信息系统风险控制体系优化方案

（一）综合物流平台信息系统风险控制体系分析

作为一个完整的商业系统，电子商务综合物流平台应该要建立起一个以内控机制为核心的安全体系。笔者将综合物流平台相关理论与信息安全技术相结合，并根据当下我国物流业的实际情况，认为构建一个全面的、完整的、可靠的信息系统安全模型应当分以下几个层次来进行，如表6-1所示：

图6-1　综合物流平台信息系统风险来源

表6-1　风险控制体系

1.硬件安全

此处所指的硬件包括计算机实体、网络基础设备、通信设备、安全设备以及监控设备。除此之外还包括信息处理设备以及仓储中心的各种传感设备。

2.操作系统安全

操作系统是面向电子商务综合物流平台的软件支撑部分，也是用户体验最直观的部分。操作系统的安全主要是指操作系统的可依赖性、保密性以及抗干扰性。就目前的形式看来，绝大多数的操作界面都支持多个程序和资源有效共享，因此不仅可以对计算机硬件，也可以对计算机软件实施一致的管控。

3.数据安全

电子商务综合物流平台在数据安全方面，除了要做到普通性的存取安全控制以外，还需要注意对业务数据加密，一方面要防止数据泄露，另一方面还要防止数据篡改。

4.访问权限安全防护

访问权限控制是电子商务综合物流平台安全体系的构建核心。它主要涵盖了以下几方面：所有合规的访问客体受到保护；平台对客体的访问权限进行识别、筛选和授予；所有合规的访问客体在平台上充分享有信息资源。访问权限安全防护的根本目的在于对平台用户进行功能授权。只有通过授权的用户才能够在平台上使用各项功能。

5.管理层安全防护

电子商务综合物流平台是指平台的开发和使用人员在构建平台之处，建立较为完善的安全防护体系，并且具备较高的安全防护意识能够自觉执行和维护安全规章，从内部管理层面实现对信息系统的安全防护。

（二）安全技术体系设计

1.计算环境安全设计

计算环境安全是构建电子商务综合物流平台信息系统安全体系的核心内容。计算机环境安全贯穿于综合物流信息系统安全始终，从终端服务器到上层操作系统和数据库安全体系，再到实际的业务处理，都离不开计算机环境安全。计算机系统和服务器在物流平台操作系统的核心层进行以设置访问权限为核心的安全机制，对整个物流平台进行安全防护。主要进行的安全设置包括以下几个方面：

（1）用户身份识别：平台使用物理Key认证登录技术，平台用户的身份资料与Key绑定，Key作为平台用户身份识别的唯一依据。平台用户在登录时必须插入Key，并且输入动态口令，获得管理员认证后才能登录平台。(www.xing528.com)

（2）访问级别限制：除了公开的数据和信息可供所有平台用户读、写、存储之外，有一些涉密的文件，普通用户是无法访问的，通过平台安全管理系统里的身份识别系统可以对用户访问级别进行划分。

（3）用户行为监督管理：平台的信息安全系统可对用户在操作过程中的行为进行监督管理，一旦发现可疑情况就可以将用户操作的行为路径发送给安全审计员进行观察核实，以便处理可能发生的意外状况。运用数据库安全审计系统、网络审计系统、主机审计系统能够实现对网络服务器和用户访问与操作的实时监测和审计，同时可以把握每个PC对平台信息资源的使用状况，监督PC接入的合法性，跟踪记录用户对文件访问操作路径，监控外部网络对本平台的链接以及访问情况。

2.区域边界访问控制

在电子商务综合物流平台中，区域网络边界是整个网络体系中最脆弱的部位。大部分外部攻击都是以这个脆弱点为突破口打入平台信息系统内部的。因此对综合物流平台的区域边界访问控制的作用不可小觑。电子商务综合物流平台区域边界防护设计可以从以下几点入手：

（1）区域边界协议筛选：制定完备的区域边界安全防护策略，从源地址、目的地址、传输层协议、请求的服务等方面来确定数据和操作行为能否进入区域边界。除此之外，加强区域边界处的安全隔离与防护系统，发挥信息对接、数据包内容监测、访问许可等多重安全职能。

（2）区域边界安全监督：电子商务综合物流平台区域边界安全监督着眼于对进出与区域网络边界的访问和操作行为进行监督和处理，例如违规接入、外部恶意嗅探之类的存在安全威胁的行为。电子商务综合物流平台应在信息系统核心区域布置区域边界安全监督系统，就可以对风险进行监督和预防。

3.通信网络安全设计

电子商务综合物流平台网络中链接了许多主机，因此，对于系统的安全防护要求很高。这是由于，一旦综合物流平台信息系统出现安全问题，平台的通信和业务数据就有可能被外部用户非法窃取或者篡改。因此，为了加强综合物流平台与企业用户和个人用户之间的通信安全，平台的信息系统将使用SSL、VPN来实现数据的加密传输。

4.安全管理中心

安全管理中心是面向电子商务的综合物理平台进行安全应用、安全战略部署和实施的中心，对平台的安全规则、计算机技术安全环境、平台区域边界安全以及通信网络安全进行集中式管理。平台安全管理中心在各个层级和安全防护领域安排了安全管理员，以对外部访问者进行身份审查、权限授予。其主要功能包括访问者认证、访问者授权、访问控制、系统资源维护、访问监督、安全管理以及安全防护等。

（三）安全管理体系建设

电子商务综合物流平台信息系统除了有赖于先进的安全技术进行防控之外，也离不开平台工作人员的安全管理体系建设。安全技术防护措施与安全管理措施是相辅相成的，共同为综合物流平台的信息系统的安全保驾护航。本书结合我国安全管理的实际情况，认为电子商务综合物流平台安全管理体系构建可以从以下几个方面着手：

1.成立安全管理职能部门

电子商务综合物流平台应建立专门的安全职能部门，配备专业的安全管理人员，进行信息安全管理工作，同时对平台其他工作人员的活动进行安全管理教育和指导。

2.制定安全规章制度

根据综合物流平台安全防护需要的实际情况，由专业的安全管理人员制定一系列相关的信息系统安全防护指导方针，明确平台员工在信息系统安全防护中所承担的责任和应尽的义务，并根据平台安全管理的实际运作情况进行内容上的修订和更新。

3.员工安全管理

在电子商务综合物流平台录用、解聘、考核员工的各个环节都要加强安全管理。

4.系统建设、运营和维护的安全管理

这就要求综合物流平台从系统构建的初始阶段——系统设计、软件开发、系统验收、安全测评，到系统运营维护的各个环节——财务管理、硬件管理、网络监控管理、密码管理、业务管理等方方面面都要制定详尽的系统安全维护要求，信息系统安全要从基础做起，不能忽略任何一个细节。