.

Generowanie haseł

Najlepszym sposobem na zapewnienie bezpieczeństwa w tej sferze jest używanie managerów haseł. Tworząc nowe hasła, warto sprawić, by były jak najdłuższe. Najlepiej, żeby nic nie znaczyły i nie były używane w innych miejscach. W tym celu należy zapewnić minimalny standard, jaki musi spełniać hasło. Co prawda użytkownicy często denerwują się, gdy wymaga się od nich przestrzegania minimalnej długości hasła, czy też są zmuszeni użyć, w nim, numeru, specjalnego znaku itp. Warto jednak pamiętać, że ewentualne przejęcie ich konta przez hakera może wiązać się z dużymi problemami dla naszego sklepu internetowego.

Testowanie systemu

Po wprowadzeniu i zastosowaniu wszystkich zabezpieczeń warto zlecić test naszego systemu firmie, która przeprowadzi tzw. pentesting. Chodzi o test, określany jako etyczny hacking, który ma na celu nie tylko sprawdzenie poziomu zabezpieczeń, ale również wykrycie wszystkich potencjalnych luk. Dzięki temu możemy się upewnić, że wszystkie wdrożone przez nas zabezpieczenia, poprawnie funkcjonują i rzeczywiście nasza strona jest bezpieczna.

Dziękujemy, że przeczytałaś/eś nasz artykuł do końca. Jeśli chcesz być na bieżąco z informacjami za zakresu bezpieczeństwa, zapraszamy do naszego serwisu ponownie!
Jeżeli podobał Ci się artykuł podziel się z innymi udostępniając go w mediach społecznościowych.