Защита систем электронной коммерции. Безопасность электронной коммерции Информационная безопасность торговля

Безопасность любой системы электронной коммерции в целом заключается в защите от различного рода вмешательств в ее данные. Все эти вмешательства можно разделить на несколько категорий:

· хищение данных (например, хищение номеров кредитных карточек из базы данных);

· вмешательство (например, перегрузка данными сайта, не предназначенного для такого большого объема информации);

· искажение данных (например, изменение сумм в файлах платежей и счетов-фактур или создание несуществующих сертификатов или сайтов для перекачки информации, идущей на определенный сайт);

· разрушение данных (например, при передаче с сайта или сайту от пользователя);

· отказ от произведенных действий (например, от факта оформления заказа или получения товара);

· неумышленное неправильное использование средств сайта добросовестным пользователем;

· несанкционированный доступ к информации:

· несанкционированное копирование, обновление или другое использование данных;

· несанкционированные транзакции;

· несанкционированный просмотр или передача данных (например, отображение настоящих имен посетителей вместо псевдонимов в чате или форуме).

При этом нельзя не учитывать, что в вопросах безопасности в данной сфере имеется ряд объективных проблем правового характера - технологии развиваются значительно быстрее законодательной базы, злоумышленника трудно поймать на месте преступления, а доказательства и следы преступлений легко могут быть бесследно уничтожены. Все это обуславливает необходимость тщательной разработки компаниями политики защиты своего электронного бизнеса. Полная и абсолютная безопасность недостижима, так как системы электронного бизнеса построены на базе множества готовых и сделанных на заказ программных приложений различных поставщиков и значительного количества внешних сервисов, предоставляемых провайдерами соответствующих услуг или бизнес-партнерами. Значительная часть этих компонент и сервисов обычно непрозрачны для IT-специалистов компании-заказчика, кроме того, многие из них часто модифицируются и усовершенствуются их создателями. Все это невозможно тщательно проверить на предмет потенциальных дефектов защиты, и еще сложнее все эти дефекты устранить. И даже если бы это было возможно, нельзя исключить так называемый человеческий фактор, так как все системы создаются, изменяются и управляются людьми, а согласно исследованиям Института компьютерной безопасности 81% респондентов отметили, что наибольшее беспокойство у компаний вызывает именно внутренняя угроза - умышленные или неумышленные действия собственных сотрудников.

В проблеме защиты от внутренних угроз есть два аспекта: технический и организационный. Технический аспект заключается в стремлении исключить любую вероятность несанкционированного доступа к информации. Для этого применяются такие известные средства, как:

поддержка паролей и их регулярное изменение; предоставление минимума прав, необходимых для администрирования системы;

наличие стандартных процедур своевременного изменения группы доступа при кадровых изменениях или немедленного уничтожения доступа по увольнении сотрудника.

Организационный аспект состоит в разработке рациональной политики внутренней защиты, превращающей в рутинные операции такие редко используемые компаниями способы защиты и предотвращения хакерских атак, как:

· введение общей культуры соблюдения безопасности в компании;

· тестирование программного обеспечения на предмет хакинга;

· отслеживание каждой попытки хакинга (не зависимо от того, насколько успешно она завершилась) и ее тщательное исследование;

· ежегодные тренинги для персонала по вопросам безопасности и киберпреступности, включающие информацию о конкретных признаках хакерских атак, чтобы максимально расширить круг сотрудников, имеющих возможность выявить такие действия;

· введение четких процедур отработки случаев неумышленного изменения или разрушения информации.

Для защиты от внешнего вторжения сегодня существует множество систем, по сути являющихся разного рода фильтрами, помогающими выявить попытки хакинга на ранних этапах и по возможности не допустить злоумышленника в систему через внешние сети.

· маршрутизаторы - устройства управления трафиком сети, расположенные между сетями второго порядка и управляющие входящим и исходящим трафиком присоединенных к нему сегментов сети;

· брандмауэры - средства изоляции частных сетей от сетей общего пользования, использующих программное обеспечение, отслеживающее и пресекающее внешние атаки на сайт с помощью определенного контроля типов запросов;

шлюзы приложений - средства, с помощью которых администратор сети реализует политику защиты, которой руководствуются маршрутизаторы, осуществляющие пакетную фильтрацию;

· системы отслеживания вторжений (Intrusion Detection Systems, IDS) - системы, выявляющие умышленные атаки и неумышленное неправильное использование системных ресурсов пользователями;

· средства оценки защищенности (специальные сканеры, др.) - программы, регулярно сканирующие сеть на предмет наличия проблем и тестирующие эффективность реализованной политики безопасности.

В целом, первое, что следует сделать компании - это разобраться, что и от кого должно быть защищено. В качестве основных игроков на этом поле выступают акционеры компании, потребители, сотрудники и бизнес-партнеры, и для каждого из них необходимо разработать собственную схему защиты. Все требования по безопасности должны быть задокументированы, чтобы в дальнейшем служить руководством для всех реализаций электронно-коммерческих приложений и средств их защиты в различных направлениях деятельности компании. Кроме того, это позволит сформировать отдельный бюджет для обслуживания проблем безопасности в рамках компании и оптимизировать расходы на эти нужды, исключив дублирование каких-либо вопросов защиты при разработке каждого отдельного бизнес-проекта.

К сожалению, сегодня практика такова, что политика защиты отдается руководителями на откуп IT-подразделению, сотрудники которого полагают что технологические вопросы важнее каких-то там "бумажных" предписаний, и к тому же, не являются специалистами в отдельных областях бизнеса, также требующих четких процедур защиты в рамках компании.

Кроме того, при сопряжении различного программного обеспечения могут появиться специфические проблемы, не известные производителям каждого из интегрированных продуктов. Исследование таких взаимодействий должно предварять любые технологические и бюджетные решения. И этому пока также уделяется слишком мало внимания.

Введение

Термин «электронная коммерция» объединяет в себе множество различных технологий, в числе которых – EDI (Electronic Data Interchange – электронный обмен данными), электронная почта, Интернет, интранет (обмен информацией внутри компании), экстранет (обмен информацией с внешним миром).

Сферы применения системы электронной коммерции достаточно разнообразны. Они включают в себя широкий спектр деловых операций (бизнес-операций) и сделок, в частности:

установление контакта между потенциальным заказчиком и поставщиком;

электронный обмен необходимой информацией;

предпродажную и послепродажную поддержку клиента, купившего товар в электронном магазине (обеспечение подробной информацией о продукте или услуге, передача инструкций по использованию продукта, оперативные ответы на возникающие у покупателя вопросы);

осуществление непосредственно акта продажи товара или услуги;

электронную оплату покупки (с использованием электронного перевода денег, кредитных карточек, электронных денег, электронных чеков);

поставку покупателю продукта, включая как управление доставкой и его отслеживанием для физических товаров, так и непосредственную доставку товаров, которые могут распространяться электронным путем;

создание виртуального предприятия, представляющего собой группу независимых компаний, которые объединяют свои различные виды ресурсов для получения возможностей предоставления продуктов и услуг, недоступных для самостоятельно функционирующих фирм;

реализацию самостоятельных бизнес-процессов (совокупность связанных между собой операций, процедур, с помощью которых реализуется конкретная коммерческая цель деятельности компании в рамках определенной организационной структуры), совместно осуществляемых фирмой-производителем и ее торговыми партнерами.

Не менее разнообразны и сферы деятельности, в рамках которых может осуществляться электронная коммерция. К основным сферам деятельности, где может протекать электронная коммерция, относятся:

электронный маркетинг (Интернет-маркетинг);

финансирование создания электронных магазинов, а также их страхование;

коммерческие операции, включающие в себя заказ, получение товара и оплату;

совместная разработка несколькими компаниями нового продукта или услуги;

организация распределенного совместного производства продукции;

администрирование бизнеса (налоги, таможня, разрешения, концессии и т. д.);

транспортное обслуживание, техника перевозок и способы снабжения;

ведение бухгалтерского учета;

разрешение конфликтных ситуаций и спорных вопросов.

Электронная коммерция может осуществляться на разных уровнях:

национальном;

интернациональном (международном).

Безопасность электронной коммерции.

Безопасность - это состояние, при котором отсутствует возможность причинения ущерба потребностям и интересам субъектов отношений.

Обеспечение информационной безопасности является одним из ключевых моментов обеспечения безопасности предприятия. Как считают западные специалисты, утечка 20 % коммерческой информации в шестидесяти случаях из ста приводит к банкротству предприятия. Потому физическая, экономическая и информационная безопасность очень тесно взаимосвязаны.

Коммерческая информация имеет разные формы представления. Это может быть и информация, переданная устно, и документированная информация, зафиксированная на различных материальных носителях (например, на бумаге или на дискете), и информация, передаваемая по различным линиям связи или компьютерным сетям.

Злоумышленниками в информационной сфере используются разные методы добывания информации. Сюда входят «классические» методы шпионажа (шантаж, подкуп и др.), методы промышленного шпионажа, несанкционированное использование средств вычислительной техники, аналитические методы. Поэтому спектр угроз информационной безопасности чрезвычайно широк.

Новую область для промышленного шпионажа и различных других правонарушений открывает широкое использование средств вычислительной техники и технологий электронной коммерции.

С помощью технических средств промышленного шпионажа не только различными способами подслушивают или подсматривают за действиями конкурентов, но и получают информацию, непосредственно обрабатываемую в средствах вычислительной техники. Наибольшую опасность здесь представляет непосредственное использование злоумышленниками средств вычислительной техники, что породило новый вид преступлений - компьютерные преступления, т. е. несанкционированный доступ к информации, обрабатываемой в ЭВМ, в том числе и с помощью технологий электронной коммерции.

Противодействовать компьютерной преступности сложно, что главным образом объясняется:

Новизной и сложностью проблемы;

Сложностью своевременного выявления компьютерного преступления и идентификации злоумышленника;

Возможностью выполнения преступления с использованием средств удаленного доступа, т. е. злоумышленника может вообще не быть на месте преступления;

Трудностями сбора и юридического оформления доказательств компьютерного преступления.

Принципы создания и функционирования систем обеспечения безопасности можно разбить на три основных блока: общие принципы обеспечения защиты, организационные принципы и принципы реализации системы защиты.

К общим принципам обеспечения защиты относятся:

1) принцип неопределенности. Обусловлен тем, что при обеспечении защиты неизвестно, кто, когда, где и каким образом попытается нарушить безопасность объекта защиты;

2) принцип невозможности создания идеальной системы защиты. Этот принцип следует из принципа неопределенности и ограниченности ресурсов, которыми, как правило, располагает система безопасности;

3) принцип минимального риска. Заключается в том, что при создании системы защиты необходимо выбирать минимальную степень риска исходя из особенностей угроз безопасности, доступных ресурсов и конкретных условий, в которых находится объект защиты в любой момент времени;

4)принцип защиты всех от всех. Данный принцип предполагает необходимость защиты всех субъектов отношений против всех видов угроз.

К организационным принципам относят:

1)принцип законности. Важность соблюдения этого очевидного принципа трудно переоценить. Однако с возникновением новых правоотношений в российском законодательстве наряду с хорошо знакомыми объектами права, такими как «государственная собственность», «государственная тайна», появились новые - «частная собственность», «собственность предприятия», «интеллектуальная собственность», «коммерческая тайна», «конфиденциальная информация», «информация с ограниченным доступом». Нормативная правовая база, регламентирующая вопросы обеспечения безопасности, пока несовершенна;

2)принцип персональной ответственности. Каждый сотрудник предприятия, фирмы или их клиент несет персональную ответственность за обеспечение режима безопасности в рамках своих полномочий или соответствующих инструкций. Ответственность за нарушение режима безопасности должна быть заранее конкретизирована и персонифицирована;

3)принцип разграничения полномочий. Вероятность нарушения коммерческой тайны или нормального функционирования предприятия прямо пропорциональна количеству осведомленных лиц, обладающих информацией. Поэтому никого не следует знакомить с конфиденциальной информацией, если это не требуется для выполнения его должностных обязанностей;

4)принцип взаимодействия и сотрудничества. Внутренняя атмосфера безопасности достигается доверительными отношениями между сотрудниками. При этом необходимо добиваться того, чтобы персонал предприятия правильно понимал необходимость выполнения мероприятий, связанных с обеспечением безопасности, и в своих собственных интересах способствовал деятельности службы безопасности.

Для анализа проблемы обеспечения безопасности электронной коммерции необходимо определить интересы субъектов взаимоотношений, возникающих в процессе электронной коммерции.

Принято выделять следующие категории электронной коммерции: бизнес-бизнес, бизнес-потребитель, бизнес-администрация. При этом независимо от категории электронной коммерции выделяют классы субъектов: финансовые институты, клиенты и бизнес организации.

Открытый характер интернет технологий, доступность передаваемой по сети информации означает, что общие интересы субъектов электронной коммерции заключаются в обеспечении информационной безопасности электронной коммерции. Информационная безопасность включает в себя обеспечение аутентификации партнеров по взаимодействию, целостности и конфиденциальности передаваемой по сети информации, доступности сервисов и управляемости инфраструктуры.

Спектр интересов субъектов электронной коммерции в области информационной безопасности можно подразделить на следующие основные категории:

Доступность (возможность за приемлемое время получить требуемую услугу);

Целостность (актуальность и непротиворечивость информации, ее защищенность от разрушений и несанкционированного изменения);

Конфиденциальность (защита информации от несанкционированного ознакомления).

Информационная безопасность является одним из важнейших компонентов интегральной безопасности электронной коммерции.

Число атак на информационные системы по всему миру каждый год удваивается. В таких условиях система информационной безопасности электронной коммерции должна уметь противостоять многочисленным и разнообразным внутренним и внешним угрозам.

Основные угрозы информационной безопасности электронной коммерции связаны:

С умышленными посягательствами на интересы субъектов электронной коммерции (компьютерные преступления и компьютерные вирусы);

Неумышленными действиями обслуживающего персонала (ошибки, упущения и т. д.);

Воздействием технических факторов, способным привести к искажению и разрушению информации (сбои электроснабжения, программные сбои);

Воздействием техногенных факторов (стихийные бедствия, пожары, крупномасштабные аварии и т. д.).

Угрозы безопасности могут быть связаны с действиями факторов, значение и влияние которых практически всегда неизвестно. Поэтому невозможно создать абсолютно безопасную систему. При создании системы безопасности электронной коммерции необходимо минимизировать степень риска возникновения ущерба исходя из особенностей угроз безопасности и конкретных условий предприятия, занимающегося электронной коммерцией.

При этом необходимо основываться на принципе достаточности, который заключается в том, что проводимые в интересах обеспечения безопасности электронной коммерции мероприятия с учетом потенциальных угроз должны быть минимальны и достаточны.

Объем принимаемых мер безопасности должен соответствовать существующим угрозам, в противном случае система безопасности будет экономически неэффективна. В соответствии с этим для обоснования эффективности мероприятий по обеспечению безопасности электронной коммерции применяется ряд критериев, так или иначе основанных на сравнении убытков, возникающих при нарушении безопасности, и стоимости проведения мероприятий по обеспечению безопасности электронной коммерции.

Убытки, которые могут возникать на предприятии, занимающемся электронной коммерцией, из-за нарушения информационной безопасности можно разделить на прямые и косвенные.

Прямые убытки могут быть выражены в стоимости:

Восстановления поврежденной или физически утраченной информации в результате пожара, стихийного бедствия, кражи, ограбления, ошибки в эксплуатации, неосторожности обслуживающего персонала, взлома компьютерных систем и действий вирусов;

Ничтожных (незаконных) операций с денежными средствами и ценными бумагами, проведенных в электронной форме, путем несанкционированного проникновения в компьютерные системы и сети, а также злоумышленной модификации данных, преднамеренной порчи данных на электронных носителях при хранении, перевозке или перезаписи информации, передачи и получения сфальсифицированных поручений в сетях электронной передачи данных и др.;

Возмещения причиненного физического и/или имущественного ущерба третьим лицам (субъектам электронной коммерции - клиентам, пользователям).

Косвенные убытки могут выражаться в текущих расходах на выплату заработной платы, процентов по кредитам, арендной платы, амортизации и потерянной прибыли, возникающих при вынужденной приостановке коммерческой деятельности предприятия из-за нарушения безопасности предприятия.

Убытки и связанные с их возникновением риски относятся к финансовым категориям, методики экономической оценки которых разработаны и известны. Поэтому не будем останавливаться на их подробном анализе.

Можно выделить два основных критерия, позволяющих оценить эффективность системы защиты:

Отношение стоимости системы защиты (включая текущие расходы на поддержание работоспособности этой системы) к убыткам, которые могут возникнуть при нарушении безопасности;

Отношение стоимости системы защиты к стоимости взлома этой системы с целью нарушения безопасности.

Смысл указанных критериев заключается в следующем: если стоимость системы защиты, обеспечивающей заданный уровень безопасности, оказывается меньше затрат по возмещению убытков, понесенных в результате нарушения безопасности, то мероприятия по обеспечению безопасности считаются эффективными.

2. Витрина интернет-магазина.

Список литературы

1. Мэйволд Э. Электронная коммерция: требования к безопасности http://www.intuit.ru/department/security/netsec/ Электронный бизнес и безопасность / В.А.Быков.-М.:Радио и связь, 2013.

2. Авдошин С.М., Савельева А.А., Сердюк В.А., Технологии и продукты Microsoft в обеспечении информационной безопасности – электронный ресурсhttp://www.intuit.ru/department/security/mssec/

В результате изучения материала данной главы студент должен: знать

правовые основы информационной безопасности;
стандарты безопасности платежей пластиковыми картами;
правила работы с электронными счетами-фактурами; уметь
произвести безопасный платеж с использованием пластиковой карты;
осуществлять безопасные покупки с использованием пластиковых карт; владеть
знаниями по современным информационным атакам и классификации АРТ- атак;
знаниями по повышению безопасности ЭДО и электронных платежей.

Безопасность предприятий электронной коммерции

Под безопасностью предприятия ЭК понимают состояние защищенности его от внешних и внутренних угроз. Понятие безопасности предприятия включает:

правовую защиту безопасности;
защиту персональных данных;
физическую безопасность;
экономическую и финансовую безопасность;
информационную безопасность.

Наиболее распространенными киберпреступлениями в 2014 г. и начале 2015 г. были целенаправленные атаки на информационные системы предприятий (APT - advanced persistent threat), попытки использования уязвимостей в приложениях с открытым кодом, динамические техники обхода защиты (АЕТ - advanced evasion techniques), угрозы в финансовой сфере, сфере мобильных платежей, дистанционном банковском обслуживании, онлайн-банкинге. К вредоносному банковскому ПО относятся банкеры, клавиатурные шпионы, программы для кражи виртуальных кошельков. Банкер (bankers) - особый вид системных ставок в букмекерских конторах, где выбирается одно (или несколько) событий с предполагаемым успешным исходом. В 2014 г. экспертами зафиксировано 16 млн заражений Windows-компьютеров вредоносным банковским ПО, обнаружено 12 тыс. мобильных банковских троянцев.

К угрозам физической безопасности относятся посягательства на жизнь и личные интересы сотрудников предприятия, такие действия в отношении сотрудников предприятия, как психологический террор, запугивание, вымогательства, грабеж с целью завладения материальными ценностями или документами, похищение сотрудников, угроза жизни, кражи, а также пожар и стихийные бедствия.

К экономической и финансовой безопасности относятся защита экономических и финансовых интересов предприятия и субъектов предприятия. Угрозами экономической и финансовой безопасности являются неплатежеспособность предприятия, компрометация и подрыв доверия к предприятию, использование фальшивых документов, утечка коммерческой информации, подделка финансовых документов для получения кредита, нарушение сроков платежей, разглашение конфиденциальной финансовой информации, условий предоставления кредитов, подделка товаров и их торговых марок и др.

Правовая защита достигается путем соблюдения каждым субъектом электронной торговли законодательства РФ, нормативных и правовых актов, соглашений сторон электронных сделок, прав и обязанностей в соответствии с правовым статусом субъекта, прав и обязательств по порядку оформления электронной сделки. Участниками электронных сделок являются субъекты и посредники электронной торговли. Они обязаны предпринимать действия по снижению рисков, предотвращению угроз и конфликтов в процессах электронной торговли. Для этого им следует использовать средства профилактики и предупреждения правонарушений, мониторинг правового обеспечения своей деятельности. В модельном Законе "Об электронной торговле", принятом Постановлением Межпарламентской Ассамблеи государств - участников СНГ № 31-12 от 2008 г. прописаны основные мероприятия по обеспечению безопасности электронной торговли.

При ведении ЭК важно соблюдение положений Федерального закона от 29 июля 2004 г. № 98-ФЗ "О коммерческой тайне". Закон дает следующее определение: "Коммерческая тайна - режим конфиденциальности информации, позволяющий ее обладателю при существующих или возможных обстоятельствах увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду".

В соответствии с п. 2 ст. 3 Закона "О коммерческой тайне", информация, составляющая коммерческую тайну - это сведения любого характера, которые имеют действительную или потенциальную коммерческую ценность. Она неизвестна третьим лицам на законном основании либо к ней обладателем сведений введен режим коммерческой тайны. Информация может носить производственный, технический, экономический, организационный и другой характер. Статья 15 ч. 1 ГК РФ, предусматривает возмещение убытков, нанесенных нарушением режима коммерческой тайны. Под убытками понимаются расходы, необходимые для восстановления нарушенного права. Их несет лицо, чьи права были нарушены.

Для обеспечения режима сохранности коммерческой тайны на предприятии работодатель обязан издать "Положение об использовании корпоративной электронной почты" и "Приказ о вводе режима коммерческой тайны". В приказе оговаривается информация, которая на данном предприятии представляет коммерческую тайну. Положение и Приказ доводятся до сведения всех сотрудников предприятия под личную подпись. Обладатель информации, составляющей коммерческую тайну, вправе применять при необходимости средства и методы технической защиты этой информации. Также он может применять другие, не противоречащие законодательству РФ, меры защиты. Это следует из ст. 34 п. 1 Конституции РФ.

Примечание. Соблюдение положений Закона "О коммерческой тайне" необходимо студентам, проходящим производственную практику на государственных или коммерческих предприятиях. Сведения, помещаемые в отчеты о прохождении практики и выпускные квалификационные работы, не должны раскрывать коммерческую тайну этих предприятий.

Безопасность в сфере электронной коммерции

Введение

Появление и развитие сети Интернет, совершенствование информационных технологий, систем, и стандартов их взаимодействия привели к созданию нового направления современного бизнеса - электронному бизнесу, как особой формы бизнеса, реализующейся в значительной степени посредством внедрения информационных технологий в процессы производства, продажи и распределения товаров и услуг.

Электронный бизнес выступает как результат новых, качественных изменений, связанных с внедрением информационных и коммуникационных технологий в традиционно существующий бизнес. По своей сути идея электронного бизнеса является логичным развитием идеи автоматизации и компьютеризации.

Электронная коммерция создает два эффекта на уровне предприятия: существенно реорганизует путь продукции от производства до конечного потребителя и изменяет всю рыночную структуру. Также позволяет малым предприятиям конкурировать с крупными и средними организациями без больших затрат.

Развитие информационных и коммуникационных технологий привело к развитию бизнеса в интернете, тем самым зародив новое направление - виртуальную или сетевую экономику, а электронная коммерция стала одним из способов осуществления электронного бизнеса в части интернет-коммуникаций.

Однако системы электронной коммерции в большей степени подвержены рискам безопасности, чем традиционные бизнес-системы, что делает крайне важным обеспечение соответствующей защиты.

Причины высоких рисков безопасности

Системы электронной торговли представляют собой характерный пример распределенной вычислительной системы. В них несколько клиентов работают с одним сервером, реже с несколькими серверами. Таким образом, электронному магазину угрожают все внутренние и удаленные атаки, присущие любой распределенной компьютерной системе, взаимодействующей посредством передачи данных по открытым сетям.

Технология функционирования типового предприятия в сфере электронной коммерции, работающей на базе интернет-магазина, включает следующие этапы:

1.Выбор продукта на электронной витрине с каталогом товаров и цен (сайт). Покупатель вводит свои персональные данные в соответствующую форму.

2.Передача оформленного товара в торговую систему интернет-магазина, где происходит комплектация заказа.

3.Доставка и оплата товара. Доставка товара покупателю осуществляется одним из возможных способов:

– курьером магазина в пределах города и окрестностей;

– специализированной курьерской службой (в том числе из-за границы);

– почтой;

– самовывозом;

– по телекоммуникационным сетям доставляется такой специфический товар как информация.

4.Оплата товара может осуществляться следующими способами:

– предварительной или в момент получения товара;

– наличными курьеру или при визите в реальный магазин;

– почтовым переводом;

– банковским переводом;

– наложенным платежом;

– при помощи кредитных карт (VISA, MASTER CARD и др);

– посредством электронных платежных систем через отдельные коммерческие банки (ТЕЛЕБАНК, ASSIST и др.).

В течение данных этапов возникают следующие возможные варианты мошенничества:

– получение данных о клиенте через взлом БД торговых предприятий или путем перехвата сообщений покупателя, содержащих его персональные данные;

– магазины-бабочки, возникающие, как правило, на непродолжительное время, для того, чтобы исчезнуть после получения от покупателей средств за несуществующие услуги или товары;

– увеличение стоимости товара по отношению к предлагавшейся покупателю цене или повтор списаний со счета клиента;

– магазины или торговые агенты, предназначенные для сбора информации о реквизитах карт и других персональных данных покупателя.

– подмена страницы Web-сервера электронного магазина. Основной способ реализации - переадресация запросов пользователя на другой сервер. Проводится путем замены записей в таблицах DNS-серверов или в таблицах маршрутизаторов. Особенно это опасно, когда заказчик вводит номер своей кредитной карты.

– создание ложных заказов и мошенничество со стороны сотрудников электронного магазина. Проникновение в базу данных и изменение процедур обработки заказов позволяет незаконно манипулировать с базой данных

– перехват данных, передаваемых в системе электронной коммерции. Особую опасность представляет собой перехват информации о кредитной карте заказчика.

– проникновение во внутреннюю сеть компании и компрометация компонентов электронного магазина.

– реализация атак типа "отказ в обслуживании" и нарушение функционирования или выведение из строя узла электронной коммерции.

Методы защиты

Меры, предпринимаемые участниками электронной коммерции для обеспечения безопасных расчетов в сети Интернет достаточно многообразны. Далее будут рассмотрены основные методы:

1.Обучение держателей банковских карт минимальным навыкам для обеспечения собственной безопасности. Метод включает следующие рекомендации: использование только доверенных ресурсов доступа к интернету, изучение порядка доставки товаров и предоставления услуг, проверка использования коммерсантом сертифицированных протоколов, гарантирующих безопасность передаваемой информации.

2.Шифрование данных. На сегодняшний день практически всеми банками, предоставляющими услугу Интернет-банкинга, применяется SSL (Secure Socked Layer) - шифрование данных, передаваемых от компьютера пользователя в систему банка и обратно. Широко используемый и ставший практически обязательным в интернет-торговле протокол SSL позволяет всем участникам торговли спокойно передавать самую разную информацию. При попытке перехвата данных они будут закрыты шифром, взломать который за сколько-нибудь адекватный промежуток времени невозможно.
Протокол SSL надежно защищает информацию, передаваемую через Интернет, но все же он не может уберечь частную информацию, хранимую на сервере продавца, - например, номера кредитных карт. Когда продавец получает данные кредитной карты вместе с заявкой на покупку, информация расшифровывается и сохраняется на сервере, пока заявка не будет выполнена. Если сервер не защищен и данные не зашифрованы, то возможен несанкционированный доступ к частной информации и дальнейшее использование ее в мошеннических целях.

3.Одноразовые пароли, получаемые в банкомате. При такой системе защиты, кроме обычного логина и пароля, для входа в систему и подтверждения операций пользователь должен ввести одноразовый пароль, список которых он может получить в банкомате своего банка. С точки зрения безопасности такая система имеет преимущество - чтобы совершать операции по карточному счету через интернет-банкинг, лицо должно как минимум иметь в наличии непосредственно саму карту, а также знать ПИН-код, чтобы получить список паролей в банкомате.

4.Одноразовые SMS-пароли - это система, при которой каждая операция, осуществляемая посредством онлайн - банкинга, должна быть подтверждена одноразовым паролем, который пользователь получает в SMS-сообщении на мобильный телефон. При этом мобильный номер должен быть «привязан» к номеру счета.
Данная система обладает следующими преимуществами:

– простота использования - нет необходимости в специальном оборудовании, а процедура подтверждения операции занимает всего несколько минут.

– защита учетной записи - даже если мошенникам станет известен логин и пароль для входа в систему, они не получат доступ к деньгам, а пользователь узнает о попытке провести несанкционированную операцию из SMS-сообщения.

Заключение

Решить проблему обеспечения надежности информационной безопасности исключительно с помощью технических средств и программного обеспечения невозможно. По мнению специалистов, защита корпоративных информационных систем зависит от ряда факторов: на 30% - от применяемых технических решений; на 40% - от проводимых в учреждении организационных мероприятий и на 30% - от морально-нравственного состояния общества и общекультурного уровня пользователя.
На данный момент вопросы обеспечения безопасности онлайновых коммерческих операций каждая организация решает в отдельности путём использования профессиональных средств защиты. Однако, в силу отсутствия соответствующих нормативных документов в сфере электронной коммерции, потребуется немало времени и усилий, прежде чем они смогут заручиться доверием у значительной массы клиентов.

Широкое внедрение Интернета не могло не отразиться на развитии электронного бизнеса.

Одним из видов электронного бизнеса считается электронная коммерция. В соответствии с документами ООН, бизнес признается электронным, если хотя бы две его составляющие из четырех (производство товара или услуги, маркетинг, доставка и расчеты) осуществляются с помощью Интернета. Поэтому в такой интерпретации обычно полагают, что покупка относится к электронной коммерции, если, как минимум, маркетинг (организация спроса) и расчеты производятся средствами Интернета. Более узкая трактовка понятия "электронная коммерция" характеризует системы безналичных расчетов на основе пластиковых карт.

Ключевым вопросом для внедрения электронной коммерции является безопасность.

Высокий уровень мошенничества в Интернете является сдерживающим фактором развития электронной коммерции. Покупатели, торговля и банки боятся пользоваться этой технологией из-за опасности понести финансовые потери. Люди главным образом используют Интернет в качестве информационного канала для получения интересующей их информации. Лишь немногим более 2% всех поисков по каталогам и БД в Интернете заканчиваются покупками.

Приведем классификацию возможных типов мошенничества в электронной коммерции:

транзакции (операции безналичных расчетов), выполненные мошенниками с использованием правильных реквизитов карточки (номер карточки, срок ее действия и т.п.);
получение данных о клиенте через взлом БД торговых предприятий или путем перехвата сообщений покупателя, содержащих его персональные данные;
магазины-бабочки, возникающие, как правило, на непродолжительное время, для того, чтобы исчезнуть после получения от покупателей средств за несуществующие услуги или товары;
увеличение стоимости товара по отношению к предлагавшейся покупателю цене или повтор списаний со счета клиента;
магазины или торговые агенты, презназначенные для сбора информации о реквизитах карт и других персональных данных покупателя.

Протокол SSL

Протокол SSL (Secure Socket Layer) был разработан американской компанией Netscape Communications. SSL обеспечивает защиту данных между сервисными протоколами (такими как HTTP, NNTP, FTP и т.д.) и транспортными протоколами (TCP/IP) с помощью современной криптографии в соединениях "точка-точка". Ранее можно было без особых технических ухищрений просматривать данные, которыми обмениваются между собой клиенты и серверы. Был даже придуман специальный термин для этого - "sniffer".

Протокол SSL предназначен для решения традиционных задач обеспечения защиты информационного взаимодействия:

пользователь и сервер должны быть взаимно уверены, что они обмениваются информацией не с подставными абонентами, а именно с теми, которые нужны, не ограничиваясь паролевой защитой;
после установления соединения между сервером и клиентом весь информационный поток между ними должен быть защищен от несанкционированного доступа;
и наконец, при обмене информацией стороны должны быть уверены в отсутствии случайных или умышленных искажений при ее передаче.

Протокол SSL позволяет серверу и клиенту перед началом информационного взаимодействия аутентифицировать друг друга, согласовать алгоритм шифрования и сформировать общие криптографические ключи. С этой целью в протоколе используются двухключевые (ассиметричные) криптосистемы, в частности, RSA.

Конфиденциальность информации, передаваемой по установленному защищенному соединению, обеспечивается путем шифрования потока данных на сформированном общем ключе с использованием симметричных криптографических алгоритмов (например, RC4_128, RC4_40, RC2_128, RC2_40, DES40 и др.). Контроль целостности передаваемых блоков данных производится за счет использования так называемых кодов аутентификации сообщений (Message Autentification Code, или MAC), вычисляемых с помощью хэш-функций (например MD5).

Протокол SSL включает два этапа взаимодействия сторон защищаемого соединения:

установление SSL-сессии;
защита потока данных.

На этапе установления SSL-сессии осуществляется аутентификация сервера и (опционально) клиента, стороны договариваются об используемых криптографических алгоритмах и формируют общий "секрет", на основе которого создаются общие сеансовые ключи для последующей защиты соединения. Этот этап называют также "процедурой рукопожатия".

На втором этапе (защита потока данных) информационные сообщения прикладного уровня нарезаются на блоки, для каждого блока вычисляется код аутентификации сообщений, затем данные шифруются и отправляются приемной стороне. Приемная сторона производит обратные действия: расшифрование, проверку кода аутентификации сообщения, сборку сообщений, передачу на прикладной уровень.

Наиболее распространенным пакетом программ для поддержки SSL является SSLeay. Он содержит исходный код на C, который может быть встроен в такие приложения, как Telnet и FTP.

В SSL используется криптография с открытым (публичным) ключом, также известная как асимметричная криптография. Она использует два ключа: один - для шифрования, другой - для расшифровывания сообщения. Два ключа математически связаны таким образом, что данные, зашифрованные с использованием одного ключа, могут быть расшифрованы только с использованием другого, парного первому. Каждый пользователь имеет два ключа - открытый и секретный (приватный). Пользователь делает доступным открытый ключ любому корреспонденту сети. Пользователь и любой корреспондент, имеющий открытый ключ, могут быть уверены, что данные, зашифрованные с помощью открытого ключа, могут быть расшифрованы только с использованием секретного ключа.

Если два пользователя хотят быть уверенными, что информацию, которой они обмениваются, не получит третий, то каждый из них, должен передать одну компоненту ключевой пары (а именно открытый ключ), другому и хранит другую компоненту (секретный ключ). Сообщения шифруются с помощью открытого, расшифровываются только с использованием секретного ключа. Именно так сообщения могут быть переданы по открытой сети без опасения, что кто-либо сможет прочитать их.

Целостность и аутентификация сообщения обеспечиваются использованием электронной цифровой подписи.

Теперь встает вопрос о том, каким образом распространять свои публичные ключи. Для этого (и не только) была придумана специальная форма - сертификат. Сертификат состоит из следующих частей:

имя человека/организации, выпускающей сертификат;
субъект сертификата (для кого был выпущен данный сертификат);
публичный ключ субъекта;
некоторые временные параметры (срок действия сертификата и т.п.).

Сертификат "подписывается" приватным ключом человека (или организации), который выпускает сертификаты. Организации, которые производят подобные операции называются Certificate authority (CA). Если в стандартном Web-браузере, который поддерживает SSL, зайти в раздел security, то там можно увидеть список известных организаций, которые "подписывают" сертификаты. Технически создать свою собственную CA достаточно просто, но также необходимо уладить юридическую сторону дела, и с этим могут возникнуть серьезные проблемы.

SSL на сегодня является наиболее распространенным протоколом, используемым при построении систем электронной коммерции. С его помощью осуществляется 99% всех транзакций. Широкое распространение SSL объясняется в первую очередь тем, что он является составной частью всех браузеров и Web-серверов. Другое достоинство SSL - простота протокола и высокая скорость реализации транзакции.

В то же время, SSL обладает рядом существенных недостатков:

покупатель не аутентифицируется;
продавец аутентифицируется только по URL;
цифровая подпись используется только при аутентификации в начале установления SSL-сессии. Для доказательства проведения транзакции при возникновении конфликтных ситуаций требуется либо хранить весь диалог покупателя и продавца, что дорого с точки зрения ресурсов памяти и на практике не используется, либо хранить бумажные копии, подтверждающие получение товара покупателем;
не обеспечивается конфиденциальность данных о реквизитах карты для продавца.

Протокол SET

Другой протокол безопасных транзакций в Интернете - SET (Security Electronics Transaction). SET основан на использовании цифровых сертификатов по стандарту Х.509.

Протокол выполнения защищенных транзакций SET является стандартом, разработанным компаниями MasterCard и VISA при значительном участии IBM, GlobeSet и других партнеров. Он позволяет покупателям приобретать товары через Интернет, используя самый защищенный на настоящее время механизм выполнения платежей. SET является открытым стандартным многосторонним протоколом для проведения безопасных платежей с использованием пластиковых карточек в Интернет. SET обеспечивает кросс-аутентификацию счета держателя карточки, продавца и банка продавца для проверки готовности оплаты товара, целостность и секретность сообщения, шифрование ценных и уязвимых данных. Поэтому SET можно назвать стандартной технологией или системой протоколов выполнения безопасных платежей с использованием пластиковых карточек через Интернет.

SET позволяет потребителям и продавцам подтвердить подлинность всех участников сделки, происходящей в Интернет, с помощью криптографии, применяя, в том числе, и цифровые сертификаты.

Объем потенциальных продаж в области электронной коммерции ограничивается достижением необходимого уровня безопасности информации, который обеспечивают вместе покупатели, продавцы и финансовые институты, обеспокоенные вопросами обеспечения безопасности платежей через Интернет. Как упоминалось ранее, базовыми задачами защиты информации являются обеспечение ее доступности, конфиденциальности, целостности и юридической значимости. SET, в отличии от других протоколов, позволяет решать указанные задачи защиты информации.

В результате того, что многие компании занимаются разработкой собственного программного обеспечения для электронной коммерции, возникает еще одна проблема. В случае использования этого ПО все участники операции должны иметь одни и те же приложения, что практически неосуществимо. Следовательно, необходим способ обеспечения механизма взаимодействия между приложениями различных разработчиков.

В связи с перечисленными выше проблемами компании VISA и MasterCard вместе с другими компаниями, занимающимися техническими вопросами (например IBM, которая является ключевым разработчиком в развитии протокола SET), определили спецификацию и набор протоколов стандарта SET. Эта открытая спецификация очень быстро стала де-факто стандартом для электронной коммерции. В этой спецификации шифрование информации обеспечивает ее конфиденциальность. Цифровая подпись и сертификаты обеспечивают идентификацию и аутентификацию (проверку подлинности) участников транзакций. Цифровая подпись также используется для обеспечения целостности данных. Открытый набор протоколов используется для обеспечения взаимодействия между реализациями разных производителей.

SET обеспечивает следующие специальные требования защиты операций электронной коммерции:

секретность данных оплаты и конфиденциальность информации заказа, переданной вместе с данными об оплате;
сохранение целостности данных платежей; целостность обеспечивается при помощи цифровой подписи;
специальную криптографию с открытым ключом для проведения аутентификации;
аутентификацию держателя по кредитной карточке, которая обеспечивается применением цифровой подписи и сертификатов держателя карточек;
аутентификацию продавца и его возможности принимать платежи по пластиковым карточкам с применением цифровой подписи и сертификатов продавца;
подтверждение того, что банк продавца является действующей организацией, которая может принимать платежи по пластиковым карточкам через связь с процессинговой системой; это подтверждение обеспечивается с помощью цифровой подписи и сертификатов банка продавца;
готовность оплаты транзакций в результате аутентификации сертификата с открытым ключом для всех сторон;
безопасность передачи данных посредством преимущественного использования криптографии.

Основное преимущество SET перед многими существующими системами обеспечения информационной безопасности заключается в использовании цифровых сертификатов (стандарт X.509, версия 3), которые ассоциируют держателя карточки, продавца и банк продавца с рядом банковских учреждений платежных систем VISA и MasterCard.

открытый, полностью документированный стандарт для финансовой индустрии;
основан на международных стандартах платежных систем;
опирается на существующие в финансовой отрасли технологии и правовые механизмы.

Кстати, совместный проект, реализованный компаниями IBM, Chase Manhattan Bank USA N.A., First Data Corporation, GlobeSet, MasterCard и Wal-Mart позволяет владельцам карточек Wal-Mart MasterCard, выпущенных банком Chase, приобретать товары на сайте Wal-Mart Online, который является одним из крупнейших узлов электронной коммерции США.

Рассмотрим более детально процесс взаимодействия участников платежной операции в соответствии со спецификацией SET, представленный на рисунке с сайта компании IBM:

На рисунке:

Держатель карточки - покупатель делающий заказ.
Банк покупателя - финансовая структура, которая выпустила кредитную карточку для покупателя.
Продавец - электронный магазин, предлагающий товары и услуги.
Банк продавца - финансовая структура, занимающаяся обслуживанием операций продавца.
Платежный шлюз - система, контролируемая обычно банком продавца, которая обрабатывает запросы от продавца и взаимодействует с банком покупателя.
Сертифицирующая организация - доверительная структура, выдающая и проверяющая сертификаты.

Взаимоотношения участников операции показаны на рисунке непрерывными линиями (взаимодействия описанные стандартом или протоколом SET) и пунктирными линиями (некоторые возможные операции).

Динамика взаимоотношений и информационных потоков в соответствии со спецификацией стандарта SET включает следующие действия:

Участники запрашивают и получают сертификаты от сертифицирующей организации.
Владелец пластиковой карточки просматривает электронный каталог, выбирает товары и посылает заказ продавцу.
Продавец предъявляет свой сертификат владельцу карточки в качестве удостоверения.
Владелец карточки предъявляет свой сертификат продавцу.
Продавец запрашивает у платежного шлюза выполнение операции проверки. Шлюз сверяет предоставленную информацию с информацией банка, выпустившего электронную карточку.
После проверки платежный шлюз возвращает результаты продавцу.
Некоторое время спустя, продавец требует у платежного шлюза выполнить одну или более финансовых операций. Шлюз посылает запрос на перевод определенной суммы из банка покупателя в банк продавца.

Представленная схема взаимодействия подкрепляется в части информационной безопасности спецификацией Chip Electronic Commerce, созданной для использования смарт-карточек стандарта EMV в Интернете (www.emvco.com). Ее разработали Europay, MasterCard и VISA. Сочетание стандарта на микропроцессор EMV и протокола SET дает беспрецедентный уровень безопасности на всех этапах транзакции.

Компания "Росбизнесконсалтинг" 20 июня 2000 г. поместила на своем сайте сообщение о том, что одна из крупнейших мировых платежных систем VISA обнародовала 19 июня 2000 г. свои инициативы в области безопасности электронной коммерции. По словам представителей системы, эти шаги призваны сделать покупки в Интернете безопаснее для покупателей и продавцов. VISA полагает, что внедрение новых инициатив позволит сократить количество споров по транзакциям в Интернете на 50%. Инициатива состоит из двух основных частей. Первая часть - это Программа аутентификации платежей (Payment Authentication Program), которая разработана для снижения риска неавторизованного использования счета держателя карточки и улучшения сервиса для покупателей и продавцов в Интернете. Вторая - это Глобальная программа защиты данных (Global Data Security Program), цель которой - создать стандарты безопасности для компаний электронной коммерции по защите данных о карточках и их держателях.

Сравнительные характеристики протоколов SSL и SET

Платежные системы являются наиболее критичной частью электронной коммерции и будущее их присутствия в сети во многом зависит от возможностей обеспечения информационной безопасности и других сервисных функций в Интернете. SSL и SET - это два широко известных протокола передачи данных, каждый из которых используется в платежных системах Интернета. Мы попытаемся сравнить SSL и SET и оценить их некоторые важнейшие характеристики.

Итак, рассмотрим важнейшую функцию аутентификации (проверки подлинности) в виртуальном мире, где отсутствуют привычные физические контакты. SSL обеспечивает только двухточечное взаимодействие. Мы помним, что, в процесс транзакции кредитной карточки вовлечены, по крайней мере, четыре стороны: потребитель, продавец, банк-эмитент и банк-получатель. SET требует аутентификации от всех участвующих в транзакции сторон.

SET предотвращает доступ продавца к информации о пластиковой карточке и доступ банка-эмитента к частной информации заказчика, касающейся его заказов. В SSL разрешается контролируемый доступ к серверам, директориям, файлам и другой информации. Оба протокола используют современную криптографию и системы цифровых сертификатов, удостоверяющих цифровые подписи взаимодействующих сторон. SSL предназначен преимущественно для защиты коммуникаций в Интернете. SET обеспечивает защиту транзакций электронной коммерции в целом, что обеспечивает юридическую значимость защищаемой ценной информации. При этом через SET транзакция происходит медленней, чем в SSL, и ее стоимость намного выше. Последняя характеристика весьма актуальна для сегодняшнего российского рынка, на котором пока не считают риски и эксплуатационные расходы.

Следует добавить, что, используя SSL, потребители подвергаются риску раскрытия реквизитов своих пластиковых карточек продавцу.

Внедрение и эксплуатация SET осуществляется много лет в нескольких десятках проектов во всем мире. Например, первая транзакция SET была проведена 30-го декабря 1996 в PBS (Датский банк) в совместном проекте IBM и MasterCard. Аналогичная работа проведена в 1997 г. в крупнейшем японском банке Fuji Bank, где пришлось адаптировать протокол к специфическому японскому законодательству. За прошедшее время подобные внедренческие проекты позволили отработать функции протокола и соответствующую документацию.

Кстати, IBM имеет полный набор продуктов, который охватывает все ключевые аспекты комплексного использования SET в целом и обеспечивает развитую инфраструктуру:

IBM Net.commerce Suite для продавцов, организующих интернет-магазины;
IBM Consumer Wallet для держателей карточек;
IBM Payment Gateway - шлюз платежей для банков;
IBM Net. Payment Registry - продукт для аутентификации и сертификации.

SET функционирует на разных вычислительных платформах таких компаний, как IBM, Hewlett Packard, Sun Microsystems и Microsoft.

В свою очередь SSL используется в основном в Web-приложениях и для защиты коммуникаций в Интернете. Существует также свободно распространяемая версия SSL, называемая SSLeay. Она содержит исходный код на C, который может быть встроен в такие приложения, как Telnet и FTP. Благодаря этим качествам SSL получил широкое распространение в корпоративных интранет-сетях и в системах с небольшим количеством пользователей.

Несмотря на технологическое совершенство протокола SET, его использование в мире весьма ограничено. Тому имеется множество причин, решающей среди которых является высокая стоимость внедрения системы электронной коммерции на базе протокола SET (стоимость SET-решения колеблется от $600 до 1500 тыс.).

Протокол SSL обеспечивает лишь конфинденциальность данных транзакции при их передачи через сеть общего пользования, но при этом является существенно более дешевым для внедрения. В результате подавляющее число современных систем электронной коммерции используют протокол SSL.

Эксперты и разработчики протокола SET ошиблись, предсказывая быстрое и повсеместное внедрение этого стандарта. Более того, ведутся настойчивые разговоры о том, что протокол SET уже является вчерашним днем и его шансы на выживание ничтожны.

Такие разговоры начались еще летом 2000г., когда VISA International сделала заявление, в соответствии с которым протокол 3D SET (разновидность SET) становится стандартом для стран Евросоюза, Латинской Америки и некоторых других европейских стран, включая Россию. В то же время на самом крупном американском рынке в качестве стандарта был провозглашен протокол 3D SSL (другое название протокола - 3D Payer).

Глава российского представительства Visa Int. Лу Наумовский согласен с тем, что SET не нашел спроса:

"Это очень хорошая технология. Но, судя по реакции банков, не только российских, но и зарубежных, - она дороговата. Банку-эмитенту, использующему протокол SET для отслеживания операций по картам, приходится самому держать базу данных банков-эквайреров и торговых точек. Мы пытались найти более дешевую альтернативу этому протоколу".

В мае 2001 г. были опубликованы спецификации на стандарт 3D Secure, претендующий на роль глобального стандарта аутентификации в платежной системе Visa. По решению Европейского союза в июле 2002 г. все интернет-магазины получили идентификацию на уровне этого протокола. Следовательно, банк-эквайрер таких интернет-магазинов должен иметь возможность предоставить им этот протокол. В случае отсутствия 3D Secure всю ответственность при спорных трансакциях несет он сам. Если он использует 3D Secure, а банк-эмитент нет, то ответственность берет на себя последний.

Принцип работы 3D Secure в том, что есть три различных домена - банка-эмитента, интернет-магазина и Visa, через домен которой идет сообщение между покупателем, продавцом и банками. Очень важно, что все сообщения идут через интернет. При этом Visa обеспечивает конфиденциальность информации. После того как покупатель нажимает на интернет-странице на лозунг Verified by Visa и вводит свой пароль, эта информация идет к банку-эмитенту и происходит идентификация. Банк-эмитент через домен Visa отправляет запрос в интернет-магазин, после чего этот магазин идентифицируется своим банком-эквайрером. Таким образом, данные держателя карты известны только банку-эмитенту. В то же время владелец карты уверен в том, что данный магазин имеет Verified by Visa, то есть сертифицирован Visa через банк-эквайрер. В том случае, если банк-эмитент не получит от домена Visa подтверждения, что магазин имеет Verified by Visa, транзакция не произойдет.

Конечно, владелец карты может сделать покупки и в других, не имеющих статуса Verified by Visa, интернет-магазинах. Тогда ответственность по спорным сделкам несет банк-эмитент, и он должен будет предупреждать своих клиентов об этом.