ГОСТ Р ИСО/МЭК 17799—2005
- любые специальные средства контроля, которые могут потребоватьсядля защиты важных объек
тов. например криптографические ключи (10.3.5).
8.7.2 Безопасность носителей информации при пересылке
Информацияможетбытьискаженаили скомпрометирована вследствиенеавторизованногодосту
па. неправильного использованияили искажения во время физическойтранспортировки, например, при
пересылкеносителейинформации попочте или черезкурьера. Для защитыинформации, передаваемой
между организациями, необходимо применять следующие меры;
а) следует использовать надежных перевозчиков или курьеров. Список авторизованных
курьеровнеобходимосогласовыватьс руководством.крометого, следуетвнедритьпроцедурупроверки
идентификации курьеров;
б) упаковка должна быть достаточной для защиты содержимого от любого физического
повреждения, которое можетиметьместопри транспортировке, исоответствоватьтребованиямизгото
вителей носителей информации;
в) специальные средства контроля следует применять, при необходимости, для защиты важ
ной информации от неавторизованного раскрытия или модификации. Например:
1) использование запертых контейнеров;
2) личную доставку;
3) использование упаковки, которую нельзя нарушить незаметно (на которой видна любая
попытка вскрытия);
4) в исключительныхслучаях, разбивку отправления на несколько частей, пересылаемых раз
личными маршрутами:
5) использование цифровых подписей и шифрования для обеспечения конфиденциальности
(10.3).
8.7.3 Безопасность электронной торговли
В электронной торговле могут использоваться различные способы обмена данными, например, в
электронном виде(EDI), черезэлектронную почту итранзакции врежимеон-лайнчерезобщедоступные
сети, в частности. Интернет. Электронная торговля подвержена рядусетевых угроз, которые могут при
вестик краже, оспариванию контрактов, а такжераскрытию илимодификацииинформации. Чтобы защи
тить электронную торговлю от таких угроз, необходимо применять соответствующие мероприятия по
управлению информационной безопасностью. Для обеспечения безопасности электронной торговли
необходимопроанализировать степеньдостоверности иобоснованности предлагаемыхпоставщиками
мер обеспечения информационной безопасности:
- аутентификация. С какой степенью клиенту и продавцу следует проверять идентификацию друг
друга?
- авторизация. Кто уполномоченустанавливать цены, подготавливать или подписывать ключевые
коммерческие документы? Каким образом об этом может быть проинформирован торговый партнер?
- процессы вотношенииконтрактовитендеров. Какиетребованиясуществуютвотношенииконфи
денциальности, целостности, подтверждения отправки и получения ключевых документов, а также в
невозможности отказа от совершенных сделок?
- информацияо ценах. Насколькоможнодоверять рекламе прайс-листов иконфиденциальности в
отношении существенных скидок?
- обработка заказов. Как обеспечиваются конфиденциальность и целостность деталей заказа,
условий оплаты и адреса поставки, а также подтверждение при его получении?
- контрольные проверки. Какая степень контроля являетсядостаточной, чтобы проверить инфор
мацию об оплате, представленную клиентом?
- расчеты. Какая форма оплаты является наиболее защищенной от мошенничества?
- оформление заказов. Какая требуется защита, чтобыобеспечитьконфиденциальностьи целост
ность информации о заказах, а также избежать потери или дублирования сделок?
- ответственность. Кто несет ответственность за риск любых мошеннических сделок?
Многие из вышеупомянутых проблем могут быть решены с использованием криптографических
методов, изложенных в 10.3, при этом необходимо обеспечивать соответствие требованиям законода
тельства (12.1,12.1.6 относительно законодательства в области криптозащиты).
Соглашения между партнерами в области электронной торговли следует сопровождать докумен
тальнооформленнымидоговорами, которыеустанавливаюти документальнооформляют между сторо
нами условия заключения сделок, включая детали авторизации. Могут потребоваться также
дополнительные соглашения с поставщиками сетевых и информационных услуг.
Магазины (сети) электронной торговли, ориентированные на массового потребителя, должны
обнародовать условия заключения сделок.
2S