电子商务安全事件精选(十四篇)

序言：作为思想的载体和知识的探索者，写作是一种独特的艺术，我们为您准备了不同风格的14篇电子商务安全事件，期待它们能激发您的灵感。

篇1

关键字 电子商务 网络安全 事件类型 安全建议

1前言

随着Internet的快速发展，电子商务已经逐渐成为人们进行商务活动的新模式。越来越多的人通过Internet进行商务活动。电子商务的发展前景十分诱人，而其安全问题也变得越来越突出。近年来，网络安全事件不断攀升，电子商务金融成了攻击目标，以网页篡改和垃圾邮件为主的网络安全事件正在大幅攀升。国家计算机网络应急技术处理协调中心（以下简称CNCERT/CC）作为接收国内网络安全事件报告的重要机构，2005年上半年共收到网络安全事件报告65679件，为2004年全年64686件还要多。在CNCERT/CC处理的网络安全事件报告中，网页篡改占45.91％，网络仿冒占29%，其余为拒绝服务攻击、垃圾邮件、蠕虫、木马等，2004年以来，我国面临的网络仿冒威胁正在逐渐加大，仿冒对象主要是金融网站和电子商务网站。数字显示，电子商务等网站极易成为攻击者的目标，其安全防范有待加强。如何建立一个安全、便捷的电子商务应用环境，对信息提供足够的保护，已经成为商家和用户都十分关心的话题。

2影响电子商务发展的主要网络安全事件类型

一般来说，对电子商务应用影响较多、发生率较高的互联网安全事件可以分为网页篡改、网络蠕虫、拒绝服务攻击、特罗伊木马、计算机病毒、网络仿冒等，而近几年来出现的网络仿冒（Phishing），已逐步成为影响电子商务应用与发展的主要威胁之一。

2.1网络篡改

网络篡改是指将正常的网站主页更换为黑客所提供的网页。这是黑客攻击的典型形式。一般来说，主页的篡改对计算机系统本身不会产生直接的损失，但对电子商务等需要与用户通过网站进行沟通的应用来说，就意味着电子商务将被迫终止对外的服务。对企业网站而言，网页的篡改，尤其是含有攻击、丑化色彩的篡改，会对企业形象与信誉造成严重损害。

2.2网络蠕虫

网络蠕虫是指一种可以不断复制自己并在网络中传播的程序。这种程序利用互联网上计算机系统的漏洞进入系统，自我复制，并继续向互联网上的其它系统进行传播。网络蠕虫的危害通常有两个方面：1、蠕虫在进入被攻击的系统后，一旦具有控制系统的能力，就可以使得该系统被他人远程操纵。其危害一方面是重要系统会出现失密现象，另一方面会被利用来对其他系统进行攻击。2、蠕虫的不断蜕变并在网络上的传播，可能导致网络被阻塞的现象发生，从而致使网络瘫痪，使得各种基于网络的电子商务等应用系统失效。

2.3拒绝服务攻击

拒绝服务攻击是指在互联网上控制多台或大量的计算机针对某一个特定的计算机进行大规模的访问，使得被访问的计算机穷于应付来势凶猛的访问而无法提供正常的服务，使得电子商务这类应用无法正常工作。

一般来说，这是黑客常用的一种行之有效的方法。如果所调动的攻击计算机足够多，则更难进行处置。尤其是被蠕虫侵袭过的计算机，很容易被利用而成为攻击源，并且这类攻击通常是跨网进行的，加大了打击犯罪的难度。

2.4特罗伊木马

特罗伊木马（简称木马）是一种隐藏在计算机系统中不为用户所知的恶意程序，通常用于潜伏在计算机系统中来与外界连接，并接受外界的指令。被植入木马的计算机系统内的所有文件都会被外界所获得，并且该系统也会被外界所控制，也可能会被利用作为攻击其它系统的攻击源。很多黑客在入侵系统时都会同时把木马植入到被侵入的系统中。

2.4网络仿冒（Phishing）

Phishing又称网络仿冒、网络欺诈、仿冒邮件或者钓鱼攻击等，是黑客使用欺诈邮件和虚假网页设计来诱骗收件人提供信用卡帐号、用户名、密码、社会福利号码等，随后利用骗得的帐号和密码窃取受骗者金钱。近年来，随着电子商务、网上结算、网上银行等业务在日常生活中的普及，网络仿冒事件在我国层出不穷，诸如中国银行网站等多起金融网站被仿冒。网络仿冒已经成为影响互联网应用，特别是电子商务应用的主要威胁之一。

根据国际反仿冒邮件工作小组（Anti-Phishing Working Group，APWG）统计，2005年4月共有2854起仿冒邮件事件报告；从2004年7月至2005年4月，平均每月的仿冒邮件事件报告数量的递增达率15%；仅在2005年4月，就共有79个各类机构被仿冒。2005年上半年CNCERT/CC广东分中心就处理了15多期的网络仿冒事件。从这些数字可以看到，Phishing事件不仅数量多、仿冒范围大，而且仍然在不断增长。

网络仿冒者为了逃避相关组织和管理机构的打击，充分利用互联网的开放性，往往会将仿冒网站建立在其他国家，而又利用第三国的邮件服务器来发送欺诈邮件，这样既便是仿冒网站被人举报，但是关闭仿冒网站就比较麻烦，对网络欺诈者的追查就更困难了，这是现在网络仿冒犯罪的主要趋势之一。

据统计，中国已经成为第二大仿冒网站的属地国，仅次于美国，而就目前CNCERT/CC的实际情况来看，已经接到多个国家要求协助处理仿冒网站的合作请求。因此，需要充分重视网络仿冒行为的跨国化。

3安全建议

随着网络应用日益普及和更为复杂，网络安全事件不断出现，电子商务的安全问题日益突出，需要从国家相关法律建设的大环境到企业制定的电子商务网络安全管理整体架构的具体措施，才能有效保护电子商务的正常应用与发展。

3.1不断完善法律与政策依据 充分发挥应急响应组织的作用

目前我国对于互联网的相关法律法规还较为欠缺，尤其是互联网这样一个开放和复杂的领域，相对于现实社会，其违法犯罪行为的界定、取证、定位都较为困难。因此，对于影响电子商务发展的基于互联网的各类网络安全事件的违法犯罪行为的立法，需要一个漫长的过程。

根据互联网的体系结构和网络安全事件的特点，需要建立健全协调一致，快速反应的各级网络应急体系。要制定有关管理规定，为网络安全事件的有效处理提供法律和政策依据。

转贴于 互联网应急响应组织是响应并处理公共互联网网络与信息安全事件的组织，在我国，CNCERT/CC是国家级的互联网应急响应组织，目前已经建立起了全国性的应急响应体系；同时，CNCERT/CC还是国际应急响应与安全小组论坛（FIRST，Forum of Incident Response and Security Teams）等国际机构的成员。

应急响应组织通过发挥其技术优势，利用其支撑单位，即国内主要网络安全厂商的行业力量，为相关机构提供网络安全的咨询与技术服务，共同提高网络安全水平，能有效减少各类的网络事件的出现；通过聚集相关科研力量，研究相关技术手段，以及如何建立新的电子交易的信任体系，为电子商务等互联网应用的普及和顺利发展提供前瞻性的技术研究方面具有积极意义。

对于目前跨国化趋势的各类网络安全事件，可以通过国际组织之间的合作，利用其协调机制，予以积极处理。事实上，从CNCERT/CC成立以来，已经成功地处理了多起境外应急响应组织提交的网络仿冒等安全事件协查请求，关闭了上百个各类仿冒网站；同时，CNCERT/CC充分发挥其组织、协调作用，成功地处理了国内网页篡改、网络仿冒、木马等网络安全事件。

3.2建立整体的网络安全架构 切实保障电子商务的应用发展

从各类网络安全事件分析中我们看到，电子商务的网络安全问题不是纯粹的计算机安全问题，从企业的角度出发，应该建立整体的电子商务网络安全架构，结合安全管理以及具体的安全保护、安全监控、事件响应和恢复等一套机制来保障电子商务的正常应用。

3.2.1安全管理

安全管理主要是通过严格科学的管理手段以达到保护企业网络安全的目的。内容可包括安全管理制度的制定、实施和监督，安全策略的制定、实施、评估和修改，相关人员的安全意识的培训、教育，日常安全管理的具体要求与落实等。

3.2.2安全保护

安全保护主要是指应用网络安全产品、工具和技术保护网络系统、数据和用户。这种保护主要是指静态保护，通常是一些基本的防护，不具有实时性，如在防火墙的规则中实施一条安全策略，禁止所有外部网用户到内部网Web服务器的连接请求，一旦这条规则生效，它就会持续有效，除非我们改变这条规则。这样的保护能预防已知的一些安全威胁，而且通常这些威胁不会变化，所以称为静态保护。

3.2.3安全监控/审计

安全监控主要是指实时监控网络上正在发生的事情，这是任何一个网络管理员都想知道的。审计一直被认为是经典安全模型的一个重要组成部分。审计是通过记录通过网络的所有数据包，然后分析这些数据包，帮助查找已知的攻击手段、可疑的破坏行为，来达到保护网络的目的。

安全监控和审计是实时保护的一种策略，它主要满足一种动态安全的需求。因为网络安全技术在发展的同时，黑客技术也在不断的发展，网络安全不是一成不变的，也许今天对你来说安全的策略，明天就会变得不安全，因此我们应该时刻关注网络安全的发展动向以及网络上发生的各种各样的事情，以便及时发现新的攻击，制定新的安全策略。可以这样说，安全保护是基本，安全监控和审计是其有效的补充，两者的有效结合，才能较好地满足动态安全的需要。

3.2.4事件响应与恢复

事件响应与恢复主要针对发生攻击事件时相应的应急措施与恢复正常应用的机制。就是当攻击发生时，能及时做出响应，这需要建立一套切实有效、操作性强的响应机制，及时防止攻击的进一步发展。响应是整个安全架构中的重要组成部分，因为网络构筑没有绝对的安全，安全事件的发生是不可能完全避免的，当安全事件发生的时候，应该有相应的机制快速反应，以便让管理员及时了解攻击情况，采取相应措施修改安全策略，尽量减少并弥补攻击的损失，防止类似攻击的再次发生。

当安全事件发生后，对系统可能会造成不同程度的破坏，如网络不能正常工作、系统数据被破坏等，这时，必须有一套机制能尽快恢复系统的正常应用，因为攻击既然已经发生了，系统也遭到了破坏，这时只有让系统以最快的速度运行起来才是最重要的，否则损失将更为严重。因此恢复在电子商务安全的整体架构中也是不可缺少的组成部分。 4小结

Internet的快速发展，使电子商务逐渐进入人们的日常生活，而伴随各类网络安全事件的日益增加与发展，电子商务的安全问题也变得日益突出，建立一个安全、便捷的电子商务应用环境，已经成为商家和用户密切关注的话题。

本文主要从目前深刻影响电子商务应用与发展的几种主要的网络安全事件类型出发，阐述了电子商务的网络安全问题，并从国家相关法制建设的大环境，应急响应组织的作用与意义，以及企业具体的电子商务网络安全整体架构等方面，给出一些建议与思考。

参考文献

1

CNCERT/CC.“2005年上半年网络安全工作报告”

2

CNCERT/CC上海分中心.“网络欺诈的分析和研究”.2005年3月

3

篇2

电子商务的存在和发展，是以网络技术的革新为前提。电子商务系统的构建、运行及维护，都离不开技术的支持。同时，由于电子商务适合于各种大、小型企业，所以应采取措施来保障电子商务网站的安全。

一、电子商务中存在安全的问题

（一）网络信息安全方面

1.服务器的安全问题。电子商务服务器是电子商务的核心，安装了大量的与电子商务有关的软件和商家信息，并且服务器上的数据库里有电子商务活动过程中的一些保密数据。因此服务器特别容易受到安全的威胁，并且一旦出现安全问题，造成的后果也是非常严重。

2.网络信息的安全问题。非法用户在网络的传输上使用不正当手法，非法拦截会话数据获得合法用户的有效信息，最终导致合法用户的一些核心业务数据泄密或者是非法用户对截获的网络数据进行一些恶意篡改，如增加、减少和删除等操作，从而使信息失去真实性和完整性，导致合法用户无法正常交易，还有一些非法用户利用截获的网络数据包再次发送，恶意攻击对方的网络硬件和软件。

3.网络安全中的病毒问题。互联网的出现为电脑病毒的传播提供了最好的媒介，不少新病毒直接以互联网作为自己的传播途径，电脑病毒问世10多年来，各种新型病毒及其变种迅速增加，不少新病毒直接以互联网作为自己的传播途径，还有众多病毒借助于互联网传播得更快，如何在电子商务领域如何有效防范病毒也是一个十分紧迫的问题。

（二）电子商务交易方面

1.交易身份的不确定。电子商务是一种全球各地广泛的商业贸易活动在开放的网络环境下，基于浏览器/服务器应用方式，在买卖双方不谋面的情况下进行各种商贸活动，实现消费者的网上购物、商户之间的网上交易和在线电子支付以及各种商务活动、交易活动、金融活动和相关的综合服务活动。正是基于这个特点攻击者可以通过非法的手段盗窃合法用户的身份信息，仿冒合法用户的身份与他人进行交易。

2.交易协议安全性问题。企业和用户在电子交易过程中的数据是以数据包的形式来传送的，恶意攻击者很容易对某个电子商务网站展开数据包拦截，甚至对数据包进行修改和假冒。TCP/IP协议是建立在可信的环境之下，缺乏相应的安全机制，这种基于地址的协议本身就会泄露口令，根本没有考虑安全问题；TCP/IP协议是完全公开的，其远程访问的功能使许多攻击者无须到现场就能够得手，连接的主机基于互相信任的原则等这些性质使网络更加不安全。

二、加强电子商务网站的安全措施

我们从技术手段的角度，从系统安全和数据安全的不同层面来探索电子商务中出现的网络安全新问题。

（一）信息系统安全

对于一个企业来说，信息的安全尤为重要，这种安全首先取决于系统的安全。系统安全主要包括网络系统、操作系统和应用系统三个层次。系统安全采用的技术和手段有冗余技术、网络隔离技术、访问控制技术、身份鉴别技术、加密技术、监控审计技术、安全评估技术等。

1.网络系统。网络系统安全是网络的开放性、无边界性、自由性造成，安全解决的关键是把被保护的网络从开放、无边界、自由的环境中独立出来，使网络成为可控制、管理的内部系统，由于网络系统是应用系统的基础，网络安全便成为首要新问题。解决网络安全主要方式有如下几种方法：

一是网络冗余。它是解决网络系统单点故障的重要办法。对关键性的网络线路、设备，通常采用双备份或多备份的方式。网络运行时双方对运营状态相互实时监控并自动调整，当网络的一段或一点发生故障或网络信息流量突变时能在有效时间内进行切换分配，保证网络正常的运行。

二是系统隔离。分为物理隔离和逻辑隔离，主要从网络安全等级考虑划分合理的网络安全边界，使不同安全级别的网络或信息媒介不能相互访问，从而达到安全目的。对业务网络或办公网络采用VLAN技术和通信协议实行逻辑隔离划分不同的应用子网。

三是访问控制。对于网络不同信任域实现双向控制或有限访问原则，使受控的子网或主机访问权限和信息流向能得到有效控制。具体相对网络对象而言需要解决网络的边界的控制和网络内部的控制，对于网络资源来说保持有限访问的原则，信息流向则可根据安全需求实现单向或双向控制。访问控制最重要的设备就是防火墙，它一般安置在不同安全域出入口处，对进出网络的IP信息包进行过滤并按企业安全政策进行信息流控制，同时实现网络地址转换、实时信息审计警告等功能，高级防火墙还可实现基于用户的细粒度的访问控制。

四是身份鉴别。是对网络访问者权限的识别，一般通过三种方式验证主体身份，一是主体了解的秘密，如用户名、口令、密钥；二是主体携带的物品，如磁卡、IC卡、动态口令卡和令牌卡等；三是主体特征或能力，如指纹、声音、视网膜、签名等。加密是为了防止网络上的窃听、泄漏、篡改和破坏，保证信息传输安全，对网上数据使用加密手段是最为有效的方式。目前加密可以在三个层次来实现，即链路层加密、网络层加密和应用层加密。链路加密侧重通信链路而不考虑信源和信宿，它对网络高层主体是透明的。网络层加密采用IPSEC核心协议，具有加密、认证双重功能，是在IP层实现的安全标准。通过网络加密可以构造企业内部的虚拟专网（VPN），使企业在较少投资下得到安全较大的回报，并保证用户的应用安全。

五是安全监测。采取信息侦听的方式寻找未授权的网络访问尝试和违规行为，包括网络系统的扫描、预警、阻断、记录、跟踪等，从而发现系统遭受的攻击伤害。网络扫描监测系统作为对付电脑黑客最有效的技术手段，具有实时、自适应、主动识别和响应等特征，广泛用于各行各业。网络扫描是针对网络设备的安全漏洞进行检测和分析，包括网络通信服务、路由器、防火墙、邮件、WEB服务器等，从而识别能被入侵者利用非法进入的网络漏洞。网络扫描系统对检测到的漏洞信息形成具体报告，包括位置、具体描述和建议的改进方案，使网管能检测和管理安全风险信息。

2.操作系统

操作系统是管理计算机资源的核心系统，负责信息发送、管理设备存储空间和各种系统资源的调度，它作为应用系统的软件平台具有通用性和易用性，操作系统安全性直接关系到应用系统的安全，操作系统安全分为应用安全和安全漏洞扫描。

一是应用安全。面向应用选择可靠的操作系统，可以杜绝使用来历不明的软件。用户可安装操作系统保护和恢复软件，并作相应的备份。

二是系统扫描。它基于主机的安全评估系统，是对系统的安全风险级别进行划分，并提供完整的安全漏洞检查列表，通过不同版本的操作系统进行扫描分析，对扫描漏洞自动修补形成报告，保护应用程序、数据免受盗用、破坏。

3.应用系统

办公系统文件（邮件）的安全存储摘要：利用加密手段，配合相应的身份鉴别和密钥保护机制（IC卡、PCMCIA安全PC卡等），使得存储于本机和网络服务器上的个人和单位重要文件处于安全存储的状态，使得他人即使通过各种手段非法获取相关文件或存储介质（硬盘等），也无法获得相关文件的内容。

文件（邮件）的安全传送，对通过网络（远程或近程）传送给他人的文件进行安全处理（加密、签名、完整性鉴别等），使得被传送的文件只有指定的收件者通过相应的安全鉴别机制（IC卡、PCMCIA PC卡）才能解密并阅读，杜绝了文件在传送或到达对方的存储过程中被截获、篡改等，主要用于信息网中的报表传送、公文下发等。

业务系统的安全，主要面向业务管理和信息服务的安全需求。对通用信息服务系统（电子邮件系统、WEB信息服务系统、FTP服务系统等）采用基于应用开发安全软件，如安全邮件系统、WEB页面保护等；对业务信息可以配合管理系统采取对信息内容的审计稽查，防止外部非法信息侵入和内部敏感信息泄漏。

（二）数据安全

数据安全牵涉到数据库的安全和数据本身安全，针对两者应有相应的安全办法。

一是数据库安全。大中型企业一般采用具有一定安全级别的SYBASE或ORACLE大型分布式数据库，基于数据库的重要性，应在此基础上开发一些安全办法，增加相应控件，对数据库分级管理并提供可靠的故障恢复机制，实现数据库的访问、存取、加密控制。具体实现方法有安全数据库系统、数据库保密系统、数据库扫描系统等。

二是数据安全。指存储在数据库数据本身的安全，相应的保护办法有安装反病毒软件，建立可靠的数据备份和恢复系统，某些重要数据甚至可以采取加密保护。

（三）网络交易平台的安全

网上交易安全位于系统安全风险之上，在数据安全风险之下。只有提供一定的安全保证，在线交易的网民才会具有安全感，电子商务网站才会具有发展的空间。

一是交易安全标准。目前在电子商务中主要的安全标准有两种摘要：应用层的SET（安全电子交易）和会话层SSL（安全套层）协议。前者由信用卡机构VISA及MasterCard提出的针对电子钱包/商场/认证中心的安全标准，主要用于银行等金融机构；后者由NETSCAPE公司提出针对数据的机密性/完整性/身份确认/开放性的安全协议，事实上已成为WWW网络的应用安全标准。

二是交易安全基础体系。交易安全基础是现代密码技术，依靠于加密方法和强度。加密分为单密钥的对称加密体系和双密钥的非对称加密体系。两者各有所长，对称密钥具有加密效率高，但存在密钥分发困难、管理不便的弱点；非对称密钥加密速度慢，但便于密钥分发管理。通常把两者结合使用，以达到高效安全的目的。

三是交易安全的实现。交易安全的实现主要有交易双方身份确认、交易指令及数据加密传输、数据的完整性、防止双方对交易结果的抵赖等等。具体实现的途径是交易各方具有相关身份证实，同时在SSL协议体系下完成交易过程中电子证书验证、数字签名、指令数据的加密传输、交易结果确认审计等。

随着电子商务的发展，网上交易越来越频繁，调用每项服务时需要用户证实身份，也需要这些服务器向客户证实他们自己的身份。而保障身份安全的最有效的技术就是PKI技术。PKI的应用主要是在它的CA认证技术。CA（Certification Authorty）是一个确保信任度的权威实体，主要职责是颁发证书、验证用户身份的真实性。由CA签发的网络用户电子身份证实—证书，任何相信该CA的人，按照第三方信任原则，都应当相信持有证实的该用户。CA也要采取一系列相应的办法来防止电子证书被伪造或篡改。构建一个具有较强安全性的CA是至关重要的，这不仅和密码学有关系，而且和整个PKI系统的构架和模型有关。此外，灵活也是CA能否得到市场认同的一个关键，它不需支持各种通用的国际标准，并能很好地和其他厂家的CA产品兼容。在不久的将来，PKI技术会在电子商务和网络安全中得到更广泛的应用，从而真正保障用户和商家的身份安全。

三、信息安全的发展方向

从历史角度看，我国信息网络安全探究历经了通信保密、数据保护两个阶段，正在进入网络信息安全探究阶段，现已开发研制出防火墙、安全路由器、安全网关、黑客入侵检测、系统脆弱性扫描软件等。但因信息网络安全领域是一个综合、交叉的学科领域，它综合利用了数学、物理、生化信息技术和计算机技术的诸多学科的长期积累和最新发展成果，提出系统的、完整的和协同的解决信息网络安全的方案，从安全体系结构、安全协议、现代密码理论、信息分析和监控以及信息安全系统五个方面开展探究，各部分相互协同形成有机整体。

安全协议作为信息安全的重要内容，其形式化方法分析始于80年代初，目前有基于状态机、模态逻辑和代数工具的三种分析方法，但仍有局限性和漏洞，处于发展的提高阶段。作为信息安全关键技术密码学，近年来空前活跃，美、欧、亚各洲举行的密码学和信息安全学术会议频繁。1976年美国学者提出的公开密钥密码体制，克服了网络信息系统密钥管理的困难，同时解决了数字签名新问题，它是当前探究的热点。

篇3

关键词：实践教学；教学改革；教育质量

中图分类号：G642.4 文献标志码：A 文章编号：1674-9324（2013）35-0039-02

伴随着知识经济的兴起，高等教育的历史使命和人才培养目标发生了巨大变化，创新教育成为各国教育改革的主题。为了适应创新教育，培养创新型人才，教育教学的传统方式必须变革[1]。中央和各级政府教育行政部门、各高等学校十分重视对大学生实践和创新能力的培养，教育部把实践教学作为高校本科教学工作水平评估的关键指标之一，各高等学校采取切实有效措施，积极开展实践教学改革，多渠道筹措经费加大实验室建设投入，极大地改善了实验教学条件，对提高学生的实践创新能力产生了积极影响[2]。

一、实践教学体系概述

实践教学指具有实践性的教学活动。实践教学存在于整个教学过程之中，包括理论实践教学和社会实践教学。要做好实践教学工作，首先应该建立并完善实践教学体系，通常实践教学体系分为实践教学目标体系、实践教学内容体系、实践教学管理体系、实践教学保障体系和实践教学评价体系。实践教学体系的建设应该遵循以下几个原则：

1.特色性原则：确立以素质教育为核心，技术应用能力培养为主线，应变能力培养为关键，产学研结合为途径，与时俱进的人才教育培养模式是实践教学体系构建中遵循的原则。

2.实用型原则：实践教学体系的构建，要充分体现专业岗位的要求，与专业岗位群发展紧密相关。以此为原则组成一个层次分明、分工明确的实践教学体系。

3.混合型原则：混合型体现在教师类型的混合、理论教学和实践教学的混合、教室与实验室的混合等方面，淡化理论教学与实践教学、专业教师与实践指导教师、教室与实验室的界限，打破原来按学科设置实验室的传统布局，对实践教学设施进行重新整合，形成一体化混合实践教学模式。

实践教学体系的目标是：以职业能力培养为主线，使学生获得实践知识、开阔眼界，丰富并活跃学生的思想，加深对理论知识的理解掌握，进而在实践中对理论知识进行修正、拓展和创新。在确定具体课程实践教学体系目标的前提下，如何有针对性地设置具体的实践教学内容尤为重要。实践教学的内容是实践教学目标任务的具体化，将实践教学环节通过合理配置，构建成以技术应用能力培养为主体，按基本技能、专业技能和综合技术应用能力等层次，循序渐进地安排实践教学内容，将实践教学的目标和任务具体落实到各个实践教学环节中，让学生在实践教学中掌握必备的、完整的、系统的技能和技术[3]。

二、电子商务安全实践教学内容设置

电子商务安全课程是新兴的边缘交叉性课程，是在网络安全的基础上结合电子商务的领域的实际应用发展而来的一门具有一定针对性的课程，也是电子商务专业学生的一门专业主干课程。考虑到经营管理活动中计算机的普及和网络通信的快速发展，该课程是作为21世纪大学生尤其是电子商务专业的学生应该了解、掌握的一门学科，通过该课程的教学，学生初步了解电子商务安全的内涵和电子商务支付系统的构成，并且对网络常见的攻击手段、主要安全产品的功能、常用的电子支付工具等进行了解，以解决实际应用中遇到的问题[4]。

1.实验项目安排。本课程实践教学部分主要让学生对电子商务安全与支付在理论和实践上有一个全面的认识。要求学生通过大纲中的实验设置，了解电子商务安全与支付的现实环境；了解电子商务客户机和服务器的安全设置；熟悉基本的电子支付工具的使用，掌握数字证书的申请、安装和使用流程；了解SSL证书的申请流程。针对本课程的培养目标进行合理的实验教学安排，具体实验项目如表1所示。

2.实验项目的具体内容。实验1：了解电子商务安全与支付的现实环境：通过本次实验了解中国互联网发展状况，特别是有关电子商务发展的现状，认真体会，结合自己课余所见的实际情况进行总结。实验内容：阅读比较CNNIC最新的《中国互联网络发展状况统计报告》中关于安全支付的数据及分析，了解中国电子商务发展的现状。实验2：电子商务客户机安全：通过本次实验了解电子商务客户机存在的安全风险及对应的安全措施。实验内容：防病毒软件的安装和使用、IE对安全区的设置、检测活动内容、处理cookie。实验3：中银电子钱包及网上银行：通过本次实验了解电子钱包、电子信用卡在网上支付中的功能及使用过程。实验内容：中银电子钱包的使用、个人网上银行专业版的设置及使用。实验4：个人数字证书：通过本次实验了解数字证书的基本类型，个人数字证书的下载安装。实验内容：个人数字证书的下载、安装、查看、导入和导出。实验5：SSL证书申请：通过本次实验了解利用Microsoft IIS Web Server申请SSL证书的基本流程。实验内容：在Microsoft IIS上生成公私钥对和证书请求、保存证书请求文件、安装CA中心的根证书、安全Web Server证书。

电子商务安全是一门实践性很强的课程，有难度且极具挑战性，因此，电子商务安全的实践教学应该根据学生的实际情况酌情安排。笔者在几年的课程教学过程中尝试了一些改进本课程教学的方法。总结得出：最优方式是让学生置身于其中，让学生积极参与其中，享受创造的乐趣。经过对本实践课程安排前后的对比发现，学生对本课程的兴趣有极大提高，对理论教学部分的理解也大大加深。

参考文献：

[1]曹凤月.课堂实践教学：高校实践教学的基础环节[J].中国劳动关系学院学报，2009，4（23）：106-109.

[2]郑春龙，邵红艳.以创新实践能力培养为目标的高校实践教学体系的构建与实施[J].中国高教研究，2007，（4）：85-86.

[3]朱正伟，刘东燕，何敏.加强高校实践教学的探索与实践[J].中国大学教育，2007，（2）：76-78.

篇4

[关键词]企业电子商务；网络安全体系；防火墙

[DOI]10.13939/ki.zgsc.2015.41.073

1 概 述

随着IT技术的飞速发展，企业对网络越来越依赖，企业的运营方式、组织形式、商品交易的支付手段等正快速走向数字化。当企业的商业化应用与互联网结合就形成了如今的电子商务形式。由于企业进行商品交易的活动是在互联网上运行的，其业务的平台或基础是建立在互联网上的网站，商业活动产生的数据需要通过互联网进行传输，企业电子商务网站为客户提供的商务服务、企业形象展示、品牌推介、产品交易、数据库内容及客户账号信息等数据均需要在相应网站上进行存储，网站运行在完全开放的网络上必然会出现安全问题，如病毒入侵、黑客攻击等，因此网络安全问题也成了企业商务活动十分关注的问题。

2 企业电子商务网站网络安全风险

2.1 黑客攻击

目前黑客对企业电子商务网站的攻击方式主要有拒绝服务攻击、网站后门攻击、恶意脚本攻击、跨站脚本攻击、网页篡改、信息炸弹、密码破解等。这些攻击的主要目的是获取网站服务器的控制权，窃取系统中的数据和密码，窃取用户资金，破坏企业电子商务网站系统。

2.2 病毒入侵

目前全球已知病毒已近2亿种，新病毒或病毒变体每天都在发现，病毒造成的危害越来越大，病毒入侵造成的破坏已成为企业电子商务活动的重大威胁，目前主要的病毒危害有“木马病毒”、“网页病毒”、“蠕虫病毒”等。

2.3 系统或软件漏洞

当系统或软件存在逻辑设计上的错误或设计者对安全的忽略时，系统或软件就会存在安全漏洞。在企业电子商务网站上系统或软件漏洞因各种原因是可能存在的，这对企业电子商务活动将造成非常大的危害，可能被不法分子恶意攻击，他们可能轻易进入网站服务器系统，随意修改和窃取用户信息。

2.4 缺乏IT管理

企业对其电子商务网站或系统缺乏严格的管理，导致遭受攻击和破坏。

3 企业电子商务网站网络安全需求

3.1 网络互联和通信安全需求

提供灵活且高效的网络通讯及信息服务的同时，抵御和发现网络攻击，并且提供跟踪攻击的手段。

3.2 服务器系统安全需求

对网络和主机设备实行主动的漏洞检测和安全评估，及时发现操作系统和数据库系统中存在的安全漏洞；对关键的服务器操作系统进行安全加固，通过严格的用户认证、访问控制和审计，防止黑客利用系统安全管理功能的不足进行非法访问，同时避免内部用户的滥用。

3.3 应用系统安全需求

建立好CA认证系统，加强对关键应用系统的用户认证和管理；建立企业级网络防病毒措施，对病毒传播的所有可能的入口进行严格控制，尤其防范病毒通过互联网连接侵入内部网络。

3.4 业务系统的安全需求

访问控调、数据安全、入侵检测、来自网络内部其他系统的破坏。

3.5 安全管理需求

校园网络需要建立完善的安全管理制度，加强对工作人员的安全知识和安全操作培训。

4 企业电子商务网站网络安全体系总体结构设计

4.1 VPN网络子系统

VPN网络是在电信公司提供的城域网上实现的。企业电子商务网站网络采用独立的VLAN。为了保障各用户点不同的业务，可采用VLAN、MAC地址绑定、ACL访问控制列表来实现安全控制。采用IPSEC组建VPN虚拟专用网，IPSecVPN技术建立从网点路由器到中心路由器的VPN隧道，该VPN隧道里主要传输的是企业电子商务网站中心主业务系统的数据。VPN网络子系统实现各用户点到中心多业务数据的安全可靠传输。

4.2 安全检测子系统

在网络的WWW服务器、Email服务器等各种服务器中使用网络安全检测子系统，实时跟踪、监视网络，截获互联网上传输的内容，并将其还原成完整的WWW、Email、FTP、Telnet应用的内容，建立保存相应记录的数据库。及时发现在网络上传输的非法内容，及时向上级安全网络中心报告，采取措施。利用专门的日志分析工具对保存在数据库中的访问日志进行统计并绘制统计图，可以对访问地址和流量进行分析，对于明显的攻击便可一目了然。

4.3 防火墙子系统

防火墙是一种网络隔离控制技术，在企业电子商务网站网络上安装防火墙可将内部网络与外部网络进行隔离，同时对传输信息进行过滤。防火墙可按照网络管理者设定的过滤规则允许或限制内外网之间、计算机与网络之间的数据传输，只有经授权的通信才能通过防火墙。

防火墙是企业电子商务网站整个安全系统的基础和基本防护措施，通过防火墙的部署，解决全网的安全基础问题。核心防火墙采用双机设备方式工作。

4.4 入侵检测子系统

入侵监测子系统解决各个安全区域的“安全守卫”工作。在企业电子商务网站网络中采用入侵检测技术，最好采用混合入侵检测，从基于网络的入侵检测和基于主机的入侵检测两方面着手。

4.5 网络防毒子系统

采用多层次的立体防护体系，对客户端计算机、服务器、网关等均安装相对应的防病毒系统。在网站中心部署一台防病毒服务器，设置集中控制系统。实现全网各个不同安全区域防病毒，做到统一升级，集中监控查杀病毒以及客户端PC机器的安全控制。采用“集中管控、层层防护、防杀结合”的策略。

4.6 漏洞扫描子系统

解决网络安全问题，首先要清楚网络中存在什么安全隐患。漏洞扫描技术可自动扫描远端或本地主机的安全薄弱点，并将扫描得到的信息以统计方式输出，为网络管理员提供分析和参考。漏洞扫描还可以确认各种配置的正确性，避免网站遭受不必要的攻击。

4.7 WSUS子系统

在内网配置一台WSUS服务器，用来做内网的升级服务器和控制台。在独立的外网的WSUS服务器升级后，导出升级数据，将数据文件通过存储介质导入内网的WSUS服务器上完成服务器的升级。

4.8 监听维护子系统

对网络内部的侵袭，可采用为网络内部的各个子网做一个具有一定功能的审计文件，为管理人员分析内部网络的运作状态提供依据。

4.9 管理制度子系统

为保证各项安全措施的实施并真正发挥作用，针对每个安全层次，分别制订相应的可实施的规章制度。

4.10 备份恢复子系统

建立网络系统良好的备份和恢复机制，可在设备出现故障或是网络遭受攻击时，能尽快地恢复数据和系统服务。数据容灾系统使用两个存储器，一个放置在本地，另一个放置在异地，在两个存储器之间建立复制关系。异地存储器实时复制本地存储器的关键数据。

4.11 数据加密技术

对内外网之间交互的信息采用加密技术。

5 结 论

通过整体构建、分层设计的方法，实现了企业电子商务网站网络安全体系的设计。通过种种安全技术手段，为网络提供了一个完整的网络安全防御体系的解决方案；与此同时，还应加强网络的管理，建立有效、健全的管理体系，最终达到保护网络信息系统安全性的目的。

参考文献：

篇5

[关键词]网络安全事件安全对策

随着网络时代的到来，越来越多的人通过Internet进行商务活动。电子商务的发展前景十分诱人，而其安全问题也变得越来越突出。近年来，网络安全事件不断攀升，电子商务金融成了攻击目标，以网页篡改和垃圾邮件为主的网络安全事件正在大幅攀升。在国家计算机网络应急技术处理协调中心（CNCERT/CC）2005处理的网络安全事件报告中，网页篡改占45.91％，网络仿冒占29%，其余为拒绝服务攻击、垃圾邮件、蠕虫、木马等。如何建立一个安全、便捷的电子商务应用环境，对信息提供足够的保护，已经成为电子商务的所有参与者十分关心的话题。

一、电子商务中的主要网络安全事件分析

归纳起来，对电子商务应用影响较多、发生率较高的互联网安全事件可以分为网页篡改、网络蠕虫、拒绝服务攻击、特罗伊木马、计算机病毒、网络仿冒等，网页篡改、网络仿冒（Phishing），逐步成为影响电子商务应用与发展的主要威胁。

1.网页篡改

网页篡改是指将正常的网站主页更换为黑客所提供的网页。这是黑客攻击的典型形式。一般来说，主页的篡改对计算机系统本身不会产生直接的损失，但对电子商务等需要与用户通过网站进行沟通的应用来说，就意味着电子商务将被迫终止对外的服务。对企业网站而言，网页的篡改，尤其是含有攻击、丑化色彩的篡改，会对企业形象与信誉造成严重损害。

2.网络仿冒（Phishing）

网络仿冒又称网络欺诈、仿冒邮件或者钓鱼攻击等，是黑客使用欺诈邮件和虚假网页设计来诱骗收件人提供信用卡账号、用户名、密码、社会福利号码等，随后利用骗得的账号和密码窃取受骗者金钱。近年来，随着电子商务、网上结算、网上银行等业务在日常生活中的普及，网络仿冒事件在我国层出不穷，诸如中国银行网站等多起金融网站被仿冒。网络仿冒已经成为影响互联网应用，特别是电子商务应用的主要威胁之一。

网络仿冒者为了逃避相关组织和管理机构的打击，充分利用互联网的开放性，往往会将仿冒网站建立在其他国家，而又利用第三国的邮件服务器来发送欺诈邮件，这样既便是仿冒网站被人举报，但是关闭仿冒网站就比较麻烦，对网络欺诈者的追查就更困难了，这是现在网络仿冒犯罪的主要趋势之一。

3.网络蠕虫

网络蠕虫是指一种可以不断复制自己并在网络中传播的程序。这种程序利用互联网上计算机系统的漏洞进入系统，自我复制，并继续向互联网上的其他系统进行传播。蠕虫的不断蜕变并在网络上的传播，可能导致网络被阻塞的现象发生，从而致使网络瘫痪，使得各种基于网络的电子商务等应用系统失效。

4.拒绝服务攻击(Dos)

拒绝服务攻击是指在互联网上控制多台或大量的计算机针对某一个特定的计算机进行大规模的访问，使得被访问的计算机穷于应付来势凶猛的访问而无法提供正常的服务，使得电子商务这类应用无法正常工作。拒绝服务攻击是黑客常用的一种行之有效的方法。如果所调动的攻击计算机足够多，则更难进行处置。尤其是被蠕虫侵袭过的计算机，很容易被利用而成为攻击源，并且这类攻击通常是跨网进行的，加大了打击犯罪的难度。

5.特罗伊木马

特罗伊木马（简称木马）是一种隐藏在计算机系统中不为用户所知的恶意程序，通常用于潜伏在计算机系统中来与外界联接，并接受外界的指令。被植入木马的计算机系统内的所有文件都会被外界所获得，并且该系统也会被外界所控制，也可能会被利用作为攻击其他系统的攻击源。很多黑客在入侵系统时都会同时把木马植入到被侵入的系统中。

二、解决电子商务中网络安全问题的对策研究

随着网络应用日益普及和更为复杂，网络安全事件不断出现，电子商务的安全问题日益突出，需要从国家相关法律建设的大环境到企业制定的电子商务网络安全管理整体架构的具体措施，才能有效保护电子商务的正常应用与发展。

1.进一步完善法律与政策依据充分发挥应急响应组织的作用

我国目前对于互联网的相关法律法规还较为欠缺，尤其是互联网这样一个开放和复杂的领域，相对于现实社会，其违法犯罪行为的界定、取证、定位都较为困难。因此，对于影响电子商务发展的基于互联网的各类网络安全事件的违法犯罪行为的立法，需要一个漫长的过程。根据互联网的体系结构和网络安全事件的特点，需要建立健全协调一致，快速反应的各级网络应急体系。要制定有关管理规定，为网络安全事件的有效处理提供法律和政策依据。

互联网应急响应组织是响应并处理公共互联网网络与信息安全事件的组织，在我国，CNCERT/CC是国家级的互联网应急响应组织，目前已经建立起了全国性的应急响应体系；同时，CNCERT/CC还是国际应急响应与安全小组论坛（FIRST，ForumofIncidentResponseandSecurityTeams）等国际机构的成员。应急响应组织通过发挥其技术优势，利用其支撑单位，即国内主要网络安全厂商的行业力量，为相关机构提供网络安全的咨询与技术服务，共同提高网络安全水平，能有效减少各类的网络事件的出现；通过聚集相关科研力量，研究相关技术手段，以及如何建立新的电子交易的信任体系，为电子商务等互联网应用的普及和顺利发展提供前瞻性的技术研究方面具有积极意义。

2.从网络安全架构整体上保障电子商务的应用发展

网络安全事件研究中看到，电子商务的网络安全问题不是纯粹的计算机安全问题，从企业的角度出发，应该建立整体的电子商务网络安全架构，结合安全管理以及具体的安全保护、安全监控、事件响应和恢复等一套机制来保障电子商务的正常应用。

安全管理主要是通过严格科学的管理手段以达到保护企业网络安全的目的。内容可包括安全管理制度的制定、实施和监督，安全策略的制定、实施、评估和修改，相关人员的安全意识的培训、教育，日常安全管理的具体要求与落实等。

安全保护主要是指应用网络安全产品、工具和技术保护网络系统、数据和用户。这种保护主要是指静态保护，通常是一些基本的防护，不具有实时性，如在防火墙的规则中实施一条安全策略，禁止所有外部网用户到内部网Web服务器的连接请求，一旦这条规则生效，它就会持续有效，除非我们改变这条规则。这样的保护能预防已知的一些安全威胁，而且通常这些威胁不会变化，所以称为静态保护。

安全监控和审计是实时保护的一种策略，它主要满足一种动态安全的需求。因为网络安全技术在发展的同时，黑客技术也在不断的发展，网络安全不是一成不变的，也许今天对你来说安全的策略，明天就会变得不安全，因此我们应该时刻关注网络安全的发展动向,以及网络上发生的各种各样的事情，以便及时发现新的攻击，制定新的安全策略。可以这样说，安全保护是基本，安全监控和审计是其有效的补充，两者的有效结合，才能较好地满足动态安全的需要。

事件响应与恢复主要针对发生攻击事件时相应的应急措施与恢复正常应用的机制。就是当攻击发生时，能及时做出响应，这需要建立一套切实有效、操作性强的响应机制，及时防止攻击的进一步发展。响应是整个安全架构中的重要组成部分，因为网络构筑没有绝对的安全，安全事件的发生是不可能完全避免的，当安全事件发生的时候，应该有相应的机制快速反应，以便让管理员及时了解攻击情况，采取相应措施修改安全策略，尽量减少并弥补攻击的损失，防止类似攻击的再次发生。当安全事件发生后，对系统可能会造成不同程度的破坏，如网络不能正常工作、系统数据被破坏等，这时，必须有一套机制能尽快恢复系统的正常应用，因为攻击既然已经发生了，系统也遭到了破坏，这时只有让系统以最快的速度运行起来才是最重要的，否则损失将更为严重。因此恢复在电子商务安全的整体架构中也是不可缺少的组成部分。

三、结论

Internet的快速发展，使电子商务逐渐进入人们的日常生活，而伴随各类网络安全事件的日益增加与发展，电子商务的安全问题也变得日益突出，建立一个安全、便捷的电子商务应用环境，解决好电子商务应用与发展的网络安全问题必将对保障和促进电子商务的快速发展起到良好的推动作用。

参考文献:

[1]CNCERT/CC.2005年上半年网络安全工作报告

[2]李卫:计算机网络安全与管理.北京：清华大学出版社，2000

[3]李海泉:计算机网络安全与加密技术.北京：科学出版社，2001

篇6

30分钟过去了，Jason还是找不到到底发生了什么安全事件导致网站被黑；黑客是怎么进来的？以前是我黑别人（游戏），今天怎么被别人黑了？Jason心里想。

原来Jason在进入到马来西亚AAA银行之前，曾经是一个黑客，Jason对黑客攻击和防守技术十分熟悉，并且能够进行入侵，占领主机，获得控制权，远程指挥作战。

“Jason！快看一下我们的银行电子商务网站，出什么问题了！”，听到马来西亚AAA银行IT部总经理Tom的电话，Jason马上登陆银行的电子商务网站，发现一个狞笑的骷髅正对着自己，心里感觉到不妙：网站真的被黑了！

虽然在黑客界很有名气，但是大学毕业1年，靠写一些文章和安全工具小软件给一些安全杂志与报纸，Jason很难维持生活。

正好马来西亚AAA银行招聘银行网络安全管理员，考虑自己的兴趣和爱好，Jason选择了银行的网络安全管理员职位。

当时马来西亚各家媒体、网站都在宣传电子商务，那时就听说了中国的阿里巴巴、易趣、淘宝网、当当书店等电子商务网站，Jason对电子商务网站十分着迷，梦想着有一天自己也可以象中国的马云、邵亦波一样通过网站把马来西亚很多质量好价格低的产品远销国际。

Jason凭借自己的实力很顺利进入到了马来西亚AAA银行，到了银行工作之后，Jason很快就进入了角色，经过对银行内部的考察发现了很多网络信息安全问题。

Jason发现好多问题需要求助于专业的安全公司，于是就打电话给e-COP公司，e－COP公司派来专业安全顾问Brian，对内部网络进行安全评估，发现银行电子商务网络有很多安全问题：

・数据分散，并且量极大

由于马来西亚AAA银行购买“最佳品牌”产品，这些安全产品（防火墙、入侵检测、防病毒等）通常从不同厂家购得，每个产品都有自己的信息日志和控制台，目前各种安全设备缺乏统一管理平台，只能通过这些安全产品各自的控制台去查看事件，窗口繁多，而且所有的事件都是孤立的，不同设备之间的事件缺乏关联，分析起来极为麻烦；无法弄清楚真实的状况。

・安全管理人员必须具备很高的技巧，了解各厂商的各种安全设备

不同厂家的设备对同一个事件的描述可能是不同的，这意味着马来西亚AAA银行安全管理人员必须分析各种不同格式的信息，才有可能进行管理，这导致安全管理人员的工作非常繁重，大量的时间用于一些价值不大的任务上。

・无法做到快速识别和响应

对于网络安全人员来说，海量信息不但无法帮助找出真正的问题，反而因为太多而造成无法管理，并且不同厂商所制造的软硬件可能送出不同的信息格式，使得在网络安全威胁的锁定上，变得难上加难，原本的安全系统反而成为管理上的负担。

・运维关键

以往的安全管理运维工作都是基于资产的运维，但是安全却是基于安全事件的运维。企业每出现一个安全问题就需要进行一次大范围的维护，比如出现病毒问题。这使得安全的运维工作不同于以往的运维工作习惯，造成运维工作效率低下，并且难以规划。

Brian还提出了安全建议：在马来西亚AAA银行部署的Cyclops企业安全管理系统(CESM)能够对银行所有不同IT安全产品和相关设备发出的事件进行采集、格式化和智能关联，具有严密的处理层次和流程。CESM能够为安全专业人员提供可管理的安全信息，如事件趋势分析，攻击处理对策和日志分析取证。

在马来西亚AAA银行的实际应用中，CESM提供如下的管理过程和事件处理过程:

・原始告警的数据归并

CESM首先归并来自安全设备的所有安全数据，这些安全设备包括防火墙、网络IDS,主机IDS，安全应用程序和服务器的日志等。

・数据正规化

为分析安全事件，“技术规范解码器”将原始数据处理成有意义的有用信息。通过这个过程，将原始数据转化为TIF（Transportable-Incident-Format）格式。

・数据挖掘和关联

CESM 以其独特的数据挖掘和关联技术能力，实现三级推理的逻辑信息处理流程。这种能力可以减少虚假告警，增加对攻击的实时检测能力。通过自动事件关联和基于经验的自学习，从大量安全设备产生的入侵模式将被立即比较和观测。

・经过专家建议和分析的统一处理

提供易用的界面，同时处理CESM安全控制台产生的多个安全事件。通过这种统一的处理方法有效地分析所有的安全事件。

・实时的防范措施

一旦发现来自外部或内部的攻击企图发生，立即采取防范措施，在信息损失前抵御入侵。

Jason马上向IT部总经理Tom汇报Brian对网络安全的分析，并且请Brian进行现场演示，Tom感觉非常不错，但是Tom还是认为，马来西亚AAA银行已经有了最好品牌的防火墙、入侵检测、防病毒等安全产品，安全管理平台应该没有必要上了，于是此项目就此搁浅。

Jason从回忆中回到了现实：现在需要解决网站被黑问题，怎么办啊？

Jason马上打电话给Tom，汇报现在一时之间看不出到底发生了什么事情，需要e-COP公司协助完成，Tom马上答应。

30分钟后，Brian到达现场，在银行内部部署了一套安全管理平台，然后对各种产品的日志进行分析。

Brian通过一个统一平台看到了防火墙、入侵检测、防病毒等事件信息，通过设备的关联，很快确定了黑客攻击路径，原来黑客通过了两层防火墙，然后到内部一台刚买回来的主机上，利用这台主机作为跳板，攻击了网站服务器。

Brian马上建议对刚买回来的主机进行加固，然后修改里外两层防火墙策略，重新换上了网站的页面，解决安全问题。

这时，Tom也出现在了Jason和Brian面前，连声称谢，表示：

“说得对，现在已不是单兵作战的年代，而是团队作战，整体作战，需要整体协调才能够减少经济损失，希望你们的产品能够在此使用。”

过了一个月后，Jason又发现银行电子商务网络的一些安全问题，于是银行又购买了一套CESM产品。

采用CESM安全事件管理系统做为安全管理平台，参考e-COP多年的安全事件处理流程经验SOP，银行建立起了标准的内部安全事件处理体系，如图所示。

马来西亚AAA银行通过安全事件处理体系，相关安全管理人员从海量事件中解脱出来，只关心少量的最为紧迫、最为关键的事件信息。并且，安全事件处理体系的成果为后续整体安全策略的规划和调优提供了有力的依据。

篇7

[关键词] 电子商务 信息安全 网络安全 交易安全 技术保障

电子商务是利用互联网络进行的商务活动。电子商务有多种定义，但内涵大致相同，即电子商务是利用电子数据交换、电子邮件、电子资金转账等方式及互联网的主要技术在个人、企业和国家之间进行的网上广告及交易活动，内容包括商品及其订购信息、资金及其支付信息、安全及其认证信息等方面。信息安全是指利用网络管理控制和技术措施,防止网络本身及网上传输的信息财产被故意的或偶然的非授权泄漏、更改、破坏,或使网上传输的信息被非法系统辨认、控制。电子商务信息安全的具体表现有:窃取商业机密；泄漏商业机密；篡改交易信息，破坏信息的真实性和完整性；接收或发送虚假信息，破坏交易、盗取交易成果;伪造交易信息；非法删除交易信息；交易信息丢失；病毒破坏;黑客入侵等。随着互联网的快速扩张和电子商务的迅猛发展，电子商务系统的安全性已受到计算机病毒、网络黑客、计算机系统自身防御性脆弱等方面的严峻挑战。

一、我国电子商务发展及其信息安全现状

我国电子商务始于20上世纪90年代，政府主导相继实施的“金桥”、“金卡”、“金关”、“金税”工程大大加快了我国电子商务的发展步伐。目前，我国电子商务的广度和深度空前扩展，已经深入国民经济和日常生活的各个方面。艾瑞市场咨询公司最新的调查数据显示：截至2006年底，中国网络购物市场总用户数达到 4310万人，B2C和C2C总交易额分别为82亿元和230亿元。然而，据中国互联网络信息中心（CNNIC）的一份最新调研显示，只有约15%的网民平时有网上购物的习惯，而不选择网络购物的原因主要由于对网站不信任、怕受骗，担心商品质量问题和售后服务，质疑其安全性等。

电子商务自从诞生之日起，安全问题就像幽灵一样如影随形而至，成为制约其进一步发展的重要瓶颈。电子商务系统的安全是与计算机安全尤其是计算机网络安全密切相关的，综合当前电子商务所面临的网络安全现状不容乐观。公安部公布了2006 年全国信息网络安全调查结果，结果显示，半数以上的被调查单位发生过信息网络安全事件，病毒或木马程序感染率达84%，目前，全国已有8成左右的单位安装了防火墙和病毒查杀系统。对数据统计分析，2005年5月至2006年5月间，有54％的被调查单位发生过信息网络安全事件，其中，感染计算机病毒、蠕虫和木马程序为84%，遭到端口扫描或网络攻击的占36%，垃圾邮件占35%。未修补和防范软件漏洞仍然是导致安全事件发生的最突出原因，占发生安全事件总数的73%。

二、电子商务安全威胁的主要方面

电子商务的一个重要技术特征是利用IT技术来传输和处理商业信息。因此，从整体而言，电子商务安全有计算机网络安全和商务交易安全两个方面。计算机网络安全是商务交易安全的基础；商务交易安全是电子商务安全的主要内容。

计算机网络安全的内容主要包括：计算机网络设备安全、计算机网络系统安全。网络设备安全是指保护计算机主机硬件和物理线路的安全， 保证其自身的可靠性和为系统提供基本安全前提；设备安全风险来自硬件器件与部件失效、老化、损害，自然雷击、静电、电磁场干扰等多方面，有人为因素还有自然灾害所引起的故障。例如，2006年12月26日，我国台湾附近海域发生强烈地震，造成中美海缆等6条国际海底通信光缆发生中断，使附近国家和地区的国际和地区性通信受到严重影响，给有关企业和个人造成巨大影响和严重经济损失。网络系统安全是指保护用户计算机、网络服务器等网络资源上的软件系统能正常工作，网络通信及其网络操作能安全、正常完成。网络系统安全风险来自系统的结构设计缺陷、网络安全配置缺陷、系统存在的安全漏洞、恶意的网络攻击和病毒侵入等多方面。网络系统安全是计算机网络安全的主要方面。计算机网络安全的特征是针对计算机网络本身可能存在的安全问题，实施网络安全增强方案，以保证计算机网络自身的安全性为目标。

商务交易安全是指商务活动在公开网络上进行时的安全，其实质是在计算机网络安全的基础上，保障商务过程顺利进行，即实现电子商务的保密性、完整性、可鉴别性、不可伪造性和不可抵赖性，核心内容是电子商务信息的安全。一般情况下，我们可以把电子商务安全归结为电子商务信息的安全。目前，电子商务主要存在的安全威胁有：

1.身份仿冒

攻击者通过非法手段盗用合法用户的身份信息，仿冒合法用户的身份与他人进行交易，进行信息欺诈与信息破坏，从而获得非法利益。主要表现有：冒充他人身份、冒充他人消费、栽赃、冒充主机欺骗合法主机及合法用户、使用欺诈邮件和虚假网页设计设骗。近年来随着电子商务、网上结算、网上银行等业务在日常生活中的普及，网络仿冒已经成为电子商务应用的主要威胁之一。

2.未经授权的访问

未经授权而不能接入系统的人通过一定手段对认证性进行攻击， 假冒合法人接入系统，实现对文件进行篡改、窃取机密信息、非法使用资源等。一般采取伪 装或利用系统的薄弱环节（如绕过检测控制）、收集情报（如口令）等方式实现。

3.服务拒绝

攻击者使合法接入的信息、业务或其他资源受阻。主要表现为散布虚假资讯，扰乱正常的资讯通道。包括：虚开网站和商店、伪造用户，对特定计算机大规模访问等，使合法用户不能正常访问网络资源，使有严格时间要求的服务不能及时得到响应。

4.恶意程序侵入

任何系统都可能是有漏洞的，漏洞的存在给恶意程序侵入提供了可乘之机。恶意程序是所有含有特殊目的、非法进入计算机系统、并待机运行，能给系统或者网络带来严重干扰和破坏的程序的总称。一般可以分为独立运行类(细菌和蠕虫)和需要宿主类(病毒和特洛依木马)。恶意程序是网络安全的重要天敌，具有防不胜防的重大破坏性。例如：网络蠕虫是一种可以不断复制自己并在网络中传播的程序，蠕虫的不断蜕变并在网络上的传播，可能导致网络阻塞，致使网络瘫痪，使各种基于网络的电子商务等应用系统失效。

5.交易抵赖和修改

有些用户企图对自己在网络上发出的有效交易信息刻意抵赖，安全的电子商务系统应该有措施避免交易抵赖。为保证交易双方的商业利益、维护交易的严肃和公正，电子商务的交易文件也应该是不可修改的。

6．其他安全威胁

电子商务安全威胁种类繁多、来自各种可能的潜在方面，有蓄意而为的，也有无意造成的，例如电子交易衍生了一系列法律问题：网络交易纠纷的仲裁、网络交易契约等问题，急需为电子商务提供法律保障。还有诸如非法使用、操作人员不慎泄露信息、媒体废弃物导致泄露信息等均可构成不同程度后果的威胁。

三、电子商务安全的技术保障机制

电子商务安全包括网络安全和交易安全。因此，电子商务安全技术主要有计算机网络安全技术和商务交易安全技术两方面的保障机制。

1.计算机网络安全技术

网络安全技术伴随着网络的诞生就出现，如今已出现了日新月异的变化。VPN安全隧道、防火墙和网络入侵主动监测等越来越高深复杂的安全技术极大地从不同层次加强了计算机网络的整体安全性。目前，主要的网络安全保障技术有：

(1)VPN安全隧道，VPN即虚拟专用网(Virtual Private Network)，是一条穿过混乱的公用网络的安全、稳定的隧道。 VPN架构中采用了多种安全机制,可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。

(2)防火墙技术,防火墙是企业内部网络和外网之间的一套安全屏障。防火墙能根据企业的安全政策控制出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。

(3)病毒防护和入侵检测技术, 病毒防护技术可降低病毒和恶意代码攻击风险，并防止有害软件通过服务器或网络执行和传播。入侵检测系统则能够帮助网络系统快速发现攻击的发生，扩展系统管理员的安全管理能力，从而提高信息安全基础结构的完整性。

2.商务交易安全技术

商务交易安全是为了实现电子商务的保密性、完整性、可鉴别性、不可伪造性和不可抵赖性。它是电子商务交易过程中最核心和最关键的安全问题。目前，主要的商务交易安全保障技术有：

(1)数据加密技术, 加密一般是利用密码算法把可懂的信息变成不可懂的信息。利用各种复杂的加密算法，通过对网络中传输的信息进行数据加密，用很小的代价即可为信息提供相当大的安全保护。

(2)数字签名技术,数字签名是通过密码算法对数据进行加、解密变换实现的。应用广泛的数字签名方法主要有三种，即：RSA签名、DSS签名和Hash签名。这三种算法可单独使用，也可综合在一起使用。在电子商务安全服务中的源鉴别、完整、不可否认服务中，都要用到数字签名技术。

(3)安全协议技术,使用SET和SSI等安全协议能有效地保障交易安全。SET即安全电子交易（Secure Electronic Transaction）的简称，SET 提供了消费者、商家和银行之间的认证，确保了交易数据的安全性、完整可靠性和交易的不可否认性，已成为目前公认的信用卡/借记卡的网上交易的国际安全标准。SSL即安全套接层（Secure Sockets Layer）协议的简称，主要用于提高应用程序之间数据的安全系数。

四、结束语

电子商务的安全威胁既有来自恶意攻击、防范疏漏，还可能来自管理松散、操作疏忽等方面。因此，保障电子商务安全是一项综合工程。除了主要从技术上提高防范和保障机制外，还需要单位完善网络系统管理体制，人员加强信息安全意识。另外，电子商务实践要求有透明、和谐的交易秩序和环境保障，为此还需要政府建立和完善相应的法律体系。

参考文献:

[1]王云峰:信息安全技术及策略 [J].广东广播电视大学学报，2006,(1):101-104

[2]殷凤琴赵喜清王新钢:我国电子商务安全问题的表现来源和对策[J].商场现代化,2007年6月（上旬刊）总第505期：90-91

[3]刘明珍:电子商务中的信息安全技术[J]．湖南人文科技学院学报，2006,(6):89-93

[4]肖质红:电子商务的安全问题和系统建设[J]．集团经济研究，2006年9下旬刊（总第207期）：250

篇8

一、互联网安全是电子商务发展的重要威胁

电子商务，一个新兴时代的代名词。2013年11月11日24时，阿里巴巴总部数据中心正式宣布2013年的“双十一”活动，天猫最终以350亿交易额收官，相比于去年的191亿，增长了足有82.3%。不知从什么时候，当我们提起“双十一”之后的第一反应变成了网上购物活动而不再是所谓的“光棍节”时，我们突然发现，原来电子商务不知不觉已经占据了我们生活的各个部分。据可靠数据显示，截止到2013年底，中国电子商务市场交易规模达10.2万亿，同比增长了29.9%，其中B2B电子市场交易额达到8.2万亿，同比增长31.2%，网络零售市场交易规模达18409亿元，同比增长42.8%。随着天猫、淘宝、京东以及苏宁易购的迅速崛起，网络零售取代传统的销售方式已经成为了未来不可阻挡的趋势，网络零售市场也将在我们的生活中扮演着越来越重要的角色。

而近年来随着Internet的飞速发展，计算机网络的资源共享进一步加强，随之而来的信息安全问题日益突出。据美国FBI统计，美国每年网络安全问题所造成的经济损失高达75亿美元。而全球平均每20秒钟就发生一起Internet计算机侵入事件。在Internet/Intranet的大量应用中，Internet/Intranet安全面临着重大的挑战，事实上，资源共享和安全历来是一对矛盾。在一个开放的网络环境中，大量信息在网上流动，这为不法分子提供了攻击目标。而且计算机网络组成形式多样性、终端分布广和网络的开放性、互联性等特征更为他们提供便利。他们利用不同的攻击手段，获得访问或修改在网中流动的敏感信息，闯入用户或政府部门的计算机系统，进行窥视、窃取、篡改数据。不受时间、地点、条件限制的网络诈骗，其“低成本和高收益”又在一定程度上刺激了犯罪的增长。使得针对计算机信息系统的犯罪活动日益增多。

在这样的大的电商时代潮流中，毫无疑问，网络安全成为了电子商务发展过程中的一个主要威胁！

二、中国互联网安全现状及原因分析

1.中国互联网安全现状

随着互联网技术的不断发展进步，互联网开始逐渐深入到人类生活的各个领域，如购物、交流、学习等活动，但是在人们轻松享受互联网所带来的便利的同时，也承受着来自互联网的安全的威胁造成不可预期的损失。其中，对电子商务发展的影响尤其严重。在此，我们盘点一下2014年新近发生的有关电子商务的互联网安全事件。

2014年3月22日，漏洞报告平台乌云网在其官网了一条网络安全漏洞信息，指出携程安全支付日志可遍历下载，导致大量用户银行卡支付信息泄露（包含持卡人姓名身份证、银行卡号、卡CVV码、6位卡Bin）。

2014年4月9日，OpenSSL一个名为“Heartbleed”的漏洞曝光。利用这一漏洞，攻击者可以获取用户的密码，或欺骗用户访问钓鱼网站。

2014年5月13日，有微博爆料称，小米公司论坛用户数据库泄露，设计800万小米用户，次日，小米公司确认时间并向用户致歉。

2.对于互联网安全事件频发的原因分析

（1）企业对安全问题的轻视

虽然大多数企业都具备一定的安全防范措施，但是在实际执行中却言行不一。把安全规章当做摆设，没有给安全问题以足够的重视，没有形成规范的企业安全制度。例如在上例中提到的携程信用卡泄露事件则完全是因为操作人员的疏忽所引起的泄露事件。在如今互联网已经深入到人类生活的方方面面的时代，互联网上的信息成爆炸趋势增长，这些信息对黑客而言是巨大的诱惑，一旦信息泄露将会给用户带来不可预期的麻烦或者损失。企业应当对信息安全问题予以足够的重视，在企业中形成严格规范的安全管理制度，并切实予以执行，保障用户的信息安全。

（2）互联网企业数量众多，良莠不齐

随着互联网经济的快速发展，各种类型的互联网企业如雨后春笋般出现。然而，其中有大多数企业是由几人到几十人的小型互联网企业，这些小企业致力于快速吸引用户获取利润，根本无心或无力对用户的信息安全提供足够的保证，这给用户的信息安全造成了巨大的隐患。应该针对互联网行业的特殊形式，制定严格的互联网企业安全标准，这样才能保证互联网行业的健康发展。

（3）用户安全意识淡薄

随着电子商务，SNS的快速发展，中国的网民数量剧增。虽然互联网安全时间频发，但是互联网用户大多对此漠不关心，事不关己高高挂起。在不同的电子商务网站或SNS平台使用相同的账户名和密码设置，在网络上随意泄露自己的个人信息，让不法分子有机可乘，待到遭受损失的时候却为时已晚。用户自身应该提高自身的安全意识提高警惕。科学管理自己的互联网信息，不随意向他人泄露自己的个人信息。

（4）法律规章不完善

虽然互联网上的安全时间频频发生，但是由于互联网的特殊环境造成取证困难，所以很多的用户在遭受损失之后只能认倒霉。其次，互联网在中国发展了仅仅数十年，虽然政府在不断努力完善互联网的法律制度，但是现阶段互联网的相关法律法规仍然不够完善，这使得互联网犯罪行为发生后，没有合适的使用法律，使得许多犯罪分子逍遥法外。应该加快完善互联网相关法律法规的步伐，整治互联网的不良风气。

三、电子商务企业应对策略

面对来自互联网的安全威胁，应该如何做才能保证电子商务行业的健康发展，才能保障用户的信息安全。我认为对于电子商务的互联网安全问题主要涉及电子商务企业、用户、黑客、安全员这四个主体，应对策略应该从这四个方面入手。

1.电子商务企业

电子商务企业作为大量用户信息的持有者，对用户信息的保护应该是义不容辞的。首先，应该对信息安全问题给予足够的重视与投入，现在的电子商务企业大多没有专门的安全部门，用户信息的保证则主要依靠工作人员的“兼职”。在这样不规范的安全制度下，用户信息的泄露已经成为了一种“必然”。电子商务企业应当加大对用户安全的投入，成立专门的信息安全部门，使安全管理走上正轨。其次，应当加强与如乌云网等安全公司的合作，与安全公司的合作可以及时地得到企业最新的安全信息，在发生安全事故后可以及时地进行补救措施。诸多发生在电子商务行业的安全事件表明，企业安全管理的漏洞和对信息安全的轻视才是造成重大安全事故的主要原因，电子商务应当主动承担起保障用户信息安全的重担，而不是一味地推卸责任，只有这样才能建立起完善的信息安全管理体制。

2.用户

对于用户信息的实际拥有者，对个人信息的保护是理所当然的，一旦个人信息发生泄漏，将造成不可挽回的损失。首先，加强个人账户的安全等级，对于在电子商务网站的账户和密码，不应该使用极其简单的弱口令如出生日期或手机号码等信息。其次，对于不同电子商务网站应该使用不同的账户和密码，不应只使用一种组合。最后，不要使用或传播来源不明的软件或者服务。大多数人的心理的危险之处在于，由于没有受到伤害就对信息安全漠不关心或者认为自己的信息是安全的。一位从事安全技术的工作者坦言，你之所以没有受到黑客的攻击不是因为你的信息有多么的安全，只是因为你还没有被黑的价值。抱着这种心理畅游在网络中，个人信息的泄露或许只是时间长短的问题了。

3.对于黑客

对于从事窃取或买卖用户信息的黑客，应当完善对于互联网安全事件的法律法规，这样可以做到对互联网犯罪有法可依。提高对互联网信息窃取的取证技术，及时将从事不法活动的犯罪分子绳之于法。加强对黑色产业链的侦破力度，切断黑客的生存维系，从根本上接触黑客对于用户信息的威胁。

篇9

【关键词】电子商务 病毒入侵 黑客攻击 信息安全

在互联网信息技术飞速发展的大背景下，电子商务（简称EC，英文为Electronic Commerce）已逐步演变成人们惯用的商务活动模式，从事互联网商业活动的人越来越多。与传统商务活动对比，在B/S方式下运转，两大主体完成商品交易不受时间和空间的限制，这也是电子商务是最大特点。

现如今，我国正处于网络经济蓬勃发展的黄金时代，各个领域中电子商务的普及度较高。新型的商业活动形式建立在网络的基础上，保证了商业活动的便捷性和高效性。不过电子商务在对企业运管效率进一步提升的同时，使企业的面临着病毒侵入、黑客攻击、信息抵赖等问题，导致企业蒙受巨大亏损。所以，高度关注安全问题，才能保证电子商务平台利用率提高。本论文以有关电子商务环境为切入点，对展开电子商务活动中出现的信息安全问题进行分析，并给出对应的方法和策略。

1 电子商务中网络信息安全所存在的问题

1.1 电子商务网络存在的问题

1.1.1 黑客攻击

黑客对网络进行攻击是以偷取商业机要和搅扰系统正常运转为目的，以下是常见的攻击策略：窃听；重发攻击；迂回攻击；假冒攻击；越权攻击等。

1.1.2 系统漏洞

侵入到电商系统人员以系统自身存在的安全漏洞为据，将操作系统数据的权限得到。然而，管理系统未实时打补丁或者在设置安全方面一直选取默认设置等原因造成系统产生漏洞。

1.2 电子商务信息存在的问题

1.2.1 电子商务信息存储安全隐患

在静态时储存电商信息的安全即信息储存安全。其信息安全隐患主要包括：篡改信息内容和非授权调用信息。

1.2.2 电子商务信息传输安全隐患

在运转电子商务时，资金流、物流汇集成信息流之后传送流程中的安全即信息传送安全。它主要涵盖以下四种安全隐患：

（1）盗取商业机密。大部分是以明文的形式来传送电子商务信息，那么袭击网络的不法分子就极易截取或者监听电商信息；

（2）对商务网站施以攻击。攻击者运用计算机病毒传送，屏蔽掉电商网站设置的防火墙，更改信息，使网站瘫痪；

（3）实行商务欺诈。非法人员将虚假信息到Internet上去，诈骗现金、账号，导致用户信任电子商务活动的信赖度降低，在很大程度上对电子商务顺利开展起阻碍作用；

（4）不良信息的传送。非法人员为了实现自己的目标，把不良信息渗透到电子商务信息中。

2 应对电子商务中信息安全问题的对策

2.1 提高网络信息安全意识

相比于西方l达国家，国内用户网络信息安全意识薄弱，忽视了自我权益的保护。再加上我国尚未建立完善的网络信息安全监管机制，出现安全事件之后无法及时采取相应的补救措施，这些都是威胁信息安全的主要因素。故此，在信息安全中，防范人为因素导致信息非安全问题是重要内容。解决这一问题的关键在于为从事电子商务的用户展开安全知识培训活动，确保用户充分认识信息安全的重要性，对信息安全常识了如指掌，进而降低电子商务中产生信息安全事件的几率。

2.2 加强信息安全的技术防范

将来网络安全技术会在计算机网络所有层次中渗透，不过以电子商务安全防范技术为中心的网络技术成为最近几年研究的重要方向。以我国电子商务出现的安全问题为依据，可采取防火墙、虚拟专用网及认证、加密、安全审计、追踪黑客、检测系统漏洞等技术应对信息安全。另外还可以将加密路由器、翻译网络地址、动态包过滤、VPN等技术充分运用起来，确保构建一系列严实的安全防线将受保护资源与攻击人员隔开。

2.3 强化网络信息安全管理

信息安全管理在我国来说十分薄弱，面临着管理能力弱且信息安全意识极其欠缺的问题。政府授权的第三方认证中心构建是电商信息安全管理中形式有效的一个方式，即用该认证中心来负责电子商务交易中的两者主体的信息安全，保证整个交易流程的安全性和可靠性。

2.4 完善电子商务立法与信息安全立法

当前，我国正处于电子商务信息机制初级阶段，只有在信用法制建设深入强化的大环境中，才能确保信息机制最大限度的施展其能力。故此，应当以国内电子商务安全问题为依据，不但要使现行法律的管理范畴扩大和加强，还要加大信息安全与电子商务立法的力度。另外还应当对第三方信用保证进行设置并使其得到强化，务必由商务、商检认证中心、银行共同协作才可确保交易不受阻碍。

3 结束语

本文以电子商务信息安全有关环境为切入点，对电商中出现的网信问题进行探析，并将用户网信安全意识增强、加大网信安全管理力度、加大防范信息安全技术应用力度、健全信息安全和电子商务立法这四种策略，以期解决电子商务中出现的安全问题。电子商务安全性是一项庞大、系统的工程，要从技术和法律上加大保护力度，只有将电商中出现的所有安全问题一并处理好才能使电子商务更好的服务于用户。

参考文献

[1]田迎华，杨敬松，周敏.3G时代移动电子商务安全问题研究[J].情报科学，2010（10）：1487-1490.

[2]王立萍.商业银行电子商务安全风险管理研究[J].中南财经政法大学学报，2007（01）：75-79+144.

[3]张滨，冯运波，吴秦建，江为强，乔矗王馨裕，杨明，何鹏.移动电子商务安全技术与应用实践[J].通信学报，2016（04）：200.

[4]孙鸿飞，张海涛，宋拓，武慧娟.电子商务个性化信息服务用户满意影响因素实证研究[J].情报杂志，2016（04）：195-203.

[5]何培育.电子商务环境下个人信息安全危机与法律保护对策探析[J].河北法学，2014（08）：34-41.

[6]王兴泉，张宁.移动电子商务时代的信息安全与信息保护[J].兰州学刊，2014（12）：175-180.

[7]姚梅芳，杨修，杨涵.电子商务环境下信息管理模式研究[J].图书情报工作，2013（05）：46-49.

篇10

关键词：电子商务；安全；评估；标准

中图分类号：F239 文献标志码：A 文章编号：1673-291X（2012）13-0136-02

一、电子商务安全评估概述

1.电子商务安全评估重要性电子商务安全评估是运用系统的方法，对电子商务系统、各种电子商务安全保护措施、管理机制以及结合所产生的客观效果作出是否安全的结论。由于信息技术本身有其固有的敏感性和特殊性，这就使得对企业电子商务产品是否安全，电子商务安全产品及其网络系统是否可靠，企业电子商务系统是否健壮，电子商务管理是否严格，信息风险防范的准备是否充足等方面都成为需要科学评价和证实的问题。电子商务安全系统所保护的是敏感信息，评估必须可靠、可信、可操作，并且能依赖于成熟的信息安全理论、科学的评估方法和完善的标准体系，具有令人信服的科学性和公正性。

2.电子商务安全评估内容。电子商务安全评估的主要内容有环境控制、应用安全、管理机制、远程通信安全、审计机制等五个方面的内容。环境控制分为实体的、操作系统的及管理的三个部分。应用安全包括输出输入控制、系统内部控制、责任划分、输出的用途、程序的敏感性和脆弱性、用户满意度等。管理机制包括规章制度、紧急恢复措施、人事制度（如防止工作人员调入、调离对安全的影响）等。远程通信安全包括加密、数据签名等。

二、电子商务安全

1.电子商务安全需求与隐患。在电子商务中，任何与交易有关的信息都通过网络交换，都有可能会被篡改、窃听、冒名使用或交易后否认。保证电子商务的安全需提供以下安全保护：（1）完整性保护。确保消息内容在传输和处理过程中没有被添加、删除或修改。（2）真实性保护。能对交易者身份进行鉴别，为身份的真实性提供保证。（3）机密性保护。能防止电子商务参与者的信息在存储、处理、传输过程中泄漏给未经授权的人或实体。（4）抗抵赖。抗抵赖就是为交易的双方提供证据，以解决因否认而产生的纠纷。它实际上建立了交易双方的责任机制。

电子商务面临着其系统自身的安全性问题，计算机及通信网络的安全性问题同样会蔓延到电子商务中。归结起来，电子商务中的安全患主要有其应用层、传输层、存储层和系统层等四个方面：（1）系统层安全性漏洞。电子商务系统的运作须以系统层的软硬件为基础，因此系统层的安全性漏洞将直接会造成电子商务中的安全患。（2）存储层的安全漏洞。存储层的安全漏洞包括两个方面的问题：1）意外情况造成的数据破坏。无论多么稳定的系统，意外情况总是不可避免的，电子商务系统也不例外。如果对意外情况造成的损失没有充分的估计和完备的补救措施，那么意外情祝造成的数据破坏是不可避免的。而数据破坏将对整个电子商务系统的稳定性和安全性造成威胁。2）有意人为侵害造成的破坏。电子商务起步不久，安全性措施尚不完善，是网络黑客攻击的焦点。黑客往往利用电子商务系统中的种种安全性漏洞，窃取和破坏系统数据，甚至修改系统，对整个系统的正常运作造成严重危害。因此，一个成功的电子商务系统必须能有效的防止人为侵害。（3）传输层的安全漏洞。传输层的安全漏洞包括传输过程中的数据截获电子商务系统中的数据在传输过程中可能受到截获，传输过程中的数据完整性破坏以及跨平台数据交换引起的数据丢失等三个方面的问题。（4）应用层的安全漏洞。应用层的安全漏洞包括冒充他人身份和抵赖已经做过的交易两个方面的问题。

2.电子商务安全要求与技术。电子商务安全要求主要有以下六点：（1）信息的有效性要求。电子形式贸易信息的有效性则是电子商务活动的前提。电子商务信息的有效性将直接关系到个人、企业或国家的经济利益和声誉。一旦签订交易后，这项交易就应受到保护以防止被篡改或伪造。（2）信息的保密性要求。电子商务作为贸易的一种手段，其信息直接代表着个人、企业或国家的商业机密。电子商务是建立在开放的网络环境上，维护商业机密是电子商务全面推广应用的重要保障。因此，要预防非法的信息存取和信息在传输过程中被非法窃取。（3）信息的完整性要求。电子商务简化了贸易过程，减少了人为的干预，同时也带来维护贸易各方商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为，可能导致贸易各方信息的差异。此外，数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。贸易各方信息的完整性将影响到贸易各方的交易和经营策略，保持贸易各方信息的完整性是电子商务应用的基础。因此，要预防对信息的随意生成、修改和删除，同时要防止数据传送过程中信息的丢失和重复并保证信息传送次序的统一。（4）信息的不可抵赖性要求。电子商务可能直接关系到贸易双方的商业交易，如何确定要进行交易的贸易方正是进行交易所期望的贸易方，这一问题则是保证电子商务顺利进行的关键。（5）交易身份的真实性要求。交易者身份的真实性是指交易双方确实是存在的。网上交易的双方要使交易成功，必须互相信任，确认对方真实，对商家要考虑客户是否有信誉。（6）系统的可靠性要求。电子商务系统的可靠性是指防止由于计算机失效、程序错误、传输错误、硬件故障、系统软件错误、数据库出错、计算机病毒和自然灾害所产生的潜在威胁，并加以控制和预防，确保系统安全可靠性。保证计算机系统的安全是保证电子商务系统数据传输及电子商务完整性检查的正确和可靠的根基。

通过使用以下四种电子商务安全密码技术，可以基本满足不同的电子商务安全需求。（1）完整性保护技术。完整性保护技术是用于提供消息认证的安全机制。典型的完整性保护技术是消息认证码是将利用一个带密钥的杂凑函数对消息进行计算，产生消息认证码，并将它附着在消息之后一起传给接收方，接收方在收到消息后可以重新计算消息认证码，并将其与接收到的消息认证码进行比较:如果它们相等，接收方就认为消息没有被篡改；如果它们不相等，接收方就知道消息在传输过程中被篡改了。（2）真实性保护技术。真实性保护技术用来确认某一实体所声称的身份，以对抗假冒攻击。在电子商务中，交易信息通过网络转发，可能在传输过程有一定的延迟，需要通过数据源鉴别来确认交易信息的真正来源。（3）机密性保护技术。机密性保护技术是为了防止敏感数据泄漏给那些未经授权的实体。（4）抗抵赖技术。抗抵赖技术是为了防止恶意主体事后否认所发生的事实或行为。要解决上述问题，必须在每一事件发生时，留下关于该事件的不可否认证据。当出现纠纷时，可由可信第三方验证这些留下的证据.这些证据必须具有不可伪造或防篡改的特点。

三、电子商务安全审计

（一）电子商务安全外部审计

外部审计是指审计师对公司电子商务网站的安全工作进行审计，对消费者提供数据安全、商业政策、交易完整、数据隐私等方面的审计。消费者可以通过查询这些第三方组织的网站进行了解。1998年美国注册会计师协会（AICPA）先后成立的Elliott委员会和Cohen委员会，可以对电子商务的这方面内容提供鉴证。AICPA对电子商务提供的保证服务主要分为两个方面：完整性保证系统（Integrity Assurance System）：电子交易中的数据要素是各方同意达成的，并且在数据处理与存储的过程中保持其完整性，没有未经授权的修改。安全性保证系统（SecurityAssuranceSystem）：交易双方的身份验证以及电子数据没有未经授权的泄漏。

（二）电子商务安全内部审计

内部审计的作用主要体现在对于电子商务公司内部系统安全和财务风险的管理上，主要包括两个方面的内容：对电子商务系统的技术审计；对电子商务公司的财务进行审计。

1.技术审计。对电子商务系统进行技术审计的主要内容有三项：（1）纪录、跟踪系统的运行状况。利用审计工具，监视和纪录系统的活动情况，如纪录用户登录账号、登录时间、登录的终端以及所访问的文件、存取操作，并放人系统日志中保存在磁盘上，使影响系统安全性的存取以及其他非法操作留下线索，以便审查。（2）检测各种安全事故。审计工具能检测和判定对系统的攻击，如多次使用非法口令登录系统的尝试，及时提供报警甚至自动处理，使系统安全管理人员能够了解系统的运行情况，及时堵住非法入侵者。审计工具还能识别合法用户的误操作等。（3）保存、维护和管理审计日志。由于审计日志记录了审计、跟踪、检测各种安全事件的结果，是查找、分析网络系统安全事件的客观依据，是重要的系统文档，必须有可靠的存储和管理机制。在现代的经济环境下对电子商务公司的财务进行审计，其审计的职能已经发生了根本性的变化。审计已经从传统的财务审计过渡到了风险审计与内部控制。因此，运用内部审计可以很好地控制风险的发生。

2.财务审计。对电子商务系统进行财务审计的主要内容有两项：（1）对电子商务风险设定非财务化监测工具，这种工具可以是数量化的，也可以是非数量化的。比如实时监测服务器访问者数量，或者使用嗅探器工具网络监视工具对公司内部网以及国际互联网出口进行监测。（2）对电子商务风险实行与商业风险并行的另外一套防范方法，但是这种防范措施要与其他风险的防范一起进入风险管理的总的成本与人员控制。

参考文献：

[1] 刘艳慧.电子商务及其安全性研究与应用[D].天津:天津大学，2008.

[2] 王铁柱，等.中国电子商务安全性分析与研究[J].河北公安警察职业学院学报，2010，(3).

篇11

 

关键词：商业银行；电子商务；风险管理

    商业银行从事金融业务面临着市场风险、信用风险、以及操作风险等，而电子商务的出现则加剧了上述各类风险发生的可能性以及风险发生之后的破坏程度。2004年以来，我国面临的网络仿冒威胁正在逐渐加大，仿冒对象主要是金融网站和电子商务网站。2005年上半年共收到网络安全事件报告65679件，超过2004年全年案件数，商业银行电子商务安全风险管理策略已成为理论与实践中必须重视的课题。 

 

一、信息安全管理的历史演进与现阶段的特点 

信息安全管理的策略大体遵循事件驱动(技术和管理脱节)－逐渐标准化(技术和管理逐渐结合)——安全风险管理(引入了风险分析)的发展路径。 

 

(一)以事件驱动的初级阶段时期 

19世纪70年代安全主要是指物理设备和环境的安全，人与计算机之间的交互主要局限在大型计算机上的哑终端，安全问题只涉及能访问终端的少数人。安全管理策略处于初级阶段，由事件驱动，没有形成规范的管理流程。在此阶段的前期，只重视技术手段。后期开始重视管理手段，但是技术和管理之间脱节。许多组织对信息安全制定了相应的规章和制度，但组织的信息安全管理基本上还处在一种静态、局部、少数人负责、突击式、事后纠正式的管理方式。 

 

(二)标准化时期 

企业开始将安全问题作为整体考虑，形成一套较为完整的安全管理策略，其中包括了安全管理的技术手段和管理制度(或称运作管理)。几乎所有从事电子商务的企业都拥有自己的安全策略，内容也包括了技术手段、安全管理制度、人员安全教育等等，基本上形成体系，技术和管理手段综合统一，但是安全风险分析还存在不足之处。 

 

    (三)安全风险管理策略时期 

随着电子商务安全管理发展到一个比较高的层次，安全管理策略也演进到安全风险管理阶段。主要特点如下： 

1.安全风险管理成为主流趋势；在安全管理策略的演进过程中，技术和管理手段综合统一、又融入了风险管理的分析、防范策略，从而安全管理进入了安全风险管理时期。西方商业银行已对安全风险管理形成共识。如安氏公司(is—One)，认为信息安全问题最终将归结为风险管理问题，风险管理方法是建立良性的安全技术和管理体系的依据和基础。 

2.安全风险管理的国际标准和各国的规范逐渐形成并趋于完善。国际上关于安全风险管理的标准有巴塞尔银行监管委员会的《电子银行业务风险管理原则》、英国标准协会制订的BS7799等。各国也日益重视安全风险管理，制定了许多规范。例如美国货币监理署(OCC)的《电子银行最终规则》、香港金融管理局的《电子银行服务的安全风险管理》等。中国银行业监督管理委员也于2006年颁布了《电子银行业务管理办法》，对国内企业的电子商务安全风险管理给出了指导意见。

3.利用外部专业化机构对金融机构的安全性评估已成为大部分国家的选择。电子银行面临的安全和技术风险，在相当程度上取决于采用的信息技术的先进程度，系统的设计开发水平，以及相关设施设备及其供应商的选择等；银行依靠传统的风险管理机制已很难识别、监测、控制和管理相关风险。同样，监管机构也难以完全依靠自身的力量对电子银行的安全性进行准确评价和监控。因此，大部分国家都采用了依靠外部专业化机构定期对电子银行安全性进行评估的办法，加强对电子银行安全性和技术风险的管理和监管。 

4.在许多国家信息系统审计(Is Audit)作为一种信息技术服务被广泛提供，许多知名的咨询公司都提供类似的信息审计服务。业界的IT风险分析师也成为一种职业，专门从事电子商务的安全风险工作，从经济学的角度出发分析风险，充分衡量保持安全的代价和收益之间的关系，寻求用最小的代价实现最大的效用，在风险分析中也形成一套较为成熟的模式。 

 

二、我国商业银行电子商务安全风险管理策略的薄弱点 

(一)系统管理思想缺乏 

目前的电子商务安全风险管理策略，在全局上缺乏系统论理论的指导，在实际操作中受到多种多样的安全攻击时会不可避免地出现安全漏洞，无法形成一张全面有序的安全网络。 

实践中被采用的安全风险管理策略，以及作为指导意见的规则规范，如《信息安全管理实务准则》(IS017799)、《信息技术安全性评估准则》(GB／T18336．1)、巴塞尔银行监管委员会的《电子银行业务风险管理原则》，尽管提出了比较全面的安全风险管理方案，层次上也比较清晰，但是还不足以作为一个风险防范系统。实践中，电子商务组织是一个复杂的系统组织，电子商务的安全风险管理体系和过程也是个复杂的系统。系统论、控制论的思想在电子商务安全风险管理中是不可或缺的。 

 

(二)风险分析的模型与方法不成熟，定量分析不足 

电子商务模式自身的发展历史也不过20几年，在风险分析的定量技术上并不成熟；如BS7799中推荐的电子商务安全风险管理中实施风险评估时，往往将威胁发生的可能性定性划分为几个级别，将威胁所造成的影响也定性划分为1～5级，实质上是将一些按照概率发生的事件定义为不连续的几个级别，在操作上易行，但造成了度量的不精确。在进行监控和审计之后，也存在无法量化、对比的问题。

(三)忽视与原有的传统风险管理策略的结合 

本质上，电子商务的安全风险无非是新兴的商业模式对传统的风险的改变，以及产生的在传统风险控制领域暂时无法明晰的新风险；现有管理策略只从信息技术的角度、或者从偏重技术的角度看待问题，站在金融领域本身来分析研究较少。这种状况导致了对电子商务安全风险管理的研究无法立足于一个比较高的层次；忽略了风险的整体性，只进行偏信息和技术的研究，导致了现有的电子商务安全风险管理策略与金融机构原有的传统业务风险管理策略存在差距。对于商业银行而言，传统金融业务的风险控制与电子商务的技术风险控制，两个方面存在脱节，同样属于商业银行的风险，存在着不同的管理策略，导致多头管理、资源浪费、机构之间的扯皮，乃至缺位管理。 

篇12

十二五规划下的安全探讨

本次大会以“构筑十二五规划下中国信息安全体系”为主题，对当前国内外安全威胁、中国电子政务遇到的安全与挑战、等级保护落实中的关键问题，以及各行业在“十二五”期间如何规划以应对信息安全的挑战等议题进行了热烈讨论。

中国计算机世界传媒集团董事葛程远表示，在信息安全威胁日益严峻的今天，“十二五”规划以2011年作为开局之年，在规划纲要中首次将“加强网络与信息安全保障”作为重要的一个章节突出，显示出“十二五”期间国家对信息安全的高度重视。“十二五”规划纲要中明确指出：健全网络与信息安全法律法规，完善信息安全标准体系和认证认可体系，实施信息安全等级保护、风险评估等制度。加快推进安全可控关键软硬件应用试点示范和推广，加强信息网络监测、管控能力建设，确保基础信息网络和重点信息系统安全。

众所周知，现阶段的信息安全形势发生了不少变化，新时代的信息安全堡垒正在逐步建立。工业和信息化部信息安全协调司副司长欧阳武表示，“随着信息化水平不断提高，网络空间与物理空间相互交织、相互渗透、相互影响，网络已经成为人类活动的重要领域。”

比如，前不久，美国政府就了一系列政策性文件：4月15日网络空间可信身份战略；5月16日网络空间国际战略；6月8日网络空间安全创新和互联网经济；7月15日网络空间行动战略。这些都凸现了美国政府对陆海空天之外的网络空间的高度重视。

中国政府对信息安全工作也十分重视，其中工业和信息化部的一项非常重要的职责就是协调和维护国家信息安全。为了切实履行好这一职责，工业和信息化部专门设立了信息安全协调司，以指导、监督政府部门和重点行业的重要信息系统基础信息网络安全保障工作，承担信息安全应急协调，协调处理重大事件。而“十二五”规划也为加强网络与信息安全保障指出了明确方向。不过，国家信息化专家咨询委员会委员宁家骏认为，目前对国家信息安全发展战略的研究不够。

“顶层设计的缺失导致中央和地方信息安全保障难以形成统一体系，影响了信息安全保障工作的可持续发展；中央和地方分级建设模式在一定程度上制约了统一体系和统一标准的形成；另外，在技术上存在先天不足、自主创新可控能力不足，也带来新的问题。”他说。

国内外安全形势严峻

会上，宁家骏给与会者展示了这样一组数据：2011年6月互联网网络安全主要数据显示，我国境内感染网络病毒的终端达到815万个，境内篡改网站数量达3164个，其中篡改政府网站数量333个，国家信息安全漏洞共享平台收集整理漏洞447个，其中257个是高危漏洞，可以实施远程攻击的则有406个。公安部针对网络黑客攻击破坏活动专项行动打击，破获案件169起。同时，网络失窃现象严重，政府网站也时常发生被植入木马病毒的情况。另外，由于基础网络存在一定的相互依赖性，网络安全威胁还可能导致灾难性的骨牌效应，安全对信息化进程的稳定性存在必然的扰动性。

事实上，近两年国际国内由黑客主导的安全事件的影响力以及破坏力一直在不断上升，黑客行为已经脱离了“自由、共享”的初衷，正处于逐步失控的状态，由此诞生的黑客产业链更是让信息安全面临着更大的挑战。

中国绿色兵团发起人之一、CHOWNGROUP倡导者李麒是一位长期和黑客以及黑客地下产业链打交道的黑客专家。在他看来，黑客的行为已经不局限于利用木马程序盗取QQ账号、网络游戏账号、银行账号等个人信息为己牟利，一些黑客的行为已经开始对国际大事产生影响，“前不久我们发现越南的黑客将某个政府网站首页进行了篡改，替换上他们的黑客页面，用以表现他们在上的一些政治意图。”

目前网络战已经升级成国与国之间的拉锯战，各国都创建了属于自己的精锐“网络部队”。去年5月，美军网络司令部启动应对网络攻击计划，建立陆海空全面网络战防御体系，其目的就是打信息战，并形成完备的信息战体系。

防范Web威胁是大势所趋

目前，黑客攻击正在从传统的网络层转化为应用层，同时越来越多的黑客开始盗取企业保密信息用于牟利。

“黑客可以盗取企业的机密信息、图纸、财务报表以及核心数据等，将这些卖给企业的竞争对手，这其中也包括一些跨国公司的核心数据。”李麒说。

达到这些目的的方式主要是网页被篡改、挂马、仿冒三种手法，我国电子政务网站也深受其害。

“去年我们协助国家相关部门对全国31个省市区的7383个政府对外服务的网站进行大检查，发现这些网站的安全情况不容乐观。所查的网站一般都存在问题，其中最为突出的就是网页被篡改，这种情况占到整个安全事件数量的62.7%，位居第一。”李麒表示，“造成这种问题的原因主要是网站的程序设计时没有全面考虑安全因素，比如安全代码优化、安全代码编辑等关注不够。”

李麒认为，造成信息安全形势严峻的一个重要原因是用户将安全防护重点设置在网络层，而忽略应用层，黑客针对Web应用层进行攻击往往让人防不胜防。“与传统网络安全不同，Web安全威胁变化非常快，做好控制并不容易，尤其是维护、开发、上线等过程。针对这样的情况，用户不仅要建立整个安全防护体系，同时还针对目前信息安全态势做好监测，对整个安全指标进行量化。另外，要将安全做到平台化、周期性、常态化、制度化，做好预警。最后，要实现安全的易用性，并充分了解当前信息系统的安全状态，出了问题要有相应的机制和应急响应。”

建立安全保障长效机制

为了应对日益严峻的安全形势，2008年4月国家出台了关于加强政府信息系统保密的通知，要求各地区、部门每半年要进行一个政府信息系统安全检查。2009年3月又印发政府信息系统安全检查办法，明确了工作原则以及安全检查的工作要求等，督促各地区和部门加强政府信息系统的安全防护。

会上，欧阳武还提出应大力推广电子签名。“网络的匿名性、行为主体不确定性是互联网最大的安全隐患。通过电子签名技术可确认行为人和确保网络行为的不可抵赖。一旦有了可靠的电子签名，我们物理世界里面维护安全的最重要的两个基石――法律和道德在网络空间里面也有了应用的基础。”

据了解，信息安全协调司成立三年以来把落实电子签名法作为一项重要工作来抓。目前，工信部许可可信数字证书的社会保有量已经接近两千万，一个可信身份认证服务系统体系正在形成。

此外，让计算机信息网络等级保护制度更为有效地保护重要领域的信息网络，建立安全保障的长效机制也是我国信息安全建设的重点。公安部十一局郭启全处长表示，目前国家信息安全面临的新形势要求我们要重视国家关键信息基础设施保护，近几年公安部、工信部、国家广电局、密码局做了大量工作把国家关键基础设施梳理出来，保护重点进一步明确。但是，如何全面和整体解决各行业在信息化建设中的安全问题，仍是国内外信息安全界一直关注的问题。

各行业构建

信息安全堡垒

电子商务、电力、医疗、能源等行业也都在信息安全领域进行新的尝试。上海信息安全基础设施研究中心副主任顾青表示，“十二五”规划中明确指出要积极发展电子商务，完善面向中小企业的电子商务服务，推动面向全社会的信用服务和网上支付物流配送支撑体系建设。

根据中国电子商务研究中心的统计，截止到今年6月份，电子商务交易市场达2.9万亿元人民币的交易额，B2B达2.6万亿元，但在电子商务的发展中，网络经营主体的身份确认机制尚未成型，网络市场经营行为需要进一步规范，网络市场成型体系有待健全，政府职能部门服务监管有待于改进，网络消费者维权行为有待于保障和解决等问题一直困扰着电子商务市场。同时，电子商务对数字证书认证有非常迫切的需求。因此，市场需要政府职能部门提供电子商务公信服务，创新监管方式方法，维护电子商务市场秩序，促进第三方认证服务机构提供电子商务公正服务，培育战略性新兴产业，构建完整的电子商务信任服务体系。

电监会信息安全处处长温红子作为电力行业的代表，对于工控系统基础性地位级面临的安全威胁深有感触：“和IT系统一样，工控系统也面临黑客攻击、恶意代码、外力破坏、自然灾害等安全威胁。同样，工控系统一旦发生安全事件，损害程度将非常严重。比如，因病毒入侵伊朗布什尔核电站的西门子工控系统，致使数台离心机数据错误，使伊朗能力倒退两年。这件事值得我们警惕。”

温红子指出，工业控制系统的安全防护工作任重而道远，在一些影响国计民生的大行业中应该引起足够的重视，并亟需建立起可控的安全防护措施。

记者观察

从来没有真正的安全，安全是各方博弈的结果。自IT技术诞生以来，针对信息安全的讨论和争斗就不绝于耳。

由《计算机世界》主办的“中国信息安全大会暨中国CSO俱乐部年会”已经迎来了第九个年头，主持人的机敏、专家的博学、演讲者的幽默，以及参会者的认真，让每一届大会都会碰撞出火花，这让原来严肃的话题产生出不一样的感觉。

本届信息安全大会以“十二五规划下的信息安全”为主题，来自政府、协会以及各行业企业代表各抒己见，围绕大会主题介绍了各自下一阶段的安全规划。安全厂商针对目前的安全技术热点以及用户新应用需求，提出了有针对性的安全解决方案，并希望借此帮助企业在“十二五规划”指导下构筑更为安全的企业防护体系，参会者亦对此表示出浓厚的兴趣。

计算机世界传媒集团董事 葛程远

工业和信息化部信息安全协调司副司长 欧阳武

公安部网络安全保卫局处长 郭启全

上海信息安全基础设施研究中心副主任 顾青

国家信息化专家咨询委员会委员 宁家骏

中国绿色兵团发起人之一、CHOWN GROUP倡导者 李麒

篇13

信任标识

身份信息窃贼队伍日渐庞大，消费者对网购的担心并未随着网购的普及而降低。而商家获得的信任标识有助于提高网购的安全性，并带给消费者更多的安全感。以图标或徽标的形式在网站上呈现的信任标识或安全印章证明商家是合法经营，并且遵守相关的安全或隐私法规。

信任标识词云显示：销售、建立信任、帮助客户和让网购者放心是首要关注的内容。

作为网商，赢得消费者信任是业务成功的关键，安全标识会让消费者安心“踏入”你的网店无忧网购。

安全

电子商务浪潮汹涌，与此相关的安全事件也层出不穷。“泄露”、“建议”、“软件”和“病毒”等词汇的频频出现表明，网络安全如今依然让人神经紧绷，不敢有丝毫懈怠。从词云中，我们可以清晰地知道，不仅是消费者对确保个人信息安全没有把握，各类企业也在寻求能够抵御黑客的“护身符”。网站漏洞扫描是最基本的防御措施，不过，要切记，诸如防火墙和 Web 应用程序保护这类基本的安全协议的东西也是你安全锦囊中的必备法宝。

PCI 合规

网络安全是头等大事，而确保在线业务安全的重要一环是严格遵从与信用卡支付相关的 PCI 法规。这个话题的词云表明，尽管安全与合规之间存在联系，对于这一问题，仍然需要更多的引导。“帮助”、“SMB”和“后果”是与 PCI 相关的主要词汇，从中不难看出众多商家面临的困境――既面临这类法规的严格要求，同时又往往缺乏与此相关的知识。

移动商务

篇14

1不断完善电子商务的立法和执法

一方面，电子商务是在一个虚拟空间完成的商务活动，因此，我们应该调整现行的法律法规，确立与之相适应的法律制度与法律规范，让法律适应电子商务发展的需求。在我国针对电子商务的相关法律规范主要有《合同法》、《消费者权益保护法》、《计算机信息网络国际联网安全保护管理办法》、《电子签名法》等，这些法律虽然适用于电子商务，但并没有针对电子商务的交易环境做出明确的规定。因此，我们必须在严格遵照目前法律法规的基础上不断地健全和完善电子商务法律体系。另一方面，对于那些破坏网络交易秩序、危害网络交易平台的行为应依法给予严厉惩治。电子商务犯罪是伴随电子商务产生而产生的，电子商务犯罪是指利用电子商务活动，侵害电子商务交易并造成社会危害的行为。上述提到，目前我国电子商务的立法讨论仍只限于电子签名、身份认证的层面上，而对于具有抽象性、易删改性和易复制性的电子证据方面，因其来源与制作信息具有隐蔽性等特性，我国法律还未明确的界定，这给电子商务犯罪的认定造成了困难。鉴于电子商务犯罪存在于虚拟空间这样的特殊性，本文认为，我国应加紧完善立法，尽快地将电子证据作为一种新型的证据纳入证据法领域。只有这样才能弥补电子商务犯罪中的证据采集难、案件侦查难、罪名裁定难以及量刑难等方面的漏洞，才能更有力地惩治、打击电子商务犯罪活动。

2加强电子商务的安全监控管理

首先，要制定准入制度，对想从事网络服务或经营的单位（个人）进行限定。如要求经营者建立符合电子商务网站开设标准的电子商务平台；相关部门要对经营单位的法人、经营内容进行严格审批等等。同时，对于电子商务平台上登记的商品及服务信息要有详细的说明，并向相关的主管部门申请，经批准、备案后的信息才能对外，而且经营单位或个人不能擅自变更电子商务平台上的信息，只有这样，才能在今后的交易中出现问题时，有据可依。其次，在电子商务交易中，经营单位或这人还应保证消费者的个人资料信息及个人隐私的安全，注重消费者个人隐私的保护。经营者有义务采取积极的措施来防止消费者的信息不被侵犯，对未经本人许可擅自泄漏消费者隐私（如出售、转让隐私）的经营单位或个人，应依法处理，严厉打击。当然消费者也应该树立自我保护意识，不要轻易的将自己的隐私泄漏给陌生人；在网上交易时也应确保所处网络的安全，以免遭受不必要的损失。再次，经营单位还应该给消费者提供一个安全支付的网络交易环境。消费者支付方式目前比较常用的有网银、支付宝、财付通等电子支付形式，电子商务经营服务者必须和其代办的银行签订协议，凡是通过电子支付款项的，在电子商务主管部门这边备案，便于当款项出差错时可以即使查询并处理。最后，要规避电子商务安全风险，还需要建立一个组织系统，组织内部要各司其职，综合保障信息安全。笔者认为，这个组织的构成可由安全决策机构、安全执行机构、安全顾问机构组成。

3完善电子商务的安全技术管理

3.1采用CA安全认证系统

所谓CA就是以构建在公钥基础设施pki（密钥管理平台）基础之上的产生和确定数字证书的第三方可信机构，即证书认证中心，其主要功能是创建、分发和作废证书。因而，CA安全认证体系具有管理下级审核注册机构，接受下级审核注册机构的业务申请，并为系统用户的公钥签发证书，管理所有证书、向密钥管理中心申请密钥、实体鉴别密钥器的管理等功能。目前，CA认证机构包括两大部门：一是授权审核部门，二是证书操作部门，国际上通常都用CA安全认证来解决电子商务安全问题，因为这个方式可以有效的保证网络交易各方的真实身份。

3.2采用加密技术

加密技术是电子商务安全保密的最常用手段之一，其方法是先将电子商务活动中所需要记录和传输的信息，利用技术手段把这些信息变为乱码进行传送，到达目的地后再将乱码还原成正确的数据。对于进行了加密处理的信息，即使在数据被不法分子窃取的情况下，也不会导致信息的泄漏。这样就保证了电子商务信息的安全，大大提升了电子商务信息的安全性。目前电子商务中应用最广范的加密技术是RSA（公开密钥密码），该技术使网银交易的安全性得到了很大的提升，从而也大大提升了电子商务的实用性、可靠性和安全性。