Обеспечение доверенных приложений и безопасности данных: B2B eCommerce чертеж против современных киберугроз

Автор: Йоав Кутнер, основатель и CEO Oro, Inc

Для достижения доверенных приложений и безопасности данных B2B eCommerce решения должны изучать и выявлять потенциально уязвимые области операций. Мало B2B eCommerce приложений построены с нуля для поддержки крупных B2B предприятий и сложных многоуровневых организационных иерархий с тысячами сотрудников и миллионами клиентов веб-сайтов.

Включение множественных уровней усиленных мер безопасности обеспечивает защиту приложений и данных и соблюдение регуляций приватности.

Функции безопасности приложений

Контроль доступа

Использование списков контроля доступа (ACL) для установки правил, предоставляющих или запрещающих доступ к различным типам данных, включая чувствительные. У каждого пользователя в приложении есть роль, и у каждой роли набор разрешений, настроенных для выполнения или ограничения действий над сущностями и системными возможностями. Разные организации выбирают ограничение доступа к данным и контроль разрешений на уровне, гранулярном до личной базы. Все B2B компании должны контролировать, какие действия разрешены пользователю — будь то просмотр последнего отчета по продажам или полная модификация заказа клиента или авторизация платежа. Ограничение продаж для работы с лидами и возможностями отличается от маркетинга, имеющего доступ к управлению маркетинговыми списками и кампаниями; администраторы имеют глобальный доступ ко всем системам. Поддержание полного контроля над доступом к данным и записям прямо из UI без необходимости помощи разработчика — критично.

Многослойная конфигурация

В отличие от B2C продавцов, B2B структуры и процессы обычно довольно сложны. Одно предприятие может предлагать и товары, и услуги через множество под-организаций, каждая с выделенными веб-сайтами для разных регионов или стран. Многие приложения построены для укрощения сложности B2B предприятий. B2B решения хотят настраивать и конфигурировать любое приложение из UI конфигурации приложения, чтобы точно соответствовать потребностям компании. Применение конфигурации на глобальном, организационном, веб-сайте и пользовательском уровнях.

• Глобальные настройки влияют на всё приложение.
• Настройки организации адаптируют опции специально для каждой организации.
• Настройка каждого веб-сайта для соответствия функциям, нужным на каждом уровне предприятия.
• Уровень пользователя конфигурации дает сотрудникам возможность адаптировать определенные настройки приложения к личным предпочтениям.

Глобальные предприятия с множеством веб-сайтов в разных странах могут настраивать соответствующие валюты и языки для каждого сайта. Возможность добавлять разные локальные склады, управлять опциями инвентаря, контролировать отображаемые продукты и даже их расположение на каждом сайте — критично. Многослойная конфигурация позволяет B2B бизнесу адаптировать приложение практически под любую потребность, обеспечивая гибкость для сохранения безопасности данных и приложений в сложных B2B, B2C, B2B2C бизнесах с многоуровневыми иерархиями, множеством организаций и веб-сайтов.

Поддержание безопасности приложений

Шифрование

Для предотвращения нарушений безопасности B2B eCommerce приложения должны шифровать исходные данные. Компания постоянно пересматривает новые технологии для поддержки последних и самых надежных решений шифрования.

• Шифрование колонок БД позволяет выбирать, какие части данных шифровать, вместо шифрования всего файла БД.
• Пароли пользователей хранятся как необратимые хеши, а не в открытом или зашифрованном тексте.
• Принудительный HTTPS редирект обеспечивает безопасность связи между браузером и веб-сервером.
• Безопасная архитектура онлайн-процесса оплаты и готовые интеграции с платежными шлюзами сохраняют транзакции безопасными.

Защита паролей и сессий

B2B eCommerce продукты должны включать лучшие практики паролей для предотвращения небезопасных паролей и мотивации пользователей создавать сильные учетные данные. Административный персонал может настраивать ограничения паролей и логина для пользователей приложения:

• Настройка желаемой длины и сложности пароля
• Принудительная политика смены пароля и история паролей
• Ограничение количества попыток входа
• Блокировка аккаунтов после нескольких неудачных входов для предотвращения брутфорс-атак.

Поддержка многофакторной аутентификации для усиления безопасности приложения создает дополнительный фактор аутентификации.

Бизнес должен проверять, что используемое предприятием ПО безопасно

Процессы безопасности приложений должны включать соответствие PCI DSS и SOC2. Эти два знака — must-have для любого ПО, работающего с данными кредитных карт и чувствительными данными. Они гарантируют, что приложение не просто заявляет о безопасности, а было тщательно проаудировано независимой третьей стороной и способно поддерживать высшие стандарты безопасности. Соответствие должно подтверждаться аудиторам регулярно для поддержания стандартов.

Безопасность данных критична для любой eCommerce компании. B2B eCommerce приложения часто хранят личные данные клиентов, номера кредитных карт и поддерживают онлайн-платежи. Придерживаясь последних процессов безопасности для предотвращения потенциальных угроз, и постоянно уточняя и улучшая безопасность, чтобы оставаться на передовой защиты, процедур и политик для защиты данных клиентов.

Об авторе: Йоав Кутнер — основатель и CEO Oro, Inc. До основания Oro и создания OroCommerce, OroCRM, OroPlatform, он был CTO и сооснователем Magento, где руководил продуктом и технологией для всех предложений Magento с момента основания до после приобретения eBay, Inc. Доказанный продуктовый визионер на рынке бизнес-приложений. Бакалавр компьютерных наук UCLA.