時間：2023-07-11 17:37:33
開篇：寫作不僅是一種記錄，更是一種創造，它讓我們能夠捕捉那些稍縱即逝的靈感，將它們永久地定格在紙上。下面是小編精心整理的12篇電子商務安全管理策略，希望這些內容能成為您創作過程中的良師益友，陪伴您不斷探索和進步。
關鍵詞：商業銀行；電子商務；風險管理
商業銀行從事金融業務面臨著市場風險、信用風險、以及操作風險等，而電子商務的出現則加劇了上述各類風險發生的可能性以及風險發生之后的破壞程度。2004年以來，我國面臨的網絡仿冒威脅正在逐漸加大，仿冒對象主要是金融網站和電子商務網站。2005年上半年共收到網絡安全事件報告65679件，超過2004年全年案件數，商業銀行電子商務安全風險管理策略已成為理論與實踐中必須重視的課題。
一、信息安全管理的歷史演進與現階段的特點
信息安全管理的策略大體遵循事件驅動(技術和管理脫節)－逐漸標準化(技術和管理逐漸結合)——安全風險管理(引入了風險分析)的發展路徑。
(一)以事件驅動的初級階段時期
19世紀70年代安全主要是指物理設備和環境的安全，人與計算機之間的交互主要局限在大型計算機上的啞終端，安全問題只涉及能訪問終端的少數人。安全管理策略處于初級階段，由事件驅動，沒有形成規范的管理流程。在此階段的前期，只重視技術手段。后期開始重視管理手段，但是技術和管理之間脫節。許多組織對信息安全制定了相應的規章和制度，但組織的信息安全管理基本上還處在一種靜態、局部、少數人負責、突擊式、事后糾正式的管理方式。
(二)標準化時期
企業開始將安全問題作為整體考慮，形成一套較為完整的安全管理策略，其中包括了安全管理的技術手段和管理制度(或稱運作管理)。幾乎所有從事電子商務的企業都擁有自己的安全策略，內容也包括了技術手段、安全管理制度、人員安全教育等等，基本上形成體系，技術和管理手段綜合統一，但是安全風險分析還存在不足之處。
(三)安全風險管理策略時期
隨著電子商務安全管理發展到一個比較高的層次，安全管理策略也演進到安全風險管理階段。主要特點如下：
1.安全風險管理成為主流趨勢；在安全管理策略的演進過程中，技術和管理手段綜合統一、又融入了風險管理的分析、防范策略，從而安全管理進入了安全風險管理時期。西方商業銀行已對安全風險管理形成共識。如安氏公司(is—One)，認為信息安全問題最終將歸結為風險管理問題，風險管理方法是建立良性的安全技術和管理體系的依據和基礎。
2.安全風險管理的國際標準和各國的規范逐漸形成并趨于完善。國際上關于安全風險管理的標準有巴塞爾銀行監管委員會的《電子銀行業務風險管理原則》、英國標準協會制訂的BS7799等。各國也日益重視安全風險管理，制定了許多規范。例如美國貨幣監理署(OCC)的《電子銀行最終規則》、香港金融管理局的《電子銀行服務的安全風險管理》等。中國銀行業監督管理委員也于2006年頒布了《電子銀行業務管理辦法》，對國內企業的電子商務安全風險管理給出了指導意見。
3.利用外部專業化機構對金融機構的安全性評估已成為大部分國家的選擇。電子銀行面臨的安全和技術風險，在相當程度上取決于采用的信息技術的先進程度，系統的設計開發水平，以及相關設施設備及其供應商的選擇等；銀行依靠傳統的風險管理機制已很難識別、監測、控制和管理相關風險。同樣，監管機構也難以完全依靠自身的力量對電子銀行的安全性進行準確評價和監控。因此，大部分國家都采用了依靠外部專業化機構定期對電子銀行安全性進行評估的辦法，加強對電子銀行安全性和技術風險的管理和監管。
4.在許多國家信息系統審計(IsAudit)作為一種信息技術服務被廣泛提供，許多知名的咨詢公司都提供類似的信息審計服務。業界的IT風險分析師也成為一種職業，專門從事電子商務的安全風險工作，從經濟學的角度出發分析風險，充分衡量保持安全的代價和收益之間的關系，尋求用最小的代價實現最大的效用，在風險分析中也形成一套較為成熟的模式。
二、我國商業銀行電子商務安全風險管理策略的薄弱點
(一)系統管理思想缺乏
目前的電子商務安全風險管理策略，在全局上缺乏系統論理論的指導，在實際操作中受到多種多樣的安全攻擊時會不可避免地出現安全漏洞，無法形成一張全面有序的安全網絡。
實踐中被采用的安全風險管理策略，以及作為指導意見的規則規范，如《信息安全管理實務準則》(IS017799)、《信息技術安全性評估準則》(GB／T18336．1)、巴塞爾銀行監管委員會的《電子銀行業務風險管理原則》，盡管提出了比較全面的安全風險管理方案，層次上也比較清晰，但是還不足以作為一個風險防范系統。實踐中，電子商務組織是一個復雜的系統組織，電子商務的安全風險管理體系和過程也是個復雜的系統。系統論、控制論的思想在電子商務安全風險管理中是不可或缺的。
(二)風險分析的模型與方法不成熟，定量分析不足
電子商務模式自身的發展歷史也不過20幾年，在風險分析的定量技術上并不成熟；如BS7799中推薦的電子商務安全風險管理中實施風險評估時，往往將威脅發生的可能性定性劃分為幾個級別，將威脅所造成的影響也定性劃分為1～5級，實質上是將一些按照概率發生的事件定義為不連續的幾個級別，在操作上易行，但造成了度量的不精確。在進行監控和審計之后，也存在無法量化、對比的問題。
(三)忽視與原有的傳統風險管理策略的結合
本質上，電子商務的安全風險無非是新興的商業模式對傳統的風險的改變，以及產生的在傳統風險控制領域暫時無法明晰的新風險；現有管理策略只從信息技術的角度、或者從偏重技術的角度看待問題，站在金融領域本身來分析研究較少。這種狀況導致了對電子商務安全風險管理的研究無法立足于一個比較高的層次；忽略了風險的整體性，只進行偏信息和技術的研究，導致了現有的電子商務安全風險管理策略與金融機構原有的傳統業務風險管理策略存在差距。對于商業銀行而言，傳統金融業務的風險控制與電子商務的技術風險控制，兩個方面存在脫節，同樣屬于商業銀行的風險，存在著不同的管理策略，導致多頭管理、資源浪費、機構之間的扯皮，乃至缺位管理。
(四)風險管理策略無法依賴外部的信息安全管理行業
在發達國家，信息系統審計(IsAudit)作為一種信息技術服務被廣泛提供，許多知名的咨詢公司都提供類似的信息審計服務。IT風險分析師也成為一種職業，專門從事電子商務的安全風險工作。商業銀行采用依靠外部專業化機構定期對電子銀行的安全性進行評估的辦法，提高對電子銀行安全性和技術風險的管理和監管。而國內初步建立了國家信息安全組織保障體系，制定和引進了一批重要的信息安全管理標準、法律法規，風險評估工作得到了一定重視，但與發達國家成熟完善的外部信息安全管理行業仍有很大差距。
(五)風險管理策略中商業銀行的內部風險控制能力薄弱
我國商業銀行目前均建立起統一的風險管理部門；但風險控制部門的職能、權限與花旗銀行等體制較為先進的銀行相比仍然存在較大差距，風險控制實質上仍然分散在各個子部門；風險的評估、防范與控制實質上完全依靠商業銀行的電子交易部門；風險管理部門、內審稽核部門實質上無法控制電子商務安全風險。例如，風險管理部門接受了電子交易部的風險控制報告，表面上履行的內控審核的流程，但審核作用有限，無法完成電子商務安全風險管理中的監控與審計環節。
三、商業銀行的電子商務安全風險管理策略的改進建議
(一)基于系統的思想構建商業銀行電子商務安全風險管理策略框架
利用系統理論作為總體的指導思想，將電子商務安全風險管理策略本身當作一個開放的自適應系統。將商業銀行電子商務安全風險管理中的各個環節組成循環上升的系統。
在商業銀行電子商務安全風險控制的流程中，經過信息安全的風險評估、資產識別和選擇、實施控制降低風險的措施、將風險控制在可接受的范圍內，然后進行監控和審計；尤其重要的是把監控和審計所得到的內容作為新一輪風險分析輸入，從而開始新一輪的風險管理過程。商業銀行電子商務安全風險管理的各個步驟為動態的循環系統。每完成一個循環，安全風險管理的有效性就上一個臺階，商業銀行的安全管理水平變得到了提高。
(二)電子商務安全風險管理中定量分析中的改進思路
商業銀行可以借鑒成熟的傳統金融風險度量中的一些方法來改變電子商務安全風險管理中對資產進行粗略的優先級別排序的方法。實踐中，商業銀行對操作風險的管理與對電子商務安全風險管理有其相似之處。巴塞爾委員會對商業銀行的操作風險的內部計量法中規定，商業銀行內部估計風險敞口指標、損失事件發生的概率、風險損失，巴塞爾委員會制定資本要求的轉換系數；在度量損失的分布時，主要利用統計和精算技術。商業銀行應通過數據庫將威脅發生的頻率、威脅所造成的影響等精確記錄下來，利用現有的度量方法進行精確的風險定量分析的嘗試。
(三)將商業銀行電子商務安全風險納入商業銀行總體風險管理范疇
【論文摘要】計算機網絡的技術發展相當迅速。隨著互聯網上黑客病毒泛溢,網絡犯罪等威脅日益嚴重，網絡安全管理的任務將會越來越艱巨和復雜，抓好網絡安全問題對保障網絡信息安全至關重要。因此文章對電子商務網絡支付安全問題進行探討分析。
0引言
美國等發達國家，通過Internet進行電子商務的交易已成為潮流。隨著internet的發展和網絡基礎設施的不斷完善，我國的電子商務雖已初具規模，但是安全問題卻成為發展電子商務亟待解決的問題。電子商務過程中，買賣雙方是通過網絡聯系的，由于internet是開放性網絡，建立交易雙方的安全和信任關系較為困難，因此本文對電子商務網絡支付上的安全問題進行探討分析。
1電子商務的概念和特點
1）電子商務的概念：電子商務（ElectronicCommerce）是通過電信網絡進行的生產、營銷、銷售、流通等活動，不僅是指基于因特網上的交易，而且還指利用電子信息技術實現解決問題、降低成本、增加價值、創造商機的商務活動[1]。
2）電子商務的特點：（1）電子商務將傳統的商務流程電子化、數字化。不僅以電子流代替了實物流，大量減少了人力物力，降低了成本；而且突破了時間空間的限制，使得交易活動可在任何時間、任何地點進行，大大提高了效率。（2）電子商務使企業能以較低成本進入全球電子化市場,也使中小企業可能擁有與大企業一樣的信息資源，提高了中小企業的競爭能力。（3）電子商務重新定義了傳統的流通模式，減少了中間環節，使得生產者和消費者的直接交易成為可能，從而一定程度上改變了社會經濟的運行方式。（4）電子商務提供了豐富的信息資源，為社會經濟要素的重新組合提供了更多的可能，這將影響到社會的經濟布局和結構。
2電子商務安全的技術體系
1）物理安全。首先根據國家標準、信息安全等級和資金狀況，制定適合的物理安全要求，并經建設和管理達到相關標準[2]。再者，關鍵的系統資源（包括主機、應用服務器、安全隔離網閘GAP等設備），通信電路以及物理介質（軟/硬磁盤、光盤、IC卡、PC卡等）、應有加密、電磁屏蔽等保護措施，均應放在物理上安全的地方。
2）網絡安全。網絡安全是電子商務的基礎。為了保證電子商務交易順利進行，要求電子商務平臺要穩定可靠，能夠不中斷地提供服務。系統的任何中斷（如硬件、軟件錯誤，網絡故障、病毒等）都可能導致電子商務系統不能正常工作，而使貿易數據在確定的時刻和地點的有效性得不到保證，往往會造成巨大的經濟損失。
3）商務安全。主要是指商務交易在網絡媒介中出現的安全問題，包括防止商務信息被竊取、篡改、偽造、交易行為被抵賴，即要實現電子商務的保密性、完整性、真實性、不可抵賴性。商務安全的各方面也要通過不同的網絡安全技術和安全交易標準實現，加解密技術保證了交易信息的保密性，也解決了用戶密碼被盜取的問題；數字簽名是實現對原始報文完整性的鑒別，它與身份認證和審查系統一起可杜絕交易的偽造和抵賴行為。保證電子商務安全的主要技術有：在線支付協議（安全套接層SSL協議和安全電子交易SET協議）、文件加密技術、數字簽名技術、電子商務認證中心（CA）。
4）系統安全。主要是保護主機上的操作系統與數據庫系統的安全。對于保護系統安全，總體思路是：通過安全加固，解決管理方面安全漏洞；然后采用安全技術設備，增強其安全防護能力。
3安全管理過程監督
3.1加強全過程的安全管理
1）網絡規劃階段，就要加強對信息安全建設和管理的規劃。信息安全建設需要投入一定的人力、物力、財力。要根據狀況實事求是地確定網絡的安全總體目標和階段目標、分段實施、降低投資風險。2）工程建設階段，建設管理單位要將安全需求的匯總和安全性能功能的測試，列入工程建設各個階段工作的重要內容，要加強對開發（實施）人員、版本控制的管理，要加強對開發環境、用戶路由設置、關鍵代碼的檢查[3]。3）在運行維護階段，要注意以下事項：(1)建立有效的安全管理組織架構，明確職責，理順流程，實施高效管理。(2)按照分級管理原則，嚴格管理內部用戶帳號和密碼，進入系統內部必須通過嚴格的身份確認，防止非法占用、冒用合法用戶帳號和密碼。(3)制定完善的安全管理制度，加強信息網的操作系統、數據庫、網絡設備、應用系統運行維護過程的安全管理。(4)要建立應急預察體系，建立網絡安全維護日志，記錄與安全性相關的信息及事件，有情況出現時便于跟蹤查詢，還要定期檢查日志，以便及時發現潛在的安全威脅。
3.2建立動態的閉環管理流程
網絡處于不斷地建設和調整中，可能發現新的安全漏洞，因此需要建立動態的、閉環的管理流程。要在整體安全策略的控制和指導下，通過安全評估和檢測工具（如漏洞掃描，入侵檢測等）及時了解網絡存在的安全問題和安全隱患，據此制定安全建設規劃和加固方案，綜合應用各種安全防護產品（如防火墻、身份認證等手段），將系統調整到相對安全的狀態。并要注意以下兩點：1）對于一個企業而言，安全策略是支付信息安全的核心，因此制定明確的有效的安全策略是非常重要的。安全組織要根據這個策略制定詳細的流程、規章制度、標準和安全建設規劃、方案，保證這些系列策略規范在整個企業范圍內貫徹實施，從而保護企業的投資和信息資源安全。2）要制定完善的、符合企業實際的信息安全策略，就須先對企業信息網的安全狀況進行評估，即對信息資產的安全技術和管理現狀進行評估，讓企業對自身面臨的安全威脅和問題有全面的了解，從而制定針對性的安全策略，指導信息安全的建設和管理工作。
4結束語
本文分析了目前電子商務網絡支付安全方面的主要技術狀況，安全技術可以說是網絡技術中較為尖端的技術，都是非常先進的技術手段；只要運用得當，配合相應的安全管理措施，基本能夠保證電子商務中網絡支付的安全；但不是100％的絕對安全，而是相對安全。隨著網絡安全技術的進步與信用機制的完善，網絡支付定會越來越安全。
參考文獻
[1]柯新生.網絡支付與結算[M].北京：電子工業出版社,2004.
關鍵詞 電子商務；網絡技術；網絡安全
中圖分類號：TP393 文獻標識碼：A 文章編號：1671-7597（2013）16-0163-01
近年來隨著電子商務的迅猛發展，每天進行著數以百萬次計的各類交易中，電子商務中的網絡安全問題日漸突出，又由于電子商務應用環境比較復雜，計算機網絡本身又存在著不可靠性和脆弱性，所以電子商務交易中存在一些安全隱患。中國互聯網信息中心的調查結果中指出，一半以上的用戶最關心的是交易是否安全可靠。那么，電子商務面臨哪些安全問題？又有哪些解決方法呢？
1 電子商務面臨的安全問題
1.1 商務軟件本身存在的安全問題
任何一種商務軟件的程序都具有復雜性和編程多樣性，而對于程序而言，越復雜意味著漏洞出現的可能性越大。
1）操作系統問題。操作系統是計算機網絡系統中最重要的系統軟件之一，由于操作系統在安裝時存在端口開放、無認證服務和初始化配置問題，存在一些安全缺陷，這樣會使系統處于不安全的狀態，任一操作系統都會存在一些安全漏洞，這些安全漏洞都會影響到很大范圍內的網絡安全，由此，給不法分子趁機實施犯罪帶來可乘之機。
2）網絡協議問題。由于計算機網絡最初網絡協議的設計，重在實現數據的交換，并沒有把網絡安全作為重點來考慮，所以不利于商家之間、商家與消費者之間交易時的相互通信。如典型的TCP/IP協議就沒有安全方面的設計，這就給交易雙方帶來好處的同時，也埋下了安全隱患。
1.2 信息安全問題
1）信息的泄露。信息在網絡上傳遞時，要經過多個環節和渠道。不管是物理的原因還是人為的因素，都會造成信息的泄露，如一些硬件設備受自然災害的影響造成電磁的泄露，再有信息在傳輸的過程中沒有采用加密措施或加密強度不夠，網絡犯罪分子就可能在網絡上安裝截收裝置獲取用戶的重要的信息，如用戶的口令、銀行的帳號等，嚴重威脅消費者電子商務交易的安全。
2）信息的篡改。未經授權的攻擊者直接進入網絡交易系統，獲取了信息的內容及格式后，通過采取不同的技術手段和方式將信息進行刪除、修改、重發，使得數據改變原有的內容，破壞數據的完整性和一致性，損害他人的經濟利益，或干擾對方的正確決策。
3）信息的偽造。網絡黑客通過某種技術手段冒充合法用戶的身份來破壞交易，如發送偽造的信息來欺騙網絡中其它的用戶，或是冒充網絡控制程序來套取和修改使用權限、密鑰等。
1.3 信用安全問題
電子商務這種新型的商務活動自從20世紀90年代開始發展以來，由于網絡環境下交易活動的虛擬性，致使交易雙方的信用問題一直是世界各國關注的焦點。例如：買方進行虛假訂單或提交訂單后不付款，集團的購買者可能存在拖延貨款的行為；賣方收到貨款卻給予否認或賣出的商品不能保證質量或數量，不能完全履行與買方簽定的合同；交易雙方都存在抵賴的現象等。
1.4 安全管理問題
網上交易安全管理問題主要表現在人員管理上存在的問題。
人員管理常常在網上交易安全管理上最薄弱的環節。近年來，由于企業工作人員職業道德修養不高，安全教育和管理松懈的主要原因，在我國計算機犯罪中大都呈現內部犯罪的趨勢。再有一些競爭對手還利用不正當的方式潛入企業，竊取企業用戶的重要信息，如用戶的賬號、密碼以及相關的重要文件資料等。
1.5 安全的法律保障問題
電子商務是一種新的商務方式，由于電子商務相關法律還不完善，除在買賣雙方的電子交易中經常會出現不同的網購糾份外，還會存在域名的糾紛、網絡著作權的侵犯、網絡詐騙以及電子交易中各方的法律責任不明確等諸多的問題，又由于電子商務活動與傳統商務活動存在著很多的不同點，傳統商務制定的相關法律又出現不適應電子商務的狀況，同時電子商務發展速度非常快，而法律的修改制定又需要較長的時間，因此目前電子商務的相關法律還不能回避由于法律滯后而無法保證合法交易的權益所帶來的風險，有待進一步修正完善。
2 電子商務安全的對策
2.1 采取不同措施加強電子商務安全教育和宣傳，提高電子商務安全意識
具體可采取以下措施：一是采取不同的宣傳方式，普及電子商務安全知識，提高公眾的安全意識；二是通過開設電子商務安全培訓課程，加強培養電子商務安全管理人才。
2.2 采用網絡技術，確保網絡信息安全
為了確保網絡的信息安全，可以采用防火墻技術，防火墻往往設在企業內部網和外部網之間，是一種隔離設備，只允許授權信息通過，能夠防止外部網上的各種危害侵入內部網絡，是實現網絡信息安全策略中最有效的工具之一。實現防火墻的網絡信息安全策略時，有兩條可以遵循的規則，即未被明確允許的都將被禁止；未被明確禁止的都將允許。前一種規則建立了一個非常安全的網絡環境，而后一種規則建立了一個非常靈活的環境，給用戶提供了更多的服務。
2.3 運用密碼技術，強化通信安全
為了保證交易雙方身份的正確性，保證交易雙方的通信安全，運用各種加密技術，數字信封技術是使用兩個層次的加密，解決了網上信息傳輸的保密性問題，數字指紋的應用驗證了交易文件在傳輸過程中是否遭到破壞，解決了防止網上信息假冒的問題，而數字簽名技術解決了交易雙方的身份認證問題。
2.4 加強人員管理，確保安全管理
電子商務是一項高智商的勞動。需要從業人員一方面具備傳統營銷的知識和經驗，另一方面又必須具有相應的計算機網絡知識和操作技能。而當今計算機網絡犯罪又具有高技術性、智能性、隱蔽性、連續性的特點，因而，對從事網絡營銷和企業內部網絡維護人員進行重點安全管理，落實每個工作人員的工作責任制，完善企業內部日常安全制度。
2.5 健全法律，嚴格執法
電子商務應用環境是區別于傳統商業環境下的新環境，在傳統交易方式下適用的法律法規難以適用于新的環境，又由于關于電子商務的立法還不完善，需要在充分考慮到國內環境的前提下，盡快出臺專門針對電子商務交易的法律法規，適應電子商務運作的法制環境，解決存在各種問題，如電子合同問題、網上虛擬財產保護問題等，強化法律法規的可操作性，加強與國際電子商務立法相接軌，通過建立電子商務安全法規體系，規范和維持網絡的正常運行。
項目基金
本文系河北省社會科學發展研究課題，編號：201303063。
參考文獻
[1]焦媛.電子商務安全技術與PKI研究淺談[J].科技信息，2009（24）.
目前電子商務的安全問題如下:數據的安全管理包括：輸入輸出數據的過濾、數據的加密解密、數據的訪問控制管理、系統的安全管理包括：交易完整管理、日志的管理、系統的安全策略管理和系統安全響應等。現今電子商務安全開發還集中在對加密、數字身份認證、電子商務認證等個別的”點”上,沒有綜合的安全管理軟件產品，而電子商務的健康發展迫切需要能夠解決多種安全問題的產品。根據以上分析我們提出電子商務安全管理軟件的功能性框架示意圖如圖1所示。綜合考慮系統的安全性及目前較流行的B/S模式設計出其技術架構，電子商務安全管理軟件可以分為以下幾個部分：數據過濾模塊，授權認證模塊，協議過濾模塊，加密解密模塊，日志管理模塊，安全監控模塊，應用監控模塊，DAO數據源。
2軟件項目業務規劃
2.1項目規劃
項目目標：完成電子商務安全管理軟件系統的研制和開發，并進行市場化運作；對電子商務安全標準進行研究。主要功能：電子商務安全管理軟件系統實現的主要功能有：
（1）提供訪問電子商務網站用戶的身份認證、授權；授權用戶在線刪除，添加，更新本人信息；實現了允許一種用戶可以以多種身分訪問電子商務程序的身份驗證和授權的功能。
（2）過濾當前用戶請求中是否含有違反HTTP協議的數據存在，包括參數缺失、參數異常、參數過多；過濾當前用戶請求中是否含有違反當前請求頁面的數據存在。
（3）對稱式和非對稱式的加密解密技術：包括數字簽名算法、消息摘要技術、密鑰交換方法、提供基于數據庫的密鑰管理服務的內容。
（4）收集功能模塊的日志信息，然后生成統一的日志信息，并進行分類存儲(本課題提供數據庫存儲形式)，然后提供查詢、刪除等功能(用戶可以對日志信息按日期、模塊名進行查詢、刪除等操作)。
（5）隨時對受保護的電子商務應用程序進行安全監控，若發現惡意代碼的攻擊，即刻發出報警信息。
（6）監控系統和電子商務應用程序的運行情況，若系統或應用程序出現異常，即刻發出報警信息。約束條件：本系統運行時需要JAVA運行環境人員所需工具所需資源：開發本項目需要參加人員熟練掌握JAVA、XML、TOMCAT、MYSQL、JSP、STRUTS等，開發工具使用eclipse、editplus、mysql等。
2.2項目組織與進度
本項目的開發共分四個時間段進行，具體安排如下所示：系統調研和總體方案設計3個月系統體系結構設計8個月系統程序實現8個月α測試β測試3個月
2.3開發軟件所需要的工具
軟件運行環境A．操作系統：Linux系統，Window2000Serve系統B．數據庫：Oracle8i/9i，SQLServer2000，MysqlC．WEB服務器：Tomcat/Weblogic/Jboss編程語言：JAVA開發平臺：eclipse測試與分析工具：paros
3軟件開發設計與程序編碼
3.1軟件開發設計
電子商務安全管理軟件系統采用了模塊化的設計理念，遵循J2EE的開發標準，充分利用了J2EE程序開發過程中所涉及到的開放源代碼的應用軟件。整個軟件系統是在Tomcat5.5.9條件下進行的研發，開發工具選用的是Eclipse3.1，MySQL4.1提供了數據庫支持。此外，還使用了諸如Spring，Hibernate，Struts，Dom4j，Log4j等免費軟件和技術。從軟件設計與軟件開發的角度看，電子商務安全管理軟件系統的設計規劃遵循了如下設計原則：
（1）電子商務安全管理軟件封裝了許多功能強大、易于使用的軟件功能模塊，對于統一安全接口標準研究十分必要。
（2）軟件的開發大量采用組件化、J2EE技術，獨立于操作系統與數據庫系統。軟件內部的模塊大量采用Bean，進行業務邏輯的封裝，可以方便利于網絡層的請求響應調用。
（3）系統采用XML文件格式來響應業務請求，這樣可以實現系統邏輯各層之間良好的通訊和接口。
（4）全面考慮電子商務安全的各種需求,設計統一的標準化的軟件結構,使各種網絡安全技術運行在軟件框架之下,共同保護電子交易安全。
（5）提供開放的API接口,這樣使其他公司的軟件產品可以輕易的集成到這個軟件系統平臺上。
3.2程序編碼
安全：安全模塊就像一個數據采集器；在電子商務安全控制中心中分析的所有HTTP信息都是通過安全模塊采集的。此外，安全模塊還負責在分析后將反應結果返回給用戶。開發安全模塊所使用技術：ServletFilter。
（1）認證授權模塊。身份驗證和授權認證模塊提供一種基于JAAS體系結構的認證解決方案。身份認證是用戶或計算設備用來驗證身份的過程，即確定一個實體或個人是否就是它所宣稱的實體或個人。授權確定了已認證的用戶是否能夠訪問他們所請求的資源或者執行他們所請求執行的操作。
（2）數據過濾模塊。數據過濾模塊實現兩種分析算法：模式匹配算法和行為建模算法。一種是基于誤用檢測算法的模式匹配，另一種是基于異常檢測算法的行為建模。
（3）協議過濾模塊。根據電子商務網站管理員的人工配置和HTTP協議細節執行協議過濾算法，針對于安全數據中出現的冗余信息、檢測出的缺失信息，以及異常信息分別進行安全分析，并且觸發相應的安全動作。
（4）安全監控模塊根據安全分析的結果與事先定義的安全動作，模塊采用相應的指定動作。此外，這個模塊將向安全模塊發送動作指令。如果發現黑客入侵，就隨時觸發“拒絕”動作，然后發送警告給應用程序的管理員。同時，將惡意的入侵請求存入到數據庫作為入侵分析的日志文件。因此，攻擊者將會收到一個出錯頁面或者請求被禁止的頁面。
（5）應用監控。應用監控模塊主要實現了對于訪問電子商務應用程序、安全模塊的應用配置和應用監控功能。實現了應用程序和電子商務安全管理軟件系統的動態配置、實時監控電子商務安全管理軟件系統的響應速度。
（6）加密解密模塊。加密解密技術對于用戶要傳輸的信息進行加密操作，可以有效地保護信息的安全。加密解密模塊的實現方案使用平臺通用開發包JCE(JavaTMCryptographyExtension)，它的加密解密算法的強度較高，算法靈活，適應于多種平臺，從而使得用戶的敏感信息可以得到更好的保護。提供完善的加密解密服務接口，提供密鑰管理功能，包括密鑰存儲、檢索和密鑰自動更新的功能，提高密鑰的安全性和保密措施。
內容摘要：3G時代的到來為移動電子商務提供了更加廣闊的發展前景和技術基礎，但是我國的移動電子商務仍處于起步階段，安全是制約這一新興商務模式發展的主要瓶頸。本文從移動電子商務的特點和優勢出發，分析了移動電子商務的安全威脅，并從技術上和管理上提出了相應的防范措施。
關鍵詞：移動電子商務 電子商務 信息安全
近年來，我國移動互聯網絡環境日漸成熟，配合智能手機和移動終端的快速發展，電子商務應用也有從互聯網向無線互聯網領域延伸之勢。據中國互聯網絡信息中心的調查顯示，截止2010年12月我國的手機網民達到3.03億人，巨大的用戶群體促使移動電子商務的普及。據百度統計數據顯示，2010年移動互聯網日瀏覽量已達10億，其中移動電子商務實物交易規模達到26億元，同比增幅高達370%。我國移動互聯網研究中心聯合百度無線、易查搜索、Opera、UC瀏覽器、企業移動應用商店等移動互聯網優勢產品及服務，成立了中國首個移動互聯網聯盟（簡稱移聯）。“‘移聯’作為一種不斷創新和完善的移動商務模式，有利地推動了中國移動電子商務發展”，商務部中國國際電子商務中心總經理丁強對"移聯"的成立給予了充分肯定。
移動電子商務（Mobile-Commerce）是通過手機、PDA（個人數字助理）等移動通信設備與互聯網有機結合進行的商務活動，它是無線通信技術和電子商務技術的有機統一體。移動電子商務因其靈活、簡單和方便等優勢，已經成為電子商務發展的新方向。
移動電子商務的優勢和特點
移動電子商務是對傳統電子商務活動的促進和補充，是電子商務引入移動性后的擴展。移動電子商務作為一種新興的電子商務模式，利用了移動無線網絡的諸多優點，極大的拓展了電子商務應用的范圍。
（一）移動性
傳統電子商務由于受到有線網絡和終端設備的限制，不具有移動服務的功能。而移動電子商務具有廣闊覆蓋的無線網絡和便攜的手持設備，消除了距離和地域的限制，移動供應商幾乎可以隨時隨地為移動用戶提供移動服務。對于旅行者和移動工作者而言，移動電子商務比局限于辦公室和其他固定位置的電子商務具有更多的商業機會，能夠實現隨時隨地為用戶提供個性化服務。
（二）位置感知
在傳統電子商務中，人們在互聯網創造的虛擬世界中進行商務活動，用戶可以忘記物理世界的距離，沒有位置的概念約束。而在移動電子商務中，位置是被著重強調的因素，位置感知被認為是一個產生價值的新維度。移動電子商務具有地理定位功能，可以確定用戶當前所在的位置，建立和加強客戶關系，為其提供位置相關的信息和服務。
（三）信息和交易的簡易性
傳統電子商務應用發達的互聯網和成熟的Web技術，使得大量信息的分發和搜索不受地理位置的限制，信息過載和不必要的通信在傳統電子商務環境下是可以忍受的。而在移動電子商務中，用戶需要高度個性化的信息，對信息和交易的相關性和簡易性要求較高。有數據表明，當手持設備每增加一次點擊時，交易的可能性將下降50%。
移動電子商務面臨的安全威脅
隨著移動網絡從2.5G到3G的演進和移動數據傳輸速率的提高，面向移動電子商務的業務領域得到了快速發展。無線信道是一個開放性的信道，它給移動電子商務帶來通信自由和靈活性的同時，也帶來了諸多不安全因素。
（一）技術方面的安全威脅
1.無線網絡本身的安全威脅。傳統的有線網絡是利用通信電纜作為傳播介質，這些介質大部分處于地下等比較安全的場所，因此中間的傳輸區域相對是受控制的。而在無線通信網絡中，所有的通信內容（如移動用戶的通話信息、身份信息、位置信息等）都是通過無線信道傳送的，無線信道是一個開放性信道，是利用無線電波進行傳播的，任何個人和組織不需要申請就可以進行通信。在無線網絡中的信號很容易受到攔截并被解碼，只要具有適當的無線接收設備就可以很容易實現無線竊聽，而且很難被發現。無線竊聽可以導致信息泄露，移動用戶的身份信息和位置信息的泄露可以導致移動用戶被無線跟蹤。這對于移動電子商務的信息安全構成了潛在威脅。
在無線通信網絡中，移動站與網絡控制中心以及其它移動站之間不存在固定的物理連接，移動站必須通過無線信道傳送用戶的身份信息。由于無線信道信息傳送過程可能被竊聽，當攻擊者截獲到一個合法用戶的身份信息時，他就可以利用這個信息來冒充該合法用戶的身份入網，訪問網絡資源或者使用一些收費通信服務等，這就是所謂的身份冒充攻擊。另外，攻擊者還可以假冒網絡控制中心，冒充網絡端基站來欺騙移動用戶，以此手段獲得移動用戶的身份信息，從而冒充合法的移動用戶身份。
2.無線網絡標準的安全漏洞。移動電子商務涉及到很多無線網絡標準，其中使用最廣泛的是實現手機無線訪問因Internet的WAP標準和構建WLAN(無線局域網 )的802.11標準。WAP中WTLS（無線傳輸層安全）協議僅僅加密由WAP設備到WAP 網關的數據，數據通過SSL傳送至網關上有短暫的時間處于明文狀態；802.11標準使用的WEP（無線等效協議）安全機制存在密鑰容易泄露且難以管理等缺陷；許多WLAN在跨越不同子網時往往不需要第二次的登陸驗證。這些缺陷容易造成數據攔截和竊取，給移動電子商務的應用帶來了很大的安全隱患 。
3.移動終端的安全。移動終端因為體積小、重量輕便于隨身攜帶和使用，但是也容易丟失和被竊。對個人而言，移動終端的丟失意味著別人將會看到移動設備上的數字證書，以及其他一些重要數據。利用存儲的數據，拿到移動終端的人可以訪問企業內部網絡，包括E-mail服務器和文件系統等。目前手持移動終端的最大問題就是缺乏對特定用戶的實體認證機制。
（二）管理方面的安全威脅
1.手機短信的安全管理。在移動通信給人們帶來便利和效率的同時，也帶來了很多煩惱，其中垃圾短信成為困擾用戶的主要因素。他們一般通過非正常渠道獲得一些發送手機短信價格十分低廉的短信卡，利用“短信貓”在短時間內向移動用戶密集發送垃圾短信，這類短信顯示的發送號碼都是正常的11位手機號碼，短信中誘惑性的文字可能會間接騙取用戶的金融資料。垃圾短信使得人們對移動電子商務充滿恐懼，不敢在網絡上使用自己的移動設備從事商務活動。目前還沒有相關的法律法規來規范垃圾短信，運營商也只是在技術層面上來垃圾短信的群發。
2.信息安全管理的標準化問題。目前移動電子商務產業剛剛起步，這個領域還沒有國際標準，我國也沒有自己的國家標準和統一管理機構。設備廠商在無線局域網設備安全性能的實現方式上各行其道，使得移動用戶既不能獲得真正等效于有線互聯網的安全保證，也難以在保證通訊安全的基礎上實現互通互聯和信息共享。由于沒有安全標準的評測依據，又缺乏有關信息安全的管理法規，主管部門很難對信息安全標準做出規范要求，這也為移動電子商務信息安全的審查和管理工作帶來了很大困難。
移動電子商務的安全防范
（一） 安全技術防范策略
1.藍牙技術的安全使用。藍牙技術是一種短距離無線通信技術，它能夠有效地簡化掌上電腦、筆記本電腦、移動電話等移動終端之間的通信，也能夠成功地簡化以上這些設備與Internet之間的通信，從而使這些現代化通信設備與Internet之間的數據傳輸變得更加迅速高效。
藍牙技術的3種不同的安全模式分別是無安全模式、服務層加強安全模式和鏈路層加強安全模式，每一個藍牙設備在特定的時候只能工作在一種安全模式下。藍牙特殊利益組織（SIG）花了相當多的時間，開發出安全模式作為鏈路層的保護機制，例如128位元加密、裝置認證以及授權等。若要達到最高的信任要求，應用開發商或者IT組織必須在鏈接層安全上增加應用安全，以便實現端到端的保護。藍牙裝置可以與經過認證的一方進行雙邊連接，或者永久性鏈接，這樣一來，受信賴的一方就不需要每次都要經過認證流程。
2.WVPN技術。WVPN（Wireless Virtual Private Network）即“無線虛擬專用網”，它可以在移動環境下接入企業的內聯網提供安全保證。WVPN能夠實現端到端的連接，從用戶的角度來看，端到端的WVPN 連接提供了最佳的安全性能。數據在WVPN 客戶端進行加密，在WVPN 服務器進行解密，數據在整個傳遞過程中都進行了加密處理。WVPN是VPN中的高效簡便和安全性與無線通信技術結合的產物，在移動電子商務上具有廣泛的應用前景。它提供鑒權、保密性、完整性等方面的服務，提供了端到端的最好安全性的連接。
3.WPKI技術。WPKI即“無線公開密鑰體系”，它是將互聯網電子商務中PKI（Public Key Infrastructure）安全機制引入到無線網絡環境中的一套遵循既定標準的密鑰及證書管理平臺體系，用它來管理在移動網絡環境中使用的公開密鑰和數字證書，有效建立安全和值得信賴的無線網絡環境。WPKI并不是一個全新的PKI標準，它是傳統的PKI技術應用于無線環境的優化擴展。它采用了優化的ECC橢圓曲線加密和壓縮的X.509數字證書。它同樣采用證書管理公鑰，通過第三方的可信任機構―認證中心（CA）驗證用戶的身份，從而實現信息的安全傳輸。
一個完整的WPKI系統必須具有以下部分：PKI客戶端、注冊機構（RA）、認證機構（CA）和證書庫以及應用接口等，其構建也將圍繞著這五大系統進行。CA作為數字證書的簽發機構，是WPKI系統的核心。RA提供用戶和CA之間的一個接口，作為認證機構的一個校驗者，在數字證書分發給請求者之前對證書進行驗證，它捕獲并認證用戶的身份，向CA提供證書請求，認證處理的質量決定了證書中被設定的信任級別。一個完整的WPKI必須提供良好的應用接口系統，使各種各樣的應用能夠以安全、一致、可信的方式與WPKI交互，確保安全網絡環境的完整性和易用性。
（二） 安全管理防范策略
1.加強短信息服務的管理。治理不良手機短信是一個系統的工作，只有運營商、短信服務商、手機用戶和政府共同參與，才能取得根本性的治理效果。首先要從準入環節加強管理。經營短信息服務業務，應當按照有關規定取得業務經營許可證。這也是加強短信息服務市場的重要舉措之一。各政府部門應當密切配合，在各自職責權限范圍內，對短信息服務加強監管。特別是通信行業主管部門，應當通過制定必要的規則來明確相關各方的權利和義務，加強日常的監督管理，真正保護廣大移動用戶的合法權益，進而保證移動電子商務活動安全順利進行。
2.加快安全管理標準化進程。要盡快制定符合我國國情的安全標準，為移動電子商務的安全管理提供依據。我國的移動電子商務起步較晚，安全技術力量薄弱，因此可以參考借鑒國際信息安全標準化的先進經驗，根據我國移動電子商務安全保障體系建設和信息安全標準化的需求，制定出適合我國國情的移動電子商務安全標準，為安全管理提供依據。移動電子商務安全主管部門要以安全標準化應用為主，加強對移動電子商務安全的組織領導，加大無線網絡及信息安全標準的宣傳貫徹實施力度，切實做好安全標準的推廣應用和監督檢查工作。同時由于信息安全的特殊性，國家必須強化信息安全標準的實施，保證我國信息安全標準的全面和有效落實。
綜上所述，要實現移動電子商務的安全，單靠純粹的技術防范是單薄無力的，安全管理策略的有效實施將使整個安全體系達到事半功倍的效果。只有技術和管理“雙管齊下”，才能為移動電子商務系統構筑堅不可破的安全防線。
參考文獻：
1.秦成德，王汝林.移動電子商務[M].人民郵電出版社，2010
2.梁少娥，蔡振治.3G時代我國移動電子商務的安全問題與應對措施[J].肇慶學院學報，2010(7)
論文摘要:電子商務是基于網絡盼新興商務模式,有效的網絡信息安全保障是電子商務健康發展的前提。本文著重分析了電子商務活動申存在的網絡信息安全問題,提出保障電子商務信息安全的技術對策、管理策略和構建網絡安全體系結構等措施,促進我國電子商務可持續發展。
隨著互聯網技術的蓬勃發展,基于網絡和多媒體技術的電子商務應運而生并迅速發展。所謂電子商務通常是指是在全球各地廣泛的商業貿易活動中,在因特網開放的網絡環境下,基于瀏覽器/服務器應用方式,買賣雙方不謀面地進行各種商貿活動,實現消費者的網購物、商戶之間的網上交易和在線電子支付以及各種商務活動和相關的綜合眼務活動的一種新型的商業運營模式。信息技術和計算機網絡的迅猛發展使電子商務得到了極大的推廣,然而由于互聯網的開放性,網絡安全問題日益成為制約電予商務發展的一個關鍵性問題。
一、電子商務網絡信息安全存在的問題
電子商務的前提是信息的安全性保障,信息安全性的含義主要是信息的完整性、可用性、保密和可靠。因此電商務活動中的信息安全問題豐要體現在以下兩個方面:
1 網絡信息安全方面
(1)安全協議問題。目前安全協議還沒有全球性的標準和規范,相對制約了國際性的商務活動。此外,在安全管理方面還存在很大隱患,普遍難以抵御黑客的攻擊。
(3)防病毒問題。互聯網的出現為電腦病毒的傳播提供了最好的媒介,不少新病毒直接以網絡作為自己的傳播途徑,在電子商務領域如何有效防范病毒也是一個十分緊迫的問題。
(4)服務器的安全問題。裝有大量與電子商務有關的軟件和商戶信息的系統服務器是電予商務的核心,所以服務器特別容易受到安全的威脅,并且一旦出現安全問題,造成的后果會非常嚴重。
2.電子商務交易方面
(1)身份的不確定問題。由于電子商務的實現需要借助于虛擬的網絡平臺,在這個平臺上交易雙方是不需要見面的,因此帶來了交易雙方身份的不確定性。攻擊者可以通過非法的手段盜竊合法用戶的身份信息,仿冒合法用戶的身份與他人進行交易。
(2)交易的抵賴問題。電子商務的交易應該同傳統的交易一樣具有不可抵賴。有些用戶可能對自己發出的信息進行惡意的否認,以推卸自己應承擔的責任。
(3)交易的修改問題。交易文件是不可修改的,否則必然會影響到另一方的商業利益。電子商務中的交易文件同樣也不能修改,以保證商務交易的嚴肅和公正。
二 電子商務中的網絡信息安全對策
1 電子商務網絡安全的技術對策
(1)應用數字簽名。數字簽名是用來保證信息傳輸過程中信皂的完整和提供信包發送者身份的認證,應用數字簽名可在電子商務中安全、方便地實現在線支付,而數據傳輸的安全性、完整,身份驗證機制以及交易的不可抵賴性等均可通過電子簽名的安全認證手段加以解決。
(2)配置防火墻。防火墻是在兩個網絡通訊時執行的一種訪問控制尺度,它能阻止網絡中的黑客來訪問你的網絡,防止他們更改、拷貝、毀壞你的重要信息。它能控制網絡內外的信息交流,提供接入控制和審查跟蹤,是一一種訪問控制機制。在邏輯,防火墻是一個分離器、限制器,能有效監控內部網和Intemet之間的任何活動,保證內部網絡的安全。
(3)應用加密技術。密鑰加密技術的密碼體制分為對稱密鑰體制和公用密鑰體制兩種。相應地,對數據加密的技術分為對稱加密和非對稱加密兩類。根據電子商務系統的特點,全面加密保護應包括對遠程通信過程中和網內通信過程中傳輸的數據實施加密保護。一般來說,應根據管理級別所對應的數據保密要求進行部分加密而非全程加密。
2、電子商務網絡安全的管理策略
(1)建立保密制度。涉及信息保密、口令或密碼保密、通信地址保密、日常管理和系統運行狀況保密、工作日記保密等各個方面。對各類保密都需要慎重考慮,根據輕重程度劃分好不同的保密級別,并制定出相應的保密措施。
(2)建立系統維護制度。該制度是電子商務網絡系統能否保持長期安全、穩定運行的基本保證,應由專職網絡管理技術人員承擔,為安全起見,其他任何人不得介入,主要做好硬件系統日常管理維護和軟件系統日常管理維護兩方面的工作。
(3)建立病毒防范制度。病毒在網絡環境下具有極大的傳染性和危害性,除了安裝防病毒軟件之外,還要及時升級防病毒軟件版本、及時通報病毒入侵信息等工作。此外,還可將剛絡系統中易感染病毒的文什屬性、權限加以限制,斷絕病毒入侵的渠道,從而達到預防的目的。
(4)建立數據備份和恢復的保障制度。作為一個成功的電子商務系統,應引對信息安全至少提供三個層而的安全保護措施:一是數據存操作系統內部或者盤陣中實現快照、鏡像;二是對數據庫及郵件服務器等重要數據做到在電子交易中心內的自動備份;三是對重要的數據做到通過廣域網專線等途徑做好數據的克隆備份,通過以上保護措施可為系統數據安全提供雙保險。
三 電子商務的網絡安全體系結構
電子商務的網絡信息安全不僅與技術有關,更與社會因素、法制環境等多方面因素有關。故應對電子商務的網絡安全體系結構劃分如下:1.電子商務系統硬件安全。主要是指保護電子商務系統所涉及計算機硬件的安全性,保證其可靠眭和為系統提供基礎性作用的安全機制。2.電子商務系統軟件安全。主要是指保證交易記錄及相關數據不被篡改、破壞與非法復制,系統軟件安全的目標是使系統中信息的處理和傳輸滿足整個系統安全策略需求。3.電子商務系統運行安全。主要指滿足系統能夠可靠、穩定、持續和正常的運行。4.電商務網絡安全的立法保障。結合我閣實際,借鑒國外先進網絡信息安全立法、執法經驗,完善現行的網絡安全法律體系。
關鍵詞：電子商務平臺；信息安全；檢查
中圖分類號：TP393 文獻標識碼：A 文章編號：1674-7712 （2013） 04-0036-02
一、引言
隨著我國網絡技術普及率的日益提高，通過網絡進行購物、交易、支付等的電子商務新模式發展迅速。電子商務憑借其低成本、高效率的優勢，不但受到普通消費者的青睞，還有效促進中小企業尋找商機、贏得市場，已成為我國轉變發展方式、優化產業結構的重要動力。
CNMC的最新報告顯示，截至2012年6月底，中國網民數量達到5.38億，互聯網普及率為39.9 % ，2012年上半年網民增量為2450萬，普及率提升1.6個百分點；其中網絡購物用戶規模達到2.1億，較2011年底增長8.2%[1] 。
電子商務平臺是電子商務的最重要的環節，因為不論是商家還是個人，只要是使用電子商務，就必須經由這個平臺進行交易，所以它的安全性就起了決定性的作用。目前國內的企業電子商務平臺的安全狀況良莠不齊，發展的優秀的企業如阿里巴巴等，不論是網絡環境、硬件設備還是管理制度，均考慮的很全面，排除了安全隱患；但許多中小電子商務企業由于剛剛起步，缺乏對安全技術的了解，安全產品的部署不到位，操作系統和應用系統軟件也存在漏洞，對企業內部員工的管理也不完善，保證不了電子商務平臺的安全。
二、電子商務平臺的信息安全檢查
電子商務平臺的信息安全問題，大致可分為技術和管理方面。所謂技術方面，是指通過各種黑客手段竊取企業的用戶ID、密碼以及相關的機密文件，甚至網絡銀行帳號、密碼等，給企業造成經濟損失。而管理方面則是指缺乏對參與電子商務過程中各個環節的人員的管理預防手段，最終導致的電子商務安全事件。針對這些安全問題，檢查工作也應從技術和管理分別開展。
（一）技術層面
1.網絡環境
電子商務平臺所依賴的網絡環境既是防御入侵的第一道屏障也是基礎的安全層面，如果設置不當不僅無法防范外部入侵甚至無法抵御來自內部的非授權訪問。檢查網絡環境的安全問題，主要檢查硬件防火墻、路由器、交換機、入侵檢測系統（IDS）等設備的安全配置等等。
（1）防火墻：訪問控制功能、安全審計、自身防護等等；
（2）路由器：身份鑒別、訪問控制、安全審計、是否支持VPN等等；
（3）交換機：身份鑒別、安全審計等等；
（4）入侵檢測系統：安全審計、監視攻擊、攻擊識別、響應等等。
2.服務器
服務器是實現電子商務的主機平臺。它決定了電子商務開展的效率、穩定性和安全。服務器由硬件環境、系統環境、數據庫組成。其各組成部分均和網絡安全息息相關。
（1）服務器硬件環境。服務器須具備抵御突發事故的能力，包括突然斷電、電磁干擾等，其保存的數據是否完整、正確等等。
（2）系統環境。檢查服務器上應用、服務、端口、鏈接以及系統補丁等情況，是否關閉了不必要的應用、服務、端口、鏈接；賬號口令強度和更新情況；病毒木馬防護措施，是否定期進行漏洞掃描、病毒木馬檢測等。
（3）數據庫。數據庫是電子商務的重要組成部分，其保存了客戶信息、產品信息、交易信息等，因而成為攻擊者竊取的目標。對數據庫進行加密是保障數據安全的重要手段。不僅對數據庫進行加密，還應對數據庫與服務器需要網絡通訊時的傳輸數據進行加密，避免信息監聽。
3.應用系統安全檢查
電子商務平臺的開發一般通過組建自己的團隊或外包進行開發，在開發過程中比較重視平臺的功能性，但安全性和可靠性卻常常被忽視，導致在平臺開發階段就存在安全漏洞或者后門，給平臺運營帶來隱患，因而需重點檢查應用平臺的安全問題。
4.交易過程的安全檢查
電子商務平臺最核心的部分就是交易，而企業電子商務安全最關鍵就是采取一定的措施保證交易過程的安全和可靠。
（1）第三方支付平臺。檢查網上支付采用安全的第三方支付平臺的情況。第三方支付平臺有兩類，一類是以支付寶、財付通為首的互聯網型支付企業，它們以在線支付為主，捆綁大型電子商務網站；一類是以銀聯電子支付、快錢、匯付天下為首的金融型支付企業，側重行業需求和開拓行業應用[2]。
（2）加密技術。利用加密技術可以保證電子商務交易的機密性、完整性、真實性和不可否認性。檢查采用加密技術對系統等進行保護的情況，使用的密碼技術產品及含有密碼技術的信息技術產品是否符合國家密碼管理規定。
（3）安全認證。檢查采用數字證書方式實現身份認證和授權管理的情況，使用的數字證書是否符合國家電子認證服務管理規定。
（4）安全協議。電子商務的運行還需要一套完善的安全交易協議，檢查采用主流的安全協議的情況，如：安全套接層協議（SSL）、安全電子交易協議（SET）、安全超文本傳輸協議（HTTPS）、安全交易技術協議（STT）等等。
（二）管理層面
1.信息安全管理組織
檢查企業是否建立電子商務信息安全管理組織。組織應包括安全決策機構、安全執行機構、安全顧問機構。
（1）檢查安全決策機構是否履行了建立管理框架，組織審批安全策略、安全管理制度，指派安全角色，分配安全職責，并檢查安全職責是否已被正確履行，核準新信息處理設施的啟用、組織安全管理專題會等職責。
（2）檢查安全執行機構是否履行了起草網絡系統的安全策略、執行批準后的安全策略、日常的安全運行和維護、定期的培訓和安全檢查等職責。
（3）檢查安全顧問機構是否履行了提供安全建議的職責，特別是在安全事故或違反安全策略事件發生后，是否被安全決策機構指定負責事故（ 事件） 調查，并為安全策略評審和評估提供意見。
2.信息安全管理制度
檢查企業是否制定了科學合理的電子商務信息安全管理制度。企業電子商務信息安全管理制度應包括人員安全管理制度、設備安全管理制度、運行安全管理制度、安全操作管理制度、應急維護制度、計算機病毒防范管理制度、敏感數據保護制度、安全技術保障制度、安全計劃管理制度等內容。
3.人員安全的管理和培訓
檢查企業的人員安全的管理和培訓制度，檢查內容應該包括：
（1）人員錄用時是否進行人員鑒別，人員錄用或人員職位調整時，是否簽署保密協議。人員到期離開或協議到期、工作終止時，是否審查保密協議。
（2）人員上崗前是否進行上崗培訓，建立人員培訓計劃，是否定期組織安全策略和規程方面的培訓。
（3）在崗位職責中是否明確本崗位執行安全政策的常規職責，對違反網上交易安全規定的人員是否進行及時的處理。
（4）是否明確了網上交易安全運作基本原則，包括職責分離、有效期限、最小權限、個人可信賴性等。
4.信息安全服務
檢查信息安全服務的合同、安全保密協議等文件，檢查信息安全服務機構的服務內容，是否有相應的服務記錄，是否有遠程在線服務等等。
三、結論
綜上所述，由于電子商務平臺自身的特殊性，政府應從技術和管理兩方面著手，參照信息安全等級保護和信息安全風險評估標準，制訂適合電子商務平臺的檢查規范和標準，依據這些規范、標準對互聯網上的電子商務平臺進行檢查，盡可能保證電子商務全過程的安全。
參考文獻：
[1]康宏燕，史露露.中國B2C電子商務發展現狀研究[J].現代經濟信息，2012（24）：2.
電子商務的基礎平臺是互聯網，電子商務發展的核心和關鍵問題就是交易的安全，由于Internet本身的開放性，使網上交易面臨著種種危險，也由此提出了相應的安全控制要求。
信息網絡面臨的安全威脅可以分為以下三種基本類型：黑客入侵、病毒破壞和預置陷阱。
黑客即Hacker音譯，專指對別人的計算機系統非法入侵者。而當今世界，隨著信息技術的廣泛普及，越來越多的人掌握了黑客技術，使黑客現象發生了質的改變。不少黑客專門搜集他人隱私，惡意篡改他人重要數據，進行網上詐騙、對他人網上資金帳戶盜竊，給社會及人們的生活帶來極大的破壞性。因此人們普遍認為黑客就是信息安全的最大威脅。
電子商務離不開計算機網絡,而病毒制造者通過傳播計算機病毒來蓄意破壞聯網計算機的程序、數據和信息，以達到某種非法目的。據不完全統計，目前全世界已發現的計算機病毒近6萬多種，且每月都會發現數百種新病毒和病毒變體。然而全球與互聯網聯網的主機節點正在越來越多，這樣一個強大的網絡群體造成了病毒極易滋生和傳播的環境，而病毒破壞成為企業開展電子商務的面臨的信息安全重大威脅。
預置陷阱是指在信息系統中人為地預設一些陷阱，以干擾和破壞計算機系統的正常運行。在對信息安全的各種威脅中，預置陷阱是危害最大、最難預防的一種威脅。一般分為硬件陷阱和軟件陷阱兩種。
電子商務的信息安全在很大程度上依賴于技術的完善，這些技術包括：防火墻技術、數據加密技術、數字簽名技術、數字時間戳技術等。
防火墻（Firewall）是近年來發展的最重要的安全技術，它的主要功能是加強網絡之間的訪問控制，防止外部網絡用戶以非法手段通過外部網絡進入內部網絡（被保護網絡）。它對兩個或多個網絡之間傳輸的數據包和鏈接方式按照一定的安全策略對其進行檢查，來決定網絡之間的通信是否被允許，并監視網絡運行狀態。
數據加密被認為是最可靠的安全保障形式，它可以從根本上滿足信息完整性的要求，是一種主動安全防范策略。數據加密就是按照確定的密碼算法將敏感的明文數據變換成難以識別的密文數據。通過使用不同的密鑰，可用同一加密算法，將同一明文加密成不同的密文。當需要時可使用密鑰將密文數據還原成明文數據，稱為解密。
數字簽名（Digital Signature）技術是將摘要用發送者的私鑰加密，與原文一起傳送給接收者。接收者只有用發送者的公鑰才能解密被加密的摘要。在電子商務安全保密系統中，數字簽名技術有著特別重要的地位，在電子商務安全服務中的源鑒別、完整、不可否認服務中都要用到數字簽名技術。
在電子商務交易的文件中，時間是十分重要的信息，是證明文件有效性的主要內容。在簽名時加上一個時間標記，即有數字時間戳（Digita Timestamp）的數字簽名方案：驗證簽名的人或以確認簽名是來自該小組，卻不知道是小組中的哪一個人簽署的。指定批準人簽名的真實性，其他任何人除了得到該指定人或簽名者本人的幫助，否則不能驗證簽名。
在傳統的商務環境下進行面對面的交易也存在著這樣那樣的安全風險，因此在電子商務活動中偶爾的信用卡密碼被盜、交易抵賴等情況也不足為奇。電子商務的安全性是相對的，但隨著電子商務的發展、計算機與網絡技術的不斷提高，以及各項網絡安全管理制度與立法的不斷完善，電子商務的安全性將會越來越高。
[關鍵詞]Agent 電子商務實驗室 安全設計
電子商務實驗室旨在建立一個Internet環境下的電子商務模擬環境，實現情景教學。若想成功地部署電子商務實驗室，必須解決三個關鍵問題：高可用性、伸縮性和安全性。而安全性是其中最重要的環節，因此本文主要對電子商務實驗室的安全性進行闡述。
一、電子商務實驗室的安全需求
本課題所設計的系統有七個實驗平臺組成，它們分別是：一般教學、B2C、C2C、B2B、物流實驗平臺，以及電子銀行和CA認證平臺。每個平臺相對獨立又有一定關聯，如B2C業務流程的完成需要結合CA認證、電子銀行和物流管理等，因此不同平臺安全需求也是多方面的。如何保證實驗室系統交易的安全性、對個人信息提供機密性保障、認證交易雙方的合法身份、如何保證數據的完整性和交易的不可否認性等，是實驗室所需解決的核心問題。
二、電子商務實驗室安全解決方案
當前，電子商務系統設計的架構大多采用B/S結構。B/S環境中各種安全功能都由服務器集中實現，因此服務器容易成為系統的安全瓶頸。服務器一旦被人入侵或出現問題，將對整個系統的安全造成嚴重的威脅。且不同子系統具有不同的安全需求，由服務器統一協調和處理它們之間的安全策略將大大加重服務器的負擔。
當前的大多數電子商務系統都采用了結合硬件防火墻、軟件防火墻和防病毒軟件等。這些措施只提供了被動的、有限的安全防范能力，并不能滿足多模塊、多子系統的電子商務實驗室的要求。并且這種解決方案缺少主動性和自我維護能力。
利用軟件Agent的智能處理能力來解決各模塊間的安全通信是一個很好的選擇，軟件Agent是一種計算機程序，具有反應性、自治性和目標性等特點，能夠獨立地跟環境進行交互或代表用戶完成給定的目標。它不僅能對各模塊的通信狀況進行高度監控，而且各Agent能多層面的獨立實現，各Agent之間也能相互協調、統一調度。
三、基于軟件Agent的電子商務實驗室安全設計
本人主持研究河北大學教改青年基金項目――基于LINUX的電子商務實驗室(項目編號為：0575)，此實驗室服務器連接校園網，校園網又和互聯網相連，因此服務器較容易成為被攻擊或入侵的對象，所以本系統利用Agent技術來提高實驗室的安全性。Agent可對用戶的請示進行過濾，減少用戶直接訪問實驗室服務器所帶來的安全風險，同時可更方便地實現一些動態的安全策略。
1.基于軟件Agent的安全設計模型
本實驗室的Agent體系設計是分層次、分等級的結構，層次或等級根據系統的功能來劃分，如圖1所示。
圖1 Agent的安全等級結構
每個平臺由一個安全監控Agent負責管理本平臺的安全，如有問題通知報警Agent，報警Agent會及時反饋給Agent安全管理中心的Agent進行相應處理，比如：退出登陸重新驗證身份等。身份認證Agent負責對訪問用戶進行身份驗證；授權Agent根據對已經通過身份認證Agent的用戶進行授權，不同類型的登陸用戶授權策略不同，實驗的角色不同，授權的策略也不同，比如，B2C實驗中，一位剛剛初始化的Customer（學生登錄身份），授權內容中將包括B2C的買方界面，并且授權Agent指示電子銀行模塊自動給實驗者初始資產一萬元作為實驗的資本，當然還有其他一些授權；跟蹤Agent將全程跟蹤用戶的操作并詳細記錄到日志文件。
2.軟件Agent的安全解決方案
移動Agent需要在不同的主機上遷移，實驗室服務器是LINUX環境，而客戶端往往是學生比較熟悉的windows操作環境，所以這里選擇跨平臺的J2EE開發本系統。J2EE不僅提供了一套安全機制，而且移動Agent中的許多功能在Java中有直接的對應實現。移動Agent狀態的移動可以用Java對象的串行化表示；Agent代碼的移動用字節碼傳遞和加載；Agent運行上下文可用方法的控制流表示等等，具體的方案有以下幾點：
(1)利用Java的字節碼驗證器保證Agent的正確性。字節碼驗證器可以檢測Agent的程序代碼是否被破壞，然后采取相應的措施。
(2)利用Java的類裝載器、命名空間和線程組來實現動態Agent的隔離。可以把從不同來源載入的類隔離到不同的命名空間中，一個Agent不可能用它自己的類冒名頂替另一Agent的類，這樣可以防止破壞性代碼訪問正常的代碼，從而保證了Agent之間的安全。另外，每當一個新Agent到達后，就為其建立一個線程組。任何執行該Agent的線程其組號是相同的。那么，只要為這個線程組分配權限，即為該Agent分配了權限，就實現了Agent與主機的隔離。
(3)采用數字簽名和加密算法實現Agent的傳輸與驗證。系統對外來的Agent的身份進行數字簽名驗證，確定其是否為可信Agent。同時還可以利用Java加密擴展機制和Java安全套接字擴展機制結合來實現將Agent代碼數據進行壓縮后加密處理，經過壓縮不僅降低了網絡流量，而且也大大增加了破譯該數據的難度。
3.軟件Agent的實現
本系統的軟件Agent的實現平臺采用Aglet。Aglet為開放源碼項目，用戶不用考慮侵權問題。Aglet完全由Java編寫，具有很高的移植性。Aglet包含了一個運行移動Agent的服務器和一套類庫，基于它開發者可以進一步開發各種Agent的應用。Aglet的系統架構主要分為四個階段，如圖2所示。
圖2 Aglet系統架構
當一個正在執行的Aglet將自己送到遠程端口時，會對Aglet Runtime層發出請求，然后把Aglet的狀態與程序代碼序列化(serialized )成字節數組(byte array)，若是請求成功，系統會將Aglet的執行動作結束，然后將序列化數組傳送至ATCI(Agent Transport and Communication Interface)層處理。
Agent安全管理中心統一管理各個安全Agent的基本行為：如產生（Create）、復制（Clone）Agents ，或分派（Dispatch）Agents 到遠端工作站、召回（Retract）遠端的Agents，或暫停（Deactive）、喚醒（Active）Agents，以及移除（Dispose）Agents等，如圖3所示，不管是何種Agent均繼承Aglet類，可以通過覆蓋父類的方法來實現自己的“特殊要求”。
圖3 Agent的對象模型
各監控Agent由管理中心分派到各個實驗平臺進行監控，等客戶端做完實驗后正常退出，然后移除Agent監控對象，如果出現安全問題，傳遞消息給報警Agent對象，再交由Agent管理中心負責進一步處理。
參考文獻:
[1]Jian Li,Guo-yin Zhang Gu, A Workflow System Based Architecture for Network Attack Resistant System,GCC2003, LNCS3032, pp.980～983,2004
[關鍵詞] 電子商務 安全 對策
隨著Internet和IT技術的迅猛發展，電子商務因其自身獨有的特點與優勢,逐漸成為進行商務活動的新模式,在人們的生活中也占據著日益重要的地位,但其安全問題也變得越來越突出。如何建立一個安全、快捷、便利的電子商務應用環境,對信息在網絡上的傳輸提供足夠的保護,已成為商家和用戶都非常關心的話題。
一、電子商務的定義
電子商務（E-business）是利用當前先進的電子技術從事各種商業活動的方式，其實質是一套完整的網絡商務經營及管理信息系統。更具體地說，它是利用計算機硬/軟件設備和網絡基礎設施，通過一定協議連接起來的電子網絡環境進行各種商務活動的方式。比如：網上銀行、網上營銷、網上客戶服務、網上調查等。
二、電子商務的基本特征
1.電子商務將傳統的商務流程電子化、數字化，減少了人力、物力，降低了成本，具有開放性和全球性的特點，為企業創造了更多的貿易機會。
2.電子商務重新定義了傳統的流通模式，減少了中間環節，使生產者和消費者不用謀面的網上交易成為可能，從而在一定程度上改變了社會經濟運行的方式、經濟布局和結構。
3.電子商務一方面突破了時間和空間的限制，另一方面又提供了豐富的信息資源，為各種社會經濟要素的重新組合提供了更多的可能，使得交易活動可以在任何時間、任何地點進行，從而大幅度提高了效率。
可見，電子商務的一個重要技術特征是利用網絡技術和IT技術來傳輸和處理商業信息的。就整個系統而言，其安全性可以分為四個層次。(1)網絡節點的安全性。(2)通訊的安全性。(3)應用程序的安全性。(4)用戶的認證管理。
三、網絡節點的安全性
1.防火墻的概念。在構建安全網絡環境的過程中，防火墻作為第一道安全防線，受到越來越多用戶的關注與青睞。防火墻是一個系統，主要用來執行Internet（外部網）和Intranet（內聯網）之間的訪問控制策略。它可為各類企業網絡提供必要的訪問控制，又不造成網絡的瓶頸，并通過安全策略控制進出系統的數據，保護企業資源。
2.防火墻安全策略。防火墻保護內部網絡的敏感數據不被竊取和破壞，并記錄內外通信的有關狀態信息日志，如通信發生的時間和進行的操作等。新一代的防火墻甚至可以阻止內部人員將敏感數據向外傳輸。設置了防火墻后，可以對網絡數據的流動實現有效的管理：如允許公司員工使用電子郵件、Web瀏覽以及文件傳輸等服務，但不允許外界隨意訪問公司內部的計算機，同樣還可以限制公司中不同部門之間的互相訪問。
可見，防火墻不僅僅是路由器、堡壘主機或任何提供網絡安全的設備組合，它還是安全策略的一個重要組成部分，其安全策略建立了全方位的防御體系來保護機構的信息資源，這種安全策略應包括：規定的網絡訪問、服務訪問、本地和遠地的用戶認證、撥入和撥出、磁盤和數據加密、病毒防護措施及管理制度等。所有可能受到網絡攻擊的地方都必須以同樣的安全級別加以保護。僅設置防火墻系統，而沒有全面、細致的安全策略，那么防火墻就形同虛設。
3.安全操作系統。安全的操作系統至少要有以下特征：(1)最小特權原則,即每個特權用戶只擁有能進行其工作的權力。(2)強制訪問控制，包括保密性訪問控制和完整性訪問控制。(3)安全審計和審計管理。(4)安全域隔離。
其次，防火墻是基于操作系統的，如果信息通過操作系統的后門繞過防火墻進入內部網，則防火墻就不起作用了。可見，安全是一個系統工程，操作系統安全只是其中的一個層次，還需要各個環節的配合，安全操作系統應該與各種安全軟、硬件結合起來（如防火墻、殺毒軟件、加密產品等），才能讓電子商務得到更廣泛的應用，確保系統信息的安全達到最佳狀態。
四、網絡通信的安全性
1.數據通信的安全。電子商務系統的數據通信主要存在于：（1)客戶瀏覽器端與電子商務WEB服務器端的通訊。（2)電子商務WEB服務器與電子商務數據庫服務器的通訊。
2.通信鏈路的安全。在客戶端瀏覽器和電子商務WEB服務器之間采用SSL（Secure Electronic Transaction,安全電子交易）協議建立安全鏈接，所需傳遞的重要信息都是經過加密的，這在一定程度上保證了數據在傳輸過程中的安全。為在瀏覽器和服務器之間建立安全機制，SSL首先要求服務器向瀏覽器出示它的證書，證書包括一個公鑰，由證書授權機構（CA中心）簽發。瀏覽器要驗征服務器證書的正確性，必須事先安裝簽發機構提供的基礎公共密鑰（PKI）。單純的建立SSL鏈接時，客戶只需用戶下載該站點的服務器證書。若驗證此證書是合法的服務器證書，再利用該證書對稱加密算法（RSA）與服務器協商一個對稱算法及密鑰，然后用此對稱算法加密將要傳輸的明文，此時瀏覽器也會出現進入安全狀態的提示。
五、應用程序的安全性
即使正確地配置了訪問控制規則，要滿足計算機系統的安全性，這些工作還是不充分的，因為編程錯誤也可能導致對系統的破壞與攻擊。
程序錯誤的常見形式：程序員忘記檢查傳送到程序的入口參數；程序員在處理字符串的內存緩沖時，忘記檢查邊界條件。整個程序都是在特權模式下運行，而不是只有有限的指令子集在特權模式下運行，其他的部分只有縮小的許可。程序員從這個特權程序使用范圍內建立一個資源，如一個文件和目錄，但不是顯式的設置訪問控制（最少許可）。若程序員認為這個缺省的許可是正確的，則這些缺點就可能被用到攻擊系統的行為中，不正確地輸入參數被用來騙特權程序做一些它本來不應該做的事情。
緩沖溢出攻擊就是通過給特權程序輸入一個過長的字符串來實現的，程序不檢查輸入字符串長度。輸入假字符串常常是可執行的命令，特權程序可以執行指令。
六、用戶的認證管理
1.身份認證。開展電子商務的關鍵核心技術是保密存儲與取出。電子商務企業用戶身份認證可以通過服務器CA證書與IC卡相結合來實現。CA證書用來認證服務器的身份，IC卡用來認證企業用戶的身份。個人用戶由于沒有提供交易功能，所以只采用ID號和密碼口令的身份確認機制。由于指紋具有惟一性，目前，指紋認證與網絡傳輸便廣泛的應用于銀行專用網、企業營銷網等各種商貿網絡，使電子商務具有更現實的可操作性。
2.CA證書。CA（Certificate Authority，即“認證機構”），是證書的簽發機構，它是PKI（Public Key Infrastructure，即“公開密鑰體系”）的核心。它要制定政策和具體步驟來驗證、識別用戶身份，并對用戶證書進行簽名，以確保證書持有者的身份和公鑰的擁有權。要在網上確認交易各方的身份及保證交易的不可否認性，便需要CA證書進行驗證。證書分為服務器證書和個人證書。建立SSL安全鏈接不需要一定有個人證書，驗證個人證書是為了驗證來訪者的合法身份。
CA也擁有一個證書（內含公鑰）和私鑰。網上的公眾用戶通過驗證CA的簽字從而信任CA，任何人都可以得到CA的證書（含公鑰），用以驗證它所簽發的證書。如果用戶想得到一份屬于自己的證書，應先向CA提出申請。在CA判明申請者的身份后，便為其分配一個公鑰，并且CA將該公鑰與申請者的身份信息綁在一起，為之簽字后，便形成證書發給申請者。如果一個用戶想鑒別另一個證書的真偽，可用CA的公鑰對那個證書上的簽字進行驗證，一旦驗證通過，該證書就被認為是有效的。
七、建立安全管理機制
為了確保系統的安全性，除了采用上述技術手段外，還必須建立嚴格的內部安全機制。對于所有接觸系統的人員，應按其職責設定其訪問系統的最小權限。
按照分級管理原則，嚴格管理內部用戶賬號和密碼，進入系統內部必須通過嚴格的身份確認，防止非法占用、冒用合法用戶賬號和密碼。建立網絡安全維護日志，記錄與安全性相關的信息及事件，有情況出現時便于跟蹤查詢。定期檢查日志，以便及時發現潛在的安全威脅。對重要數據要及時進行備份。對數據庫中存放的數據，數據庫系統應根據其重要性提供不同級別的數據加密。安全管理實際上是一種風險管理，任何措施都不能保證百分之百的安全。但安全技術的采用可降低系統遭到破壞、攻擊的風險，決定采用什么安全策略取決于系統的風險要控制在什么程度范圍內。隨著全球經濟一體化進程的加快，尤其是Internet技術、IT技術的迅猛發展及廣泛應用，我們的社會也已融入到電子商務時代的氣息當中，這是一個“以客戶為中心”的時代，企業的市場營銷及貿易往來都必須圍繞這個中心來進行。只有保證電子商務各個環節、各個方面的安全性與穩定性，才能為其正常運作提供有力的保證，才能為其自身迎來更廣闊的前景。
參考文獻：
關鍵詞：電子商務 風險管理 解決方法
隨著開放的互聯網絡系統Internet的飛速發展，電子商務的應用和推廣極大地改變了人們工作和生活方式，帶來了無限的商機。然而，電子商務發展所依托的平臺——互聯網絡卻充滿了巨大、復雜的安全風險。黑客的攻擊、病毒的肆虐等等都使得電子商務業務很難安全順利地開展；此外，電子商務的發展還面臨著嚴峻的內部風險，電子商務企業內部對安全問題的盲目和安全意識的淡薄，高層領導對電子商務的運作和安全管理重視程度不足，使得企業實施電子商務不可避免地會遇到這樣或那樣的風險。因此，在考察電子商務運行環境、提供電子商務安全解決方案的同時，有必要重點評估電子商務系統面臨的風險問題以及對風險有效管理和控制方法。
電子商務安全的風險管理是對電子商務系統的安全風險進行識別、衡量、分析，并在這基礎上盡可能地以最低的成本和代價實現盡可能大的安全保障的科學管理方法。
1.電子商務的內涵
1.1內涵
電子商務一詞源于英文 Electronic Commerce或 Electronic Business，現已經成為當代社會的潮流，其含義有兩個內容，其一，電子方式，其二，商貿活動，即整個商務過程的電子化、網絡化和數字化，交易雙方可以便捷卻并不面對面地進行各種商貿活動，利用這種快速、低成本的電子通訊方式，它將覆蓋與商務活動有關的方方面面。
針對人們對這個熱詞理解的不同，電子商務有廣義和狹義之分。廣義上說，電子商務是指利用一切電子方式所從事的貿易活動。電子方式指的是電子技術設備、電子技術工具及系統，包括早期的電報、電視、電話、傳真、Email、廣播、電子計算機、電信網絡和當今的電子貨幣、信用卡、網銀盾、信息基礎設施及互聯網等現代通信網絡系統。貿易活動則指的是一系列市場經濟活動，包括信息、詢價報價、洽談、簽約、結算支付、商業交易、國內外貿易等等。由于信息技術快速發展和計算機網絡的普及使電子商務得到廣泛地運用，從狹義上講，電子商務則是利用計算機網絡進行的商務活動。
1.2分類
目前，電子商務按交易內容基本分為直接電子商務和間接電子商務兩大類型。直接電子商務是指商家將服務產品和無形商品內容數字化，不需要某種特定物質形式的包裝，直接在網上以電子形式傳送給消費者，通過互聯網或專用網直接實現交易。間接電子商務又稱不完全的電子商務，指在網上進行的交易環節只能是訂貨、支付和部分的售后服務，而商品的配送還需依靠送貨的運輸系統等外部要素，即由專業的服務機構或現代物流配送公司去完成。
2.電子商務面臨的安全風險
2.1互聯網絡的開放化帶來的數據破壞風險
電子商務是以互聯網絡為平臺的貿易新模式，它的一個最大特點是強調參加交易的各方和所合作的伙伴都要通過Internet密切結合起來，共同從事在阿絡環境下的商業電子化應用。在電子商務環境下商務交易必須通過互聯網絡來進行，而互聯網體系使用的是開放式的TCP／IP協議，它以廣播的形式進行傳播。容易受到計算機病毒、黑客的攻擊，商業信息和數據易于搭截偵聽、口令試探和竊取，給企業的數據信息安全帶來極大威脅，如遭破壞或泄密，將會給電子企業、商戶造成巨大的損失。
2.2系統軟件安全漏洞帶來的風險
由于現階段廣泛應用的主流操作系統和數據庫管理系統是從國外引進直接使用的產品。核心技術還是使用引進的版本。這些系統安全性存在系統漏洞等不少危及信息安全的問題。系統軟件安全漏洞帶來的風險主要來自操作系統軟件和數據庫管理系統軟件的安全漏洞。沒有作系統的保護，就不可能有網絡系統的安全，也不可能有應用軟件信息處理的安全性。
2.3來自社會的外來入侵風險
電子商務容易被來自社會上的不法分子通過互聯網絡非法入侵，主要表現形式是黑客和病毒等對電子商務系統的文件和數據的篡改和破壞，是一種社會道德風險。黑客通過闖入他人計算機系統進行破壞，這些人利用電子商務系統和管理上的一些漏洞，進入計算機系統后，破壞或篡改重要數據，盜取機密與資源，控制他人的機器，清除記錄。設置后門，給電子商務系統帶來災難性的后果。而計算機病毒是人為編寫的一組程序，可以攻擊電子商務系統的數據區、文件和內存，以致使計算機的硬件失靈，軟件癱瘓。數據破壞，系統崩潰，給企業和商戶造成無法挽回的巨大損失。
2.4電子商務本身內部監管漏洞帶來的風險
電子商務本身如果缺乏約束機制，責權不明，管理混亂、安全管理制度不健全等是引起電子商務系統安全風險的頭號風險根源。如果沒有嚴格的可操作性的內部管理制度，容易造成當系統出現攻擊行為或受到其它一些安全威脅時（如內部人員的違規操作等），無法進行實時的檢測、監控、報告與預警，而且，當事故發生后，也無法提供黑客攻擊行為的追蹤線索及破案依據，即缺乏對系統的可控性與可審查性。
3.電子商務交易運行的風險
3.1信用風險
傳統商務交易一般使用以紙為介質形式的手寫簽名或證明文件等方式來證明或確認商務的交易，應該說比較容易辨認真偽，操作顯得比較容易。而在基于互聯網絡為交易平臺的電子商務形式下，參與商業交易均在互聯網上進行，雙方并不存在與傳
統商業模式的見面、磋商、談判、監證、簽署文件等問題，這就需要通過一定的技術手段相互認證，如數據加密技術、數字簽名、數字證書等技術來保證電子商務交易的安全。在電子商務環境下，由于電子報表、電子文件、電子合同等無紙介質的使用，無法使用傳統的簽字方式，從而在辨別真偽上存在新的風險，電子商務的成功與否取決于消費者對網上交易的信任程度，電子商務的信任風險實質是由網絡交易的虛擬化造成的，首先是買方信用風險。在網絡中個人可以任意偽造信息，可以偽造假信用卡騙取賣方商品。從而給賣方帶來風險。然后是賣方信用風險，由于信息不對稱的原因消費者不可能全部掌握商家商品信息。賣方商品信息不完全、不準確或商家過分誘導消費者從而誤導消費者購買行為；另外，賣家單方面毀約。不履行交易，也會對買方造成損失。所以電子商務應用過程中遇到的信用風險問題，是值得關注的問題。
3.2法律風險
電子商務在交易過程中存在法律風險，由于電子商務是在網絡間進行的，電子商務交易可以看作是無紙貿易，是一個虛擬環境的交易，當前對這些虛擬交易的法律監管卻并不完善，這些問題使得電子商務認證、交易會有不受法律保護的風險。另外，電子商務貿易還存在知識產權的風險，網絡是個開放的平臺，資源在網絡中的傳播是暢通的。在網絡中資源的共享性使得有知識產權的資源受保護的力度被降低，因此可能帶來電子商務交易的知識產權糾紛等法律的風險問題。
3.3電子商務風險管理
電子商務安全的風險管理（Risk Management）是對電子商務系統的安全風險進行識別、衡量、分析，并在此基礎上盡可能地以最低的成本和代價實現盡可能大的安全保障的科學管理方法。其本質就是防患于未然：事前加以消減和控制，事后積極響應和處理，為響應和處理所做的準備就是制訂應急計劃。
4.風險管理步驟
了解了電子商務存在的風險之后，需要對這些風險進行管理和控制。具體包括風險識別、風險分析、風險應對和風險監控4個過程。選擇有效的手段，以盡可能降低成本，有計劃地處理風險，以獲得企業安全運作的經濟保障。這就要求企業在日常經營過程中，應對可能發生的風險進行識別，預測各種風險發生后對資源及日常經營造成的消極影響，使企業能夠順利經營。
4.1 風險識別
對電子商務系統的安全而言，風險識別的目標主要是對電子商務系統的網絡環境風險、數據存取風險和網上支付風險進行識別。識別風險的方法有很多，主要有：試驗數據和結果、專家調查法、事件樹分析法。電子商務風險識別最常用的一種方法就是收集各種曾經發生過的電子商務攻擊事件（不僅局限于本企業），經過分析提取出若干特征，將其存儲到“風險”庫，作為識別潛在風險的參考。
4.2風險分析
風險分析的目的是確定每種風險對企業影響的大小，一般是對已經識別出來的電子商務風險進行量化估計。這里量化的概念主要指風險影響指標，風險概率以及風險值。技術安全是電子商務實現的基礎，其重要性不言而喻，因此在該項目規劃、計劃階段就應充分考慮。
4.3 風險應對（風險控制）
根據風險性質和企業對風險的承受能力制訂相應的防范計劃，即風險應對。確定風險的應對策略后，就可編制風險應對計劃。電子商務的技術風險控制主要是針對網絡環境風險、數據存取風險和網上支付風險制訂風險應對策略，從硬件、軟件兩方面加強IT基礎設施建設。
4.險監控
制定規劃，實施保護措施，在保護措施實施的每一個階段都要進行監控和跟蹤。風險貫穿于電子商務項目的整個生命周期中，因而風險管理是個動態的、連續的過程。因此制訂了風險防范計劃后，還需要時刻監督風險的發展與變化情況。
5.風險管理規則的制定
5.1評估階段
該階段的主耍任務是對電子商務的安全現狀、要保護的信息、各種資產等進行充分的評估以及一些基本的安全風險識別和分析。
對電子商務安全現狀的評估是制定風險管理規則的基礎。
對信息和資產的評估是指對可能遭受損失的相關信息和資產進行價值的評估，以便確定相適應的風險管理規則，從而避免投入成本和要保護的信息和資產的嚴重不匹配。
安全風險識別要求盡可能地發現潛在的安全風險，應收集有關各種威脅、漏洞、開發和對策的信息。
安全風險分析是確定風險，收集信息，對可能造成的損失進行評價以估計風險的級別，以便做出明智的決策，從而采取措施來規避安全風險。
5.2開發和實施階段
該階段的任務包括風險補救措施開發、風險補救措施測試和風險知識學習。 風險補救措施開發利用評估階段的成果來建立一個新的安全管理策略，其中涉 及配置管理、修補程序管理、系統監視與審核等等。
在完成對風險補救措施的開發后，即進行安全風險補救措施的測試，在測試過程中，將按照安全風險的控制效果來評估對策的有效性。
5.3運行階段
運行階段的主耍任務包括在新的安全風險管理規則下評估新的安全風險。這個過程實際上是變更管理的過程，也是執行安全配置管理的過程。運行階段的第二個任務是對新的或已更改的對策進行穩定性測試和部署。這個 過程由系統管理、安全管理和網絡管理小組來共同實施。
6.風險管理對策
由于電子商務安全的重要性，所以部署一個完整有效的電子商務安全風險管理對策顯得十分迫切。制定電子商務安全風險管理對策目的在于消除潛在的威脅和安全漏洞，從而降低電子商務系統環境所面臨的風險。
6.1縮短電子商務項目周期，增加更多的項目選擇
減輕電子商務風險的一個最簡單的方法就是縮短電子商務項目周期，因為電子商務所面臨的外界環境，如技術環境，競爭環境等變化太快，如果電子商務項目過大，即使你的項目本身成功了，但由于環境的改變，這個成功的電子商務項目未必能給企業帶來原先設想的利益。
6.2自上而下的風險意識
很多的企業認為，電子商務項目是個技術項目，只需要相關的技術部門參與就可以了。有調查顯示，大多數企業在進行電子商務化的過程中，缺乏高級管理層的重視，這也是電子商務項目成功率不高的原因。而對于成功的電子商務企業，往往在進行電子商務項目時，不僅受到企業決策層的高度關注，而且普通的員工也都非常清楚電子商務化的目標，這樣自上而下的對于電子商務知識的了解，也是這些公司成功運作電子商務的原因之一。所以對于將要從事電子商務的企業，不僅要讓全體員工了解電子商務的知識，而且要了解電子商務的風險，要形成一個自上而下的全員參與、全員重視的風險意識。
6.3改變企業內部運作流程
現在仍有很多企業認為電子商務無非就是建一個網站，所以這些企業在從事電子商務時，往往會遭遇失敗。電子商務給企業提供很好的機會改變其內部和外部商業運作流程，如果企業不改變其商業運作流程，而直接進入電子商務，不僅企業對電子商務的投資會失敗而且會影響到整個企業的聲譽。所以在企業加入電子商務行業前，一定要改造自己內部的運作流程，使之適應電子商務的要求。實行電子商務的商戶，在內部管理制度上應健全相應的規章制度，例如：制定制度來規范和約束員工的行為，根據其工作的重要程度，確定該系統的安全等級。制訂相應的機房出入管理制度對于安全等級要求較高的系統，要實行分區控制，限制工作人員出入與己無關的區域。對操作規程要根據職責分離和多人負責的原則，各負其責，不能超越自己
的管轄范圍；制訂完備的系統維護制度，對系統進行維護時。應采取數據保護措施。如數據備份等。另外制定人員激勵機制也很重要，應建立人員雇用和解聘制度。及時對工作人員進行評價，制定獎懲制度，調動工作人員的工作責任感和積極性。
6.4滾動的戰略計劃
電子商務時代的不確定性和快速變化，使得詳細的戰略經營計劃的作用越來越小。我們現在經常看到的是，電子商務企業有一個明確的五年計劃，其中第一年計劃較詳細，而其他年份則是較粗略的，因為在這些計劃實施的時間到來之前，環境可能已經發生變化了。這說明了確保五年目標具有相關性的滾動計劃的十分必要的，應當定期修改計劃來適應變化了的環境。當然，這種方法的實施也應具體問題具體分析，應當考慮各個企業所面臨的具體環境而有所不同。
6.5降低成本與實現可持續發展
電子商務的發展是大勢所趨，但電子商務在給企業帶來機遇的同時也產生了新的風險。正如在所有的風險管理當中一樣，我們考慮的是未來事件出現的不確定性和可能性；在電子商務中，這種不確定性甚至更大，這使得電子商務風險管理成為一項相當繁重的工作。因此要解決好電子商務的安全風險問題，應該針對問題的根源，采用一種綜合防范的思路，從多方面去認識，尋找解決方法，這對加快我國電子商務的發展有著重要的意義。
6.6加強技術保證，確保電子商務信息的安全
針對電子商務依靠互聯網絡平臺來開展的網絡開放性的特點，特別是要針對互聯網體系使用的是開放式的TCP／IP協議，給企業信息和數據安全帶來的極大威脅的安全隱患。對如何保障企業的信息數據和重大商業機密，是確保開展電子商務的企業的重要技術保障和前提條件，只有高度重視電子商務的信息安全，才能保證其運行安全，這就需要有強大的技術安全保障措施，不但要制定完善的技術保障措施，更要嚴格執行制度，才能確保電子商務信息的安全。例如：我們在企業內部網和互聯網之間要加一道防火墻，防止黑客或計算機病毒的襲擊。保護企業內部網中的機密商業信息數據。另外，利用現有的信息新技術將數字簽名技術應用于電子商務的身份認證，可以防止非法用戶假冒身份，從而保證電子支付的安全，增強電子商務信息的安全保障措施是電子商務順利開展的重要技術保障。
6.6.1加強電子商務網絡安全的開發及運用
目前電子商務的運作涉及信息、資金、商業秘密等安全問題，由于其電子數據具有無形化的特征，而有關認證機制或者網上安全技術均不夠完善，因此有必要對互聯網進行本質上的重新設計，使其保證電子商務活動的正常進行，這涉及到多方面的技術應用，如防木馬、防火墻、加密、認證等。面對電子商務網絡安全威脅，必須采取各種各樣的管理措施，滿足商務交易運行的安全性。
6.6.2建立電子商務的信用保障體系
電子商務交易模式與其他交易模式相比具有更多的風險，然而引起這些風險的原因還在于帶來這些風險的人的失信行為。消除這些風險的，需要一個第三方信用服務認證機構通過技術手段來幫助參與電子商務交易的各方提出解決方案，使風險降至最低。
6.6.3完善電子商務稅收征管機制
首先，出臺相應法律法規，扶持電子商務。我國應出臺相關的法律法規，鼓勵與扶持國內企業利用電子商務，并應堅持稅收中性原則，使企業對市場行為和貿易方式的選擇不受征稅影響。其次，借助計算機網絡，加快稅收征管改革。現在，電子商務發展迅速，交易的無紙化使得稅務機關必須改革以傳統的以紙質憑據作為納稅依據的征管制度，以便稅務機關稽查，做到稅收無紙化，提高效率，從而適應電子商務發展的要求。最后，加強與銀行等中介機構的信息確認，獲取真實可靠的征管信息。稅務機關應同銀行等中介機構合作，通過聯網獲取企業在電子商務平臺中交易的相關信息，對企業的資金流向實施有效監控，防止企業偷逃稅。
6.7加強復合型人才的培養
實現電子商務環境是當今全球經濟一體化、信息化時代的一種發展趨勢，重視復合型人才的培養是電子商務成功與否的決定因素。所謂電子商務的復合型人才是指要求電子商務管理人員既要有計算機知識，還要有管理理論和商務、金融、法律等知識。對電子商務管理人員進行培訓，通過學習現代電子網絡技術，將經濟、金融、法律、網絡有機地結合。對商務交易、金融活動的網絡化、數字化有比較深刻的認識，加深對電子商務環境下的風險認識和防范。從而提高員工適應電子商務的工作能力和創新能力，更好地開展電子商務這一新興的貿易模式。
結論
電子商務的開展以信息技術為基礎，如何解決電子商務中存在的安全問題已成為一個迫在眉睫的課題。電子商務風險是不可能完全消除的，因為它是與電子商務共生的，是電子商務的必然產物，但是，可以將風險限制在影響最小的范圍之內。只有了解風險，才能規避風險。本文從安全風險管理的角度出發，分析了電子商務中可能存在的技術風險，論述了這些風險的控制策略，希望對企業開展電子商務活動起到一定的積極作用電子商務作為一種新的交易方式，已成為我國經貿發展領域的主流力量，并將成為國際經貿合作的主要平臺。然而電子商務所存在的或將出現的風險問題是不可能完全消除的，它是伴隨電子商務的產生而出現的必然產物。由于電子商務風險在不同的應用領域所產生的危害程度各不相同，所以電子商務風險管理的目標是將其存在的風險所造成的影響盡可能控制最小的范圍之內。此外，無論是再好的安全措施也要有應對突發的安全問題的應急方案。最重要的是政府必須盡快制定并完善相關政策，適應高速發展的電子商務進程，確保電子商務交易的安全、透明、高效。
參考文獻
[1]調查報告編委會.1997-2009：中國電子商務十二年調查報告[EB/OL].http：//，2009-10-12.
[2]賈建華，闞宏.國際貿易理論與實務[M].修訂第四版.北京：首都經濟貿易大學出版社，2004：143-147.
[3]邱新泉.電子商務風險與對策研究.信息技術,155-156
[3] 劉偉江，王勇。電子商務風險及控制策略[J]．東北師范大學學報：
哲學社會科學版，2005，（11）。
[5] 高新亞，鄒靜.電子商務安全的風險分析和風險管理.武漢理工大學學報. 信息與管理工程版.2005.8
[6] 郭學勤，陳怡.電子商務安全對策.計算機與數字工程.2001.7 [7] 李晶.電子商務安全防范措施.安徽科技.2003.4
[7]彭連剛. 電子商務及其安全問題探析. 長沙航空職業技術學院學報 , 2005, (02)
[8]專業文獻資料
[關鍵詞] 電子商務系統評估
一、電子商務和電子商務系統
1.電子商務。電子商務（EC）是英文“Electronic Commerce”的中譯文。電子商務指的是通過簡單、快捷、低成本的電子通信方式，買賣雙方不謀面地進行的各種商務活動。由于電子商務擁有巨大的商機，從傳統產業到專業網站都對開展電子商務有著十分濃厚的興趣，電子商務熱潮已經在全世界范圍內興起。電子商務內容包括兩個方面：一是電子方式；二是商務活動。
2.電子商務系統。電子商務系統涉及企業的各個方面，是一個綜合的系統，電子商務系統主要有以下幾個部分組成:(1）電子商務基礎平臺。包括負荷均衡、連接/傳輸管理、網站管理、數據管理、事務管理和安全管理等部分。(2）企業內部信息系統。包括企業內部MIS、EDP和DDS等子系統。(3)電子商務服務平臺。包括支付網關接口、客戶關系管理、內容管理、認證中心接口、搜索引擎和商務智能工具等。(4)電子商務應用系統。電子商務應用系統以實現企業的商務目的為目標，使用各種與Internet有關的技術手段，在Web上建立起自己的電子商務應用系統，是電子商務系統的核心。電子商務應用系統是應用開發人員根據企業的特定應用背景和需要而開發出來的，對企業的電子商務活動提供具體的支持。(5)電子商務應用平臺。電子商務應用平臺直接面對電子商務系統的最終用戶，建立在電子商務系統的頂層。電子商務系統平臺以Web服務器為核心。作用一是作為與用戶的接口，接受用戶的各種請求，并將用戶的請求傳遞給應用系統;二是將應用系統的結果以不同的形式表達，將其提供給不同的用戶形象終端（個人電腦、個人數字助理、掌上電腦、無線移動通訊設備等）。(6)安全保障環境。主要包括安全體系、安全策略和安全措施等。安全策略負責電子商務系統的安全提高,是企業保障電子商務系統安全的指導原則;安全體系利用各種安全手段設置安全防線、防范各種非法訪問和攻擊,安全體系需要各種必需的設備和關鍵技術。
二、電子商務系統評估關注的主要因素
1.市場關注程度:是分析企業目前乃至將來經營情況的基礎性數據。
2.經營情況分析:分析成本、盈利水平和投資回報是否達到規劃的目標。
3.市場份額和推廣能力:市場份額的大小和推廣能力的強弱是企業經營發展的重要數據。
4.系統的安全性評估:系統的安全性是電子商務企業生存和發展的基礎，系統安全的高低是客戶選擇企業的重要依據之一。
三、電子商務系統評估的原則
1.科學性:根據系統評估的目標，科學地制定系統評估方案和適用方式，以使系統評估結果科學合理。
2.客觀性:要以詳實的數據為依據進行系統評估，預測、推理和邏輯判斷應當建立在現實的基礎上。
3.獨立性:系統評估機構和評估人員必須始終堅持獨立的第三方原則，不能與被評估的電子商務系統有任何利益關系，要不受外界任何影響和干擾。
四、電子商務系統的評估指標
1.技術性評估指標。電子商務系統評估的技術性指標主要有以下幾項:（1）電子商務系統的設計評估:對其內容的豐富性和創意進行評估。（2)電子商務系統的技術應用評估:主要評估其新技術應用的多少，以及技術應用是否合理。（3)電子商務系統的安全性評估:主要評估其能否保證電子商務的安全。(4)電子商務系統的可操作性評估：主要評估其操作是否簡單、方便和快速。
2.經濟性評估指標。 電子商務系統評估的經濟性指標主要包括流動比率、速動比率、營業周期、存貨周轉天數、應收賬款周轉天數、總資產周轉率、流動資產周轉率、資產負債率、銷售凈利率和資產凈利率等指標。經濟評估最能直接反映電子商務系統給企業帶來的經濟效益。
3.社會性評估指標。電子商務社會性評估指標主要包括注冊量、點擊率、訪問量、客戶的忠誠度、實際訪問量、日均訪問客流量、服務質量統計分析、日人均瀏覽時間等。
五、電子商務系統評估的主要方式
電子商務系統的評估是一項系統工程，需要專業知識和技術作為支持，目前電子商務系統評估的主要方式有以下幾種：
1.委托國內外權威專業評估機構進行評估。國內外的一些權威專業評估機構不但具有比較先進的評估方法和設備、而且擁有一支具有豐富評估經驗的專業評估人員隊伍，他們能夠站在比較公正的立場來進行電子商務系統的評估，得出比較客觀、公正的評估結果，但是評估費用往往比較高。
2．權威機構網站評比活動。國內外諸如中國互聯網絡信息中心（CNNIC）的一些權威網站管理機構，會定期不定期地進行網站經營狀況的統計和評比。
3．客戶評估。客戶評估是針對客戶對企業電子商務系統的滿意情況的定性評估，客戶評估采取向客戶發送包括所需評價項目的網上調查表，以有獎的形式收集客戶的意見。然后由管理人員自己對獲得的反饋信息進行統計分析。客戶的評價一般是比較真實可信并且也是很全面的。
4.自我評估。自我評估是指企業自己組織進行自我評估或者利用專業評估機構提供的評估系統進行的自我評估。自我評估與委托權威專業機構進行評估相比，自我評估有保密性好、成本較低和使用方便等優點;但是使用評估系統進行評估也存在適應性差的不足。
參考文獻:
[1]趙乃真:電子商務萬事通.北京:人民郵電出版社,2001.4
[2]鐘強章建新:電子商務概論.北京:清華大學出版社,2003.7
[3]陳國龍等:電子商務學概論.廈門:廈門大學出版社,2002.10
