当前，我国电子商务安全管理策略实施中存在着诸多问题，例如：没有建立电子商务信息安全的组织机构，人员缺乏专业信息安全训练，电子商务安全岗位设置不恰当、安全职责划分不合理等。因此，制定完整有效的电子商务安全风险管理对策显得十分迫切。
【任务描述】
雅鹿公司电子商务部总监要对公司的员工进行电子商务安全管理的培训。在培训前，总监要求小王写一份电子商务安全认知调查报告。请帮助小王完成该调查报告。
【任务分析】
电子商务安全体系主要包括网络安全、物理安全、商务安全和系统安全4个方面。
【任务实施】
1.电子商务系统运行安全体系结构
电子商务系统运行安全体系结构分为外部网络访问层、主机网络安全层和系统资源层3个部分，如图1-8 所示。
图1-8 电子商务系统运行安全体系结构
2.电子商务安全控制体系结构
电子商务安全控制体系结构是保证电子商务中数据安全的一个完整的逻辑结构，由网络服务层、加密控制层、安全认证层、安全协议层和应用系统层5个部分组成，如图1-9所示。
图1-9 电子商务安全控制体系结构
（1）网络服务层：入侵检测、病毒防范、防火墙。
（2）加密控制层：对称加密、非对称加密。
（3）安全认证层：数字摘要、数字签名、数字信封、数字证书、数字时间戳。其中，数字签名确保了信息的完整性和不可否认性。
（4）安全协议层：SSL 协议、SET 协议。
（5）应用系统层：由支付型业务系统和非支付型业务系统组成。
3.电子商务安全的原则
1）保密性原则
保密性原则，是指不经过授权不能访问或利用信息，只有发送者和接收者能访问信息，信息不能被截获。
2）完整性原则
完整性原则，是指信息不经过授权不能被修改，即信息在传输过程中不能被偶然或蓄意地修改、删除或者插入，即不能被篡改。
3）真实性原则
真实性原则，是指信息需要明确的身份证明，通过认证过程保证正确的消息来源，与信息接收方建立信任关系，缺乏认证机制可能会导致伪造。
4）不可抵赖原则
不可抵赖性原则又称不可否认原则，是指信息的发送者不可否认已发出的信息。
5）访问控制原则
访问控制原则，是指指定和控制用户能够访问哪些信息、能够进行什么样的操作，通常包括角色管理和规则管理。
这5个原则在安全目标、安全防范技术上是有差异的，如表1-2 所示。
表1-2 电子商务安全的原则在安全目标、安全防范技术上的差异
4.电子商务安全管理制度
电子商务安全需要对整个信息系统进行保护和防御，包括对信息的保护、监测、响应和恢复能力，由此形成了包括预警、保护、监测、响应和恢复5个环节的信息保障概念，即信息保障的WPDRR 模型，如图1-10 所示。
图1-10 信息保障的WPDRR 模型
安全服务包括数据源鉴别、访问控制、信息机密性、流量机密性、数据完整性和数据可用性服务。当系统遭受攻击时，会立即启动安全服务。安全服务与遭受攻击的对应关系如表1-3所示。(www.xing528.com)
表1-3 安全服务与遭受攻击的对应关系
注：Y 表示该项攻击发生时，会引发对应的安全服务进行防御，多项攻击会引发同一项安全服务。
安全管理的内容有安全管理制度的制定、实施和监督等。这些制度包括网络系统的日常维护制度、人员管理制度、保密制度、跟踪/审计制度和计算机病毒定期清查制度等。
1）网络系统的日常维护制度
（1）硬件的日常管理与维护。
①网络设备的管理与维护：防盗、防灰、防电磁干扰。
②服务器及客户机的管理与维护：记录其内存、硬盘容量、型号、操作系统名、数据库名等并人工定期核查。
③通信线路的管理与维护：尽量采用结构化布线，以便具有稳定、安全、可靠的使用性。
另外，建立完善的有关资料（如设备型号、生产厂家、配置参数、安装时间、地点、IP地址等）的登记制度，并配有专人/兼职与专柜保管有关的音像、光盘等资料。
（2）软件的日常管理与维护。
①系统软件的管理与维护：在系统开始运行时做好网络系统的备份与恢复的技术规划、实施和操作，并做好详细记录。为操作系统定期打好系统补丁。
②应用软件的管理与维护：及时升级更新版本，修补系统漏洞。
（3）数据备份的日常管理与维护。
操作系统（OS）、数据库管理系统（DBMS）中的系统运行记录（Log）和数据库（DB）运行记录（DB.Log）要进行转储保存以备查。重要的数据库必须运行于专门的服务器上，并做好异地备份，防范数据异常丢失。
2）人员管理制度
人员管理是安全管理的核心，参与网上交易的经营管理人员面临着防范网络犯罪的任务，因此加强对相关人员的管理显得十分重要，一般包括如下措施：
（1）加强职业道德教育。网上交易安全运作人员管理的基本原则如表1-4所示。
表1-4 网上交易安全运作人员管理的基本原则
（2）制定严格的操作规程。根据职责明确原则和多人负责原则，各负其责，不要超过自己的管辖范围；对工作调动或离职人员，要及时调整相应的授权。
3）保密制度
根据工作的重要程度，确定信息的安全等级。信息的安全等级一般可分为如下3级：
（1）绝密级，属于该级别的网址、密码不在Internet上公开，只限于公司高层管理人员掌握。
（2）机密级，属于该级别的网址、密码不在Internet上公开，只限于公司中层以上管理人员掌握。
（3）秘密级，属于该级别的网址、密码不在Internet上公开，网页供用户浏览，但必须有保护程序，以防止黑客入侵。
【讨论】
著名的信息安全十大守则如下，这些守则体现了需要在哪些环节进行安全加固？
守则1：如果一个人能说服你同意他（她）在你的电脑上运行他（她）的程序，那么这台电脑就不再属于你了；
守则2：如果一个人能够改变你的电脑上的操作系统，那么这台电脑就不再属于你了；
守则3：如果一个人能够不受限制地从物理上接触到你的电脑，那么这台电脑就不再属于你了；
守则4：如果你允许一个人上传他（她）的程序到你的网站，那么这个网站就不再属于你了；
守则5：脆弱的口令能够轻而易举地击败非常牢固的安全系统；
守则6：一台机器只有在它的管理员可信赖的时候才是安全的；
守则7：加密过的数据只有在解密密钥安全的时候才是安全的；
守则8：一个过期的病毒扫描器仅比根本没有病毒扫描器好上那么一点儿；
守则9：绝对的匿名是不可能实现的，无论是在真实的生活中还是在Web上；
守则10：技术不是万能的。
免责声明：以上内容源自网络，版权归原作者所有，如有侵犯您的原创版权请告知，我们将尽快删除相关内容。
