InfoCons te informează: „Ghidul de bune practici privind piața produselor și serviciilor comercializate online”
Securitatea informatică a site-ului
În contextul digitalizării accelerate a comerțului electronic, securitatea informatică a site-urilor web reprezintă o componentă esențială a protecției datelor și a încrederii consumatorilor. Orice vulnerabilitate tehnică poate conduce la pierderi financiare, compromiterea informațiilor personale sau deteriorarea reputației comercianților. Prin urmare, asigurarea unui nivel adecvat de securitate informatică nu este doar o cerință tehnică, ci și o obligație legală și etică, care contribuie la consolidarea unui mediu digital sigur și competitiv.
Acest capitol prezintă principalele bune practici privind protejarea infrastructurii unui site web, acoperind aspecte precum actualizarea aplicațiilor, gestionarea parolelor și autentificării, utilizarea certificatelor de securitate, filtrarea traficului suspect sau alegerea furnizorilor de găzduire. Implementarea acestor recomandări ajută la prevenirea incidentelor de securitate.
9.1 Asigurarea securității informatice corespunzătoare
Pentru ca o platformă de comerț electronic să funcționeze în condiții sigure, este necesară adoptarea unui set coerent de măsuri tehnice și organizatorice care să reducă riscurile asociate atacurilor informatice. Securitatea unui site nu se rezumă la protejarea serverului, ci implică întreaga infrastructură digitală: aplicațiile utilizate, metodele de autentificare, conexiunile de rețea, politicile de acces și procesul de mentenanță continuă.
Această secțiune detaliază condițiile minime de securitate pentru comercianți și administratori de platforme online. Sunt abordate aspecte esențiale precum actualizarea componentelor software, utilizarea autentificării multifactor, stabilirea regulilor pentru parole sigure, implementarea protocoalelor criptate de comunicare (SSL/TLS), filtrarea activităților suspecte și alegerea furnizorilor de găzduire de încredere.
Prin aplicarea acestor măsuri, operatorii pot reduce semnificativ riscurile de compromitere a datelor și pot garanta un nivel adecvat de securitate informatică, conform bunelor practici internaționale. 9.1.1 Actualizarea continuă a aplicațiilor și scripturilor
Un site web trebuie să fie atât funcțional, cât și estetic atractiv. Pentru a păstra aceste calități în timp, este necesară actualizarea constantă a componentelor sale. Actualizările periodice ale aplicațiilor contribuie decisiv la menținerea unui nivel ridicat de securitate, mai ales atunci când sunt gestionate date sensibile ale utilizatorilor. Prin urmare, toate aplicațiile care susțin funcționarea site-ului trebuie actualizate în mod regulat.
Pentru ca un magazin digital să fie protejat împotriva riscurilor de securitate, este important să funcționeze pe o platformă configurată corect și securizată. Alegerea atentă a platformei, alături de o administrare tehnică adecvată, contribuie la protejarea datelor utilizatorilor și la desfășurarea sigură a tranzacțiilor. În cazul în care vânzătorul online a instalat și configurat manual platforma magazinului online, tot acesta este responsabil de actualizarea tuturor componentelor din infrastructura magazinului, serverelor, sistemului de operare, platformei, dar și a plugi n- urilor instalate.
La acest nivel de management al magazinelor online, este necesară fie angajarea de personal specializat, fie colaborarea cu furnizori externi care pot asigura actualizarea regulată a platformei (săptămânal, lunar sau ori de câte ori este nevoie). În cazul apariției unor vulnerabilități de tip zero-day, este important ca reacția să fie cât mai rapidă, deoarece o breșă de securitate poate permite unui atacator să obțină acces complet la platformă.
Dezvoltarea unui magazin online personalizat, realizat la comandă, presupune de regulă cele mai ridicate costuri în ceea ce privește dezvoltarea și mentenanța, inclusiv responsabilitatea integrală pentru actualizări și securitate.
O alternativă o reprezintă utilizarea unor platforme comerciale de tip Software as a Service (SaaS), care transferă responsabilitatea pentru infrastructură și actualizări tehnice către furnizorul serviciului. În acest model, majoritatea actualizărilor critice sunt aplicate automat, iar comerciantul se ocupă doar de componentele personalizate, inclusiv de configurarea și actualizarea acestora într-un mod sigur. 9.1.2 Autentificarea completă pentru utilizatori Autentificarea multifactor (MFA) adaugă un nivel suplimentar de protecție conturilor utilizatorilor, solicitând mai mult decât o simplă parolă pentru a valida identitatea. Este recomandat ca platformele de comerț electronic să ofere utilizatorilor opțiunea de autentificare în doi pași (2FA), având în vedere riscurile asociate cu parolele compromise. Acestea pot fi expuse în breșe de securitate anterioare și, deoarece mulți utilizatori le reutilizează pe mai multe site-uri, acestea devin vulnerabile la atacuri de tip credential stuffing, în care atacatorii folosesc automatizat combinații de adrese de e-mail și parole furate pentru a obține acces la alte conturi.
Figura 1. Autentificare multifactor Pentru a implementa autentificarea MFA/2FA, este necesar să utilizați cel puțin doi factori distincți, dintre care fiecare trebuie să corespundă uneia dintre următoarele categorii:
- Ceea ce cunoști (de exemplu, o parolă sau un PIN);
- Ceea ce deții (de exemplu, un dispozitiv fizic sau un token de securitate);
- Ceea ce ești (de exemplu, date biometrice, cum ar fi amprenta digitală sau
recunoașterea facială). Integrarea autentificării în doi pași (prin SMS, aplicații de autentificare sau chei fizice de securitate) reduce riscul accesului neautorizat și contribuie la protejarea atât a utilizatorilor, cât și a datelor gestionate de platforma online. 9.1.3 Condiții minime de eligibilitate pentru parole
Parolele reprezintă un element-cheie în protejarea conturilor, atât pentru comercianți, cât și pentru consumatori, deoarece limitează accesul la informații personale și date sensibile.
Atacurile de tip brute force constau în testarea automată a unui număr foarte mare de combinații de parole, până când este identificată una corectă. Dacă parola este prea scurtă sau prea simplă, acest tip de atac poate avea succes rapid. Din acest motiv, este recomandat să urmezi câteva reguli simple pentru a crea parole puternice:
- Alege o parolă de cel puțin 8 caractere (ideal peste 12), care să includă litere
mari și mici, cifre și simboluri speciale;
- Evită parolele ușor de ghicit, cum ar fi numele de familie, datele de naștere
sau „parola123”;
- Nu folosi aceeași parolă pentru mai multe conturi importante. Dacă una este
compromisă, atacatorii pot încerca să o folosească și pe alte platforme,
inclusiv pentru accesul la conturi bancare.
Dacă îți este greu să reții parole complexe, le poți nota, dar asigură-te că le păstrezi într-un loc sigur, separat de dispozitivul tău. Alternativ, poți folosi un manager de parole pentru ale stoca în siguranță.
Chiar și atunci când ai grijă de parolele tale, există riscul ca acestea să fie expuse în urma unei breșe de securitate la nivelul unei platforme sau aplicații online. Din acest motiv, este recomandat să schimbi parolele periodic și să activezi autentificarea în doi pași (2FA) acolo unde este posibil.
Pentru a verifica dacă o adresă de e-mail sau o parolă a fost implicată într-o breșă de securitate cunoscută, pot fi utilizate servicii specializate care compară datele introduse cu baze de date publice ale incidentelor confirmate. Un exemplu clasic este platforma Have I Been Pwned (https://haveibeenpwned.com/), care permite verificarea gratuită a expunerilor cunoscute.
În prezent, funcționalități similare sunt integrate direct în numeroase aplicații și servicii utilizate zilnic. Browserele moderne și sistemele de operare actuale, atât pentru computere, cât și pentru dispozitive mobile, pot avertiza utilizatorul atunci când parolele salvate sunt identificate ca fiind compromise și pot sugera alternative mai sigure. De asemenea, soluțiile antivirus și managerii de parole includ adesea module dedicate pentru monitorizarea expunerilor de date și pentru evaluarea nivelului de securitate al acreditărilor utilizate.
Există, totodată, servicii independente și academice gratuite care oferă verificări ale adreselor de e-mail în baze de date publice rezultate din breșe de securitate. Printre acestea se numără și HPI Identity Leak Checker (https://sec.hpi.de/ilc/) (dezvoltat de Institutul Hasso-Plattner din Germania) și F-Security Identity Leak Checker (https://www.f-secure.com/en/identity-theft-checker), care furnizează rapoarte detaliate despre eventualele expuneri. Astfel de instrumente pot fi folosite în mod complementar pentru a crește nivelul de conștientizare privind securitatea identității digitale. Este important de menționat că aceste servicii se bazează pe baze de date publice și nu pot detecta toate breșele existente. Prin urmare, actualizarea periodică a parolelor, utilizarea unui manager de parole și activarea autentificării multifactor rămân măsuri esențiale pentru protejarea conturilor online. 9.1.4 Utilizarea protocolului SSL/TLS Protocolul SSL (Secure Sockets Layer) garantează că datele trimise nu vor fi modificate în tranzit și că informațiile sensibile precum parolele vor rămâne confidențiale. Este important să fim atenți când accesăm site-urile web și să le folosim pe cele care au URL-ul care începe cu „HTTPS://”. Atunci când ne creăm propriul site web sau adăugăm un certificat SSL, este important să forțăm utilizarea protocolului HTTPS prin configurarea serverului astfel încât să redirecționeze automat traficul de la HTTP către HTTPS. Această măsură asigură securitatea comunicațiilor dintre utilizator și site, protejând datele transmise împotriva interceptării sau modificării. Figura 2. HTTP și HTTPS: securizarea conexiunii 9.1.5 Implementarea filtrelor de securitate pentru activități neobișnuite
Monitorizarea autentificărilor suspecte trebuie realizată de către echipele de securitate IT, administratorii de sistem și alți responsabili tehnici. Totodată, este necesară configurarea unor echipamente de protecție avansate, precum firewall-uri capabile să blocheze automat IP-urile suspecte, precum și implementarea unui server pentru analiza jurnalelor de evenimente și generarea de răspunsuri automate (SIEM).
Este recomandată stabilirea unor reguli stricte de acces, care să permită conectarea la serviciile critice doar din rețele sau IP-uri de încredere.
Nu în ultimul rând, se impune efectuarea periodică a unui audit de securitate sau a unui test de penetrare ( penetration testing ), pentru a adapta politicile de filtrare în funcție de noile amenințări identificate. 9.1.6 Utilizarea de plugin-uri de securitate În cazul în care platforma de vânzări online este bazată pe o soluție standard, este posibil că aceasta să dispună de un ecosistem de plugin-uri vast, printre care și module de securitate, care trimit alerte prin e-mail în cazul evenimentelor care necesită atenție. Astfel de plugin-uri pot oferi funcționalități precum:
- monitorizarea vulnerabilităților, inclusiv pentru extensii suplimentare și actualizări
automate de securitate;
- detecție și blocare IP-uri care sunt cunoscute să exploateze vulnerabilități;
- auto-configurare setări pentru hardening;
- blocarea de conținut cu potențial de a fi rău intenționat, acționând ca un sistem
de filtrare pentru aplicații web (WAF);
- servicii de răspuns la incidente 24/7;
- modul de audit și jurnalizare ( logging ). 9.1.7 Alegerea unui furnizor de găzduire (hosting provider) de încredere Alegerea unui furnizor de găzduire (hosting provider) reprezintă un pas esențial pentru siguranța unui magazin online. Deși este dificil de evaluat complet nivelul de securitate al unui furnizor înainte de contractare, există o serie de criterii importante care pot ajuta în luarea unei decizii informate, cum ar fi:
- Angajament și preocupare față de securitatea cibernetică, cu resurse și echipe
dedicate;
- Certificări relevante, cum ar fi:
(i) ISO/IEC 27001 (managementul securității informației);
(ii) SOC 2 Type II (control intern și protecția datelor);
(iii) sau alte acreditări recunoscute internațional.
- Reputație bună și recenzii verificabile din surse independente;
- Nivel garantat de disponibilitate (SLA) – ideal >99,9%;
- Transparență privind măsurile de securitate implementate (back-up, patch
management, DDoS protection etc.);
- Dimensiunea și maturitatea organizației, care pot influența capacitatea de răspuns
la incidente. Din perspectiva protecției datelor cu caracter personal, este recomandat ca furnizorul de găzduire (hosting provider) să fie localizat în interiorul Uniunii Europene. Acest lucru asigură că datele clienților sunt stocate și procesate în conformitate cu Regulamentul general privind protecția datelor (GDPR). Potrivit art. 45 din GDPR, transferul de date personale către țări din afara UE este permis doar dacă:
- țara respectivă beneficiază de o decizie de adecvare emisă de Comisia Europeană
(lista actualizată este disponibilă aici: https://commission.europa.eu/law/law-
topic/data-protection/international-dimension-data-protection/adequacy-
decisions_en ), sau dacă
- sunt aplicate măsuri suplimentare de protecție (în cazuri speciale). Recomandare: sunt de evitat furnizori din țări care nu oferă un nivel adecvat de protecție a datelor similar celui instituit de GDPR, pentru a preveni posibile încălcări legale și riscuri reputaționale. În cazul în care platforma este găzduită intern, pe infrastructura proprie (on- premises), trebuie avute în vedere următoarele aspecte:
- alocarea de personal IT calificat, disponibil și bine pregătit;
- implementarea și menținerea actualizărilor de securitate (OS, aplicații, CMS,
pluginuri etc.);
- audituri periodice de configurație și securitate;
- monitorizarea și protejarea rețelei împotriva accesului neautorizat;
- respectarea bunelor practici privind backup, jurnalizare, controale de acces etc. Găzduirea internă presupune un nivel ridicat de expertiză tehnică și resurse constante altfel, aceasta poate deveni un risc de securitate. 9.1.8 Platforme dezvoltate in-house, probleme specifice
Achiziția de software la comandă pentru o platformă de comerț electronic vine cu multe posibilități de personalizare, însă și cu multe responsabilități și costuri adiționale, inclusiv în materie de securitate. Platforma necesită actualizări periodice ale dependențelor pe baza cărora funcționează, acest proces realizându-se ideal în mod continuu, luând în considerare că în orice moment pot fi descoperite și publicate vulnerabilități critice în diverse componente, care necesita o intervenție cât mai rapidă posibil. Pentru dezvoltarea continuă a aplicațiilor este necesară urmărirea unui flux de lucru cât mai sigur (SSDLC), care implică personal specializat pe mai multe niveluri, inclusiv pe partea de risc și securitate, dar și implementarea mai multor proceduri la nivel organizațional.
Sursă: Autoritatea Națională pentru Protecția Consumatorilor (ANPC)
