E-ticaret işletmelerinin, müşterileri ile olan ilişkilerinde güven duygusunu perçinlemesi için; güvenlik planlaması, güvenlik kriterleri, güvenlik saldırılarını önleme ve güvenlik sistemlerini bir uyum içinde çalıştırma konularına önem vermesi gerekmektedir.

İnternette mükemmel bir güvenliğe ulaşmanın en iyi yolu; ağ bağlantısını kesmek, bilgisayarı işletmenin kasasına kilitlemek veya veri erişiminde hiç kimseye izin vermemektir. Açıkçası bu çözümler gerçekçi değildir, çünkü eğer dış dünya ile iletişim internet aracılığıyla kurulmak isteniyorsa, bazı risklerin de kabul edilmesi gerekmektedir. Risk almanın boyutu ise, işletmenin tüm ağ altyapısının maliyeti ile risk arasında dengenin en iyi şekilde kurulması ile belirlenebilmektedir.

Güvenlik planında ele alınması gereken ölçütler şöyle sınıflandırılabilir:

• Erişim
• Kimlik denetimi
• Bütünlük (integrity)
• Kişisel gizlilik
• Sorumluluk (nonrepudiation)
• Düzeltme ve Denetlenebilirlik

Kimlik denetiminin amacı; bir hizmeti, ağı, sistemi ya da donanımı sadece yet-kilendirilmiş kullanıcıların erişmesine izin verilmesinde çeşitli kimlik denetim araçlarının etkin bir şekilde kullanılmasıdır.

Bütünlüğü sağlayan güvenlik araçları; şifreleme, sayısal (dijital) imza, sayısal (dijital) sertifikaları ve bütünlük sağlama toplamı olarak bilinen kimlik denetim kodları veya sayısal (dijital) parmak izinden oluşmaktadır.

Sayısal imza ve sertifika kullanılarak göndericinin gönderdiği iletiye ilişkin suçu kanıtlanabilmekte ve böylece daha sonra göndericinin inkar veya reddetme olasılığı ortadan kaldırılabilmektedir.

Düzeltme ve Denetlenebilirlik, bütünlüğün korunması, kişisel gizliliğin korunması ve sorumluluk yüklemesi ve bir işlemin eş zamanlı olarak yerine getirilmesi süreçlerinin gerçek zamanlı yerine getirilip getirilmediğinin kontrol edilmesidir.

Donanım, yazılım, bilgi ve iletişimi kapsayan bilgi sistemlerinin gizlilik, güvenlik, bütünlük ve sürekli çevrimiçi olmasını engelleyebilecek veya sisteme zarar verebilecek her türlü kişi, durum veya olay bilişim sistemleri için bir güvenlik tehdidi olarak nitelendirilmektedir.

Güvenlik tehditlerini; hacker, joy hider, vandal, casuslar, score keeper, bilinçsiz kullanıcılar ve sosyal mühendisler gerçekleştirebilmektedir.

Güvenlik tehditlerinin başlıcaları; zararlı yazılımlar, IP gizleme (spoofing), korsanlık (sniffing) ve işletme içi tehditler olarak sıralanabilir.

Truva atları, e-ticaret işletmeleri ile müşterileri arasındaki güvenin sarsılmasında önemli paya sahiptir. Çünkü, esas olarak bilgisayarları uzaktan kumanda etme amacıyla yazılmış ve aslında zararsız yazılımların içine gizlenmiş kötü amaçlı yazılımlardır.

Güvenlik önleme araçları dört temel başlıkta sınıflandırılmaktadır. Bunlar:

• İnternet iletişiminin korunması
• İletişim kanallarının korunması
• Ağların korunması
• Sunucu ve istemci korunması

E-ticaret güvenlik ölçütlerinin altı boyutunun dört boyutu şifreleme ile sağlanabilmektedir. Bunlar:

• İleti bütünlüğü, şifreleme ile iletinin değiştirilmeme güvencesi sağlanmaktadır.
• İleti sorumluluğu, şifreleme ile gönderenin iletisini inkar etmesi konusunda kullanıcılar engellenmektedir.
• Kimlik denetimi, şifreleme ile mesaj gönderen kişi veya gönderilen donanımın doğruluğunun tespit edilmesi sağlanmaktadır.
• Kişisel gizlilik, şifreleme ile iletinin başka kişiler tarafından okunmadığı güvencesi verilmektedir.

Açık anahtarlı şifreleme değişen anahtarların çözümüdür. Bu yöntemde, açık ve gizli anahtar olarak adlandırılmış olan bir anahtar çifti kullanılmaktadır. Asimetrik algoritmalar da denilen açık anahtarlı algoritmalarda şifreleme için kullanılan anahtar ile şifre çözme için kullanılan anahtar birbirinden farklıdır. Anahtar çiftlerini üreten algoritmaların matematiksel özelliklerinden dolayı açık-gizli anahtar çiftleri gönderici ve alıcı için farklıdır. Açık anahtarlama şifrelemesindeki amaç, bir kişiye yollanacak olan iletinin açık şifre ile şifrelenerek yollanması ve sadece alıcının özel şifresi ile şifrenin açılabilmesidir.

5070 sayılı Elektronik İmza Kanunu’na göre, “başka bir elektronik veriye eklenen veya elektronik veriyle mantıksal bağlantısı bulunan ve kimlik doğrulama amacıyla kullanılan elektronik veri”yi ifade etmektedir. Elektronik ortamdaki yazışmalara eklenen, yazıyı gönderenin kimliğini ve gönderilen yazının iletim sırasında bozulmadığını kanıtlamaya yarayan şifreleme bölümü sayısal imza veya elektronik imza olarak tanımlanmaktadır.

Özellikle, internet üzerinden alışveriş yapılmasında ve internet üzerinden elektronik ödeme sistemlerinde güvenliği sağlamak amacıyla çeşitli internet güvenlik protokolleri geliştirilmiştir. Bunlardan açık anahtar şifreleme kavramlarından iletişim kanalları güvenliğinde; “güvenli yuva katmanı (SSL)”, “güvenli HTTP” ve “sanal özel ağlar (VPN)” en yaygın olarak kullanılan protokolleridir.

İletişim kanallarını, tehdit ve saldırılardan olabildiğince iyi bir şekilde koruyabilmek için hem kendi ağının hem de bu ağın istemci ve sunucu ağlarının korunabilmesi gerekmektedir. Bu amaçla ağların korunmasında güvenlik duvarları ve proxy (vekil) sunucular en yaygın olarak kullanılan güvenlik araçlarıdır.

İletişim kanallarının güvenliğinin güvenlik duvarı ve proxy sunucusu ile birlikte sağlanması, sistemin yavaş işlemesine ve zaman kaybına neden olmaktadır. İstemci isteğini öncelikle proxy sunucusuna göndermekte ve proxy sunucusu da bunu internet ortamındaki ilgili sunucuya iletmektedir. Bu sorunu gidermek için proxy sunucusunu “önbelleğe alma (caching)” işlemine başvurulmaktadır. Önbelleğe alma işlemi ile istemci bir Web sayfasına bağlandığında sayfaya ilişkin bilgiler proxy sunucusu tarafından kopyalanmaktadır. Böylece aynı Web sayfasına tekrar ulaşılmak istendiğinde önbellekteki kopyadan yararlanılarak zaman kaybı en aza indirilmeye çalışılmaktadır

Proxy, internet üzerinden yerel ağ veya internete bağlı bir bilgisayar ile dış dünya arasındaki ilişkiyi sağlayan bir ağ geçidi (gateway) sistemidir. Bu nedenle proxy sunucusunu kullanan işletme için bir fedai veya sözcü gibi davranan, internet aracılığıyla gönderilen veya gelen tüm iletileri gözden geçiren ve sunucular için oluşturulmuş yazılımlardır.

İzinsiz giriş saptama sistemi, çok karmaşık ve pahalı bir bilgisayar yazılımıdır. Böyle programlar tanınmış hacker araçlarını ve ibarelerini araştırarak tıpkı anti-virüsler gibi çalışmaktadır. Bilgisayara karşı böyle bir saldırıyı fark ettiğinde alarm sistemini harekete geçirmek için tasarlanan bu sistemler, sistemde gerçekleştirilen uygunsuz davranışları, sistem kaynaklarını, sistem dışından gelen izinsiz giriş izlerini düzenli olarak kontrol etmektedir. Değişikliklerin hızlıca saptanması potansiyel zarar riskini, arıza arama ve kurtarma süresini azaltıp, genel sistem etkilerini en aza indirerek sistemin güvenlik ve çalışabilirliğini korur.