La empresa Tecnoandes C.A., en vista de su rápido crecimiento en ventas y de su base de datos de clientes, quiere ofrecer un nuevo método o forma de pago, ya que actualmente sólo ofrece el de transferencia o depósito bancario.
Está considerando ofrecer el servicio de pago por Tarjeta de Crédito ya que muchos de sus clientes lo ha exigido para que se puedan hacer compras tanto en el interior del país así como al exterior.
Los directivos de la empresa de ventas on-line, ha querido solicitar a los desarrolladores del sitio web que agreguen un módulo para el servicio de forma de pago por Tarjeta de crédito, pero se deben seguir las consideraciones y recomendaciones necesarias para ofrecer a su clientela y a su negocio la seguridad de la información adecuada tanto para las transacciones y datos almacenados.
Diagnóstico Actual
Los desarrolladores del sitio web, en conjunto a un especialista en Seguridad de la Información, realizaron un levantamiento de información acerca de los métodos y procedimientos necesarios para ofrecer un alto nivel de seguridad y confiabilidad a la nueva forma de pago solicitada. Para realizar un diagnóstico más certero, se aplica un checklist con los principales ítems que pueden demostrar las debilidades más comunes a que pueden estar vinculados estos tipos de sitios web:
Conceptos de Seguridad |
Cumple |
||
Sí |
No |
||
1 |
¿El Sitio funciona correctamente y no presenta fallas al navegar por sus páginas o utilizar sus servicios? (especialmente en el caso de Trámites en línea) |
X |
|
2 |
Los datos ingresados por un usuario a través de formularios, ¿son validados antes de ser enviados y procesados por el servidor del Sitio? |
|
X |
3 |
¿Todos los vínculos del Sitio tienen una página asociada y el contenido adecuado al vínculo señalado? |
X |
|
4 |
Frente a una búsqueda dentro del Sitio o cualquier operación en el mismo ¿los resultados se muestran correctamente? |
X |
|
5 |
¿Los datos privados, entregados voluntariamente por los usuarios, son guardados de manera reservada? |
|
X |
6 |
¿Se ofrece una Política de Privacidad de los Datos Personales y se informa de su existencia en las páginas pertinentes? |
|
X |
7 |
¿Los servicios ofrecidos son realizados a través de canales de transacción seguros? |
|
X |
8 |
¿En los temas que requieren de accesos restringidos, el Sitio provee algún medio para validar el acceso, por ejemplo: a través de una caja de conexión con nombre de usuario y password? |
X |
|
9 |
¿La política de seguridad implementada para validar el acceso restringido es adecuada a los propósitos del servicio o de la institución? |
X |
|
10 |
¿Protege la integridad de sus programas y datos? |
X |
|
11 |
¿Se cuenta con un protocolo de seguridad para evitar ataques externos e intrusiones de hackers? |
|
X |
12 |
¿Se cuenta con una política de respaldo de información que permita superar efectos de fallas derivadas del punto anterior? |
X |
|
13 |
¿Se toma en consideración algún tipo de complejidad en la contraseña? |
|
X |
14 |
¿Se tiene previsto algún tipo método seguro para almacenar la información de la tarjeta de crédito? |
|
X |
Después de realizar el CheckList anterior, se concluyeron los siguientes problemas o necesidades presentados:
- No se validan los datos ingresados, incluso la opción de verificar la dirección email no se encuentra activada, por lo tanto se pueden crear usuario usando cuentas de email ficticias o ajenas.
- Carencia de un certificado de Seguridad avalado por un C.A. reconocido, y que permita realizar transacciones seguras a través del protocolo https.
- En el momento del registro no se le consulta al usuario si los datos suministrados en su base de datos puede ser compartido o no, para otras empresas similares o filiales.
- En ningún momento aparece un contrato o termino de acuerdo con respecto al tratamiento de la información privada del usuario y de la información o estadísticas que pueda generar sus transacciones en el sitio de ventas on-line.
- Al no contar con un servicio de certificados digitales avalados, la información es vulnerable ante ataques de un ente externo.
- Al establecer la contraseña, no se toman en cuentas aspectos de complejidad para su formación, así como su carencia de tiempo de caducidad.
- No se tienen definidos los métodos necesarios para el almacenaje seguro de la información sensible de la tarjeta de crédito.
Recomendaciones
Para solventar los problemas diagnosticados en el punto anterior, se proponen las siguientes recomendaciones que deben ser acatadas para ofrecer el nivel necesario de seguridad tanto a su información como a sus clientes:
- Adquisición de un certificado digital ante un C.A. reconocido como por ejemplo, VeriSign, y aplicarlo a todo el dominio “tecnoandes.com” y que se realicen las adecuaciones necesarias a nivel de servidor o aplicaciones para que toda llamada al sitio http://tecnoandes.com sea redirigido hacia https://tecnoandes.com, y que no puedan procesar ninguna página en el sub-árbol de directorio desde el protocolo http.
- En los datos ingresados por primera vez en el registro del sitio como cliente, deben realizarse las validaciones necesarias para comprobar su veracidad. Se debe enviar un correo de verificación a la dirección de email suministrada, de forma que la cuenta creada sea sólo activada desde un link en el contenido del correo, o alguna otra forma de verificación.
- Se debe colocar una política de autorización de transacciones según un monto tope preestablecido.
- Se debe garantizar al usuario que sus datos no van a ser usados en modo de venta, o cesión a otras compañías de terceros, a menos que lo autorice.
- Se debe redactar unas políticas de acuerdos de confidencialidad antes todas sus transacciones, y del comportamiento y ética que deben tener los usuarios al realizar ofertas, compras u otra transacción.
- Al momento de establecer las contraseñas, éstas deben cumplir con los requisitos mínimos de complejidad para que un ente externo no pueda realizar fácilmente un algoritmo de fuerza bruta y adivine su contraseña. Las contraseñas deben tener las siguientes consideraciones: deben tener al menos 3 de los siguientes grupos de caracteres: MAYÚSCULAS, minúsculas, números (1567) ó símbolos especiales (%$#”!). De igual forma no puede ser igual o contener el nombre de usuario, nombre del cliente y apellido. Las contraseñas deben tener una caducidad configurable de máximo 90 días.
- La información sensible de la tarjeta de crédito debe ser almacenada de forma cifrada mediante un algoritmo certificado (AES, 3DES, etc) de al menos 128bits, y sólo debe ser descifrada con la contraseña conocida por el usuario, de esta forma se evitan de posibles complicidades internas y de robo de la base de datos.
- Las contraseñas deben ser almacenadas por algoritmos de encriptación irreversibles tipos HASH de 128bits en adelante.