時間：2023-08-15 09:27:38
序論：速發表網結合其深厚的文秘經驗，特別為您篩選了11篇電子商務安全管理策略范文。如果您需要更多原創資料，歡迎隨時與我們的客服老師聯系，希望您能從中汲取靈感和知識！
商業銀行從事金融業務面臨著市場風險、信用風險、以及操作風險等，而電子商務的出現則加劇了上述各類風險發生的可能性以及風險發生之后的破壞程度。2004年以來，我國面臨的網絡仿冒威脅正在逐漸加大，仿冒對象主要是金融網站和電子商務網站。2005年上半年共收到網絡安全事件報告65679件，超過2004年全年案件數，商業銀行電子商務安全風險管理策略已成為理論與實踐中必須重視的課題。
一、信息安全管理的歷史演進與現階段的特點
信息安全管理的策略大體遵循事件驅動(技術和管理脫節)－逐漸標準化(技術和管理逐漸結合)——安全風險管理(引入了風險分析)的發展路徑。
(一)以事件驅動的初級階段時期
19世紀70年代安全主要是指物理設備和環境的安全，人與計算機之間的交互主要局限在大型計算機上的啞終端，安全問題只涉及能訪問終端的少數人。安全管理策略處于初級階段，由事件驅動，沒有形成規范的管理流程。在此階段的前期，只重視技術手段。后期開始重視管理手段，但是技術和管理之間脫節。許多組織對信息安全制定了相應的規章和制度，但組織的信息安全管理基本上還處在一種靜態、局部、少數人負責、突擊式、事后糾正式的管理方式。
(二)標準化時期
企業開始將安全問題作為整體考慮，形成一套較為完整的安全管理策略，其中包括了安全管理的技術手段和管理制度(或稱運作管理)。幾乎所有從事電子商務的企業都擁有自己的安全策略，內容也包括了技術手段、安全管理制度、人員安全教育等等，基本上形成體系，技術和管理手段綜合統一，但是安全風險分析還存在不足之處。
(三)安全風險管理策略時期
隨著電子商務安全管理發展到一個比較高的層次，安全管理策略也演進到安全風險管理階段。主要特點如下：
1.安全風險管理成為主流趨勢；在安全管理策略的演進過程中，技術和管理手段綜合統一、又融入了風險管理的分析、防范策略，從而安全管理進入了安全風險管理時期。西方商業銀行已對安全風險管理形成共識。如安氏公司(is—One)，認為信息安全問題最終將歸結為風險管理問題，風險管理方法是建立良性的安全技術和管理體系的依據和基礎。
2.安全風險管理的國際標準和各國的規范逐漸形成并趨于完善。國際上關于安全風險管理的標準有巴塞爾銀行監管委員會的《電子銀行業務風險管理原則》、英國標準協會制訂的BS7799等。各國也日益重視安全風險管理，制定了許多規范。例如美國貨幣監理署(OCC)的《電子銀行最終規則》、香港金融管理局的《電子銀行服務的安全風險管理》等。中國銀行業監督管理委員也于2006年頒布了《電子銀行業務管理辦法》，對國內企業的電子商務安全風險管理給出了指導意見。
3.利用外部專業化機構對金融機構的安全性評估已成為大部分國家的選擇。電子銀行面臨的安全和技術風險，在相當程度上取決于采用的信息技術的先進程度，系統的設計開發水平，以及相關設施設備及其供應商的選擇等；銀行依靠傳統的風險管理機制已很難識別、監測、控制和管理相關風險。同樣，監管機構也難以完全依靠自身的力量對電子銀行的安全性進行準確評價和監控。因此，大部分國家都采用了依靠外部專業化機構定期對電子銀行安全性進行評估的辦法，加強對電子銀行安全性和技術風險的管理和監管。
4.在許多國家信息系統審計(IsAudit)作為一種信息技術服務被廣泛提供，許多知名的咨詢公司都提供類似的信息審計服務。業界的IT風險分析師也成為一種職業，專門從事電子商務的安全風險工作，從經濟學的角度出發分析風險，充分衡量保持安全的代價和收益之間的關系，尋求用最小的代價實現最大的效用，在風險分析中也形成一套較為成熟的模式。
二、我國商業銀行電子商務安全風險管理策略的薄弱點
(一)系統管理思想缺乏
目前的電子商務安全風險管理策略，在全局上缺乏系統論理論的指導，在實際操作中受到多種多樣的安全攻擊時會不可避免地出現安全漏洞，無法形成一張全面有序的安全網絡。
實踐中被采用的安全風險管理策略，以及作為指導意見的規則規范，如《信息安全管理實務準則》(IS017799)、《信息技術安全性評估準則》(GB／T18336．1)、巴塞爾銀行監管委員會的《電子銀行業務風險管理原則》，盡管提出了比較全面的安全風險管理方案，層次上也比較清晰，但是還不足以作為一個風險防范系統。實踐中，電子商務組織是一個復雜的系統組織，電子商務的安全風險管理體系和過程也是個復雜的系統。系統論、控制論的思想在電子商務安全風險管理中是不可或缺的。
(二)風險分析的模型與方法不成熟，定量分析不足
電子商務模式自身的發展歷史也不過20幾年，在風險分析的定量技術上并不成熟；如BS7799中推薦的電子商務安全風險管理中實施風險評估時，往往將威脅發生的可能性定性劃分為幾個級別，將威脅所造成的影響也定性劃分為1～5級，實質上是將一些按照概率發生的事件定義為不連續的幾個級別，在操作上易行，但造成了度量的不精確。在進行監控和審計之后，也存在無法量化、對比的問題。
(三)忽視與原有的傳統風險管理策略的結合
本質上，電子商務的安全風險無非是新興的商業模式對傳統的風險的改變，以及產生的在傳統風險控制領域暫時無法明晰的新風險；現有管理策略只從信息技術的角度、或者從偏重技術的角度看待問題，站在金融領域本身來分析研究較少。這種狀況導致了對電子商務安全風險管理的研究無法立足于一個比較高的層次；忽略了風險的整體性，只進行偏信息和技術的研究，導致了現有的電子商務安全風險管理策略與金融機構原有的傳統業務風險管理策略存在差距。對于商業銀行而言，傳統金融業務的風險控制與電子商務的技術風險控制，兩個方面存在脫節，同樣屬于商業銀行的風險，存在著不同的管理策略，導致多頭管理、資源浪費、機構之間的扯皮，乃至缺位管理。
(四)風險管理策略無法依賴外部的信息安全管理行業
在發達國家，信息系統審計(IsAudit)作為一種信息技術服務被廣泛提供，許多知名的咨詢公司都提供類似的信息審計服務。IT風險分析師也成為一種職業，專門從事電子商務的安全風險工作。商業銀行采用依靠外部專業化機構定期對電子銀行的安全性進行評估的辦法，提高對電子銀行安全性和技術風險的管理和監管。而國內初步建立了國家信息安全組織保障體系，制定和引進了一批重要的信息安全管理標準、法律法規，風險評估工作得到了一定重視，但與發達國家成熟完善的外部信息安全管理行業仍有很大差距。
(五)風險管理策略中商業銀行的內部風險控制能力薄弱
我國商業銀行目前均建立起統一的風險管理部門；但風險控制部門的職能、權限與花旗銀行等體制較為先進的銀行相比仍然存在較大差距，風險控制實質上仍然分散在各個子部門；風險的評估、防范與控制實質上完全依靠商業銀行的電子交易部門；風險管理部門、內審稽核部門實質上無法控制電子商務安全風險。例如，風險管理部門接受了電子交易部的風險控制報告，表面上履行的內控審核的流程，但審核作用有限，無法完成電子商務安全風險管理中的監控與審計環節。
三、商業銀行的電子商務安全風險管理策略的改進建議
(一)基于系統的思想構建商業銀行電子商務安全風險管理策略框架
利用系統理論作為總體的指導思想，將電子商務安全風險管理策略本身當作一個開放的自適應系統。將商業銀行電子商務安全風險管理中的各個環節組成循環上升的系統。
在商業銀行電子商務安全風險控制的流程中，經過信息安全的風險評估、資產識別和選擇、實施控制降低風險的措施、將風險控制在可接受的范圍內，然后進行監控和審計；尤其重要的是把監控和審計所得到的內容作為新一輪風險分析輸入，從而開始新一輪的風險管理過程。商業銀行電子商務安全風險管理的各個步驟為動態的循環系統。每完成一個循環，安全風險管理的有效性就上一個臺階，商業銀行的安全管理水平變得到了提高。
(二)電子商務安全風險管理中定量分析中的改進思路
商業銀行可以借鑒成熟的傳統金融風險度量中的一些方法來改變電子商務安全風險管理中對資產進行粗略的優先級別排序的方法。實踐中，商業銀行對操作風險的管理與對電子商務安全風險管理有其相似之處。巴塞爾委員會對商業銀行的操作風險的內部計量法中規定，商業銀行內部估計風險敞口指標、損失事件發生的概率、風險損失，巴塞爾委員會制定資本要求的轉換系數；在度量損失的分布時，主要利用統計和精算技術。商業銀行應通過數據庫將威脅發生的頻率、威脅所造成的影響等精確記錄下來，利用現有的度量方法進行精確的風險定量分析的嘗試。
商業銀行從事金融業務面臨著市場風險、信用風險、以及操作風險等，而電子商務的出現則加劇了上述各類風險發生的可能性以及風險發生之后的破壞程度。2004年以來，我國面臨的網絡仿冒威脅正在逐漸加大，仿冒對象主要是金融網站和電子商務網站。2005年上半年共收到網絡安全事件報告65679件，超過2004年全年案件數，商業銀行電子商務安全風險管理策略已成為理論與實踐中必須重視的課題。
一、信息安全管理的歷史演進與現階段的特點
信息安全管理的策略大體遵循事件驅動(技術和管理脫節)－逐漸標準化(技術和管理逐漸結合)——安全風險管理(引入了風險分析)的發展路徑。
(一)以事件驅動的初級階段時期
19世紀70年代安全主要是指物理設備和環境的安全，人與計算機之間的交互主要局限在大型計算機上的啞終端，安全問題只涉及能訪問終端的少數人。安全管理策略處于初級階段，由事件驅動，沒有形成規范的管理流程。在此階段的前期，只重視技術手段。后期開始重視管理手段，但是技術和管理之間脫節。許多組織對信息安全制定了相應的規章和制度，但組織的信息安全管理基本上還處在一種靜態、局部、少數人負責、突擊式、事后糾正式的管理方式。
(二)標準化時期
企業開始將安全問題作為整體考慮，形成一套較為完整的安全管理策略，其中包括了安全管理的技術手段和管理制度(或稱運作管理)。幾乎所有從事電子商務的企業都擁有自己的安全策略，內容也包括了技術手段、安全管理制度、人員安全教育等等，基本上形成體系，技術和管理手段綜合統一，但是安全風險分析還存在不足之處。
(三)安全風險管理策略時期
隨著電子商務安全管理發展到一個比較高的層次，安全管理策略也演進到安全風險管理階段。主要特點如下：
1.安全風險管理成為主流趨勢；在安全管理策略的演進過程中，技術和管理手段綜合統
一、又融入了風險管理的分析、防范策略，從而安全管理進入了安全風險管理時期。西方商業銀行已對安全風險管理形成共識。如安氏公司(is—One)，認為信息安全問題最終將歸結為風險管理問題，風險管理方法是建立良性的安全技術和管理體系的依據和基礎。
2.安全風險管理的國際標準和各國的規范逐漸形成并趨于完善。國際上關于安全風險管理的標準有巴塞爾銀行監管委員會的《電子銀行業務風險管理原則》、英國標準協會制訂的BS7799等。各國也日益重視安全風險管理，制定了許多規范。例如美國貨幣監理署(OCC)的《電子銀行最終規則》、香港金融管理局的《電子銀行服務的安全風險管理》等。中國銀行業監督管理委員也于2006年頒布了《電子銀行業務管理辦法》，對國內企業的電子商務安全風險管理給出了指導意見。
3.利用外部專業化機構對金融機構的安全性評估已成為大部分國家的選擇。電子銀行面臨的安全和技術風險，在相當程度上取決于采用的信息技術的先進程度，系統的設計開發水平，以及相關設施設備及其供應商的選擇等；銀行依靠傳統的風險管理機制已很難識別、監測、控制和管理相關風險。同樣，監管機構也難以完全依靠自身的力量對電子銀行的安全性進行準確評價和監控。因此，大部分國家都采用了依靠外部專業化機構定期對電子銀行安全性進行評估的辦法，加強對電子銀行安全性和技術風險的管理和監管。
4.在許多國家信息系統審計(IsAudit)作為一種信息技術服務被廣泛提供，許多知名的咨詢公司都提供類似的信息審計服務。業界的IT風險分析師也成為一種職業，專門從事電子商務的安全風險工作，從經濟學的角度出發分析風險，充分衡量保持安全的代價和收益之間的關系，尋求用最小的代價實現最大的效用，在風險分析中也形成一套較為成熟的模式。
二、我國商業銀行電子商務安全風險管理策略的薄弱點
(一)系統管理思想缺乏
目前的電子商務安全風險管理策略，在全局上缺乏系統論理論的指導，在實際操作中受到多種多樣的安全攻擊時會不可避免地出現安全漏洞，無法形成一張全面有序的安全網絡。
實踐中被采用的安全風險管理策略，以及作為指導意見的規則規范，如《信息安全管理實務準則》(IS017799)、《信息技術安全性評估準則》(GB／T18336．1)、巴塞爾銀行監管委員會的《電子銀行業務風險管理原則》，盡管提出了比較全面的安全風險管理方案，層次上也比較清晰，但是還不足以作為一個風險防范系統。實踐中，電子商務組織是一個復雜的系統組織，電子商務的安全風險管理體系和過程也是個復雜的系統。系統論、控制論的思想在電子商務安全風險管理中是不可或缺的。
(二)風險分析的模型與方法不成熟，定量分析不足
電子商務模式自身的發展歷史也不過20幾年，在風險分析的定量技術上并不成熟；如BS7799中推薦的電子商務安全風險管理中實施風險評估時，往往將威脅發生的可能性定性劃分為幾個級別，將威脅所造成的影響也定性劃分為1～5級，實質上是將一些按照概率發生的事件定義為不連續的幾個級別，在操作上易行，但造成了度量的不精確。在進行監控和審計之后，也存在無法量化、對比的問題。
(三)忽視與原有的傳統風險管理策略的結合
本質上，電子商務的安全風險無非是新興的商業模式對傳統的風險的改變，以及產生的在傳統風險控制領域暫時無法明晰的新風險；現有管理策略只從信息技術的角度、或者從偏重技術的角度看待問題，站在金融領域本身來分析研究較少。這種狀況導致了對電子商務安全風險管理的研究無法立足于一個比較高的層次；忽略了風險的整體性，只進行偏信息和技術的研究，導致了現有的電子商務安全風險管理策略與金融機構原有的傳統業務風險管理策略存在差距。對于商業銀行而言，傳統金融業務的風險控制與電子商務的技術風險控制，兩個方面存在脫節，同樣屬于商業銀行的風險，存在著不同的管理策略，導致多頭管理、資源浪費、機構之間的扯皮，乃至缺位管理。
(四)風險管理策略無法
依賴外部的信息安全管理行業
在發達國家，信息系統審計(IsAudit)作為一種信息技術服務被廣泛提供，許多知名的咨詢公司都提供類似的信息審計服務。IT風險分析師也成為一種職業，專門從事電子商務的安全風險工作。商業銀行采用依靠外部專業化機構定期對電子銀行的安全性進行評估的辦法，提高對電子銀行安全性和技術風險的管理和監管。而國內初步建立了國家信息安全組織保障體系，制定和引進了一批重要的信息安全管理標準、法律法規，風險評估工作得到了一定重視，但與發達國家成熟完善的外部信息安全管理行業仍有很大差距。
(五)風險管理策略中商業銀行的內部風險控制能力薄弱
我國商業銀行目前均建立起統一的風險管理部門；但風險控制部門的職能、權限與花旗銀行等體制較為先進的銀行相比仍然存在較大差距，風險控制實質上仍然分散在各個子部門；風險的評估、防范與控制實質上完全依靠商業銀行的電子交易部門；風險管理部門、內審稽核部門實質上無法控制電子商務安全風險。例如，風險管理部門接受了電子交易部的風險控制報告，表面上履行的內控審核的流程，但審核作用有限，無法完成電子商務安全風險管理中的監控與審計環節。
三、商業銀行的電子商務安全風險管理策略的改進建議
(一)基于系統的思想構建商業銀行電子商務安全風險管理策略框架
利用系統理論作為總體的指導思想，將電子商務安全風險管理策略本身當作一個開放的自適應系統。將商業銀行電子商務安全風險管理中的各個環節組成循環上升的系統。
在商業銀行電子商務安全風險控制的流程中，經過信息安全的風險評估、資產識別和選擇、實施控制降低風險的措施、將風險控制在可接受的范圍內，然后進行監控和審計；尤其重要的是把監控和審計所得到的內容作為新一輪風險分析輸入，從而開始新一輪的風險管理過程。商業銀行電子商務安全風險管理的各個步驟為動態的循環系統。每完成一個循環，安全風險管理的有效性就上一個臺階，商業銀行的安全管理水平變得到了提高。
(二)電子商務安全風險管理中定量分析中的改進思路
商業銀行可以借鑒成熟的傳統金融風險度量中的一些方法來改變電子商務安全風險管理中對資產進行粗略的優先級別排序的方法。實踐中，商業銀行對操作風險的管理與對電子商務安全風險管理有其相似之處。巴塞爾委員會對商業銀行的操作風險的內部計量法中規定，商業銀行內部估計風險敞口指標、損失事件發生的概率、風險損失，巴塞爾委員會制定資本要求的轉換系數；在度量損失的分布時，主要利用統計和精算技術。商業銀行應通過數據庫將威脅發生的頻率、威脅所造成的影響等精確記錄下來，利用現有的度量方法進行精確的風險定量分析的嘗試。新晨
(三)將商業銀行電子商務安全風險納入商業銀行總體風險管理范疇
國內外調查顯示…，52．26％的用戶最關心的是網上交易的安全可靠性，超過6O％的人由于擔心電子商務的安全問題而不愿進行網上購物。加強電子商務實施過程中的安全管理已經成為促進電子商務高速發展的重要因素。
電子商務的安全，可分為技術安全和管理安全兩種類型。所謂技術安全，是指通過各種黑客手段竊取企業的用戶lD、密碼以及相關的機密文件，甚至網絡銀行帳號、密碼等，給企業造成經濟損失。而管理安全則是指缺乏對參與電子商務過程中各個環節的人員的管理預防手段，最終導致的電子商務安全事件。從美國的花旗銀行和中央情報局到中國的某家國有商業銀行，都有過由于內部人員的違規和違法操作，導致數據被篡改和泄密的事件發生。
近幾年的電子商務安全案件表明：人員是網上交易安全管理中的最薄弱的環節，近年來我國計算機犯罪大都呈現內部犯罪的趨勢，有的競爭對手利用企業招募新人的方式潛入對方企業，或利用不正當的方式收買企業網絡交易管理人員。有的電子商務從業人員從本企業辭職后，迅速把客戶資料、產品研發成果等機密出售給競爭對手，給企業帶來了不必要的經濟損失。
2、原因分析
電子商務信息安全已經引起很多企業的重視，但大多數企業往往側重于加強技術措施，如購買先進的防火墻軟件，采用更高級的加密方法等，很多企業認為：員工泄密的安全事故只是偶然現象，很少從人員管理的角度來探討出現這些事故的根本原因。“重技術、輕管理”是當前很多電子商務企業的通病。由于管理手段不到位，很多先進的安全技術無法發揮應有的效能。之所以出現上述問題，主要有以下原因：
首先，很多企業管理高層對人員管理在信息安全中的地位認識不足。大多數企業將電子商務網絡作為一項純粹的技術工程來實施，企業內部缺乏系統的安全管理策略，只是被動的使用一些技術措施來進行防御，因此電子商務過程中一旦出現突發性事件，往往造成很大的經濟損失?，F實中沒有一個網絡系統是完美無缺的，不安全因素隨時存在。因此，安全管理措施必須滲透到系統的每一個環節和企業組織的～個層面，只有構建一個人與技術相結合的安全管理體系，才能確保整個電子商務系統得安全。
企業沒有從整體上、有計劃地考慮信息安全問題。企業各部門、各下屬機構都存在“各自為政的局面，缺少統一規劃、設計和管理信息安全強調的是整體上的信息安全性，而不僅是某一個部門或公司的信息安全。而各部門、各公司又確實存在個體差異，對于不同業務領域來說，信息安全具有不同的涵義和特征，信息安全保障體系的戰略性必須涵蓋各部門和各公司的信息安全保障體系的相關內容。
缺少信息安全管理配套的人力、物力和財力。人才是信息安全保障工作的關鍵。信息安全保障工作的專業性、技術性很強，沒有一批業務能力強，且具有信息網絡知識、信息安全技術、法律知識和管理能力的復合型人才和專門人才，就不可能做好信息安全保障工作。應該從信息安全建設和管理對信息安全人才的實際需求出發，加快信息安全人才的培養。
企業對員工的信息安全教育不夠。員工的信息安全意識薄弱，9O％的安全事故是由于人為疏忽所造成。如有些企業不限制內部人員使用各種高科技信息載體，如U盤、移動硬盤以及筆記本等移動辦公設備。
3、加強電子商務安全管理的建議
電子商務信息安全管理實踐表明，大多數安全問題是由于管理不善造成的。安全管理是一項系統工程，不僅涉及到企業的組織架構、信息技術、人員素質等各個方面，還牽扯到國家法律和商業規則。企業內部存在著諸多影響信息安全的因素：改變lT系統不等于改變企業的信息安全管理，要使企業信息盡可能的安全，必須在技術投人的基礎上融人人在管理方面的智慧i同時，不僅要防外，更要防內，即對組織內部人員的管理。信息安全問題的解決需要技術，但又不能單純依靠技術。整個電子商務的交易過程，是人與技術相互融合的過程，如何使管理與技術相得益彰十分重要。“三分技術，七分管理”闡述了信息安全的本質。
電子商務的安全管理，就是通過一個完整的綜合保障體系，來規避信息傳輸風險、信用風險、管理風險和法律風險，以保證網上交易的順利進行。網上交易安全管理，應采用綜合防范的思路，一是技術方面的考慮，如防火墻技術、網絡防毒、信息加密、身份認證、授權等，但必須明確，只有技術措施并不能完全保證網上交易的安全。二是必須加強監管，建立各種有關的合理制度，并加強嚴格監督，如建立交易的安全制度、交易安全的實時監控、提供實時改變安全策略的能力、對現有的安全系統漏洞的檢查以及安全教育等。為了加強企業電子商務的信息安全，我們提出如下建議：
(1)提高網絡安全防范意識。
現在許多企業沒有意識到互聯網的易受攻擊性，盲目相信國外的加密軟件，對于系統的訪問權限和密鑰缺乏有力度的管理。這樣的系統一旦受到攻擊將十分脆弱，其中的機密數據得不到應有的保護。據調查，目前國內90％的網站存在安全問題，其主要原因是企業管理者缺少或沒有安全意識。某些企業網絡管理員甚至認為其公司規模較小，不會成為黑客的攻擊目標，如此態度，網絡安全更是無從談起。應該定期由公司或安全管理小組承辦信息安全講座，只有提高網絡安全防范意識，才能有效的減少信息安全事故的發生。
(2)建立電子商務安全管理組織體系。
一個完整的信息安全管理體系首先應建立完善的組織體系。即建立由行政領導、IT技術主管、信息安全主管、本系統用戶代表和安全顧問組成的安全決策機構。其職責是建立管理框架，組織審批安全策略、安全管理制度，指派安全角色，分配安全職責，并檢查安全職責是否已被正確履行，核準新信息處理設施的啟用、組織安全管理專題會等。還應建立由網絡管理員、系統管理員、安全管理員、用戶管理員等組成的安全執行機構。該機構負責起草網絡系統的安全策略、執行批準后的安全策略、日常的安全運行和維護、定期的培訓和安全檢查等。如果需要，還可建立安全顧問機構。安全顧問機構可聘請信息安全專家擔任系統安全顧問，負責提供安全建議，特別是在安全事故或違反安全策略事件發生后，可以被安全決策機構指定負責事故(事件)調查，并為安全策略評審和評估提供意見。
(3)制定符合機構安全需求的信息安全策略。電子商務交
易過程中，需要明確的安全策略主要包括客戶認證策略、加密策略、日常維護策略、防病毒策略等安全技術方案的選擇。安全執行機構應根據本信息網絡的實際情況制定相應的信息安全策略，策略中應明確安全的定義、目標、范圍和管理責任，并制定安全策略的實施細則。安全策略文檔要由安全決策機構審查、批準，并和傳達給所有的人安全策略還應由安全決策機構定期進行有效性審查和評估：在發生重大的安全事故、發現新的脆弱性、組織體系或技術上發生變更時，應重新進行安全策略的審查和評估。
(4)人員安全的管理和培訓
參與網上交易的經營管理人員在很大程度上支配著企業的命運，他們承擔著防范網絡犯罪的任務。而計算機網絡犯罪同一般犯罪不同的是，他們具有智能性、隱蔽性、連續性、高效性的特點，因而，加強對有關人員的管理變得十分重要。首先，在人員錄用時應做好人員鑒別，人員錄用或人員職位調整時，一般要簽署保密協議。當人員到期離開或協議到期、工作終止時，要審查保密協議。其次對有關人員進行上崗培訓，建立人員培訓計劃，定期組織安全策略和規程方面的培訓。第三，落實工作責任制，在崗位職責中明確本崗位執行安全政策的常規職責和本崗位保護特定資產、執行特定安全過程或活動的特別職責，對違反網上交易安全規定的人員要進行及時的處理。第四，貫徹網上交易安全運作基本原則，包括職責分離、雙人負責、任期有限、最小權限、個人可信賴性等。
(5)增強法律意識，促進電子商務立法
面對電子商務這種新型的貿易形式，我國目前尚無專門法規可依，使得部分違法犯罪人員沒有得到應有的懲罰。近幾年里，國家加強了這方面的投入。在全國性的立法文件中，《合同法》的部分條款可以看作是針對電子商務的立法。此外，廣東省制定的《廣東省電子交易管理條例》這個地方性的法規可以看作是對加快我國電子商務立法的有益探索?！吨腥A人民共和國電子簽名法》是對主要用于電子商務活動，電子政務等其他應用應該有新的適用法規。
0引言
美國等發達國家，通過Internet進行電子商務的交易已成為潮流。隨著internet的發展和網絡基礎設施的不斷完善，我國的電子商務雖已初具規模，但是安全問題卻成為發展電子商務亟待解決的問題。電子商務過程中，買賣雙方是通過網絡聯系的，由于internet是開放性網絡，建立交易雙方的安全和信任關系較為困難，因此本文對電子商務網絡支付上的安全問題進行探討分析。
1電子商務的概念和特點
1）電子商務的概念：電子商務（ElectronicCommerce）是通過電信網絡進行的生產、營銷、銷售、流通等活動，不僅是指基于因特網上的交易，而且還指利用電子信息技術實現解決問題、降低成本、增加價值、創造商機的商務活動[1]。
2）電子商務的特點：（1）電子商務將傳統的商務流程電子化、數字化。不僅以電子流代替了實物流，大量減少了人力物力，降低了成本；而且突破了時間空間的限制，使得交易活動可在任何時間、任何地點進行，大大提高了效率。（2）電子商務使企業能以較低成本進入全球電子化市場,也使中小企業可能擁有與大企業一樣的信息資源，提高了中小企業的競爭能力。（3）電子商務重新定義了傳統的流通模式，減少了中間環節，使得生產者和消費者的直接交易成為可能，從而一定程度上改變了社會經濟的運行方式。（4）電子商務提供了豐富的信息資源，為社會經濟要素的重新組合提供了更多的可能，這將影響到社會的經濟布局和結構。
2電子商務安全的技術體系
1）物理安全。首先根據國家標準、信息安全等級和資金狀況，制定適合的物理安全要求，并經建設和管理達到相關標準[2]。再者，關鍵的系統資源（包括主機、應用服務器、安全隔離網閘GAP等設備），通信電路以及物理介質（軟/硬磁盤、光盤、IC卡、PC卡等）、應有加密、電磁屏蔽等保護措施，均應放在物理上安全的地方。
2）網絡安全。網絡安全是電子商務的基礎。為了保證電子商務交易順利進行，要求電子商務平臺要穩定可靠，能夠不中斷地提供服務。系統的任何中斷（如硬件、軟件錯誤，網絡故障、病毒等）都可能導致電子商務系統不能正常工作，而使貿易數據在確定的時刻和地點的有效性得不到保證，往往會造成巨大的經濟損失。
3）商務安全。主要是指商務交易在網絡媒介中出現的安全問題，包括防止商務信息被竊取、篡改、偽造、交易行為被抵賴，即要實現電子商務的保密性、完整性、真實性、不可抵賴性。商務安全的各方面也要通過不同的網絡安全技術和安全交易標準實現，加解密技術保證了交易信息的保密性，也解決了用戶密碼被盜取的問題；數字簽名是實現對原始報文完整性的鑒別，它與身份認證和審查系統一起可杜絕交易的偽造和抵賴行為。保證電子商務安全的主要技術有：在線支付協議（安全套接層SSL協議和安全電子交易SET協議）、文件加密技術、數字簽名技術、電子商務認證中心（CA）。
4）系統安全。主要是保護主機上的操作系統與數據庫系統的安全。對于保護系統安全，總體思路是：通過安全加固，解決管理方面安全漏洞；然后采用安全技術設備，增強其安全防護能力。
3安全管理過程監督
3.1加強全過程的安全管理
1）網絡規劃階段，就要加強對信息安全建設和管理的規劃。信息安全建設需要投入一定的人力、物力、財力。要根據狀況實事求是地確定網絡的安全總體目標和階段目標、分段實施、降低投資風險。2）工程建設階段，建設管理單位要將安全需求的匯總和安全性能功能的測試，列入工程建設各個階段工作的重要內容，要加強對開發（實施）人員、版本控制的管理，要加強對開發環境、用戶路由設置、關鍵代碼的檢查[3]。3）在運行維護階段，要注意以下事項：(1)建立有效的安全管理組織架構，明確職責，理順流程，實施高效管理。(2)按照分級管理原則，嚴格管理內部用戶帳號和密碼，進入系統內部必須通過嚴格的身份確認，防止非法占用、冒用合法用戶帳號和密碼。(3)制定完善的安全管理制度，加強信息網的操作系統、數據庫、網絡設備、應用系統運行維護過程的安全管理。(4)要建立應急預察體系，建立網絡安全維護日志，記錄與安全性相關的信息及事件，有情況出現時便于跟蹤查詢，還要定期檢查日志，以便及時發現潛在的安全威脅。
3.2建立動態的閉環管理流程
網絡處于不斷地建設和調整中，可能發現新的安全漏洞，因此需要建立動態的、閉環的管理流程。要在整體安全策略的控制和指導下，通過安全評估和檢測工具（如漏洞掃描，入侵檢測等）及時了解網絡存在的安全問題和安全隱患，據此制定安全建設規劃和加固方案，綜合應用各種安全防護產品（如防火墻、身份認證等手段），將系統調整到相對安全的狀態。并要注意以下兩點：1）對于一個企業而言，安全策略是支付信息安全的核心，因此制定明確的有效的安全策略是非常重要的。安全組織要根據這個策略制定詳細的流程、規章制度、標準和安全建設規劃、方案，保證這些系列策略規范在整個企業范圍內貫徹實施，從而保護企業的投資和信息資源安全。2）要制定完善的、符合企業實際的信息安全策略，就須先對企業信息網的安全狀況進行評估，即對信息資產的安全技術和管理現狀進行評估，讓企業對自身面臨的安全威脅和問題有全面的了解，從而制定針對性的安全策略，指導信息安全的建設和管理工作。
4結束語
本文分析了目前電子商務網絡支付安全方面的主要技術狀況，安全技術可以說是網絡技術中較為尖端的技術，都是非常先進的技術手段；只要運用得當，配合相應的安全管理措施，基本能夠保證電子商務中網絡支付的安全；但不是100％的絕對安全，而是相對安全。隨著網絡安全技術的進步與信用機制的完善，網絡支付定會越來越安全。
參考文獻
0引言
美國等發達國家,通過Internet進行電子商務的交易已成為潮流。隨著internet的發展和網絡基礎設施的不斷完善,我國的電子商務雖已初具規模,但是安全問題卻成為發展電子商務亟待解決的問題。電子商務過程中,買賣雙方是通過網絡聯系的,由于internet是開放性網絡,建立交易雙方的安全和信任關系較為困難,因此本文對電子商務網絡支付上的安全問題進行探討分析。
1電子商務的概念和特點
1)電子商務的概念:電子商務(Electronic Commerce)是通過電信網絡進行的生產、營銷、銷售、流通等活動,不僅是指基于因特網上的交易,而且還指利用電子信息技術實現解決問題、降低成本、增加價值、創造商機的商務活動[1]。
2)電子商務的特點:(1)電子商務將傳統的商務流程電子化、數字化。不僅以電子流代替了實物流,大量減少了人力物力,降低了成本;而且突破了時間空間的限制,使得交易活動可在任何時間、任何地點進行,大大提高了效率。(2)電子商務使企業能以較低成本進入全球電子化市場,也使中小企業可能擁有與大企業一樣的信息資源,提高了中小企業的競爭能力。(3)電子商務重新定義了傳統的流通模式,減少了中間環節,使得生產者和消費者的直接交易成為可能,從而一定程度上改變了社會經濟的運行方式。(4)電子商務提供了豐富的信息資源,為社會經濟要素的重新組合提供了更多的可能,這將影響到社會的經濟布局和結構。
2電子商務安全的技術體系
1)物理安全。首先根據國家標準、信息安全等級和資金狀況,制定適合的物理安全要求,并經建設和管理達到相關標準[2]。再者,關鍵的系統資源(包括主機、應用服務器、安全隔離網閘GAP等設備),通信電路以及物理介質(軟/硬磁盤、光盤、IC卡、PC卡等)、應有加密、電磁屏蔽等保護措施,均應放在物理上安全的地方。
2)網絡安全。網絡安全是電子商務的基礎。為了保證電子商務交易順利進行,要求電子商務平臺要穩定可靠,能夠不中斷地提供服務。系統的任何中斷(如硬件、軟件錯誤,網絡故障、病毒等)都可能導致電子商務系統不能正常工作,而使貿易數據在確定的時刻和地點的有效性得不到保證,往往會造成巨大的經濟損失。
3)商務安全。主要是指商務交易在網絡媒介中出現的安全問題,包括防止商務信息被竊取、篡改、偽造、交易行為被抵賴,即要實現電子商務的保密性、完整性、真實性、不可抵賴性。商務安全的各方面也要通過不同的網絡安全技術和安全交易標準實現,加解密技術保證了交易信息的保密性,也解決了用戶密碼被盜取的問題;數字簽名是實現對原始報文完整性的鑒別,它與身份認證和審查系統一起可杜絕交易的偽造和抵賴行為。保證電子商務安全的主要技術有:在線支付協議(安全套接層SSL協議和安全電子交易SET協議)、文件加密技術、數字簽名技術、電子商務認證中心(CA)。
4)系統安全。主要是保護主機上的操作系統與數據庫系統的安全。對于保護系統安全,總體思路是:通過安全加固,解決管理方面安全漏洞;然后采用安全技術設備,增強其安全防護能力。
3安全管理過程監督
3.1加強全過程的安全管理
1)網絡規劃階段,就要加強對信息安全建設和管理的規劃。信息安全建設需要投入一定的人力、物力、財力。要根據狀況實事求是地確定網絡的安全總體目標和階段目標、分段實施、降低投資風險。2)工程建設階段,建設管理單位要將安全需求的匯總和安全性能功能的測試,列入工程建設各個階段工作的重要內容,要加強對開發(實施)人員、版本控制的管理,要加強對開發環境、用戶路由設置、關鍵代碼的檢查[3]。3)在運行維護階段,要注意以下事項:(1)建立有效的安全管理組織架構,明確職責,理順流程,實施高效管理。(2)按照分級管理原則,嚴格管理內部用戶帳號和密碼,進入系統內部必須通過嚴格的身份確認,防止非法占用、冒用合法用戶帳號和密碼。(3)制定完善的安全管理制度,加強信息網的操作系統、數據庫、網絡設備、應用系統運行維護過程的安全管理。(4)要建立應急預察體系,建立網絡安全維護日志,記錄與安全性相關的信息及事件,有情況出現時便于跟蹤查詢,還要定期檢查日志,以便及時發現潛在的安全威脅。
3.2建立動態的閉環管理流程
網絡處于不斷地建設和調整中,可能發現新的安全漏洞,因此需要建立動態的、閉環的管理流程。要在整體安全策略的控制和指導下,通過安全評估和檢測工具(如漏洞掃描,入侵檢測等)及時了解網絡存在的安全問題和安全隱患,據此制定安全建設規劃和加固方案,綜合應用各種安全防護產品(如防火墻、身份認證等手段),將系統調整到相對安全的狀態。并要注意以下兩點:1)對于一個企業而言,安全策略是支付信息安全的核心,因此制定明確的有效的安全策略是非常重要的。安全組織要根據這個策略制定詳細的流程、規章制度、標準和安全建設規劃、方案,保證這些系列策略規范在整個企業范圍內貫徹實施,從而保護企業的投資和信息資源安全。2)要制定完善的、符合企業實際的信息安全策略,就須先對企業信息網的安全狀況進行評估,即對信息資產的安全技術和管理現狀進行評估,讓企業對自身面臨的安全威脅和問題有全面的了解,從而制定針對性的安全策略,指導信息安全的建設和管理工作。
4結束語
本文分析了目前電子商務網絡支付安全方面的主要技術狀況,安全技術可以說是網絡技術中較為尖端的技術,都是非常先進的技術手段;只要運用得當,配合相應的安全管理措施,基本能夠保證電子商務中網絡支付的安全;但不是100%的絕對安全,而是相對安全。隨著網絡安全技術的進步與信用機制的完善,網絡支付定會越來越安全。
參考文獻
1 引言
隨著互聯網的快速發展，人們的生活方式有了非常大的改變，對應的經濟社會也受到了巨大的影響。在商業貿易領域，因為網絡的快速發展，產生了電子商務這樣一種貿易方式。但是電子商務也是經歷了一番坎坷的，因為網絡的特殊性，在電子商務發展中產生了交易安全的問題，對電子商務的穩定發展帶來了一定的沖擊。Internet網是一個互連通的自由空間，一些人常常會因為某些目的攻擊電子商務網站，比如盜竊資金、商業打擊、惡作劇等，導致有些企業的電子商務網站貿易交流受損、服務暫停，甚至出現資金被盜的現象。據有關數據的統計，美國每年因為網絡安全問題在經濟上造成的損失就達到近百億美元，而國內的情況也不容樂觀。因此，當我們在享受互聯網給生活帶來的這些好處的時候，網絡的安全問題，早已變成電子商務的重大難題，給電子商務企業的發展帶來了極大的阻礙。所以，計算機網絡安全是電子商務發展過程中所面臨的重大挑戰和問題。電子商務企業必須從維護顧客利益和自身利益出發，做好安全防范和自身安全管理工作，才能得到持續快速的發展。
2 電子商務面對的網絡安全問題
當前，電子商務安全問題受到多方面的影響，不但有技術管理的問題，而且也有網絡缺陷的因素，具體地說，直接原因有以下幾點：
2.1 網絡“黑客”侵犯電子商務網站
網絡黑客是專門在網絡中利用本身掌握的技術非法強行進入他人網站后臺的人，這類人具有高超的網絡技術，能夠不受電子商務網站技術防護的限制。許多“黑客”篡改內容信息、破壞網站；盜取商戶或企業的賬戶資金，極大地影響了電子商務的正常進行。
2.2 電子商務軟件有漏洞
許多軟件研發單位研發的技術不成熟的電子商務軟件，存在許多安全漏洞，防護極易被外來入侵者利用漏洞攻破，導致電子商務企業受到很大的經濟損失；有的企業即使安裝了防護軟件，但由于軟件沒有得到及時升級，致使軟件喪失了應有防護功能。
2.3 電子商務網絡自身存在安全問題
網絡具有共享性、開放性等特點，它的設計原則是確保信息傳輸不會受到局部損壞的影響。所以，對網站安全帶來了極大的隱患。特別是對電子商務企業情況更加嚴峻。
2.4 網站管理的缺失
由于電子商務企業缺乏警惕性，不重視網絡安全的管理，通常只有在受到攻擊以后才會去加強網站安全；部分企業則以為只要安裝了入侵監測系統、殺毒軟件、防火墻等安全產品，就能保障網站的安全，所以沒有根據企業實際情況制定相應的管理制度，也沒有加強技術防范，給入侵者提供了機會。
3 應對的措施
電子商務安全問題是在網絡化、電子化技術發展的前提下出現的，所以很多傳統的解決辦法不能簡單地應用過來。電子商務企業想要取得效益，就要從企業的健康發展出發，改善企業的安全管理，提高技術投入。具體的防范措施有： 3.1 安全技術管理需要加強
需要重視電子商務網站的維護、升級等方面，做好每天的安全備份，加強網站服務器的管理。制定安全防范預案，只要發生安全事件，能夠得到盡快解決，從而減少損失。使用權威性較強的安全防護軟件，并能夠正常啟動、正常升級，發揮應有的防護功能。
3.2 在電子安全方面擴大管理和技術投入
企業需要加大安全方面的資金投入，購買技術防護設備，加大對技術改造與設備更新的投入。引進安全管理的相關技術，招聘相應的管理人才，并進行適當的待遇傾斜，確保安全管理團隊的穩定。
3.3 使用密碼管理技術
電子商務中最重要的防范環節是密碼管理，要使用先進的密碼管理手段，確保能發揮特定的功能，重點有交易信息安全、身份認證安全和賬戶安全等。
3.4 電子商務企業自身的管理需要得到強化
中圖分類號：TP393 文獻標識碼：A 文章編號：1671-7597（2013）16-0163-01
近年來隨著電子商務的迅猛發展，每天進行著數以百萬次計的各類交易中，電子商務中的網絡安全問題日漸突出，又由于電子商務應用環境比較復雜，計算機網絡本身又存在著不可靠性和脆弱性，所以電子商務交易中存在一些安全隱患。中國互聯網信息中心的調查結果中指出，一半以上的用戶最關心的是交易是否安全可靠。那么，電子商務面臨哪些安全問題？又有哪些解決方法呢？
1 電子商務面臨的安全問題
1.1 商務軟件本身存在的安全問題
任何一種商務軟件的程序都具有復雜性和編程多樣性，而對于程序而言，越復雜意味著漏洞出現的可能性越大。
1）操作系統問題。操作系統是計算機網絡系統中最重要的系統軟件之一，由于操作系統在安裝時存在端口開放、無認證服務和初始化配置問題，存在一些安全缺陷，這樣會使系統處于不安全的狀態，任一操作系統都會存在一些安全漏洞，這些安全漏洞都會影響到很大范圍內的網絡安全，由此，給不法分子趁機實施犯罪帶來可乘之機。
2）網絡協議問題。由于計算機網絡最初網絡協議的設計，重在實現數據的交換，并沒有把網絡安全作為重點來考慮，所以不利于商家之間、商家與消費者之間交易時的相互通信。如典型的TCP/IP協議就沒有安全方面的設計，這就給交易雙方帶來好處的同時，也埋下了安全隱患。
1.2 信息安全問題
1）信息的泄露。信息在網絡上傳遞時，要經過多個環節和渠道。不管是物理的原因還是人為的因素，都會造成信息的泄露，如一些硬件設備受自然災害的影響造成電磁的泄露，再有信息在傳輸的過程中沒有采用加密措施或加密強度不夠，網絡犯罪分子就可能在網絡上安裝截收裝置獲取用戶的重要的信息，如用戶的口令、銀行的帳號等，嚴重威脅消費者電子商務交易的安全。
2）信息的篡改。未經授權的攻擊者直接進入網絡交易系統，獲取了信息的內容及格式后，通過采取不同的技術手段和方式將信息進行刪除、修改、重發，使得數據改變原有的內容，破壞數據的完整性和一致性，損害他人的經濟利益，或干擾對方的正確決策。
3）信息的偽造。網絡黑客通過某種技術手段冒充合法用戶的身份來破壞交易，如發送偽造的信息來欺騙網絡中其它的用戶，或是冒充網絡控制程序來套取和修改使用權限、密鑰等。
1.3 信用安全問題
電子商務這種新型的商務活動自從20世紀90年代開始發展以來，由于網絡環境下交易活動的虛擬性，致使交易雙方的信用問題一直是世界各國關注的焦點。例如：買方進行虛假訂單或提交訂單后不付款，集團的購買者可能存在拖延貨款的行為；賣方收到貨款卻給予否認或賣出的商品不能保證質量或數量，不能完全履行與買方簽定的合同；交易雙方都存在抵賴的現象等。
1.4 安全管理問題
網上交易安全管理問題主要表現在人員管理上存在的問題。
人員管理常常在網上交易安全管理上最薄弱的環節。近年來，由于企業工作人員職業道德修養不高，安全教育和管理松懈的主要原因，在我國計算機犯罪中大都呈現內部犯罪的趨勢。再有一些競爭對手還利用不正當的方式潛入企業，竊取企業用戶的重要信息，如用戶的賬號、密碼以及相關的重要文件資料等。
1.5 安全的法律保障問題
電子商務是一種新的商務方式，由于電子商務相關法律還不完善，除在買賣雙方的電子交易中經常會出現不同的網購糾份外，還會存在域名的糾紛、網絡著作權的侵犯、網絡詐騙以及電子交易中各方的法律責任不明確等諸多的問題，又由于電子商務活動與傳統商務活動存在著很多的不同點，傳統商務制定的相關法律又出現不適應電子商務的狀況，同時電子商務發展速度非?？欤傻男薷闹贫ㄓ中枰^長的時間，因此目前電子商務的相關法律還不能回避由于法律滯后而無法保證合法交易的權益所帶來的風險，有待進一步修正完善。
2 電子商務安全的對策
2.1 采取不同措施加強電子商務安全教育和宣傳，提高電子商務安全意識
具體可采取以下措施：一是采取不同的宣傳方式，普及電子商務安全知識，提高公眾的安全意識；二是通過開設電子商務安全培訓課程，加強培養電子商務安全管理人才。
2.2 采用網絡技術，確保網絡信息安全
為了確保網絡的信息安全，可以采用防火墻技術，防火墻往往設在企業內部網和外部網之間，是一種隔離設備，只允許授權信息通過，能夠防止外部網上的各種危害侵入內部網絡，是實現網絡信息安全策略中最有效的工具之一。實現防火墻的網絡信息安全策略時，有兩條可以遵循的規則，即未被明確允許的都將被禁止；未被明確禁止的都將允許。前一種規則建立了一個非常安全的網絡環境，而后一種規則建立了一個非常靈活的環境，給用戶提供了更多的服務。
2.3 運用密碼技術，強化通信安全
為了保證交易雙方身份的正確性，保證交易雙方的通信安全，運用各種加密技術，數字信封技術是使用兩個層次的加密，解決了網上信息傳輸的保密性問題，數字指紋的應用驗證了交易文件在傳輸過程中是否遭到破壞，解決了防止網上信息假冒的問題，而數字簽名技術解決了交易雙方的身份認證問題。
2.4 加強人員管理，確保安全管理
電子商務是一項高智商的勞動。需要從業人員一方面具備傳統營銷的知識和經驗，另一方面又必須具有相應的計算機網絡知識和操作技能。而當今計算機網絡犯罪又具有高技術性、智能性、隱蔽性、連續性的特點，因而，對從事網絡營銷和企業內部網絡維護人員進行重點安全管理，落實每個工作人員的工作責任制，完善企業內部日常安全制度。
2.5 健全法律，嚴格執法
電子商務應用環境是區別于傳統商業環境下的新環境，在傳統交易方式下適用的法律法規難以適用于新的環境，又由于關于電子商務的立法還不完善，需要在充分考慮到國內環境的前提下，盡快出臺專門針對電子商務交易的法律法規，適應電子商務運作的法制環境，解決存在各種問題，如電子合同問題、網上虛擬財產保護問題等，強化法律法規的可操作性，加強與國際電子商務立法相接軌，通過建立電子商務安全法規體系，規范和維持網絡的正常運行。
項目基金
本文系河北省社會科學發展研究課題，編號：201303063。
參考文獻
電子信息安全管理中存在的問題
1 缺乏足夠的信息安全防范意識
盡管我國的信息技術發展很快，但是，在電子商務方面還處于初期階段，很多大規模、標準化的電子商務平臺尚沒有搭建起來。而在一些小型的電子商務平臺，很多管理者認為自身遭受“黑客”攻擊的可能性不大，所以，其常常存在僥幸心理，將更多的關注點放到了平臺規模的擴大和系統功能開發上面。在這種思想的影響下，系統的信息安全管理能力相當薄弱，以至于常常成為攻擊的對象。另外，還有很多管理者，對市場上的安全管理軟件給予了絕對的信任，自己覺得只要安裝了這些高新產品，就可以高枕無憂，但是，往往殘酷的事實告訴他們不是這樣的。
2 信息安全技術有所欠缺
目前，國內的信息安全管理技術已經取得了很大的進步，然而，相對于發達國家的信息安全防御與控制技術，還存在很大的一段差距。國內的自主研發技術無論是在經費上、還是人員上都存在很多不足之處。并且，大多數的技術研究機構都是過多地“借鑒”國外的先進技術。如此一來，國內的電子信息安全管理質量明顯不高。
3 信息安全產品的鑒定缺乏科學、規范性
很多企業在電子信息安全管理方面，購置了大量的信息安全軟件。這些軟件在一定程度上能夠有效地保證電子信息使用平臺的安全。但是，其并不能絕對地保障信息安全。而且，在安全產品的鑒定方面，缺乏統一的鑒定標準，很多都是主觀判斷。
電子信息安全管理有效措施
目前，我國的很多企業在電子信息安全管理方面，普遍的“重技術，輕管理”，加之高層領導對信息安全管理的重視程度不足，以至于各項安全管理制度尚不完善。下面重點探索一些加強電子信息安全管理的主要措施。
1 構建完善的管理組織機構
電子信息安全管理組織機構主要包括了安全決策和執行組織。其中，前者的職能主要是負責管理框架的構建、安全制度的審批以及安全職責的分配以及監督。后者的主要工作是負責網絡系統安全制度的擬定、制定的執行以及日常維護和業務培訓等。如果是大型的電子商務平臺或者集團企業，還可以聘請經驗豐富的專家人員構成顧問組織。負責日常的業務咨詢以及安全事件發生后的責任評估和調查等。
2 電子信息安全管理制度進一步完善
電子信息安全管理制度主要包括：（1）構建電子信息控制制度。在各個業務流程中，明確各業務人的權限，并將其納入到內部控制制度當中，定期進行執行情況審核；（2）構建應急措施。在信息傳遞過程中，要對電子信息的記錄、維護以及報告等環節進行有效監控。對數據文件進行定期備份。
3 提高安全方面的專業
目前，隨著互聯網的高度普及，安全技術的研發速度已經跟不上網絡的發展速度，特別是在安全管理技術領域，而且，相應的技術人員也是嚴重不足。所以，要在電子商務規模不斷擴大的同時，構建強大的電子信息安全管理隊伍，提升安全技術的研究水平。
4 系統安全檢測
病毒與黑客不斷的變換著形式對系統進行著惡意的攻擊，因此，技術人員要從多方位的技術角度對系統安全性進行檢測。查看防火墻是否受到攻擊；功能方面是否存在漏洞；密碼設置的是否正確等，這些都需要技術人員認真的進行檢測，稍有疏忽，就會受到惡意的攻擊。
5 要建立保護系統的方案
系統的安全檢測不能實時進行，這就需要建立系統安全防護措施。對于系統安全管理的復雜性，尤其是電子商務這個依靠網絡平臺的企業必須制定一套有效的安全策略，使系統的安全性進一步提高。只有建立了較為完善的安全策略，才能在系統受到攻擊時，把損失降到最低。
6 定期進行信息安全管理培訓
對有關人員進行上崗培訓，建立人員培訓計劃，定期組織安全制度和規程方面的培訓。通過教育和培訓改變企業員工對信息安全的態度，使操作人員認識到信息安全對企業的重要性、企業安全規章制度的含義以及職責范圍內需要注意的安全問題。
7 貫徹電子商務交易安全運作基本原則
包括職責分離、雙人負責、任期有限、最小權限、個人可信賴性等。
當前，我國電子政務的管理逐漸向信息化、網絡化發展，提高了管理質量、增強了管理效果。但是，安全問題卻成為當前電子政務管理中的關鍵問題。如何有效提升電子政務外網的安全管理級別，以保證網絡的安全、穩健運行成為當前人們關注的話題。但由于電子政務外網的安全管理涉及較廣（設備、技術與管理），因此在安全管理中存在一定的難度。以下筆者就對當前我國的電子政務外網的安全管理策略進行一些分析，并提出相關建議。
1當前我國電子商務外網的特點
電子商務外網是一種借助信息與通信技術，為各級政府部門提供服務的應用。其具有數字化、信息化、網絡化的特點，可以提升政府的管理質量，促進其進步、發展。在當前“互聯網+”的影響下，我國政府的電子政務外網辦公逐步深化，且在信息技術的支持下，使政府和群眾可以相互溝通、相互協作，有效的促進政府辦公效率的提升。但是，電子政務外網的安全性始終是當前我們面臨的關鍵問題。所以相關人員應積極解決這一問題，以保證政府的辦公能力。
2我國電子商務外網存在的安全隱患
2.1電子政務系統存在安全威脅
當前我國電子政務系統還存在一定的安全威脅。而這種威脅一般包括：人為損壞、物理損壞與設備故障等三種情況。其中，人為威脅，一般是由于工作人員的操作不當，或是有人發出攻擊行為，蓄意破壞計算機網絡系統等原因造成的威脅。物理損壞一般指由于物理原因造成的硬盤損壞、設備使用壽命到期，或者是一些外力破壞造成的威脅。而一些設備故障一般是指斷電、電磁干擾等原因。此外，除以上威脅外，極個別時候政務外網還會受到一些網絡黑客、信息戰士的入侵，他們通過監聽、截取破譯等行為獲取政務信息，使電子政務系統受到嚴重的威脅。
2.2電子政務系統存在安全風險
當前我國電子政務系統還存在一定的安全風險。其具體表現在以下幾種情況：1）信息泄密。如：由于一些假冒身份的或是非法的用戶，在沒有授權的情況下訪問政務網絡系統，并進行了不正當的操作，導致一些信息外泄。2）計算機病毒。計算機病毒的出現可以破壞計算機的功能，毀壞計算機的數據，影響計算機的正常使用。由于其破壞力極大，防范相對困難。因此，這也是當前政務外網中最大的威脅。3）新型攻擊技術。近年來，網絡上逐漸出現一些新型攻擊技術，為政務信息的安全帶來一些威脅。以上風險的出現嚴重當前我國政務外網的穩定性與安全性。
3改善電子商務外網安全隱患的策略
3.1強化管理體系，擬定安全管理體制
為提升我國電子政務的網絡管理工作效率，保證其安全管理質量。相關部門應積極強化政務外網的安全管理體系，擬定出安全的管理體制。相關部門具體可以：部門應以當前所使用的計算機信息系統的保護等級與系統規模等詳細信息為基礎，積極建立出安全且健全的管理職責體系。在體系的建立過程中，部門應嚴格遵守國家知識指示與標準，結合自身的實際發展情況。另外，在管理工作的進行過程中，負責人（管理者）應對工作人員進行合理的分工、責任到人，并提出嚴格的要求。滿足以上要求后，逐漸建立出高效的安全管理體系。
3.2建立防護系統，落實安全檢測工作
為有效減少安全隱患，保證電子政務外網網絡整體環境的安全性。相關政府部門應積極建立相關的防護系統，并落實安全監測工作，從而實現從根源上減少安全隱患的目的。具體可以：強化網絡服務供應商之間的關系，借助供應商先進的設備與技術建設出電子政務外網的專屬防火墻。這樣政務外網就有了安全依托，可以在一定程度上將可能出現的安全隱患扼殺。另外，部門應積極建設相關的監督系統，以落實政務外網的安全監測。系統建設后，可以由公安網絡或監察部監管，以保證政務外網的安全。
3.3保證設備安全，完善外網基礎應用
在電子政務外網安全管理中，無法避免一些設備與軟硬件產品的使用。因此，為保證系統的安全，提高安全管理的質量。首先，相關部門應重視并保護設備的安全，并逐漸完善電子政務外網的基礎應用。有關部門可以：在選擇設備的過程中，盡量選擇一些性能好、安全性高的網絡設備。然后，系統的運行過程中，應意識到電磁輻射（網絡設備、計算機等都可能產生電磁輻射）對網絡安全的危害（數據泄密），并積極找出應對措施，以減少電磁輻射。同時應盡量避免一些自然、人為破壞，以保證整個網絡系統的安全運行。
3.4保證數據安全，建立災難備份中心
數據是信息系統的關鍵，同時也是政府各項業務間的互動，信息共享與業務協同的關鍵因素。因此，為保證服務的順利運行，相關部門在電子政務外網的安全管理中，應加強對數據與信息的重視。而為保護數據的安全，部門可以建立災難備份中心，以提高抵御災難的能力，保證重要信息相關數據的安全，同時可以將損失降為最小。具體可以采用自建災難備份中心、共建災難備份中心，以及服務外包等三種模式。在政府信息數據遭遇災難時，啟動異地建立備份數據中心，可以提供不間斷的數據信息服務，以保證業務的連續性。
4結論
安全問題是當前電子政務外網的安全管理中經常面臨的一個問題。由于問題、原因與解決策略相對復雜，因此需要對當前電子商務外網的特點、存在安全隱患進行一些了解與分析。然后積極找出改善電子商務外網安全隱患的策略，提高電子政務外網的安全級別，從而保證外網的安全、穩定運行。
參考文獻
[1]趙惠巍.電子政務外網的安全管理策略研究[J].民營科技，2014（7）：106.
[2]董舟，謝碧云，李歆.政務外網信息安全管理策略初探[J].人民長江，2015（3）：86-90.
2軟件項目業務規劃
2.1項目規劃
項目目標：完成電子商務安全管理軟件系統的研制和開發，并進行市場化運作；對電子商務安全標準進行研究。主要功能：電子商務安全管理軟件系統實現的主要功能有：
（1）提供訪問電子商務網站用戶的身份認證、授權；授權用戶在線刪除，添加，更新本人信息；實現了允許一種用戶可以以多種身分訪問電子商務程序的身份驗證和授權的功能。
（2）過濾當前用戶請求中是否含有違反HTTP協議的數據存在，包括參數缺失、參數異常、參數過多；過濾當前用戶請求中是否含有違反當前請求頁面的數據存在。
（3）對稱式和非對稱式的加密解密技術：包括數字簽名算法、消息摘要技術、密鑰交換方法、提供基于數據庫的密鑰管理服務的內容。
（4）收集功能模塊的日志信息，然后生成統一的日志信息，并進行分類存儲(本課題提供數據庫存儲形式)，然后提供查詢、刪除等功能(用戶可以對日志信息按日期、模塊名進行查詢、刪除等操作)。
（5）隨時對受保護的電子商務應用程序進行安全監控，若發現惡意代碼的攻擊，即刻發出報警信息。
（6）監控系統和電子商務應用程序的運行情況，若系統或應用程序出現異常，即刻發出報警信息。約束條件：本系統運行時需要JAVA運行環境人員所需工具所需資源：開發本項目需要參加人員熟練掌握JAVA、XML、TOMCAT、MYSQL、JSP、STRUTS等，開發工具使用eclipse、editplus、mysql等。
2.2項目組織與進度
本項目的開發共分四個時間段進行，具體安排如下所示：系統調研和總體方案設計3個月系統體系結構設計8個月系統程序實現8個月α測試β測試3個月
2.3開發軟件所需要的工具
軟件運行環境A．操作系統：Linux系統，Window2000Serve系統B．數據庫：Oracle8i/9i，SQLServer2000，MysqlC．WEB服務器：Tomcat/Weblogic/Jboss編程語言：JAVA開發平臺：eclipse測試與分析工具：paros
3軟件開發設計與程序編碼
3.1軟件開發設計
電子商務安全管理軟件系統采用了模塊化的設計理念，遵循J2EE的開發標準，充分利用了J2EE程序開發過程中所涉及到的開放源代碼的應用軟件。整個軟件系統是在Tomcat5.5.9條件下進行的研發，開發工具選用的是Eclipse3.1，MySQL4.1提供了數據庫支持。此外，還使用了諸如Spring，Hibernate，Struts，Dom4j，Log4j等免費軟件和技術。從軟件設計與軟件開發的角度看，電子商務安全管理軟件系統的設計規劃遵循了如下設計原則：
（1）電子商務安全管理軟件封裝了許多功能強大、易于使用的軟件功能模塊，對于統一安全接口標準研究十分必要。
（2）軟件的開發大量采用組件化、J2EE技術，獨立于操作系統與數據庫系統。軟件內部的模塊大量采用Bean，進行業務邏輯的封裝，可以方便利于網絡層的請求響應調用。
（3）系統采用XML文件格式來響應業務請求，這樣可以實現系統邏輯各層之間良好的通訊和接口。
（4）全面考慮電子商務安全的各種需求,設計統一的標準化的軟件結構,使各種網絡安全技術運行在軟件框架之下,共同保護電子交易安全。
（5）提供開放的API接口,這樣使其他公司的軟件產品可以輕易的集成到這個軟件系統平臺上。
3.2程序編碼
安全：安全模塊就像一個數據采集器；在電子商務安全控制中心中分析的所有HTTP信息都是通過安全模塊采集的。此外，安全模塊還負責在分析后將反應結果返回給用戶。開發安全模塊所使用技術：ServletFilter。
（1）認證授權模塊。身份驗證和授權認證模塊提供一種基于JAAS體系結構的認證解決方案。身份認證是用戶或計算設備用來驗證身份的過程，即確定一個實體或個人是否就是它所宣稱的實體或個人。授權確定了已認證的用戶是否能夠訪問他們所請求的資源或者執行他們所請求執行的操作。
（2）數據過濾模塊。數據過濾模塊實現兩種分析算法：模式匹配算法和行為建模算法。一種是基于誤用檢測算法的模式匹配，另一種是基于異常檢測算法的行為建模。
（3）協議過濾模塊。根據電子商務網站管理員的人工配置和HTTP協議細節執行協議過濾算法，針對于安全數據中出現的冗余信息、檢測出的缺失信息，以及異常信息分別進行安全分析，并且觸發相應的安全動作。
（4）安全監控模塊根據安全分析的結果與事先定義的安全動作，模塊采用相應的指定動作。此外，這個模塊將向安全模塊發送動作指令。如果發現黑客入侵，就隨時觸發“拒絕”動作，然后發送警告給應用程序的管理員。同時，將惡意的入侵請求存入到數據庫作為入侵分析的日志文件。因此，攻擊者將會收到一個出錯頁面或者請求被禁止的頁面。
（5）應用監控。應用監控模塊主要實現了對于訪問電子商務應用程序、安全模塊的應用配置和應用監控功能。實現了應用程序和電子商務安全管理軟件系統的動態配置、實時監控電子商務安全管理軟件系統的響應速度。
隨著網絡時代的到來，越來越多的人通過Internet進行商務活動。電子商務的發展前景十分誘人，而其安全問題也變得越來越突出。近年來，網絡安全事件不斷攀升，電子商務金融成了攻擊目標，以網頁篡改和垃圾郵件為主的網絡安全事件正在大幅攀升。在國家計算機網絡應急技術處理協調中心（CNCERT/CC）2005處理的網絡安全事件報告中，網頁篡改占45.91％，網絡仿冒占29%，其余為拒絕服務攻擊、垃圾郵件、蠕蟲、木馬等。如何建立一個安全、便捷的電子商務應用環境，對信息提供足夠的保護，已經成為電子商務的所有參與者十分關心的話題。
一、電子商務中的主要網絡安全事件分析
歸納起來，對電子商務應用影響較多、發生率較高的互聯網安全事件可以分為網頁篡改、網絡蠕蟲、拒絕服務攻擊、特羅伊木馬、計算機病毒、網絡仿冒等，網頁篡改、網絡仿冒（Phishing），逐步成為影響電子商務應用與發展的主要威脅。
1.網頁篡改
網頁篡改是指將正常的網站主頁更換為黑客所提供的網頁。這是黑客攻擊的典型形式。一般來說，主頁的篡改對計算機系統本身不會產生直接的損失，但對電子商務等需要與用戶通過網站進行溝通的應用來說，就意味著電子商務將被迫終止對外的服務。對企業網站而言，網頁的篡改，尤其是含有攻擊、丑化色彩的篡改，會對企業形象與信譽造成嚴重損害。
2.網絡仿冒（Phishing）
網絡仿冒又稱網絡欺詐、仿冒郵件或者釣魚攻擊等，是黑客使用欺詐郵件和虛假網頁設計來誘騙收件人提供信用卡賬號、用戶名、密碼、社會福利號碼等，隨后利用騙得的賬號和密碼竊取受騙者金錢。近年來，隨著電子商務、網上結算、網上銀行等業務在日常生活中的普及，網絡仿冒事件在我國層出不窮，諸如中國銀行網站等多起金融網站被仿冒。網絡仿冒已經成為影響互聯網應用，特別是電子商務應用的主要威脅之一。
網絡仿冒者為了逃避相關組織和管理機構的打擊，充分利用互聯網的開放性，往往會將仿冒網站建立在其他國家，而又利用第三國的郵件服務器來發送欺詐郵件，這樣既便是仿冒網站被人舉報，但是關閉仿冒網站就比較麻煩，對網絡欺詐者的追查就更困難了，這是現在網絡仿冒犯罪的主要趨勢之一。
3.網絡蠕蟲
網絡蠕蟲是指一種可以不斷復制自己并在網絡中傳播的程序。這種程序利用互聯網上計算機系統的漏洞進入系統，自我復制，并繼續向互聯網上的其他系統進行傳播。蠕蟲的不斷蛻變并在網絡上的傳播，可能導致網絡被阻塞的現象發生，從而致使網絡癱瘓，使得各種基于網絡的電子商務等應用系統失效。
4.拒絕服務攻擊(Dos)
拒絕服務攻擊是指在互聯網上控制多臺或大量的計算機針對某一個特定的計算機進行大規模的訪問，使得被訪問的計算機窮于應付來勢兇猛的訪問而無法提供正常的服務，使得電子商務這類應用無法正常工作。拒絕服務攻擊是黑客常用的一種行之有效的方法。如果所調動的攻擊計算機足夠多，則更難進行處置。尤其是被蠕蟲侵襲過的計算機，很容易被利用而成為攻擊源，并且這類攻擊通常是跨網進行的，加大了打擊犯罪的難度。
5.特羅伊木馬
特羅伊木馬（簡稱木馬）是一種隱藏在計算機系統中不為用戶所知的惡意程序，通常用于潛伏在計算機系統中來與外界聯接，并接受外界的指令。被植入木馬的計算機系統內的所有文件都會被外界所獲得，并且該系統也會被外界所控制，也可能會被利用作為攻擊其他系統的攻擊源。很多黑客在入侵系統時都會同時把木馬植入到被侵入的系統中。
二、解決電子商務中網絡安全問題的對策研究
隨著網絡應用日益普及和更為復雜，網絡安全事件不斷出現，電子商務的安全問題日益突出，需要從國家相關法律建設的大環境到企業制定的電子商務網絡安全管理整體架構的具體措施，才能有效保護電子商務的正常應用與發展。
1.進一步完善法律與政策依據 充分發揮應急響應組織的作用
我國目前對于互聯網的相關法律法規還較為欠缺，尤其是互聯網這樣一個開放和復雜的領域，相對于現實社會，其違法犯罪行為的界定、取證、定位都較為困難。因此，對于影響電子商務發展的基于互聯網的各類網絡安全事件的違法犯罪行為的立法，需要一個漫長的過程。根據互聯網的體系結構和網絡安全事件的特點，需要建立健全協調一致，快速反應的各級網絡應急體系。要制定有關管理規定，為網絡安全事件的有效處理提供法律和政策依據。
互聯網應急響應組織是響應并處理公共互聯網網絡與信息安全事件的組織，在我國，CNCERT/CC是國家級的互聯網應急響應組織，目前已經建立起了全國性的應急響應體系；同時，CNCERT/CC還是國際應急響應與安全小組論壇（FIRST，Forum of Incident Response and Security Teams）等國際機構的成員。應急響應組織通過發揮其技術優勢，利用其支撐單位，即國內主要網絡安全廠商的行業力量，為相關機構提供網絡安全的咨詢與技術服務，共同提高網絡安全水平，能有效減少各類的網絡事件的出現；通過聚集相關科研力量，研究相關技術手段，以及如何建立新的電子交易的信任體系，為電子商務等互聯網應用的普及和順利發展提供前瞻性的技術研究方面具有積極意義。
2.從網絡安全架構整體上保障電子商務的應用發展
網絡安全事件研究中看到，電子商務的網絡安全問題不是純粹的計算機安全問題，從企業的角度出發，應該建立整體的電子商務網絡安全架構，結合安全管理以及具體的安全保護、安全監控、事件響應和恢復等一套機制來保障電子商務的正常應用。
安全管理主要是通過嚴格科學的管理手段以達到保護企業網絡安全的目的。內容可包括安全管理制度的制定、實施和監督，安全策略的制定、實施、評估和修改，相關人員的安全意識的培訓、教育，日常安全管理的具體要求與落實等。
安全保護主要是指應用網絡安全產品、工具和技術保護網絡系統、數據和用戶。這種保護主要是指靜態保護，通常是一些基本的防護，不具有實時性，如在防火墻的規則中實施一條安全策略，禁止所有外部網用戶到內部網Web服務器的連接請求，一旦這條規則生效，它就會持續有效，除非我們改變這條規則。這樣的保護能預防已知的一些安全威脅，而且通常這些威脅不會變化，所以稱為靜態保護。
安全監控和審計是實時保護的一種策略，它主要滿足一種動態安全的需求。因為網絡安全技術在發展的同時，黑客技術也在不斷的發展，網絡安全不是一成不變的，也許今天對你來說安全的策略，明天就會變得不安全，因此我們應該時刻關注網絡安全的發展動向,以及網絡上發生的各種各樣的事情，以便及時發現新的攻擊，制定新的安全策略?？梢赃@樣說，安全保護是基本，安全監控和審計是其有效的補充，兩者的有效結合，才能較好地滿足動態安全的需要。
事件響應與恢復主要針對發生攻擊事件時相應的應急措施與恢復正常應用的機制。就是當攻擊發生時，能及時做出響應，這需要建立一套切實有效、操作性強的響應機制，及時防止攻擊的進一步發展。響應是整個安全架構中的重要組成部分，因為網絡構筑沒有絕對的安全，安全事件的發生是不可能完全避免的，當安全事件發生的時候，應該有相應的機制快速反應，以便讓管理員及時了解攻擊情況，采取相應措施修改安全策略，盡量減少并彌補攻擊的損失，防止類似攻擊的再次發生。當安全事件發生后，對系統可能會造成不同程度的破壞，如網絡不能正常工作、系統數據被破壞等，這時，必須有一套機制能盡快恢復系統的正常應用，因為攻擊既然已經發生了，系統也遭到了破壞，這時只有讓系統以最快的速度運行起來才是最重要的，否則損失將更為嚴重。因此恢復在電子商務安全的整體架構中也是不可缺少的組成部分。
三、結論
Internet的快速發展，使電子商務逐漸進入人們的日常生活，而伴隨各類網絡安全事件的日益增加與發展，電子商務的安全問題也變得日益突出，建立一個安全、便捷的電子商務應用環境，解決好電子商務應用與發展的網絡安全問題必將對保障和促進電子商務的快速發展起到良好的推動作用。
參考文獻:
[1]CNCERT/CC.2005年上半年網絡安全工作報告
[2]李 衛:計算機網絡安全與管理.北京：清華大學出版社，2000
