《电子商务的风险与管理》由会员分享，可在线阅读，更多相关《电子商务的风险与管理（20页珍藏版）》请在金锄头文库上搜索。
1、. . 摘要随着计算机及网络的日益发展和普及,网络已经成为我们生活的一部分。而电子商务的飞速发展,使我们越来越感到网络技术带给我们的好处。但是我们不得不面对这样的现实,即计算机和网络技术在带给我们各种便利的同时,也带来了令人头痛的安全问题。该文基于目前电子商务安全所面临的各种风险问题,结合当前的一些风险管理方法,对电子商务系统安全风险管理进行一些基本的分析和研究,以期对企业电子商务安全风险管理提供一些有价值的借鉴和参考。关键词：电子商务安全,风险管理,风险识别,风险控制目录前言2电子商务中存在的安全风险31网络环境风险42数据存取风险43网上支付风险44信息的截获和窃取45信息的篡改46拒绝服
2、务47系统资源失窃问题58信息的假冒59交易的抵赖52开发和实施阶段63运行阶段6电子商务的风险管理步骤71风险识别72风险分析83风险控制8风险管理对策91、网络安全技术121.1 操作系统安全121.2 防火墙技术131.3 VPN131.4 漏洞识别与检测系统142、数据加密技术143、身份认证技术151基于口令的认证方式152基于安全物品的认证方式153基于生物特征的认证方式164、数据库安全机制165、第三方认证CA17结论19主要参考文献20辞21前言电子商务Electronic Commerce,EC是指通过网络尤其是Internet所进行的买卖交易以及相关服务或其他的组织管理活
3、动。交易的安全性能否得到保障是电子商务的核心问题。近几年来,我国的电子商务发展较快,但各种风险也日趋突出。一般来说,电子商务中常见的风险可分为经济风险、管理风险、制度风险、技术风险和信息风险。IT技术是实现电子商务的基础,分析研究其技术风险是保障电子商务安全的重要研究课题。为了促进电子商务的健康发展,研究电子商务中可能存在的风险及相应的控制策略是十分必要的。本文分析了电子商务中存在的技术风险及其产生的原因,并在此基础上提出了降低电子商务技术风险的相关安全策略及措施。电子商务中存在的安全风险由于网络的复杂性、脆弱性、开放性、共享性和动态性,使得任何人都可以自由地接入Internet,从而使以因特
4、网为主要平台的电子商务的发展面临着严峻的安全问题。一般来说,电子商务普遍存在着以下几个安全风险：1网络环境风险网络服务器常遭受到黑客的袭击,个别网络中的信息系统受到攻击后无法恢复正常运行；网络软件常常被人篡改或破坏；网络中存储或传递的数据常常被未经授权者篡改、增删、复制或使用。2数据存取风险由于数据存取不当所造成的风险。这种风险主要来自于企业部。一是未经授权的人员进入系统的数据库修改、删除数据；二是企业工作人员操作失误,受其错误数据的影响而带来的风险,其结果必然是使企业效益受到损失,或者是使顾客利益受到损失。3网上支付风险网上支付一直被认为是制约中国电子商务发展的最大瓶颈,许多企业和个人担心交
5、易的安全性而不愿使用网上支付。4信息的截获和窃取这是指电子商务相关用户或外来者未经授权通过各种技术手段截获和窃取他人的文电容以获取商业。5信息的篡改网络攻击者依靠各种技术方法和手段对传输的信息进行中途的篡改、删除或插入,并发往目的地,从而达到破坏信息完整性的目的。6拒绝服务拒绝服务是指在一定时间,网络系统或服务器服务系统的作用完全失效。其主要原因来自黑客和病毒的攻击以及计算机硬件的认为破坏。7系统资源失窃问题在网络系统环境中,系统资源失窃是常见的安全威胁。8信息的假冒信息的假冒是指当攻击者掌握了网络信息数据规律或解密了商务信息后,可以假冒合法用户或假冒信息来欺骗其它用户。主要表现形式有假冒客户
6、进行非法交易,伪造电子等。9交易的抵赖交易抵赖包括发信者事后否认曾经发送过某条信息；买家做了定单后不承认；卖家卖出的商品因价格差而不承认原先的交易等。风险的管理规则针对电子商务面临的各种安全风险,电子商务企业不能被动、消极地应付,而应该主动采取措施维护电子商务系统的安全,并监视新的威胁和漏洞。因此,这就需要制定完整高效的电子商务安全风险管理规则。一般来说,风险管理规则的制定过程有评估、开发和实施以及运行三个阶段。1评估阶段该阶段的主要任务是对电子商务的安全现状、要保护的信息、各种资产等进行充分的评估以及一些基本的安全风险识别和分析。对电子商务安全现状的评估是制定风险管理规则的基础。对信息和资产
7、的评估是指对可能遭受损失的相关信息和资产进行价值的评估,以便确定相适应的风险管理规则,从而避免投入成本和要保护的信息和资产的严重不匹配。安全风险识别要求尽可能地发现潜在的安全风险,应收集有关各种威胁、漏洞、开发和对策的信息。安全风险分析是确定风险,收集信息,对可能造成的损失进行评价以估计风险的级别,以便做出明智的决策,从而采取措施来规避安全风险。2开发和实施阶段该阶段的任务包括风险补救措施开发、风险补救措施测试和风险知识学习。风险补救措施开发利用评估阶段的成果来建立一个新的安全管理策略,其中涉及配置管理、修补程序管理、系统监视与审核等等。在完成对风险补救措施的开发后,即进行安全风险补救措施的测
8、试,在测试过程中,将按照安全风险的控制效果来评估对策的有效性。3运行阶段运行阶段的主要任务包括在新的安全风险管理规则下评估新的安全风险。这个过程实际上是变更管理的过程,也是执行安全配置管理的过程。运行阶段的第二个任务是对新的或已更改的对策进行稳定性测试和部署。这个过程由系统管理、安全管理和网络管理小组来共同实施。以上风险管理规则的三个阶段可以用下图来表示：图1 风险管理规则的三个阶段电子商务的风险管理步骤风险管理是识别风险、分析风险并制定风险管理计划的过程。电子商务安全风险的管理和控制方法,它包括风险识别、风险分析、风险控制以及风险监控等四个方面。1风险识别电子商务系统的安全要通过对风险的系统
9、评估而确认的。为了有效管理电子商务安全风险,识别安全风险是风险管理的第一步。风险识别是在收集有关各种威胁、漏洞和相关对策等信息的基础上,识别各种可能对电子商务系统造成潜在威胁的安全风险。风险识别的手段五花八门,对于电子商务系统的安全来说,风险识别的目标是主要是对电子商务系统的网络环境风险、数据存在风险和网上支付风险进行识别。需要注意的是,并非所有的电子商务安全风险都可以通过风险识别来进行管理,风险识别只能发现已知的风险或根据已知风险较容易获知的潜在风险。而对于大部分的未知风险,则依赖于风险分析和控制来加以解决或降低。2风险分析风险分析是运用分析、比较、评估等各种定性、定量的方法,确定电子商务安
10、全各风险要素的重要性,对风险排序并评估其对电子商务系统各方面的可能后果,从而使电子商务系统项目实施人员可以将主要精力放在对付为数不多的重要安全风险上,使电子商务系统的整体风险得到有效的控制。风险分析是一种确定风险以及对可能造成的损失进行评估的方法,它是制定安全措施的依据。风险分析的目标是：确定风险,对可能造成损坏的潜在风险进行定性化和定量化,以及最后在经济上寻求风险损失和对风险投入成本的平衡。目前,风险分析主要采用的方法有：风险概率/影响评估矩阵,敏感性分析,模拟等。在进行电子商务安全风险分析时,由于各影响因素量化在现实上的困难,可根据实际需要,主要采用定性方法为主辅以少量定量方法相结合来进行
11、风险分析,为制定风险管理制度和风险的控制提供理论上的依据。3风险控制风险控制就是选择和运用一定的风险控制手段,以保障风险降到一个可以接受的水平。风险控制是风险管理中最重要的一个环节,是决定风险管理成败的关键因素。电子商务安全风险控制的目标在于改变企业电子商务项目所承受的风险程度。一般来说,风险控制方法有两类：第一类是风险控制措施,比如降低、避免、转移风险和损失管理等。在电子商务安全风险管理中,比较常用的是转移风险和损失管理。第二类为风险补偿的筹资措施,包括保险与自担风险。在电子商务安全风险管理中,管理人员需要对风险补偿的筹资措施进行决策,即选择保险还是自担风险。此外,风险控制方法的选择应当充分
12、考虑相对风险造成损失的成本,当然其它方面的影响也是不容忽视的,如企业商誉等。对电子商务安全来说,其有效可行的风险控制方法是：建立完整高效的降低风险的安全性解决方案,掌握保障安全性所需的一些基础技术,并规划好发生特定安全事故时企业应该采取的解决方案。风险管理对策由于电子商务安全的重要性,所以部署一个完整有效的电子商务安全风险管理对策显得十分迫切。制定电子商务安全风险管理对策目的在于消除潜在的威胁和安全漏洞,从而降低电子商务系统环境所面临的风险。目前的电子商务安全风险管理对策中,较为常用的是纵深防御战略,所谓纵深防御战略,就是深层安全和多层安全。通过部署多层安全保护,可以确保当其中一层遭到破坏时,
13、其它层仍能提供保护电子商务系统资源所需的安全。比如,一个单位外部的防火墙遭到破坏,由于部防火墙的作用,入侵者也无法获取单位的敏感数据或进行破坏。在较为理想的情况下,每一层均提供不同的对策以免在不同的层中使用相同的攻击方法。下图为一个有效的纵深防御策略：图2 有效的纵深防御策略下面就各层的主要防御容从外层到里层进行简要的说明：1物理安全物理安全是整个电子商务系统安全的前提。制定电子商务物理安全策略的目的在于保护计算机系统、电子商务服务器等各电子商务系统硬件实体和通信链路免受自然灾害和人为破坏造成的安全风险。2周边防御对网络周边的保护能够起到抵御外界攻击的作用。电子商务系统应尽可能安装某种类型的安
14、全设备来保护网络的每个访问节点。在技术上来说,防火墙是网络周边防御的最主要的手段,电子商务系统应当安装一道或多道防火墙,以确保最大限度地降低外界攻击的风险,并利用入侵检测功能来及时发现外界的非法访问和攻击。3网络防御网络防御是对网络系统环境进行评估,采取一定措施来抵御黑客的攻击,以确保它们得到适当的保护。就目前来说,网络安全防御行为是一种被动式的反应行为,而且,防御技术的发展速度也没有攻击技术发展得那么快。为了提高网络安全防御能力,使网络安全防护系统在攻击与防护的对抗中占据主动地位,在网络安全防护系统中,除了使用被动型安全工具防火墙、漏洞扫描等外,也需要采用主动型安全防护措施如：网络陷阱、入侵
15、取证、入侵检测、自动恢复等。4主机防御主机防御是对系统中的每一台主机进行安全评估,然后根据评估结果制定相应的对策以限制服务器执行的任务。在主机及其环境中,安全保护对象包括用户应用环境中的服务器、客户机以及其上安装的操作系统和应用系统。这些应用能够提供包括信息访问、存储、传输、录入等在的服务。根据信息保障技术框架,对主机及其环境的安全保护首先是为了建立防止有恶意的部人员攻击的首道防线,其次是为了防止外部人员穿越系统保护边界并进行攻击的最后防线。5应用程序防御作为一个防御层,应用程序的加固是任何一种安全模型中都不可缺少的一部分。加强保护操作系统安全只能提供一定程度的保护。因此,电子商务系统的开发人员有责任将安全保护融入到应用程序中,以便对体系结构中应用程序可访问到的区域提供专门的保护。应用程序存在于系统的环境中。6数据防御对许多电子商务企业来说,数据就是企业的资产,一旦落入竞争者手中或损坏将造成不可挽回的损失。因此,加
