در گذشته پایگاه داده از طریق برنامه ­های کاربردی فقط برای کارکنان داخلی قابل دسترسی بود، اما در حال حاضر (به طور غیرمستقیم از طریق نرم­افزار)، توسط هرکسی که به وب­سایت دسترسی داشته باشد، قابل دسترسی است. اما باید در نظر داشت، داده ­ها از سرمایه ­های اصلی هر سازمان هستند که روز به روز بر میزان استفاده از آنها افزوده می­ شود و شامل داده ­های حساس مربوط به مسائل مالی و دارایی­ ها در تجارت الکترونیک، از جمله سوابق معامله، معاملات تجاری، حساب کاربر، برنامه ­های بازار و…. ، می­باشند. باتوجه به اهمیت داده ­ها برای طرفین درگیر در تجارت الکترونیک، باید اطمینان حاصل کرد که امنیت آنها به طور کامل تضمین شده است. در حال حاضر تکنولوژی­های امنیتی پایگاه دادۀ تجارت الکترونیک در کنترل دسترسی به وب سایت­ها، احراز هویت کاربر، کنترل مجوزها، امنیت حسابرسی، پشتیبانی و بازیابی

اطلاعات، رمزنگاری داده و غیره مورد استفاده قرار می­گیرند (هو^[۱۲۸]، ۲۰۰۹). از این­رو امنیت پایگاه داده، شامل مجموعه ­ای از خدمات و مکانیزم­ های مرتبط است که حفاظت از اطلاعات را ایجاد می­ کند و موضوعات فیزیکی، از قبیل حفاظت از تجهیزات و امکانات، موضوعات منطقی، از جمله مدل­های کنترل دسترسی و موضوعات سازمانی، همچون قابلیت ­های­ اداره، معمولاً مخاطب آن قرار دارند؛ لذا سرویس­های امنیت پایگاه داده و مکانیزم­ های مرتبط با آن عبارت­اند از اختیاردهی، محرمانگی، درستی، جواب­گویی، دردسترس بودن، قابلیت اداره، تضمین و امنیت فیزیکی (بلانگر و همکاران، ۲۰۰۲).
بحث دیگری که مطرح می­ شود این است که رشد سریع اینترنت، بر اهمیت اتصال به پایگاه داده افزوده است و از سوی دیگر پایگاه دادۀ وب، شامل اطلاعات حساس، از قبیل شمارۀ کارت اعتباری است؛ از این رو امنیت محیط مجازی پایگاه داده، از زمانی که تعداد زیادی کاربر به اطلاعات شرکت دسترسی دارند، به چالش کشیده شده است. تجربه نشان داده است که برخی از پایگاه­های داده، نام کاربری و رمزعبور را در راه­های ناامن ذخیره می­ کنند؛ در این حالت اگر کسی اطلاعات تصدیق هویت کاربر را به­دست آورد، می ­تواند به عنوان یک کاربر مشروع پایگاه داده اطلاعات خصوصی و ارزشمند را فاش نماید.
علاوه براین اغلب، پایگاه داده در بسیاری از مکان­ها، بدون لایه­ های محافظتی قابل توجه مستقر شده است و همچنین شاهد انتشار مداوم فناوری­های جدید، توسط فروشندگان هستیم که شامل خدمات وب در پایگاه داده، اداره XML درون پایگاه داده، یکپارچه­سازی با سرورهای برنامه و توانایی اجرای هرگونه برنامۀ منطقی به طور مستقیم، درون پایگاه داده می­باشند. این موضوع برای توسعه دهندگان و افزایش بهره­وری بسیار مناسب است، اما باعث ایجاد یک کابوس امنیتی شده است؛ زیرا قابلیت ­های بیشتر، به معنی اشکالات بیشتری است که می ­تواند توسط هکرها مورد سوء استفاده قرار گیرد (ناتان، ۲۰۰۵). در این راستا تکنولوژی رمزگذاری، یکی از تکنولوژی­های مؤثر برای امنیت پایگاه داده می­باشد؛ این تکنولوژی­ می ­تواند ما را از امنیت عمومی پایگاه داده مطمئن نماید، اما این که از امنیت پایگاه­های دادۀ مهم مطمئن شویم، دشوار است. به طور کلی رویکردهای متفاوتی در زمینۀ امنیت پایگاه داده وجود دارد که یکی از آنها با تکیه بر مباحث محیطی، سخت شدن پایگاه داده می­باشد. از سوی دیگر مباحثی از جمله مدیریت پایگاه داده و سیاست­های کنترل دسترسی نیز در این زمینه مطرح است که در ادامه به آنها اشاره خواهیم کرد.
سخت شدن محیط پایگاه داده:
سخت شدن فرآیندی است که در آن پایگاه داده، امن­تر شده و گاهی به قفل کردن پایگاه داده اشاره دارد. هنگامی که محیط پایگاه داده سخت می­ شود، در واقع آسیب­پذیری­های ناشی از سهل­انگاری، در گزینه­ های پیکربندی حذف می­گردد و حتی در این روش می­توان، آسیب­پذیری­های ناشی از فروشنده یا اشکالات را جبران نمود. این فرایند شامل سه اصل عمده است:
قفل کردن دسترسی به منابع مهمی که می­توانند مورد سوء استفاده قرار بگیرند.
از کار انداختن کارکردهایی که برای پیاده­سازی مورد نیاز نیستند و حضورشان می ­تواند زمینۀ سوء استفاده را فراهم آورد.
مباحث مرتبط با حداقل امتیازات (ناتان، ۲۰۰۵).
از سوی دیگر، سیستم مدیریت پایگاه داده، کلکسیونی از داده ­های مرتبط به هم و برنامه­هایی برای دستیابی به آن داده ­ها می­باشد که این کلکسیون داده ­ها، معمولاً پایگاه داده نامیده می­ شود و حاوی اطلاعات مربوط به یک شرکت است. هدف اولیۀ سیستم مدیریت پایگاه داده، ارائۀ روشی آسان و کارآمد، برای ذخیره و بازیابی اطلاعات پایگاه داده است و هدف از طراحی سیستم­های پایگاه داده، مدیریت حجم زیادی از داده ­ها می­باشد، از این رو مدیریت داده ­ها شامل تعریف ساختارهای ذخیره­سازی اطلاعات و ارائۀ راهکاری برای دستکاری اطلاعات است. علاوه بر این، سیستم پایگاه داده باید امنیت اطلاعات ذخیره شده را در مقابل فروپاشی سیستم یا دستیابی غیرمجاز به آنها، برقرار کند.

امنیت ترمینال­ها
تکنولوژی­های کامپیوتر، لپ تاپ و گوشی­های موبایل می­توانند مزایای آشکاری برای کاربران داشته باشند، از سوی دیگر این ابزارها دارای تأثیر بر جنبه­ های امنیتی نیز هستند. اگر هدف مجرمان، داده ­های موجود در ابزارهای بالا باشد، در صورتی که امکان بدست آوردن داده ­های مورد نیاز از طریق فرایند انتقال، وجود داشته باشد، لزوماً نیازی نیست که دستگاه مورد نظر را به سرقت ببرند، بلکه با بهره گرفتن از ترمینال­های جعلی می­توانند به اهداف خود دست یابند. بنابراین می­توان گفت که ترمینال کامپیوتری، یک سخت افزار الکترونیک است که برای وارد کردن داده ­ها و اجرای آنها، از یک کامپیوتر یا سیستم محاسباتی مورد استفاده قرار می­گیرد (ژانگ و همکاران، ۲۰۱۲).
معمولاً ترمینال­های عمومی غیرمطمئنی مثل کیوسک­های اینترنتی، به منظور دسترسی به سیستم­های کامپیوتری مورد استفاده قرار می­گیرند که یکی از نگرانی­های امنیتی در این سیستم­ها حملات ترمینال­های جعلی است. در این حملات، حمله کننده یک ترمینال جعلی را به منظور فریب دادن کاربرانی که نسبت به آشکار شدن اطلاعات حساس خود، از قبیل PINs و ایمیل­های شخصی بدگمانی ندارند و تلاش می­ کنند که از این ترمینال­ها استفاده کنند، راه ­اندازی می­ کند (آسوکن، دبار، استاینر و ویندنر^[۱۲۹]، ۱۹۹۹). البته به منظور دست یافتن به امنیت، رمزنگاری، یک تلاش متمرکز برای اطمینان از غیرقابل تفسیر (ترجمه) بودن پیام جدا شده، می­باشد. بنابراین در این روش، تنها راه ممکن برای خواندن یک پیام، باید استفاده از فرایند رمزگشایی باشد. موارد زیر بیان کنندۀ جزئیات دارایی­ های مورد نیاز، برای فرایند رمزنگاری امن می­باشند:
فرایند رمزنگاری باید برای کاربران غیرمجاز، غیرقابل تعیین باشد که این موضوع به یک فرایند نسبتاً پیچیده نیاز دارد.
پیام­ها تنها بعد از رمزگشایی قابل خواندن هستند و رمزگشایی تنها با کلید صحیح امکان­ پذیر است.
کلیدها نباید در دسترس کاربر غیرمجاز قرار بگیرند.
لازم است که کلیدها (از نظر تعداد بیت­ها) نسبتاً طولانی باشند (داجسان^[۱۳۰]، ۲۰۰۴).

امنیت پرداخت الکترونیک و کارت هوشمند
یکی از ویژگی­های پایۀ عملکرد در تجارت الکترونیک، رویۀ پرداخت است. روش­های مختلفی برای پرداخت وجود دارد؛ از قبیل پول دیجیتال، کارت اعتباری الکترونیک و پرداخت از طریق چک الکترونیک؛ درتمام این روش­های پرداخت، یکی از پارامترهای بسیار مهم، امنیت است (استفانی و زینوس، ۲۰۰۱). با این رویکرد، در این بخش به بررسی پرداخت الکترونیک و امنیت آن می­پردازیم، از این منظر می­توان گفت که پرداخت الکترونیک دارای ویژگی­هایی از قبیل موارد زیر می­باشد:
امنیت: ایمن ساختن اطلاعات به منظور جلوگیری از تحریف و دستیابی به اطلاعات، توسط افراد غیرمجاز می­باشد.
تقسیم پذیری: بیشتر فروشندگان تنها کارت­های اعتباری را برای دامنه­ای حداقل و حداکثر قبول می­ کنند. بنابراین هرچه دامنۀ قبول پرداخت­ها را زیادتر کنند، امکان پذیرش بیشتری وجود دارد.
قابلیت بررسی: سیستم باید به قدر کافی مستحکم باشد تا کاربران در صورت قطع برق، دچار ضرر و زیان مالی نشوند.
گمنامی: این مطلب با حریم خصوصی ارتباط دارد؛ یعنی برخی خریداران تمایل دارند هویت و مشخصات خریدهای خود را گمنام باقی نگه دارند.
عدم تکذیب: یک سیستم پرداخت اینترنتی باید گروه ­های درگیر را مطمئن و متعهد سازد، تا از این طریق، هیچ گروهی نتواند معاملات را انکار کرده و یا به طور غیرقانونی از آن شانه خالی کند .
در پرداخت الکترونیک علاوه بر کارت­های اعتباری و مبادلاتی، وجوه دیگری از این کارت­ها را می­توان نام برد؛ از قبیل کارت­های هوشمند، وجوه، چک­ و حواله الکترونیکی. ویژگی مشترک همۀ این روش­ها آن است که همگی توانایی انتقال یک پرداخت از شخصی به شخص دیگر، در داخل شبکه و بدون نیاز به دیدار آن اشخاص را دارند. در هریک از این روش­های پرداخت معمولاً چهار گروه زیر درگیر می­شوند:
مؤسسۀ گشایشگر؛ بانک یا مؤسسۀ غیربانکی که وسیلۀ پرداخت الکترونیک را به منظور انجام خرید ایجاد می­ کند.
مشتری/ پرداخت کننده/ خریدار؛ گروهی که پرداخت­های الکترونیکی را به منظور خرید کالا و خدمات انجام می­ دهند.
بازرگان/ دریافت کننده/ خریدار؛ گروهی که پرداخت­های الکترونیکی را طی مبادلۀ کالا و خدمات دریافت می­ کنند.
قانون­گذار: معمولاً یک ادارۀ دولتی است که طبق مقررات خاصی، فرایند پرداخت­های الکترونیکی را کنترل می­ کند (صنایعی،۱۳۸۳).
از این رو تقلب در پرداخت آنلاین به صورت خرده فروشی، موضوعی است که به طور گسترده­ای نگرانی بازرگانان و مشتریان را در پی داشته است. شبکه ­های تبهکار سازمان یافته، حملات سریع، در مقیاس بزرگ را با بهره گرفتن از تکنیک­ها و ابزارهای پیچیده انجام می­ دهند و مرتکب درصد بالایی تقلب، در پرداخت آنلاین می­شوند. از آن­جا که تقریباً تمام بازرگانان در زمان انتقال داده ­های حساس بین مرورگر مشتری و وب سایت از کانال­های ارتباطی امن استفاده می­ کنند، احتمال جداکردن شماره کارت توسط مجرمان در طول یک معامله بسیار کم است، اما آن­چه در معرض خطر بیشتری قرار دارد، سرقت اطلاعات کارت اعتباری ذخیره شده در وب سایت است.
از این رو خرده فروشان که به ندرت در زمینۀ امنیت معاملات آنلاین متخصص هستند، معمولاً به جای این­که خود، سیستم پرداخت آنلاین را ایجاد نمایند، این فرایند را به یک ارائه­ دهندۀ خدمات پرداخت یا بانک، برون سپاری می­نمایند. در نتیجه ارائه دهندگان خدمات پرداخت، یا بانک­ها فرآیندهای تخصصی را به منظور اطمینان از امنیت پرداخت در کسب و کار، پیشنهاد می­ کنند که برخی از این فرآیندها شامل موارد زیر می­باشند:
رمزگذاری و امن نگه­داشتن اطلاعات کارت: این فرایند معمولاً از طریق تکنولوژی SSL ^[۱۳۱] صورت می­پذیرد.
نامرئی بودن اطلاعات کارت: بعضی از ارائه دهندگان خدمات پرداخت و بانک­ها، می­توانند پرداخت آنلاین را از طرف کسب و کار شما قبول کنند و بدون برقراری ارتباط، جزئیات کارت اعتباری با آن کسب و کار را پردازش نمایند. تنها چیزی که در این حالت انتقال می­یابد، وجوه است.
تشخیص خودکار تقلب: بعضی از ارائه دهندگان خدمات پرداخت و بانک­ها، می­توانند خدمات شناسایی خودکار تقلب را به عنوان بخشی جدایی­ناپذیر از برنامۀ پرداخت آنلاین، ارائه دهند. این روش­ها از رفتارهایی استفاده می­ کنند که به سرعت رفتارهای خرید جعلی را شناسایی نموده، به خرده فروش هشدار می­ دهند و از انجام معامله جلوگیری می­نمایند.
AVS یا CVV: بانک یا ارائه دهندۀ خدمات پرداخت، ممکن است که تأیید آدرس (AVS)و تأیید دارنده کارت (CVV) را به عنوان عناصر جدایی­ناپذیر از خدمات پرداخت خود پیشنهاد نمایند (ریووید^[۱۳۲]، ۲۰۰۵).
کارت هوشمند:
کارت­های هوشمند جزء ابزارهای مفیدی محسوب می­شوند که به عنوان جانشین پول نقد، درجۀ امنیت داد و ستدها را افزایش داده، فرایند خرید را تسهیل نموده­ و از کاغذ بازی و نگهداری سوابق به میزان زیادی جلوگیری می­ کنند. با
وجود کارت­های هوشمند، دیگر ضرورتی برای حمل پول نقد وجود ندارد و باید در نظر داشت که کارت­های هوشمند استفاده­های مختلفی برای بازرگانان، مؤسسات مالی و دیگر صادرکنندگان کارت دارند. با توجه به هزینۀ کم، قابلیت حمل، کارایی و ظرفیت رمزنگاری کارت هوشمند، این ابزار به طور گسترده­ای در برنامه ­های تجارت الکترونیک، پروتکل­های امنیت شبکه و همچنین برنامه احراز هویت از راه دور مورد پذیرش قرار گرفته است.
از سوی دیگر، یک برنامه مبتنی بر کارت هوشمند در واقع یک راه­حل امیدوار کننده و عملی برای احراز هویت از راه دور است و یک برنامه احراز هویت از راه دور در واقع یک مکانیزم برای تصدیق هویت کاربری است که یک ارتباط ناامن را از راه دور برقرار می­نماید (چیین، جان و تسنگ^[۱۳۳]، ۲۰۰۲).
باید در نظر داشت که یک کارت هوشمند نیاز به وابستگی به منابع خارجی که به طور بالقوه آسیب پذیرند، ندارد و این ویژگی به همراه قابلیت حمل کارت، باعث شده که کارت هوشمند به یک تکنولوژی مفید در برنامه­هایی که نیاز به حفاظت­های امنیتی قوی و تصدیق هویت دارند تبدیل شود.
امروزه تعداد زیادی کارت هوشمند در سیستم­های بانکداری، مخابرات، بهداشت و درمان و حمل و نقل مورد استفاده قرار می­گیرد. در واقع سازمان­های نظامی، از کارت هوشمند برای شناسایی الکترونیکی و کنترل دسترسی استفاده می­ کنند. به نظر می­رسد که کارت­های هوشمند به یک ابزار فوق العاده برای بالا بردن امنیت سیستم و فراهم آوردن محلی برای ذخیره­سازی امن تبدیل شده ­اند. یکی از ویژگی­های ارائه شده توسط بسیاری از سیستم عامل­های کارت هوشمند، امکانات رمزنگاری است.­ اما باید توجه داشت که متأسفانه، الگوریتم رمزنگاری مخفی، کلیدهای ذخیره شده و کنترل دسترسی در داخل کارت هوشمند به اهداف حمله کنندگان تبدیل شده ­اند (کیرسبیلک و ونهوک، ۲۰۰۶).
ساختار فیزیکی یک کارت هوشمند
اجزا یک کارت هوشمند شبیه اجزا یک کامپیوتر معمولی می­باشد و شامل موارد زیر هستند:
یک ریز پردازنده (یعنی CPU) به عنوان یک عنصر هوشمند
حافظه