电子商务安全的重要性范文

导语：如何才能写好一篇电子商务安全的重要性，这就需要搜集整理更多的资料和文献，欢迎阅读由公务员之家整理的十篇范文，供你借鉴。

篇1

一、网络安全对于电子商务的重要性

当前，电子商务已逐步覆盖全球，而网络安全问题也得到了业内广泛关注。电子商务的交易方式有别于传统的面对面交易，在电力商务中，交易双方均通过网络进行信息交流，以网络为媒介无疑加大了交易的风险性，因此安全的网络环境能够给交易双方均带来良好的体验。电子商务的网络安全管理较为复杂，不仅需要高新的技术做支持，如电子签名、电子识别等，还需要用户的配合，通常来说，用户的个人信息越全面，网络交易平台对用户的保护便会越全方位。可见，在电子商务交易平台中，网络安全具有十分重要的作用。

二、电子商务中网络安全的技术要素

1、防火墙技术。防火墙技术主要是通过数据包过滤以及服务的方式来实现病毒的防治和阻挡入侵互联网内部信息[1]。防火墙好比一个可以设定滤网大小的过滤装置，可以根据用户的需求，对信息进行过滤、管理。在服务器中，防火墙的技术便演化为一种连接各个网关的技术，对网关之间的信息联通进行过滤。虽然上述两种过滤管理技术形式略有区别，但本质相同，在电子商务中，可以将两者结合使用，使各自的优势得到充分发挥。实现在防火墙内部设计好一个过滤装置，以便对信息进行过滤与确定是否可以通过。

2、数据加密技术。数据加密是对于指定接收方设定一个解密的密码，由数学的方式，转换成安全性高的加密技术，以确保信息的安全。这里面会涉及到一个认证中心，也就是第三方来进行服务的一个专门机构，必须严格按照认证操作规定进行服务[2]。认证系统的基本原理是利用可靠性高的第三方认证系统CA来确保安全与合法、可靠性的交易行为。主要包括CA和Webpunisher，RA与CA的两者通过报文进行交易，不过也要通过RSA进行加密，必须有解密密钥才可以对称，并通过认证，如果明文与密文的不对称，就不会认证通过，保证了信息的安全[3]。

3、数字认证技术。为了使电子商务交易平台更为安全、可靠，数字认证技术便应运而生，其以第三方信任机制为主要载体，在进行网络交易时，用户需通过这一机制进行身份认证，以避免不法分子盗用他人信息。PKI对用户信息的保护通过密钥来实现，密钥保存了用户的个人信息，在用户下次登陆时，唯有信息对称相符，才能享受到电子商务平台提供的相应服务，在密钥的管理下，数据的信息得到充分保护，电子商务交易的安全性能得到了大幅提升。

三、电子商务中网络安全提升的策略

1、提高对网络安全重要性的认识。随着信息技术的快速发展，网络在人们工作、生活中已无处不在，我们在享受网络带来的便利时，还应了加强对网络安全重要性的了解，树立网络安全防范意识，为加强网络安全奠定思想基础。应加强对网络安全知识的宣传和普及，使公民对网络安全有一个全面的了解；同时，还应使公民掌握一些维护网络安全的技能，以便发生网络安全问题时，能够得到及时控制，避免问题扩大化。

2、加快网络安全专业人才的培养。网络安全的提升离不开素质过硬的专业人才，由于网络技术具有一定的门槛，如果对专业了解不深，技术上不够专攻，专业问题便难以得到有效解决，应着力提升电子商务网络安全技术人员的专业素养，为加强网络安全奠定人力基础。在培养专业人才时，应勤于和国内外的专业人员进行技术交流，加强对网络安全领域前沿技术的了解和掌握，避免在技术更新上落后于人。

3、开展网络安全立法和执法。网络安全的有效提升需要从法律层面进行约束，应着力于完善网络安全立法和执法的相关工作，加快立法工作的步伐，构建科学、合理的网络安全法律体系。自从计算机产生以来，世界各国均设立了维护网络安全的相关法律法规。在新时期，我国应集结安全部、公安部等职能部门的力量，加强对网络安全的管理，力求构建一个安全、健康的网络环境。

四、结论

篇2

【关键词】电子商务 病毒入侵 黑客攻击 信息安全

在互联网信息技术飞速发展的大背景下，电子商务（简称EC，英文为Electronic Commerce）已逐步演变成人们惯用的商务活动模式，从事互联网商业活动的人越来越多。与传统商务活动对比，在B/S方式下运转，两大主体完成商品交易不受时间和空间的限制，这也是电子商务是最大特点。

现如今，我国正处于网络经济蓬勃发展的黄金时代，各个领域中电子商务的普及度较高。新型的商业活动形式建立在网络的基础上，保证了商业活动的便捷性和高效性。不过电子商务在对企业运管效率进一步提升的同时，使企业的面临着病毒侵入、黑客攻击、信息抵赖等问题，导致企业蒙受巨大亏损。所以，高度关注安全问题，才能保证电子商务平台利用率提高。本论文以有关电子商务环境为切入点，对展开电子商务活动中出现的信息安全问题进行分析，并给出对应的方法和策略。

1 电子商务中网络信息安全所存在的问题

1.1 电子商务网络存在的问题

1.1.1 黑客攻击

黑客对网络进行攻击是以偷取商业机要和搅扰系统正常运转为目的，以下是常见的攻击策略：窃听；重发攻击；迂回攻击；假冒攻击；越权攻击等。

1.1.2 系统漏洞

侵入到电商系统人员以系统自身存在的安全漏洞为据，将操作系统数据的权限得到。然而，管理系统未实时打补丁或者在设置安全方面一直选取默认设置等原因造成系统产生漏洞。

1.2 电子商务信息存在的问题

1.2.1 电子商务信息存储安全隐患

在静态时储存电商信息的安全即信息储存安全。其信息安全隐患主要包括：篡改信息内容和非授权调用信息。

1.2.2 电子商务信息传输安全隐患

在运转电子商务时，资金流、物流汇集成信息流之后传送流程中的安全即信息传送安全。它主要涵盖以下四种安全隐患：

（1）盗取商业机密。大部分是以明文的形式来传送电子商务信息，那么袭击网络的不法分子就极易截取或者监听电商信息；

（2）对商务网站施以攻击。攻击者运用计算机病毒传送，屏蔽掉电商网站设置的防火墙，更改信息，使网站瘫痪；

（3）实行商务欺诈。非法人员将虚假信息到Internet上去，诈骗现金、账号，导致用户信任电子商务活动的信赖度降低，在很大程度上对电子商务顺利开展起阻碍作用；

（4）不良信息的传送。非法人员为了实现自己的目标，把不良信息渗透到电子商务信息中。

2 应对电子商务中信息安全问题的对策

2.1 提高网络信息安全意识

相比于西方l达国家，国内用户网络信息安全意识薄弱，忽视了自我权益的保护。再加上我国尚未建立完善的网络信息安全监管机制，出现安全事件之后无法及时采取相应的补救措施，这些都是威胁信息安全的主要因素。故此，在信息安全中，防范人为因素导致信息非安全问题是重要内容。解决这一问题的关键在于为从事电子商务的用户展开安全知识培训活动，确保用户充分认识信息安全的重要性，对信息安全常识了如指掌，进而降低电子商务中产生信息安全事件的几率。

2.2 加强信息安全的技术防范

将来网络安全技术会在计算机网络所有层次中渗透，不过以电子商务安全防范技术为中心的网络技术成为最近几年研究的重要方向。以我国电子商务出现的安全问题为依据，可采取防火墙、虚拟专用网及认证、加密、安全审计、追踪黑客、检测系统漏洞等技术应对信息安全。另外还可以将加密路由器、翻译网络地址、动态包过滤、VPN等技术充分运用起来，确保构建一系列严实的安全防线将受保护资源与攻击人员隔开。

2.3 强化网络信息安全管理

信息安全管理在我国来说十分薄弱，面临着管理能力弱且信息安全意识极其欠缺的问题。政府授权的第三方认证中心构建是电商信息安全管理中形式有效的一个方式，即用该认证中心来负责电子商务交易中的两者主体的信息安全，保证整个交易流程的安全性和可靠性。

2.4 完善电子商务立法与信息安全立法

当前，我国正处于电子商务信息机制初级阶段，只有在信用法制建设深入强化的大环境中，才能确保信息机制最大限度的施展其能力。故此，应当以国内电子商务安全问题为依据，不但要使现行法律的管理范畴扩大和加强，还要加大信息安全与电子商务立法的力度。另外还应当对第三方信用保证进行设置并使其得到强化，务必由商务、商检认证中心、银行共同协作才可确保交易不受阻碍。

3 结束语

本文以电子商务信息安全有关环境为切入点，对电商中出现的网信问题进行探析，并将用户网信安全意识增强、加大网信安全管理力度、加大防范信息安全技术应用力度、健全信息安全和电子商务立法这四种策略，以期解决电子商务中出现的安全问题。电子商务安全性是一项庞大、系统的工程，要从技术和法律上加大保护力度，只有将电商中出现的所有安全问题一并处理好才能使电子商务更好的服务于用户。

参考文献

[1]田迎华，杨敬松，周敏.3G时代移动电子商务安全问题研究[J].情报科学，2010（10）：1487-1490.

[2]王立萍.商业银行电子商务安全风险管理研究[J].中南财经政法大学学报，2007（01）：75-79+144.

[3]张滨，冯运波，吴秦建，江为强，乔矗王馨裕，杨明，何鹏.移动电子商务安全技术与应用实践[J].通信学报，2016（04）：200.

[4]孙鸿飞，张海涛，宋拓，武慧娟.电子商务个性化信息服务用户满意影响因素实证研究[J].情报杂志，2016（04）：195-203.

[5]何培育.电子商务环境下个人信息安全危机与法律保护对策探析[J].河北法学，2014（08）：34-41.

[6]王兴泉，张宁.移动电子商务时代的信息安全与信息保护[J].兰州学刊，2014（12）：175-180.

[7]姚梅芳，杨修，杨涵.电子商务环境下信息管理模式研究[J].图书情报工作，2013（05）：46-49.

篇3

近年来，科学技术的迅猛发展持续推动着计算机硬件的普及和通信网络的发展，在此背景下电子商务渐渐成为国内商贸服务业的主流形态。电子商务利用Internet平台将传统商务活动中的参与各方(买家、卖家、物流公司、金融机构等)连接在一起，通过将整个交易过程网络化、电子化、信息化，减低了交易的成本，提高了交易效率。其涵盖了商品和服务相关人员和行为的各个方面，即在电子商务活动中，会涵盖方方面面的信息。电子商务自产生以来，迅速被广泛应用到各个领域中，包括商品交易和服务的各个环节，例如购买、信息咨询、支付宝等，通过网络媒介将商家、顾客、银行等联系起来。例如电子商务应用最成功的企业——阿里巴巴，通过电子商务成为中国最大、盈利最多的网络营销商户。在电子商务活动整个过程中，包括商家和买家信息、个人银行私密信息、商业秘密等，这些信息数量广泛，内容繁杂，真实有效，一旦被恶意泄露，产生的恶劣后果将难以估量。网络信息安全是推动电子商务更好更快发展的内在动力，保障公众信息安全，是电子商务能够正常运行的前提条件，信息安全包括信息的完整性、可靠性和保密性。信息安全直接关乎买家个人利益，甚至影响整个企业收益水平。网络环境下，保障电子商务活动中信息安全具有很重要的意义。企业管理者要高度重视不断增加的网络入侵、黑客攻击，积极探索加强网络防御功能的办法。

2电子商务信息安全问题电子商务在不断发展，同时，伴随产生了越来越多的信息安全问题，列举如下。

2.1信息存储安全电子商务在静态存放时的安全，被称为信息存储安全。企业在开放的网络环境下运行时，电子信息安全往往存在两类不安全因素：内部不安全要素，企业内部之间或者是其顾客随意调用或者增、改、删除电子商务信息；外部不安全因素，外部人员非法入侵企业内部计算机网络，故意调用或者增、改、删除电子商务信息，例如黑客入侵、企业之间的恶意竞争、信息间谍的非法闯入等。

2.2交易双方信息安全新型电子商务模式打破了传统买卖双方面对面的交易方式，交易双方的整个交易活动都是在计算机网络上进行信息交流，因而，电子商务的交易就会存在不安全现象。电子商务交易包括卖方和买方。买方可以是个人或者公司，主要存在的信息安全问题包括：第一，用户被冒名顶替，收不到所购的商品，直接导致财产损失；第二，用户发送的交易信息不完整，导致商户无法将商品发送到买家手中；第三，域名被扩散或监听，致使买家信息被泄露；第四，因网络上看不到商品的实物，可能会被虚假广告所欺骗，购买假冒伪劣产品。卖家存在的信息安全威胁：第一，企业之间的恶意竞争，采用不正当手段侵入企业内部获取企业营销信息和客户信息；第二，冒名更改交易内容，阻断电子商务活动的正常进行，毁坏商家的信誉和利益；第三，违法分子采用高科技窃取商业机密，侵犯商家专利；第四，电子商务信息可能会遭到恶意程序的破坏，例如木马程序；第五，黑客入侵，黑客通过攻击服务器，使企业网站上产生大量虚假订单，造成系统拥挤，影响企业的正常运营。

2.3信息传输安全信息传输安全是指电子商务信息在动态传输过程中的安全问题。信息在传输过程中容易产生被篡改的危险，如收到伪造的电子邮件，传输的信息被非法截获，实际的交易信息被恶意销毁等，同时，如果网络硬件和软件产生问题，也会造成信息在传递中被丢失或者产生谬误，促成电子商务中的信息安全问题。

3电子商务信息安全因素

在传统交易过程中，买卖双方通过面对面的交流，很快在双方之间建立安全和信任关系，达成交易。但是在新型电子商务活动中，打破传统联系方式，以互联网作为交易媒介，互联网的虚拟性、动态性和高度开放性等特点使电子商务活动中存在大量的威胁与安全隐患，在没有见面的情况下，买卖双方很难建立起安全与信任关系。电子商务的信息安全因素主要包括以下方面。

3.1电子商务信息的真实有效性电子商务是以电子交易形式取代纸质交易，因而，保证电子交易形式的真实有效性是电子商务活动得以顺利开展的重要前提条件。电子商务是一种重要的贸易形式，其信息的真实有效性直接关系买卖双方、企业甚至国家的经济利益和声誉。3.2电子商务信息的机密性电子商务是一种贸易手段，具有相当程度的机密性。传统纸质贸易是通过邮寄信件或其他可靠通信渠道发送商业报文，充分确保了文件的机密性。在开放的网络环境下，商业泄密事件时有发生，防止商业泄密是确保电子商务全面推广应用的重要保障。

3.3电子商务信息的完整性电子商务简化了贸易过程，大量减少了人为干预，很大程度上提高了交易效率，与此同时，也带来了一系列信息不完整、不统一的问题。工作人员在进行数据输入时可能产生意外差错，或者为谋取个人私利而故意欺诈，破坏了贸易信息的完整性。在传输过程中，可能因种种原因，造成信息丢失、重复，或者信息原有次序被打乱的现象都会导致贸易信息与原信息的不一致。在电子商务活动中，必须加强系统维护，确保数据存储和传输的完整性。

3.4电子商务信息的安全可靠性可靠性是要确保合法用户对电子商务信息和资源的正当使用权，要求建立有效的责任机制，防止实体否认用户行为，杜绝合法用户对资源的使用过程中被拒绝的现象，还要在交易双方之间通过签订可靠的合同、契约等预防任何一方的抵赖行为，损害另一方的经济利益。

4电子商务信息安全的保障措施

目前，电子商务已经蓬勃发展起来，迅速被广泛应用到各行各业，例如网上银行支付、快捷支付、京东商城购物等，其发展前景相当可观。但电子商务活动中存在的一系列信息安全问题令人担忧。保护电子商务信息安全，在网络背景下，建立安全、快捷、高效的电子商务环境成为当务之急，是企业管理者应该深入探讨的重要问题之一。近年来科学技术和网络信息技术取得了迅猛的发展，企业发展应该具有时代特征，充分发展有效的信息安全技术，并结合行之有效的措施。现对保证电子商务信息安全提出以下几点建议。

4.1加强网络安全在网络背景下，电子商务信息安全的主要内容就是网络安全，采取高度发达的科学技术措施，对危险进行预测，从而制定行之有效的措施，将信息不安全问题化解在萌芽状态。保障计算机电子商务信息安全的技术措施，有利于从源头上保障信息安全。信息安全得到保障，进而促进电子商务的健康、可持续发展。首先，要加强信息加密，其目的是保护网内数据文件、口令和控制信息，保护网络会话的完整性，加密是基于数学算法的程序和密钥对文件进行加密，只有发出者和接受者才能识别的字符串，防止他人窃取文件信息。加密技术通常采用对称加密技术、非对称加密技术或者二者联合使用。通常利用数据加密标准DES、三重DES、国际数据加密算法等对常规密钥密码体系进行计算。其次，严格身份识别，通过采取一定的技术措施，确认信息发送者的身份，验证信息的完整性和准确性，防止信息在传送或接收存储过程中被非法篡改。采用电子技术手段对用户身份的真实性和准确性进行验证，设置网络资源的访问权限，电子商务活动中的所有参与方必须根据认证中心签发的数字标识进行身份验证。建立电子商务网上认证中心，对网上交易提供认证服务、签发数字证书，进而确认用户身份。最后，鉴于网络环境下，恶意病毒越来越多，严重影响了电子商务信息的安全性，要求企业能够采取一定的防病毒技术措施，主要包括：

(1)预防病毒技术，通过自身常驻系统内存，获得系统的优先控制权，对可能存在的病毒进行预防，一经发现企业网站遭受恶意病毒的入侵，要能制定技术措施，对计算机病毒做出正确分析，阻止病毒进入计算机系统，破坏系统；

(2)检测病毒系统，它是通过计算机对各种病毒特征的记录对病毒进行识别和侦测的技术；

(3)消除病毒技术，通过上述技术措施对病毒进行识别和分析，开发出具有杀除病毒程序、恢复原文件的软件。企业应当不断加大资金投入，研究新的技术办法，严格确保在网络环境下计算机电子商务的信息安全。

4.2加强网络信息安全设施建设电子商务的快速发展有效提高了商业活动的交易效率。在网络背景下，信息泄露、黑客入侵等电子商务信息安全问题严重阻碍了电子商务的进一步发展。尽管设置多道防火墙、多层密保等，可以有效确保网络信息系统安全，但是计算机的芯片、中央处理器等核心部件如果是别人设计生产的，网络信息就会存在一定的安全隐患，是严重威胁我国网络信息安全的重要因素。网络环境下，电子商务是全球范围内的经济活动，是我国国民经济新兴的增长点，加强电子商务网络信息安全，对促进我国市场经济发展具有很重要的现实意义。因此，必须建设一系列的网络信息安全基础设施，建立中国的公开密钥基础设施、信息安全产品检测评估等基础设施，应急预警基础设施尤为必要。

篇4

关键词：电子商务；信息安全；风险评估；对策

基金项目：郑州科技学院大学生创新创业训练计划项目：电子商务信息安全风险评估关键技术及应用（编号：DCY2019007）

1.引言

电子商务是以互联网为基础，以商城消费者产品物流为构成要素进行的电子商务活动。当电子商务相关部门或人员在进行项目开发时，拥有一套信息安全风险评估系统可以帮助其采用科学合理的方法对潜在威胁进行分析并保证经济系统的安全。所以将信息安全技术与现代化新兴技术结合，将为我们打造一个更加优质的网络环境。

2.电子商务系统中存在的信息安全问题及现状

一般来说，电子商务的信息安全是指在电子商务交易的过程中双方使用各种技术和法律手段等确保交易不会因为意外，恶意或者披露这些不利要求而受到损害的信息安全。在21世纪初叶，我国金融系统中的计算机犯罪率一直在不断地增加，我国金融网络信息安全形势非常严峻，需要加强改善。下面就电子商务网络中的信息安全问题做一个简要介绍，主要涉及以下几个方面：

（1）由于编写的电子商务系统软件可以使用不同的形式，因此在实际应用过程中难以避免的会留下安全漏洞。例如，网络操作系统本身会存在一些安全问题，例如非法访问I/0，这些不完全的调解和混乱的访问控制会造成数据库安全漏洞，而这些漏洞严重影响了电子商务系统的信息安全性.特别是在设开始设计之前就没有考虑TCP/IP通信协议的安全性，这一切都表明当前的电子商务系统网络软件中有一些可以避免或不可避免的安全漏洞。此外信息共享处理带来也存在风险。在信息的传递过程中，需要不断地对信息源进行加工和重现，截取有用信息，不可避免会出现信息转化方面的风险。尤其是在当下“社交+商务”的模式下，一条消息可能瞬间在社交网站上转载数万次或者更多，一旦在信息转载中出现误差，影响非常大，风险应当给予重视。

（2）随着网络技术的广泛应用，计算机病毒带来的问题越来越广泛，压缩文件，电子邮件已经成为计算机病毒传播的主要途径，因为这些病毒的种类非常多样化，破坏性极强，使得计算机病毒的传播速度大大加快了。近年来，新病毒种类的数量迅速增加，互联网为这些病毒的传播提供了良好的媒介。这些病毒可以通过网络大量传播任何粗心大意都会造成无法弥补的经济损失。此外还有信息传递过程所带来的风险。信息是一种重要的资源，良好的流动性能實现信息价值的最大化，但是在信息的传递过程中需要经过许多路径，而在这过程中往往存在一些不安全因素，给信息安全带来一定的风险。

（3）当前的黑客攻击，除了计算机病毒的传播外，黑容的恶意行为也越来越猖狂。特洛伊木马使黑容可以使用计算机病毒从而变得更加有目的性，使得计算机记录的登录信息被特洛伊木马程序恶意篡改，导致很多重要信息、文件，甚至是金钱被盗。

（4）由人为因素造成的电子商务公司的安全问题，大部分保密工作是通过员工的操作来进行的，这就需要员工具有很好的保密性，责任心和责任感等道德素质。如果员工的责任心不强，态度不正确，就容易被别人利用，让无关人员随意进出房间或向他人泄露机密信息，可以让罪犯废除重要信息。如果工作人员缺乏良好的职业道德，可能会非法超出授权范围更改或删除他人的信息，而且还可以利用所学专业知识和工作位置来窃取用户密码和标识符，进行非法出售。

3.电子商务信息安全风险评估存在的问题

经过大量的数据收集与分析不难发现对信息安全风险评估是当前科研工作中噬待解决的问题。目前，国内也有一些关于信息安全风险评估的研究和应用，但是这些研究都只是简单的分析，包括常用的具有风险的风险评估工具。评估矩阵，问卷，风险评估矩阵与问卷方法，专家系统相结合。对于更深层次的探究还需进一步努力。此外，网络信息安全风险评估方法常用定量因子分析方法，时间序列模型，决策树方法和回归模型进行。风险评估方法，定性分析主要包括逻辑分析，Delphi方法，因子分析方法，历史比较方法等。其中，定量和定性评估方法相结合，是由模糊层次分析法，基于D-S证据理论等的评估方法组成。同时网络信息安全风险评估还存在一定问题，例如随着网络的发展，我国从开始的2G迈向4G现在又率先进入5G时代。其中也出现了各种问题，网民数量的增加需要迫切提高他们对信息安全的警惕意识。

3.1欠缺对电子商务信息安全风险评估的认识

当前，许多相关人员对电子商务信息系统面临着巨大的挑战的现状并未有足够的意识，缺少信息安全风险评估经验。因此他们没有重视信息安全风险评估的重要性，其原因如下。第一，公司或单位的风险评估尚未通过标准检验，培训标准，信息安全风险评估工作的研究尚未得到系统的相关理论，方法和技术工具，这是由于一些信息安全评估工作相关领导层和工作人员对信息评估风险评估的重要性的认识不足，因此自然而然不将此类风险评估工作包括在当前的信息安全系统框架中。第二，尽管有许多部门将信息安全工作置于地位重要，但受到人力、物力，财力等方面的限制，社会制度的制约，政策法规的欠缺使得信息安全系统的信息安全风险评估工作无法得到应有的重视。

3.2缺乏信息安全风险评估方面的专业技术人才

首先，信息安全风险评估的技术内容要求非常高，它要求员工具有很高的技术水平，现在很多公司都将通用信息用作风险评估技术人员。其次，信息安全风险评估是一项集综合性，专业性于一体的工作，不仅涉及公司的所有业务信息，也涉及人力，物力和财力的方方面面，因此需要各部门之间相互配合，现在大多数公司仅依靠信息部门，独立的参与信息安全风险评估毫无争议他们要想完成信息安全风险评估工作是非常艰难的。综上所述，培养信息安全风险评估专业技术人员是今后信息技术方面发展的方向。

3.3风险评估工具相对缺乏

当前，除专家系统外，其他分析工具相对来说都比较简易，除此之外还缺乏实用的理论基础。此外，这种信息风险评估工具在应用中的发展呈现的现状。表明国内和外部失衡，在中国相对落后。可见解决信息安全问题的关键在于有成熟的风险评估工具。

4.防范电子商务信息安全及风险的建议

4.1增强电子商务信息安全和风险评估的意识

大多数信息的传输和处理，与人是密不可分的。特别是掌握人员的重要信息和核心业务，人员的个人因素，管理因素和环境存在风险。主要包括人员的技术能力，监控管理，安全性。特别需要做好监督审计公司的工作，确保信息安全风险管理融入实践，充分发挥内部监督作用，促进社会责任认可和实施信息安全风险管理工作。电子商务公司必须对工人进行必要的信息安全知识教育培訓，了解与之相关的法律法规，做好对客户关键信息的隐秘保护。不随意查看和泄露客户购买信息。

企业应该加大力度保障网络通信操作时信息的机密性和完整性，加强密钥管理，提高应对网络攻击能力，采取措施避免越权或滥用，消除用户在交易中的风险。在信息安全风险控制中必须由内到外地保护内部系统环境、网络边界、骨干网安全。为网络信息系统建立完善的管理系统，并提供全面的安全保障。运用端到端策略。对于移动电子商务中用户终端设备种类繁多，安全环境复杂难以控制的问题，必须做好数据传输中的重要环节中的身份鉴定。通过人脸识别、指纹识别等技术有效提高用户访问身份鉴别能力，极大地提高账户的安全性，确保数据传输的安全性，确保交易的真实有效。

4.2提供专业的技术培训，提高专业人员的技能

认真选择第三方合作伙伴，增强信息管理水平，加强绩效监督管理。树立合理的企业内部组织结构和有效资金保障，培养员工信息安全意识，创造良好信息安全工作氛围，加强信息安全专业技术人员对信息安全风险评估的意识和能力，通过大量的实验发现可以通过下列方法培训相关人员：第一，定期开展信息安全风险评估工作，将公司员工集合共同学习相关资料以提升他们对信息安全的意识弥补存在的缺陷。第二，对信息安全部门的员工进行专门的技术培训和指导，可通过模拟分析来提升技术；第三，公司应增加对技术资源的投入，聘请经验丰富的专家学者组成第三方评估机构，引进风险评估设备。以备不时之需；第四，公司应对技术人员进行标准化认证培训，执行职业资格准入制度，提高技术人员的门槛，纳入信息安全风险评估，技术人员的全面质量保证评估。以上这些方法只是单纯就培训方式对于具体的实施以及可能遇到的问题依然需要研究。

4.3提升对信息安全防范技术的研究和应用

为移动数据库存储的数据进行加密以防止泄漏，采用不同的加密方法来保护数据安全，进行身份认证，数据恢复，数据加密存储，物理隔离，防火墙，网络，网络设备，网络入侵检测，网络漏洞扫描，网络设备备份，网络管理，专线，实现网络管理等一系列技术手段，从而提高数据库的安全性。同时提高认识到物理设施的重要性，定期维护物理设施。为了监测信息安全和实施评估系统，我们要保证基本硬件和芯片的独立在建立独立于信息安全的评估体系中，国内外统一组织重要的信息安全技术研究，建立创新的电子商务信息安全与评估体系。

篇5

[关键词]电子商务会计;会计信息系统;信息安全

1引言

电子商务的实施和推广,极大地冲击了企业的传统经营和发展模式,也使企业的传统会计有逐步向电子商务会计过渡的趋势

电子商务是一个以Internet为主要平台以交易双方为主体以银行支付和结算为主要手段以客户数据库为依托的全新商业模式因此,如何应对这种全新的商务模式适应信息化条件下的市场竞争,是企业会计必须面对的崭新课题由于电子商务发展所依托的主要平台——互联网具有很大的安全风险,电子商务环境下的会计信息同样也面临着不可忽视的安全问题随着电子商务应用的进一步推广,电子商务环境下的企业会计信息安全问题的日益凸现,已经成为企业向电子商务时代跨越的一大障碍因此,解决电子商务环境下的会计信息安全问题已经成为发展电子商务会计中最重要最基本的工作

2电子商务环境下的会计信息安全问题

由于电子商务环境下网络的复杂性以及会计问题的特殊性,会计信息遇到的安全问题是多方面的电子商务环境下存在着大量的会计信息安全问题:

(1)网络安全风险

互联网是一个开放的环境,置于该环境中的各种服务器数据库上的信息在理论上都是可以被访问到的因此,网络会计信息系统很难完全抵制非法访问者的侵扰和攻击尤其是当系统程序本身存在问题系统安全漏洞较大并且系统管理人员尚不自知时,就难以保证服务器上的会计信息系统的信息资源不会被窃取或篡改当然这种攻击可能来自于系统外部,也可能来自系统内部,而且一旦发生企业将损失巨大

(2)无纸化的申报和扣税带来税务稽查问题

在网上交易电子化,电子货币电子发票和网上银行日渐普及的情况下,纳税人手工上门申报方式已经无法适应电子商务发展的需要同时,也引出了所谓的电子税收问题,即如何保证纳税单位忠实无误地进行网上申报,而税务稽查的基础是掌握大量确切的有关纳税人应税会计信息的证据

(3)追踪审计困难

从审计工作的角度看,由于数据高度集中于电子商务系统,电子商务系统对错误的处理具有重复性和连续性,电子商务系统中许多不相容职责相对集中,加大了舞弊的风险此外,会计信息系统设计时可能没有充分考虑到审计工作的需要,没有留下充分的审计线索因此,无纸化的商务环境导致电子商务活动难以追踪审计,各种会计凭证又可被轻易修改而不留痕迹,传统的税务稽查工作失去物质基础

(4)相关的法律法规配套不完善

加强电子商务立法措施,为电子商务会计发展提供一个健全的法律环境为此,要大胆借鉴和移植发达国家电子商务保护交易安全的成功经验和制度,并结合中国的实际情况,构造一套强化交易安全保护的法律制度;在计算机及其网络安全管理的立法上,应针对电子商务交易在虚拟环境中运行的特点,明确提出电子商务交易安全保护的法律措施;随着电子商务进一步发展,虚拟公司越来越小,而人力资源与知识产权等是其创造价值的动力所在未来的会计报告必然要求披露知识产权商誉等的真实情况确认的公允价值我国有关电子商务活动的法律法规还难以预想到电子商务会计活动中出现的新问题,这就增加了会计信息安全的不确定性,加大了风险

(5)现行财务会计软件的不成熟带来的会计信息安全风险

由于开发的滞后性,当前市场上流行的各种财务软件,都与电子商务会计发展的客观需求存在着一定的差距开发出的财务软件适应性差应变能力不强相互兼容性不好抗病毒能力差等弱点已很难适应电子商务会计的需要电子商务会计软件的不成熟严重阻碍了电子商务会计的充分发展

会计信息是企业管理的基本依据之一,从事电子商务活动的企业需要利用电子商务网络进行会计信息的收集输入处理存储输出传递等活动,如何利用电子商务安全技术对网络中的会计信息进行保密处理,确保会计信息的安全,是企业面临的一项重要任务

3电子商务环境下的会计信息系统安全策略研究

一般的会计信息系统都包括信息源输入处理存储输出反馈和信息汇等几个构成要素各构成要素的关系如图1所示:

在电子商务环境下,会计核算网络化以后,会计岗位将重新划分,包括系统设计员系统管理员系统操作员数据录入员数据审核员系统维护员数据分析员档案管理员等,各岗位之间相互联系相互监督相互牵制会计信息的安全与会计信息系统的构成元素有着密切的关系,因此,我们可以从会计信息系统的各个构成元素来对会计信息安全进行研究,具体分析如下:

3.1会计信息源的安全

原始会计信息准确性是企业会计问题的基础,因此,会计信息源安全的意义不言而喻,如果会计信息源遭到攻击,导致其发出的信息是虚假的或是不准确的,在会计信息系统本身没有识别能力的情况下,会计信息系统中处理存储和输出的信息肯定是有误的,传送到信息汇中的信息也是错误的,这必然引发企业一系列的会计问题因此,如何保证在信息源头获取正确的可靠的原始会计数据,是保证会计信息安全的基础,否则,一切挽救措施都无从谈起为此,需要在信息源处加上电子审计的功能,以确保其发出的数据是准确的客观的同时,在进入输入节点时需要加上识别功能,以防错误或虚假信息进入会计信息系统在电子商务的环境下,会计信息源可能在企业外部,非企业本身所能控制,因此,保证会计源发出的信息准确无误不仅需要各种先进的电子商务安全技术和安全措施作支撑,还需要相关的电子商务法规来保障,同时还需要建立起全社会的诚信系统来维护,以最大限度地减少虚假错误的信息的发生具体到企业个体来说,信息源责任单位应建立有效的信息安全保密管理制度和技术保障措施,并接受相关业务主管部门的管理监督和检查公司财务主管应有权对信息源责任单位对外公开的信息内容通过浏览进行检查,并要求信息源责任单位就不适宜的信息内容进行修改和删除等

3.2信息输入节点的安全

数据输入的正确与否直接影响到账务处理和账务输出的结果因此会计数据输入控制显得尤为重要在会计信息系统中,每一步的信息输入要来自上一步的结果,每一步的信息输出又构成下一步的信息输入在电子商务环境下,从会计信息源获取的数据一般是通过客户端直接输入系统的或从另一个系统传送到系统服务器数据库的如果是人工键盘输入,则需要在保证输入正确的同时防止信息的泄露,还需要采取措施对录入人员进行培训和监督,特别是需要进行及时的内部监控,以防有人故意破坏或输入虚假错误的数据另外,在输入技术方面,需要考虑输入的方式接口输入数据的格式及其转换问题,这关系到原始会计数据是否能正确地进入系统病毒的破坏黑客的攻击以及人为的失误等状况都可能威胁会计数据的正常安全转换此外,实际经验表明,内部人员的干扰和破坏是系会计信息系统安全的最大隐患,因此很有必要为此制定一个严格的完善的会计信息安全管理制度,使企业财务系统从设计投入使用业务操作设备管理都有相应的制度监督,对违反规定的员工必须依制度处理,建立相应的监督机制,保证相关制度得到落实在许多先进的会计信息系统中一般均含有监控模块或子系统,其作用是对外部信息的输入进行必要的控制和管理,以及时发现和纠正各种可能的错误3.3信息处理部分的安全

数据处理是会计信息系统的核心功能,财务系统处理的业务均与“钱”有关,具有高度的敏感性和机密性,处理结果要求及时准确完整,不能有一丝差错故一般在数据处理期间,其网络必须封闭运行,不能连接与业务无关的终端,不能与其他无关的部门共同使用计算机设备,更不能与互联网相连当然封闭是相对而言的,对业务相关部门是应开放的,以实现资源共享,提高企业管理水平需要说明的是,即使对相关部门开放,也需层层加密,授权作业,禁止处理未授权的业务

信息处理部分的安全隐患也主要来自黑客的攻击程序的破坏以及系统开发时留下的bug,这些都会干扰信息系统对会计数据处理的正常处理,甚至会危害整个系统的运行这些问题与前述的问题有关,但内部人员作案外部人员或组织的破坏均是可能的特别是内部人员或前内部人员作案,隐蔽性强,往往难以追踪,而且破坏性很大,这同样需要制度化的措施和及时的监控来加以解决另外,黑客程序的入侵和病毒程序的破坏已经是经常性的问题,因此,实时监控是电子商务网络和系统必备的措施应建立操作日志,对日常业务进行全程跟踪,加强控制,对大额业务单独列示,详细反映认真核对每笔业务,建立严格的确认复核制度,保证数据完整准确重点监控大额业务定期评估财务系统的安全性,发现问题及时解决

3.4信息输出部分的安全

由于会计信息系统输出的财务数据或信息往往涉及企业的商业机密,所以需要采取严密的措施进行安全防范除了前面叙述的问题外,如何防止企业敏感财务信息的泄露是重中之重对优秀的会计信息系统来说,所有数据输出活动都应该有记录,这种记录主要是针对用户的信息审计系统能实时对进出内部网络数据库系统的信息进行内容审计,以防止或追查可能的泄密行为凡属,按照国家有关法律法规要求,建议安装使用信息审计系统信息输出的形式往往与采用的保密措施有关,特别是当会计数据或信息以电子化的形式输出时,需要采用严格的制度和纪律加以规范,以防在电子商务网上迅速传播和泄露另外,对获得输出数据或信息的人和组织必须进行严格的审查和监督,并加以控制和施以法律责任,以防止泄密或向外部被篡改后的数据或信息,引起争议或麻烦

3.5数据存储部分的安全

这是会计信息系统最敏感的部分这部分的安全威胁主要来自黑客对未经授权的数据的浏览修改和删除此外,计算机病毒对于存储的电子数据也是一个极为严重的威胁对企业财务数据信息的安全保护,其重要性已经上升到企业安全的高度因此,建立一个安全高效的数据存储管理制度刻不容缓首先,电子商务系统本身的技术水平技术措施系统管理员和数据库管理员的技术水准和责任心严格的纪律和手段等,是保证数据存储器安全的先决条件同时,凡是有权访问数据的人和组织均有法律责任,对敏感的会计数据进行严格的保密另外,数据存储安全管理尤其需要隔绝不安全的人包括:

(1)数据破坏者毁灭存储信息

(2)窃密者超越权限获取信息的人都可以称为窃密者

(3)不当使用者不熟悉数据安全和处理的人都可能造成不当使用

这其中前两类人有很多是内部人员,也可能以黑客/间谍面目出现

因此,企业需要加强内部控制,实行严格的数据资源授权管理制度在会计电算化比较完备的企业应建立起网络系统计算机系统和数据库3层访问权限控制管理制度,安全策略在确定对每个资源管理授权者的同时,还要确定他们可以对用户授予什么级别的权限如果没有数据管理授权者的信息,就无法掌握究竟哪些人在使用数据库对于数据中的关键财务信息资源,对其可授权范围应尽可能小,范围越小就越容易管理,相对也就越安全在对数据访问授权者管理的同时,要制定对用户授权的过程设计,以防止对授权职责的滥用,以防止财务机密外泄和蓄意计算机作案,保证会计信息的安全

3.6信息汇的安全

信息汇指的是会计数据流向的目的地,它既可能是企业内外部的组织或者是具体的相关职责个人,也可能是会计信息系统的数据库对企业财务部门来说,必须具有强有力的监控措施,对于谁在什么时候什么地方以何种方式对什么对象做了什么操作发生什么结果等都应该进行详尽的记录对这些信息使用者的监控,必须有法律效力这涉及了信息共享的安全性问题商务机密的泄漏通常是在信息共享中发生的因此,除了严格的制度和强硬的纪律法律手段外,还需要有效的安全技术和安全措施作保障

4结束语

在电子商务网络中,会计信息的安全保密问题实际上与一般网络安全问题有直接的关系,在安全措施和手段上也基本一致但是会计信息比一般信息敏感,在企业的日常管理方面财务审计与课税等方面起重要作用由于会计信息不同使用者的信息需求有差异,会计信息的可靠性和相关性在某些情况下也不容易同时兼顾由于在电子商务环境下产生的会计信息一般是以电子化的方式而非书面的形式存在,故其法律效力和原始会计数据的追踪变得复杂,其安全保密具有特别的意义对会计数据和信息的安全进行妥善处理,不仅需要技术方面的措施,还需要社会法律制度等来保障

主要参考文献

[1]GeorgeHBodnar,WilliamSHopwood.会计信息系统[M].第8版.北京:清华大学出版社,2001.

[2]陈少华.防范企业会计信息舞弊的综合对策研究[M].北京:中国财政经济出版社,2003.

篇6

    随着网络技术的广泛应用,我国电子商务的安全问题也日益突出。根据“2010年上半年,计算机病毒和互联网安全报告疫情”的数据表明,2010年上半年,计算机病毒,木马的数量依然保持快速增长,新病毒不断出现,一些“老”的病毒推出了众多变种。2010年上半年计算机病毒,木马数量迅速增加,超出了近五年病毒数量的总和。在日益增多的电子商务安全问题面前,需要我们采取新措施来进行防范。

    一、电子商务的安全现状

    目前电子商务的安全问题比较严重,最突出的表现在计算机网络安全和商业诚信问题上。因为篇幅问题,本文只侧重于计算机网络安全问题的描述和解决对于其他方面的问题不作详细的分析。与以往相比电子商务安全呈现出以下特点:

    (一)木马病毒爆炸性增长,变种数量的快速增加

    据统计,仅2009年上半年挂载木马网页数量累计达2.9亿个,共有11.2亿人次网民访问挂载木马,2010年元旦三天就新增电脑病毒50万。病毒的数量不仅增速变快,智能型,病毒变种更新速度快是本年度病毒的又一个特征。总体而言,目前的新木马不多,更多的是它的变种,因为目前反病毒软件的升级速度越来越快,病毒存活时间越来越短,因此,今天的病毒投放者不再投放单一的病毒,而是通过病毒下载器来进行病毒投放,可以自动从指定的网址上下载新病毒,并进行自动更新,永远也无法斩尽杀绝所有的病毒。同时病毒制造、传播者利用病毒木马技术进行网络盗窃、诈骗活动,通过网络贩卖病毒、木马,教授病毒编制技术和网络攻击技术等形式的网络犯罪活动明显增多,电子商务网络犯罪也逐渐开始呈公开化、大众化的趋势。

    (二)网络病毒传播方式的变化

    过去,传播病毒通过网络进行。目前,通过移动存储介质传播的案例显着增加,存储介质已经成为电子商务网络病毒感染率上升的主要原因。由于U盘和移动存储介质广泛使用,病毒、木马通过autorun.inf文件自动调用执行U盘中的病毒、木马等程序,然后感染用户的计算机系统,进而感染其他U盘。与往年相比,今年通过网络浏览或下载该病毒的比例在下降。不过,从网络监测和用户寻求帮助的情况来看,大量的网络犯罪通过“挂马”方式来实现。“挂马”是指在网页中嵌入恶意代码,当存在安全漏洞的用户访问这些网页时,木马会侵入用户系统,然后盗取用户敏感信息或者进行攻击、破坏。通过浏览网页方式进行攻击的方法具有较强的隐蔽性,用户更难于发现,潜在的危害性也更大。

    (三)网络病毒给电子商务造成的损失继续增加

    调查显示,浏览器配置被修改,损坏或丢失数据,系统的使用受限,网络无法使用,密码被盗造成都给电子商务造成严重的破坏后果。2006年“熊猫烧香”病毒利用蠕虫病毒的传播能力和多种传播渠道帮助木马传播,攫取非法经济利益,给被感染的用户带来重大损失。继“熊猫烧香”之后,复合型病毒大量出现,如:仇英、艾妮等病毒。同时,网上贩卖病毒、木马和僵尸网络的活动不断增多,利用病毒、木马技术传播垃圾邮件和进行网络攻击、破坏的事件呈上升趋势。

    二、电子商务的安全问题及存在原因

    1.对合法用户的身份冒充。以不法手段盗用合法用户的身份资料,仿冒合法用户的身份与他人进行交易,从而获得非法利益。

    2.对信息的窃取。攻击者在网络的传输信道上。通过物理或逻辑的手段,对数据进行非法的截获与监听,从而得到通信中敏感的信息。如典型的“虚拟盗窃”能从因特网上窃取那些粗心用户的信用卡账号,还能以欺骗的手法进行产品交易,甚至能洗黑钱。

    3.对信息的篡改。攻击者有可能对网络上的信息进行截获后篡改其内容,如修改消息次序、时间,注人伪造消息等,从而使信息失去真实性和完整性。

    4.拒绝服务。攻击者使合法接入的信息、业务或其他资源受阻。

    5.对发出的信息予以否认.某些用户可能对自己发出的信息进行恶意的否认,以推卸自己应承担的责任。

    6.信用威胁。交易者否认参加过交易,如买方提交订单后不付款,或者输人虚假银行资料使卖方不能提款I用户付款后,卖方没有把商品发送到客户手中,使客户蒙受损失。

    7.电脑病毒。电脑病毒问世十几年来,各种新型病毒及其变种迅速增加,互联网的出现又为病毒的传播提供了最好的媒介。不少新病毒直接利用网络作为自己的传播途径,还有众多病毒借助于网络传播得更快,动辄造成数百亿美元的经济损失。如,CIH病毒的爆发几乎在瞬间给网络上数以万计的计算机以沉重打击。

    三、电子商务的安全需求

    电子商务威胁的出现导致了对电子商务安全的需求,主要包括有效性、完整性、不可抵赖性、匿名性。

    1.有效性。保证信息的有效性是开展电子商务的前提,一旦签订交易,这项交易就应得到保护以防止被篡改或伪造。

    2.完整性。贸易双方信息的完整性将影响到贸易各方的交易和经营策略,保持贸易双方信息的完整性是电子商务的基础。

    3.不可抵赖性。交易一旦达成,原发送方在发送数据后就不能抵赖,接收方接到数据后也不能抵赖。

    4.匿名性。电子商务系统应确保交易的匿名性,防止交易过程被跟踪,保证交易过程中不把用户的个人信息泄露给未知的或不可信的个体。

    四、电子商务安全防治措施及安全举措

    防范电子商务网络犯罪是一个系统工程,不仅需要人们提高防范电子商务网络犯罪的意识,加强防范电子商务网络犯罪的制度建设,而且.还需要技术上不断更新和完善,为此,需要做好以下几方面的工作。 1.加强教育和宣传,提高公众电子商务的安全意识。信息安全意识是指人们在上网的过程中,对信息安全重要性的认识水平,发现影响网络安全行为的敏锐性,维护网络安全的主动性。强化上网人员的信息安全意识,就是要让上网人员认识到,网络信息安全是电子商务正常而高效运转的基础,是保障企业、公民和国家利益的重要前提,从而牢同树立网上交易,安全第一的思想。主要采取以下措施:一是通过大众媒体,普及电子商务的安全知识,提高用户的认识。二是积极组织研讨会和培训课程,培养电子商务网络营销安全管理人才。

    2.采用多重网络技术,保证网络信息安全。目前,常用的电子商务安全技术,主要包括:防火墙,物理隔离,VPN(虚拟专用网)。防火墙是实现内部网与外部网安全和入侵隔离的常规技术。使用防火墙,一方面是抵御来自外界的攻击。另一方面是为了防止在服务器内部部分未经授权的用户攻击。因此,电子商务内外网与互联网之间要设置防火墙。网管人员要经常到有关网站上下载最新的补丁程序,以便进行网络维护,同时经常扫描整个内部网络,发现任何安全隐患及时更改,做到有备无患。企业上网必须实行内外网划分和内外网的物理隔离。要运用VPN新技术,为使用者提了一种通过公用网络,安全地对食业网络进行远程访问,同时又能保证企业的系统安全。包括操作系统、数据库和服务器(如Web服务器、E-MAII。服务器)的安全。

    3.运用密码技术,强化通信安全。应围绕数字证书应用,为电子政府信息网络中各种业务应用提供信息的真实性、完整性、机密性和不可否认性保证。在业务系统中建立有效的信任管理机制、授权控制机制和严密的责任机制。目前要加强身份认证、数据完整性、数据加密、数字签名等工作。对于电子商务中的各种敏感数据进行数据加密处理,并且在数据传输中采用加密传输,以防止攻击者窃密。电子商务信息交换中的各种信息,必须通过身份认证来确认其合法性,然后确定这个用户的个人数据和特定权限。“在涉及多个对等实体间的交互认征时,应采用基于PKI技术,借助第三方(CA)颁发的数字证书数字签名来确认彼此身份。”为了从根本上保证我国网络的安全,我同安全产品的应用应建立在国内自主研发的产品基础上,国外的先进技术可以参考,但不能完全照搬。政府应该鼓励和扶植一批企业加快数字安全技术的研究,以提高我国信息企业的技术和管理水平,促进我同电子商务安全建设。

篇7

关键词：电子商务；身份认证；防火墙

1 引言

电子商务可以增加销售额并降低成本的优势，使得政府与企业都十分重视并推动电子商务的建设和发展。电子商务发展到今天，主要问题在于时空的分离导致了安全问题的出现，信息的安全性是当前发展电子商务最迫切需要解决的问题之一。研究和分析电子商务的安全性问题，特别是针对企业自身情况，充分借鉴以往电子商务系统开发的先进技术和经验，开发出符合企业特殊的电子商务系统，已经成为目前发展电子商务的关键，而安全体系的构建显得尤为重要。

2 电子商务的主要安全要素

目前电子商务工程正在全国迅速发展。实现电子商务的关键是要保证商务活动过程中系统的安全性，即应保证在基于Internet的电子交易转变的过程中与传统交易的方式一样安全可靠。从安全和信任的角度来看，传统的买卖双方是面对面的，因此较容易保证交易过程的安全性和建立起信任关系。但在电子商务过程中，买卖双方是通过网络来联系，由于距离的限制，因而建立交易双方的安全和信任关系相当困难。时空的分离导致了安全问题的出现，电子商务交易双方（销售者和消费者）都面临安全威胁，电子商务的安全要素主要体现在以下几个方面：

2.1 信息真实性、有效性

电子商务以电子形式取代了纸张，如何保证这种电子形式的贸易信息的有效性和真实性则是开展电子商务的前提。电子商务作为贸易的一种形式，其信息的有效性和真实性将直接关系到个人、企业或国家的经济利益和声誉。

2.2 信息机密性

电子商务作为贸易的一种手段，其信息直接厂代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的，商业防泄密是电子商务全面推广应用的重要保障。

3.3 信息完整性

电子商务简化了贸易过程，减少了人为的干预，同时也带来维护商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为，可能导致贸易各方信息的差异。此外，数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。因此，电子商务系统应充分保证数据传输、存储及电子商务完整性检查的正确和可靠。

3.4 信息可靠性、不可抵赖性和可鉴别性

可靠性要求即是能保证合法用户对信息和资源的使用不会被不正当地拒绝；不可否认要求即是能建立有效的责任机制，防止实体否认其行为；可控性要求即是能控制使用资源的人或实体的使用方式。在传统的纸面贸易中，贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴，确定合同、契约、单据的可靠性并预防抵赖行为的发生。

在无纸化的电子商务方式下，通过手写签名和印章进行贸易方的鉴别已是不可能的。因此，要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识。在1nternet 上每个人都是匿名的，电子商务系统应充分保证原发方在发送数据后不能抵赖；接收方在接收数据后也不能抵赖。

3 电子商务安全系统

网络安全是电子商务的基础。为了保证电子商务交易能顺利进行，要求电子商务平台要稳定可靠，能不中断地提供服务。任何系统的中断，如硬件、软件错误，网络故障、病毒等都可能导致电子商务系统不能正常工作，而使贸易数据在确定的时刻和地点的有效性得不到保证，往往会造成巨大的经济损失。

所以就整个电子商务安全系统而言，安全性可以划分为四个层次，

1) 网络节点的安全

2) 通讯的安全性

3) 应用程序的安全性

4) 用户的认证管理

其中2、3、4 是通过操作系统和Web 服务器软件实现，而网络节点的安全性依靠防火墙保证，我们应该首先保证网络节点的安全性。

3.1 网络节点的安全

防火墙是一种由计算机硬件和软件的组合，使互联网与内部网之间建立起一个安全网关，从而保护内部网免受非法用户的侵入，它其实就是一个把互联网与内部网（通常指局域网或城域网）隔开的屏障。防火墙的应用可以有效的减少黑客的入侵及攻击，为电子商务的施展提供个相对更安全的平台。

防火墙是在连接Internet 和Intranet 保证安全最为有效的方法，防火墙能够有效地监视网络的通信信息，并记忆通信状态，从而作出允许/拒绝等正确的判断。通过灵活有效地运用这些功能，制定正确的安全策略，将能提供一个安全、高效的Intranet 系统。应给予特别注意的是，防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合，它是安全策略的一个部分。安全策略建立了全方位的防御体系来保护机构的信息资源，这种安全策略应包括：规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施，以及管理制度等。所有有可能受到网络攻击的地方都必须以同样安全级别加以保护。仅设立防火墙系统，而没有全面的安全策略，那么防火墙就形同虚设。

3.2 通讯的安全

在客户端浏览器和电子商务WEB 服务器之间采用SSL 协议建立安全链接，所传递的重要信息都是经过加密的，这在一定程度上保证了数据在传输过程中的安全。目前采用的是浏览器缺省的40 位加密强度，也可以考虑将加密强度增加到128 位。为在浏览器和服务器之间建立安全机制，SSL 首先要求服务器向浏览器出示它的证书，证书包括一个公钥，由一家可信证书授权机构（CA中心）签发。浏览器要验征服务器证书的正确性，必须事先安装签发机构提供的基础公共密钥（PKI）。建立SSL 链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL 链接时客户只需用户下载该站点的服务器证书（下载可以在访问之前或访问时）。验证此证书是合法的服务器证书通过后利用该证书对称加密算法（RSA）与服务器协商一个对称算法及密钥，然后用此对称算法加密传输的明文。此时浏览器也会出进入安全状态的提示。

3.3 应用程序的安全性

即使正确地配置了访问控制规则，要满足计算机系统的安全性也是不充分的，因为编程错误也可能引致攻击。程序错误有以下几种形式：程序员忘记检查传送到程序的入口参数；程序员忘记检查边界条件，特别是处理字符串的内存缓冲时；程序员忘记最小特权的基本原则。整个程序都是在特权模式下运行，而不是只有有限的指令子集在特权模式下运行，其他的部分只有缩小的许可；程序员从这个特权程序使用范围内建立一个资源，如一个文件和目录。不是显式地设置访问控制（最少许可），程序员认为这个缺省的许可是正确的。

这些缺点都被使用到攻击系统的行为中。不正确地输入参数被用来骗特权程序做一些它本来不应该做的事情。缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的。程序不检查输入字符串长度。假的输入字符串常常是可执行的命令，特权程序可以执行指令。程序碎块是特别用来增加黑客的特权的或是作为攻击的原因写的。例如，缓冲溢出攻击可以向系统中增加一个用户并赋予这个用户特权。访问控制系统中没有什么可以检测到这些问题。只有通过监视系统并寻找违反安全策略的行为，才能发现象这些问题一样的错误。

3.4 用户的认证管理

1) 身份认证

电子商务企业用户身份认证可以通过服务器CA 证书与IC 卡相结合实现的。CA 证书用来认证服务器的身份，IC 卡用来认证企业用户的身份。个人用户由于没有提供交易功能，所以只采用ID 号和密码口令的身份确认机制。

2) CA 证书

要在网上确认交易各方的身份以及保证交易的不可否认性，需要一份数字证书进行验证，这份数字证书就是CA 证书，它由认证授权中心（CA 中心）发行。认证中心（CA）就是承担网上安全交易认证服务，能签发数字证书，并能确认用户身份的服务机构。认证中心通常是企业性的服务机构，主要任务是受理数字证书的申请、签发及对数字证书的管理。CA 中心一般是社会公认的可靠组织，它对个人、组织进行审核后，为其发放数字证书，证书分为服务器证书和个人证书。建立SSL 安全链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL 链接时客户只需用户下载该站点的服务器证书（下载可以在访问之前或访问时进行）。

3) 安全套接层SSL 协议

安全套接层SSL 协议是Netscape 公司在网络传输层与应用层之间提供的一种基于RSA 和保密密钥的用于浏览器与Web 服务器之间的安全连接技术。

SSL 通过数字签名和数字证书来实行身份验证，数字证书是从认证机构（CA，Certificate Authority）获得的，通常包含有唯一标识证书所有者的名称、唯一标识证书者的名称、证书所有者的公开密钥、证书者的数字签名、证书的有效期及证书的序列号等。在用数字证书对双方的身份验证后，双方就可以用保密密钥进行安全的会话了。

SSL 协议在应用层收发数据前，协商加密算法、连接密钥并认证通信双方，从而为应用层提供了安全的传输通道；在该通道上可透明加载任何高层应用协议（如Http、Ftp、Telnet 等）以保证应用层数据传输的安全性。

SSL 协议握手流程由两个阶段组成：服务器认证和用户认证。

①服务器认证

客户端向服务器发送一个“Hello”信息，以便开始一个新的会话连接；服务器根据客户的信息确定是否需要生成新的主密钥，如需要则服务器在响应客户的“Hello”信息时将包含生成主密钥所需的信息；客户根据收到的服务器响应信息，产生一个主密钥，并用服务器的公开密钥加密后传给服务器；服务器恢复该主密钥，并返回给客户一个用主密钥认证的信息，以此让客户认证服务器。这样通过主密钥引出的密钥对一系列数据进行加密来认证服务器，从而建立安全的通信通道。

②用户认证

经认证的服务器发送一个提问给客户，客户则返回数字签名后的提问和其公开密钥，从而向服务器提供认证。SSL 协议支持各种加密算法，实现简单，独立于应用层协议，且被大部分浏览器和Web 服务器内置，便于在电子交易中应用。但SSL 是一个面向连接的协议，起初并不是为了支持电子商务而设计的，只能提供交易中客户与服务器间的双方认证，在涉及多方的电子交易中，SSL 协议不能协调各方面的安全传输和信任关系。为此，开发出了在网络应用层中专为电子商务而设计的SET 协议。

4 安全管理

为了确保系统的安全性，除了采用上述技术手段外，还必须建立严格的内部安全机制。对于所有接触系统的人员，按其职责设定其访问系统的最小权限。按照分级管理原则，严格管理内部用户帐号和密码，进入系统内部必须通过严格的身份确认，防止非法占用、冒用合法用户帐号和密码。

建立网络安全维护日志，记录与安全性相关的信息及事件，有情况出现时便于跟踪查询。定期检查日志，以便及时发现潜在的安全威胁。

对于重要数据要及时进行备份，且对数据库中存放的数据，数据库系统应视其重要性提供不同级别的数据加密。

5 结束语

安全实际上就是一种风险管理。任何技术手段都不能保证1OO％的安全。但是，安全技术可以降低系统遭到破坏、攻击的风险。决定采用什么安全策略取决于系统的风险要控制在什么程度范围内。电子商务的安全运行必须从多方面入手，仅在技术角度防范是远远不够的。安全只是相对的，而不是绝对的。因此，为进一步促进电子商务体系的完善和行业的健康快速发展，必须在实际运用中解决电子商务中出现的各类问题，使电子商务系统相对更安全。

参考文献

[1] 吴洋.电子商务安全方法研究[D].天津大学， 2006.

[2] 李艳.电子商务信息安全策略研究[J].甘肃科技， 2005，(06)

篇8

[关键词]电子商务；技术风险；风险管理

电子商务（ElectronicCommerce，EC）是指通过网络（尤其是Internet）所进行的买卖交易以及相关服务或其他的组织管理活动。交易的安全性能否得到保障是电子商务的核心问题。近几年来，我国的电子商务发展较快，但各种风险也日趋突出。一般来说，电子商务中常见的风险可分为经济风险、管理风险、制度风险、技术风险和信息风险。IT技术是实现电子商务的基础，分析研究其技术风险是保障电子商务安全的重要研究课题。

为了促进电子商务的健康发展，研究电子商务中可能存在的风险及相应的控制策略是十分必要的。本文分析了电子商务中存在的技术风险及其产生的原因，并在此基础上提出了降低电子商务技术风险的相关安全策略及措施。

1.电子商务中存在的技术风险

由于网络的开放性、共享性和动态性，使得任何人都可以自由地接入Internet，导致以Internet为主要平台的电子商务的发展面临严峻的安全问题。其主要技术风险包括：

1.1网络环境风险

网络服务器常遭受到黑客的袭击，个别网络中的信息系统受到攻击后无法恢复正常运行；网络软件常常被人篡改或破坏；网络中存储或传递的数据常常被未经授权者篡改、增删、复制或使用。

1.2数据存取风险

由于数据存取不当所造成的风险。这种风险主要来自于企业内部。一是未经授权的人员进入系统的数据库修改、删除数据；二是企业工作人员操作失误，受其错误数据的影响而带来的风险，其结果必然是使企业效益受到损失，或者是使顾客利益受到损失。

1.3网上支付风险

网上支付一直被认为是制约中国电子商务发展的最大瓶颈，许多企业和个人担心交易的安全性而不愿使用网上支付。

2.电子商务风险管理

电子商务安全的风险管理（RiskManagement）是对电子商务系统的安全风险进行识别、衡量、分析，并在此基础上尽可能地以最低的成本和代价实现尽可能大的安全保障的科学管理方法。其本质就是防患于未然：事前加以消减和控制，事后积极响应和处理，为响应和处理所做的准备就是制订应急计划。

了解了电子商务存在的风险之后，需要对这些风险进行管理和控制，具体包括风险识别、风险分析、风险应对和风险监控4个过程。

2.1风险识别

对电子商务系统的安全而言，风险识别的目标主要是对电子商务系统的网络环境风险、数据存取风险和网上支付风险进行识别。识别风险的方法有很多，主要有：试验数据和结果、专家调查法、事件树分析法。电子商务风险识别最常用的一种方法就是收集各种曾经发生过的电子商务攻击事件（不仅局限于本企业），经过分析提取出若干特征，将其存储到“风险”库，作为识别潜在风险的参考。

2.2风险分析

风险分析的目的是确定每种风险对企业影响的大小，一般是对已经识别出来的电子商务风险进行量化估计。这里量化的概念主要指风险影响指标，风险概率以及风险值。技术安全是电子商务实现的基础，其重要性不言而喻，因此在该项目规划、计划阶段就应充分考虑。

2.3风险应对（风险控制）

根据风险性质和企业对风险的承受能力制订相应的防范计划，即风险应对。确定风险的应对策略后，就可编制风险应对计划。电子商务的技术风险控制主要是针对网络环境风险、数据存取风险和网上支付风险制订风险应对策略，从硬件、软件两方面加强IT基础设施建设。

2.险监控

制定规划，实施保护措施，在保护措施实施的每一个阶段都要进行监控和跟踪。风险贯穿于电子商务项目的整个生命周期中，因而风险管理是个动态的、连续的过程。因此制订了风险防范计划后，还需要时刻监督风险的发展与变化情况。

3.电子商务技术风险控制

针对电子商务中潜在的各类技术风险，笔者提出利用以下技术手段建立一套完整的风险控制体系，将电子商务的风险减少到最小。

3.1网络安全技术

网络安全是电子商务安全的基础，一个完整的电子商务应该建立在安全的网络基础之上。网络安全技术涉及面较广，主要包括操作系统安全、防火墙技术、虚拟专用网技术（VPN）、漏洞识别与检测技术。

3.1.1操作系统安全

操作系统的安全机制主要有：过滤保护、安全检测保护以及隔离保护。

（1）过滤保护分析所有针对受保护对象的访问，过滤恶意攻击以及可能带来不安全因素的非法访问。

（2）安全检测保护对所有用户的操作进行分析，阻止那些超越权限的用户操作以及可能给操作系统带来不安全因素的用户操作。

（3）离保护在支持多进程和多线程的操作系统中，必须保证同时运行的多个进程和线程之间是相互隔离的，即各个进程和线程分别调用不同的系统资源，且每一个进程和线程都无法判断是否还有其他的进程或线程在同时运行。一般的隔离保护措施有以下4种：①物理隔离不同的进程和线程调用的系统资源在物理上是隔离的；

②暂时隔离在特殊需要的时间段内，对某一个或某些进程或线程实施隔离，该时间段结束后解除隔离；

③软件隔离在软件层面上对各个进程的访问权限实行控制和限制，以达到隔离的效果；

④加密隔离采用加密算法对相应的对象进行加密。

3.1.2防火墙技术

防火墙是将专用网络与公共网络隔离开来的网络节点，由硬件和软件组成，其主要功能是通过建立网络通信的过滤机制，控制和鉴别出入站点的各种访问，进而有效地提高交易的安全性。目前的防火墙技术主要包括两种类型，第一类是包过滤技术，其运作方式是监视通过它的数据流，根据防火墙管理事先制定的系统安全政策，选择性地决定是否让这些数据通行；第二类是网关技术，其运作方式是所有要向服务器索取的数据，都通过服务器来索取。目前，防火墙技术的最新发展趋势是分布式和智能化防火墙技术。分布式防火墙是嵌入到操作系统内核中，对所有的信息流进行过滤与限制；智能化防火墙利用了统计、记忆、概率和决策等智能技术，对网络执行访问控制。

3.1.3VPN

虚拟专用网（VPN）是依靠Internet服务提供商（ISP）和其他网络服务提供商（NSP），在公用网络中建立专用数据通信网络的技术。VPN实现技术主要有：隧道技术、虚电路技术和基于MPLS（Multi-ProtocolLabelSwitching，多协议标签交换协议）技术。基于MPLS技术的VPN通过改善和加速数据包处理提高VPN效率，集隧道技术和路由技术优点于一身，组网具有极好的灵活性和扩展性。用户只需一条线路接入VPN网，便可以实现任何节点之间的直接通信。不过基于MPLS技术的VPN技术本身还有一个成熟的过程，但是它代表了VPN的发展方向。

3.1.4漏洞识别与检测系统

大部分管理员采用安全漏洞扫描工具对整个系统进行扫描，了解系统的安全状况，如MicrosoftBaselineSecurityAnalyze.许多国产杀毒软件也提供安全测试程序：将存在的漏洞标示出来，并提供相应的解决方法来指导用户进行修补。扫描方式的漏洞检测工具往往无法得到目标系统的准确信息，因此无法准确判断目标系统的安全状况。模拟攻击测试是解决这一问题的有效方法，可以准确判断目标系统是否存在测试的漏洞。但是由于漏洞的多样性和复杂性，现有的模拟攻击测试系统发展缓慢。

3.2数据加密技术

在网络中，计算机的数据以数据包的形式传输。为了防止信息被窃取，应当对发送的全部信息进行加密。加密传输形式是一种将传送的内容变成一些不规则的数据，只有通过正确的密钥才可以恢复原文的面貌。根据密钥的特点，加密算法分为对称密钥加密算法（私钥密码体制）和非对称密钥加密算法（公钥密码体制）。目前常用的对称密钥加密算法有DES（DataEncryptionStandard）算法和IDEA（InternationalDataEncryptionAlgorithm）算法。常用的非对称密钥加密算法有RSA算法和EIGamal算法。非对称密钥加密算法在实际应用中包括以下几种安全技术方式：数字摘要技术，即单向哈希函数技术、数字签名技术、数字证书技术等。

非数学的加密理论与技术近年来也发展非常迅速，成为继传统加密方式后的一种新的选择：

（1）信息隐藏（InformationHiding）即信息伪装，也称数据隐藏（DataHiding）、数字水印（DigitalWatermarking），是将秘密信息秘密地隐藏于另一非机密文件之中，利用数字化声像信号对于人们的视觉、听觉的冗余，进行各种时空域和变换域的信息隐藏，从而实现隐藏通信。主要以灰度/彩色图像、音频和视频信息以及文本作为信息隐藏的载体，代表算法有LSB算法和DCT变换域算法。

（2）量子密码（QuantumCryptography）是以Heisenberg测不准原理和EPR（EinsteinPodolskyRosen）效应为物理基础发展起来的一种密码技术，真正实现一次一密码，构成理论上不可破译的密码体制。量子密码的研究进展顺利，虽然还有很多问题需要解决，但某些方面尤其是子密钥分发已经逐步趋于实用。

3.3身份认证技术

网络的虚拟性使得要保证每个参与者都能被无误地识别，就必须使用身份认证技术。在计算机网络中，现有的用户身份认证技术基本上可以分为3类：

（1）基于口令的认证方式

基于口令的认证方式是最基本的认证方式，但是存在严重安全隐患。安全性完全依赖于口令，一旦口令泄漏，用户即被冒充；而且用户选择的口令比较简单，容易被猜测。

（2）基于安全物品的认证方式

主要有电子签名和认证卡两种方式。电子签名是电子形式的数据，是与数据电文（电子文件、电子信息）相联系的用于识别签名人的身份和表明签名人认可该数据电文内容的数据。目前广泛应用于电子商务实践的电子签名即数字签名，是通过向第三方的签名认证机构提出申请，由机构进行审查，颁发数字证书来取得自己的数字签名。用户在发送信息时使用自己的私有密钥对信息进行数字签名，再使用接受方的公共密钥将信息进行加密传输，接收方使用自己的私有密钥解密信息，同时使用发送方的公开签名密钥核实信息的数字签名。智能卡认证方式具有硬件加密功能，因而具有较高的安全性。进行认证时，用户输入个人身份识别码（PIN），智能卡认证PIN成功后，即可读出卡中的秘密信息，与验证服务器之间进行认证。

（3）基于生物特征的认证方式

以人体唯一的、可靠的、稳定的生物特征（如指纹、虹膜、人脸、掌纹、耳郭、声音）为依据，利用图像处理与模式识别技术进行认证。基于密码的认证技术存在密码难以记忆，容易被黑客破译的缺点。而基于生物特征的认证方式具有很好的安全性、可靠性和有效性，正逐渐成为一种新的身份认证方式，特别是近几年来，全球生物识别技术的飞速发展为生物认证提供了广泛的技术支持。其中，基于人脸识别的认证技术已经成为当前的研究热点，主要方法有基于几何特征的人脸识别方法与基于统计的人脸识别方法，并且已有产品投入网络安全领域，如TrueFaceCyberWatch.

3.4数据库安全机制

数据库安全最重要的一点就是确保只授权给有资格的用户访问数据库的权限，同时令所有未被授权的人员无法接近数据，这主要通过数据库系统的存取控制机制实现。存取控制机制主要包括两部分：

（1）定义用户权限，并将用户权限登记到数据字典中。

（2）合法权限检查，每当用户发出存取数据库的操作请求后，DBMS查找数据字典，根据安全规则进行合法权限检查。若用户的操作请求超出了定义的权限，系统将拒绝执行此操作。

一旦数据遭到破坏，就必须采取补救措施。建立严格的数据备份与恢复管理机制是保障数据库系统安全的有效手段。数据备份可以分为2个层次：硬件级和软件级。硬件级的备份是指用冗余的硬件来保证系统的连续运行。软件级的备份指的是将系统数据保存到其他介质上，当出现错误时可以将系统恢复到备份时的状态，这种方法可以完全防止逻辑损坏。

3.5第三方认证CA

与采用其他交易方式相比，采用电子商务交易模式的各方还有更多的风险，这些在电子商务中所特有的风险有：卖方在网站上对产品进行不实宣传，欺诈行为的风险；买方发出恶意订单的风险；交易一方对电子合同否认的风险；交易信息传送风险，如信息被窃、被修改等风险。这些风险的存在，需要设立第三方认证技术中心，为在网上交易各方交易资料的传递进行加密、验证和对交易过程进行监察。CA认证技术中心是一个确保信任的权威实体，它的主要职责是颁发证书，验证用户身份的真实性。任何相信CA的人，按照第三方信任原则，也都应该相信持有证明的用户。CA发放的证书有SSL和SET两种。SSL（SecureSocketsLayer）

安全协议又叫“安全套接层协议”，主要用于提高应用程序之间数据的安全系数，一般服务于银行对企业或企业对企业的电子商务。SET协议（SecureElectronicTransaction）

位于应用层，用来保证互联网上银行卡支付交易安全性，一般服务于持卡消费、网上购物等。

4.结论

电子商务的开展以信息技术为基础，如何解决电子商务中存在的安全问题已成为一个迫在眉睫的课题。电子商务风险是不可能完全消除的，因为它是与电子商务共生的，是电子商务的必然产物，但是，可以将风险限制在影响最小的范围之内。只有了解风险，才能规避风险。本文从安全风险管理的角度出发，分析了电子商务中可能存在的技术风险，论述了这些风险的控制策略，希望对企业开展电子商务活动起到一定的积极作用。

主要参考文献

[1]阮新新。电子商务技术风险管理的探讨[J].经济问题探索，2004，（4）：96-97.

[2]ThomasFinne.InformationSystemsRiskManagement：KeyConceptsandBusinessProcess[J].ComputerandSecurity，2000，（19）：234-242.

[3]刘伟江，王勇。电子商务风险及控制策略[J].东北师范大学学报：哲学社会科学版，2005，（11）。

篇9

电子商务可以增加销售额并降低成本的优势，使得政府与企业都十分重视并推动电子商务的建设和发展。电子商务发展到今天,主要问题在于时空的分离导致了安全问题的出现,信息的安全性是当前发展电子商务最迫切需要解决的问题之一。研究和分析电子商务的安全性问题,特别是针对企业自身情况,充分借鉴以往电子商务系统开发的先进技术和经验,开发出符合企业特殊的电子商务系统,已经成为目前发展电子商务的关键，而安全体系的构建显得尤为重要。

2电子商务的主要安全要素

目前电子商务工程正在全国迅速发展。实现电子商务的关键是要保证商务活动过程中系统的安全性，即应保证在基于Internet的电子交易转变的过程中与传统交易的方式一样安全可靠。从安全和信任的角度来看，传统的买卖双方是面对面的，因此较容易保证交易过程的安全性和建立起信任关系。但在电子商务过程中，买卖双方是通过网络来联系，由于距离的限制，因而建立交易双方的安全和信任关系相当困难。时空的分离导致了安全问题的出现，电子商务交易双方（销售者和消费者）都面临安全威胁，电子商务的安全要素主要体现在以下几个方面：

2.1信息真实性、有效性

电子商务以电子形式取代了纸张，如何保证这种电子形式的贸易信息的有效性和真实性则是开展电子商务的前提。电子商务作为贸易的一种形式，其信息的有效性和真实性将直接关系到个人、企业或国家的经济利益和声誉。

2.2信息机密性

电子商务作为贸易的一种手段，其信息直接厂代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的，商业防泄密是电子商务全面推广应用的重要保障。

3.3信息完整性

电子商务简化了贸易过程，减少了人为的干预，同时也带来维护商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为，可能导致贸易各方信息的差异。此外，数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。因此，电子商务系统应充分保证数据传输、存储及电子商务完整性检查的正确和可靠。

3.4信息可靠性、不可抵赖性和可鉴别性

可靠性要求即是能保证合法用户对信息和资源的使用不会被不正当地拒绝；不可否认要求即是能建立有效的责任机制，防止实体否认其行为；可控性要求即是能控制使用资源的人或实体的使用方式。在传统的纸面贸易中，贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴，确定合同、契约、单据的可靠性并预防抵赖行为的发生。

在无纸化的电子商务方式下，通过手写签名和印章进行贸易方的鉴别已是不可能的。因此，要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识。在1nternet上每个人都是匿名的，电子商务系统应充分保证原发方在发送数据后不能抵赖；接收方在接收数据后也不能抵赖。

3电子商务安全系统

网络安全是电子商务的基础。为了保证电子商务交易能顺利进行，要求电子商务平台要稳定可靠，能不中断地提供服务。任何系统的中断，如硬件、软件错误，网络故障、病毒等都可能导致电子商务系统不能正常工作，而使贸易数据在确定的时刻和地点的有效性得不到保证，往往会造成巨大的经济损失。

所以就整个电子商务安全系统而言，安全性可以划分为四个层次，

1)网络节点的安全

2)通讯的安全性

3)应用程序的安全性

4)用户的认证管理

其中2、3、4是通过操作系统和Web服务器软件实现，而网络节点的安全性依靠防火墙保证，我们应该首先保证网络节点的安全性。

3.1网络节点的安全

防火墙是一种由计算机硬件和软件的组合，使互联网与内部网之间建立起一个安全网关，从而保护内部网免受非法用户的侵入，它其实就是一个把互联网与内部网（通常指局域网或城域网）隔开的屏障。防火墙的应用可以有效的减少黑客的入侵及攻击，为电子商务的施展提供个相对更安全的平台。

防火墙是在连接Internet和Intranet保证安全最为有效的方法，防火墙能够有效地监视网络的通信信息，并记忆通信状态，从而作出允许/拒绝等正确的判断。通过灵活有效地运用这些功能，制定正确的安全策略，将能提供一个安全、高效的Intranet系统。应给予特别注意的是，防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合，它是安全策略的一个部分。安全策略建立了全方位的防御体系来保护机构的信息资源，这种安全策略应包括：规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施，以及管理制度等。所有有可能受到网络攻击的地方都必须以同样安全级别加以保护。仅设立防火墙系统，而没有全面的安全策略，那么防火墙就形同虚设。

3.2通讯的安全

在客户端浏览器和电子商务WEB服务器之间采用SSL协议建立安全链接，所传递的重要信息都是经过加密的，这在一定程度上保证了数据在传输过程中的安全。目前采用的是浏览器缺省的40位加密强度，也可以考虑将加密强度增加到128位。为在浏览器和服务器之间建立安全机制，SSL首先要求服务器向浏览器出示它的证书，证书包括一个公钥，由一家可信证书授权机构（CA中心）签发。浏览器要验征服务器证书的正确性，必须事先安装签发机构提供的基础公共密钥（PKI）。建立SSL链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书（下载可以在访问之前或访问时）。验证此证书是合法的服务器证书通过后利用该证书对称加密算法（RSA）与服务器协商一个对称算法及密钥，然后用此对称算法加密传输的明文。此时浏览器也会出进入安全状态的提示。

3.3应用程序的安全性

即使正确地配置了访问控制规则，要满足计算机系统的安全性也是不充分的，因为编程错误也可能引致攻击。程序错误有以下几种形式：程序员忘记检查传送到程序的入口参数；程序员忘记检查边界条件，特别是处理字符串的内存缓冲时；程序员忘记最小特权的基本原则。整个程序都是在特权模式下运行，而不是只有有限的指令子集在特权模式下运行，其他的部分只有缩小的许可；程序员从这个特权程序使用范围内建立一个资源，如一个文件和目录。不是显式地设置访问控制（最少许可），程序员认为这个缺省的许可是正确的。

这些缺点都被使用到攻击系统的行为中。不正确地输入参数被用来骗特权程序做一些它本来不应该做的事情。缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的。程序不检查输入字符串长度。假的输入字符串常常是可执行的命令，特权程序可以执行指令。程序碎块是特别用来增加黑客的特权的或是作为攻击的原因写的。例如，缓冲溢出攻击可以向系统中增加一个用户并赋予这个用户特权。访问控制系统中没有什么可以检测到这些问题。只有通过监视系统并寻找违反安全策略的行为，才能发现象这些问题一样的错误。

3.4用户的认证管理

1)身份认证

电子商务企业用户身份认证可以通过服务器CA证书与IC卡相结合实现的。CA证书用来认证服务器的身份，IC卡用来认证企业用户的身份。个人用户由于没有提供交易功能，所以只采用ID号和密码口令的身份确认机制。

2)CA证书

要在网上确认交易各方的身份以及保证交易的不可否认性，需要一份数字证书进行验证，这份数字证书就是CA证书，它由认证授权中心（CA中心）发行。认证中心（CA）就是承担网上安全交易认证服务，能签发数字证书，并能确认用户身份的服务机构。认证中心通常是企业性的服务机构，主要任务是受理数字证书的申请、签发及对数字证书的管理。CA中心一般是社会公认的可靠组织，它对个人、组织进行审核后，为其发放数字证书，证书分为服务器证书和个人证书。建立SSL安全链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书（下载可以在访问之前或访问时进行）。

3)安全套接层SSL协议

安全套接层SSL协议是Netscape公司在网络传输层与应用层之间提供的一种基于RSA和保密密钥的用于浏览器与Web服务器之间的安全连接技术。

SSL通过数字签名和数字证书来实行身份验证，数字证书是从认证机构（CA，CertificateAuthority）获得的，通常包含有唯一标识证书所有者的名称、唯一标识证书者的名称、证书所有者的公开密钥、证书者的数字签名、证书的有效期及证书的序列号等。在用数字证书对双方的身份验证后，双方就可以用保密密钥进行安全的会话了。

SSL协议在应用层收发数据前，协商加密算法、连接密钥并认证通信双方，从而为应用层提供了安全的传输通道；在该通道上可透明加载任何高层应用协议（如Http、Ftp、Telnet等）以保证应用层数据传输的安全性。

SSL协议握手流程由两个阶段组成：服务器认证和用户认证。

①服务器认证

客户端向服务器发送一个“Hello”信息，以便开始一个新的会话连接；服务器根据客户的信息确定是否需要生成新的主密钥，如需要则服务器在响应客户的“Hello”信息时将包含生成主密钥所需的信息；客户根据收到的服务器响应信息，产生一个主密钥，并用服务器的公开密钥加密后传给服务器；服务器恢复该主密钥，并返回给客户一个用主密钥认证的信息，以此让客户认证服务器。这样通过主密钥引出的密钥对一系列数据进行加密来认证服务器，从而建立安全的通信通道。

②用户认证

经认证的服务器发送一个提问给客户，客户则返回数字签名后的提问和其公开密钥，从而向服务器提供认证。SSL协议支持各种加密算法，实现简单，独立于应用层协议，且被大部分浏览器和Web服务器内置，便于在电子交易中应用。但SSL是一个面向连接的协议，起初并不是为了支持电子商务而设计的，只能提供交易中客户与服务器间的双方认证，在涉及多方的电子交易中，SSL协议不能协调各方面的安全传输和信任关系。为此，开发出了在网络应用层中专为电子商务而设计的SET协议。

4安全管理

为了确保系统的安全性，除了采用上述技术手段外，还必须建立严格的内部安全机制。对于所有接触系统的人员，按其职责设定其访问系统的最小权限。按照分级管理原则，严格管理内部用户帐号和密码，进入系统内部必须通过严格的身份确认，防止非法占用、冒用合法用户帐号和密码。

建立网络安全维护日志，记录与安全性相关的信息及事件，有情况出现时便于跟踪查询。定期检查日志，以便及时发现潜在的安全威胁。

对于重要数据要及时进行备份，且对数据库中存放的数据，数据库系统应视其重要性提供不同级别的数据加密。

篇10

关键词：电子商务；安全；评估；标准

中图分类号：F239 文献标志码：A 文章编号：1673-291X（2012）13-0136-02

一、电子商务安全评估概述

1.电子商务安全评估重要性电子商务安全评估是运用系统的方法，对电子商务系统、各种电子商务安全保护措施、管理机制以及结合所产生的客观效果作出是否安全的结论。由于信息技术本身有其固有的敏感性和特殊性，这就使得对企业电子商务产品是否安全，电子商务安全产品及其网络系统是否可靠，企业电子商务系统是否健壮，电子商务管理是否严格，信息风险防范的准备是否充足等方面都成为需要科学评价和证实的问题。电子商务安全系统所保护的是敏感信息，评估必须可靠、可信、可操作，并且能依赖于成熟的信息安全理论、科学的评估方法和完善的标准体系，具有令人信服的科学性和公正性。

2.电子商务安全评估内容。电子商务安全评估的主要内容有环境控制、应用安全、管理机制、远程通信安全、审计机制等五个方面的内容。环境控制分为实体的、操作系统的及管理的三个部分。应用安全包括输出输入控制、系统内部控制、责任划分、输出的用途、程序的敏感性和脆弱性、用户满意度等。管理机制包括规章制度、紧急恢复措施、人事制度（如防止工作人员调入、调离对安全的影响）等。远程通信安全包括加密、数据签名等。

二、电子商务安全

1.电子商务安全需求与隐患。在电子商务中，任何与交易有关的信息都通过网络交换，都有可能会被篡改、窃听、冒名使用或交易后否认。保证电子商务的安全需提供以下安全保护：（1）完整性保护。确保消息内容在传输和处理过程中没有被添加、删除或修改。（2）真实性保护。能对交易者身份进行鉴别，为身份的真实性提供保证。（3）机密性保护。能防止电子商务参与者的信息在存储、处理、传输过程中泄漏给未经授权的人或实体。（4）抗抵赖。抗抵赖就是为交易的双方提供证据，以解决因否认而产生的纠纷。它实际上建立了交易双方的责任机制。

电子商务面临着其系统自身的安全性问题，计算机及通信网络的安全性问题同样会蔓延到电子商务中。归结起来，电子商务中的安全患主要有其应用层、传输层、存储层和系统层等四个方面：（1）系统层安全性漏洞。电子商务系统的运作须以系统层的软硬件为基础，因此系统层的安全性漏洞将直接会造成电子商务中的安全患。（2）存储层的安全漏洞。存储层的安全漏洞包括两个方面的问题：1）意外情况造成的数据破坏。无论多么稳定的系统，意外情况总是不可避免的，电子商务系统也不例外。如果对意外情况造成的损失没有充分的估计和完备的补救措施，那么意外情祝造成的数据破坏是不可避免的。而数据破坏将对整个电子商务系统的稳定性和安全性造成威胁。2）有意人为侵害造成的破坏。电子商务起步不久，安全性措施尚不完善，是网络黑客攻击的焦点。黑客往往利用电子商务系统中的种种安全性漏洞，窃取和破坏系统数据，甚至修改系统，对整个系统的正常运作造成严重危害。因此，一个成功的电子商务系统必须能有效的防止人为侵害。（3）传输层的安全漏洞。传输层的安全漏洞包括传输过程中的数据截获电子商务系统中的数据在传输过程中可能受到截获，传输过程中的数据完整性破坏以及跨平台数据交换引起的数据丢失等三个方面的问题。（4）应用层的安全漏洞。应用层的安全漏洞包括冒充他人身份和抵赖已经做过的交易两个方面的问题。

2.电子商务安全要求与技术。电子商务安全要求主要有以下六点：（1）信息的有效性要求。电子形式贸易信息的有效性则是电子商务活动的前提。电子商务信息的有效性将直接关系到个人、企业或国家的经济利益和声誉。一旦签订交易后，这项交易就应受到保护以防止被篡改或伪造。（2）信息的保密性要求。电子商务作为贸易的一种手段，其信息直接代表着个人、企业或国家的商业机密。电子商务是建立在开放的网络环境上，维护商业机密是电子商务全面推广应用的重要保障。因此，要预防非法的信息存取和信息在传输过程中被非法窃取。（3）信息的完整性要求。电子商务简化了贸易过程，减少了人为的干预，同时也带来维护贸易各方商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为，可能导致贸易各方信息的差异。此外，数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。贸易各方信息的完整性将影响到贸易各方的交易和经营策略，保持贸易各方信息的完整性是电子商务应用的基础。因此，要预防对信息的随意生成、修改和删除，同时要防止数据传送过程中信息的丢失和重复并保证信息传送次序的统一。（4）信息的不可抵赖性要求。电子商务可能直接关系到贸易双方的商业交易，如何确定要进行交易的贸易方正是进行交易所期望的贸易方，这一问题则是保证电子商务顺利进行的关键。（5）交易身份的真实性要求。交易者身份的真实性是指交易双方确实是存在的。网上交易的双方要使交易成功，必须互相信任，确认对方真实，对商家要考虑客户是否有信誉。（6）系统的可靠性要求。电子商务系统的可靠性是指防止由于计算机失效、程序错误、传输错误、硬件故障、系统软件错误、数据库出错、计算机病毒和自然灾害所产生的潜在威胁，并加以控制和预防，确保系统安全可靠性。保证计算机系统的安全是保证电子商务系统数据传输及电子商务完整性检查的正确和可靠的根基。

通过使用以下四种电子商务安全密码技术，可以基本满足不同的电子商务安全需求。（1）完整性保护技术。完整性保护技术是用于提供消息认证的安全机制。典型的完整性保护技术是消息认证码是将利用一个带密钥的杂凑函数对消息进行计算，产生消息认证码，并将它附着在消息之后一起传给接收方，接收方在收到消息后可以重新计算消息认证码，并将其与接收到的消息认证码进行比较:如果它们相等，接收方就认为消息没有被篡改；如果它们不相等，接收方就知道消息在传输过程中被篡改了。（2）真实性保护技术。真实性保护技术用来确认某一实体所声称的身份，以对抗假冒攻击。在电子商务中，交易信息通过网络转发，可能在传输过程有一定的延迟，需要通过数据源鉴别来确认交易信息的真正来源。（3）机密性保护技术。机密性保护技术是为了防止敏感数据泄漏给那些未经授权的实体。（4）抗抵赖技术。抗抵赖技术是为了防止恶意主体事后否认所发生的事实或行为。要解决上述问题，必须在每一事件发生时，留下关于该事件的不可否认证据。当出现纠纷时，可由可信第三方验证这些留下的证据.这些证据必须具有不可伪造或防篡改的特点。

三、电子商务安全审计

（一）电子商务安全外部审计

外部审计是指审计师对公司电子商务网站的安全工作进行审计，对消费者提供数据安全、商业政策、交易完整、数据隐私等方面的审计。消费者可以通过查询这些第三方组织的网站进行了解。1998年美国注册会计师协会（AICPA）先后成立的Elliott委员会和Cohen委员会，可以对电子商务的这方面内容提供鉴证。AICPA对电子商务提供的保证服务主要分为两个方面：完整性保证系统（Integrity Assurance System）：电子交易中的数据要素是各方同意达成的，并且在数据处理与存储的过程中保持其完整性，没有未经授权的修改。安全性保证系统（SecurityAssuranceSystem）：交易双方的身份验证以及电子数据没有未经授权的泄漏。

（二）电子商务安全内部审计

内部审计的作用主要体现在对于电子商务公司内部系统安全和财务风险的管理上，主要包括两个方面的内容：对电子商务系统的技术审计；对电子商务公司的财务进行审计。

1.技术审计。对电子商务系统进行技术审计的主要内容有三项：（1）纪录、跟踪系统的运行状况。利用审计工具，监视和纪录系统的活动情况，如纪录用户登录账号、登录时间、登录的终端以及所访问的文件、存取操作，并放人系统日志中保存在磁盘上，使影响系统安全性的存取以及其他非法操作留下线索，以便审查。（2）检测各种安全事故。审计工具能检测和判定对系统的攻击，如多次使用非法口令登录系统的尝试，及时提供报警甚至自动处理，使系统安全管理人员能够了解系统的运行情况，及时堵住非法入侵者。审计工具还能识别合法用户的误操作等。（3）保存、维护和管理审计日志。由于审计日志记录了审计、跟踪、检测各种安全事件的结果，是查找、分析网络系统安全事件的客观依据，是重要的系统文档，必须有可靠的存储和管理机制。在现代的经济环境下对电子商务公司的财务进行审计，其审计的职能已经发生了根本性的变化。审计已经从传统的财务审计过渡到了风险审计与内部控制。因此，运用内部审计可以很好地控制风险的发生。

2.财务审计。对电子商务系统进行财务审计的主要内容有两项：（1）对电子商务风险设定非财务化监测工具，这种工具可以是数量化的，也可以是非数量化的。比如实时监测服务器访问者数量，或者使用嗅探器工具网络监视工具对公司内部网以及国际互联网出口进行监测。（2）对电子商务风险实行与商业风险并行的另外一套防范方法，但是这种防范措施要与其他风险的防范一起进入风险管理的总的成本与人员控制。

参考文献：

[1] 刘艳慧.电子商务及其安全性研究与应用[D].天津:天津大学，2008.

[2] 王铁柱，等.中国电子商务安全性分析与研究[J].河北公安警察职业学院学报，2010，(3).