时间：2023-08-15 09:27:38
序论：速发表网结合其深厚的文秘经验，特别为您筛选了11篇电子商务安全管理策略范文。如果您需要更多原创资料，欢迎随时与我们的客服老师联系，希望您能从中汲取灵感和知识！
商业银行从事金融业务面临着市场风险、信用风险、以及操作风险等，而电子商务的出现则加剧了上述各类风险发生的可能性以及风险发生之后的破坏程度。2004年以来，我国面临的网络仿冒威胁正在逐渐加大，仿冒对象主要是金融网站和电子商务网站。2005年上半年共收到网络安全事件报告65679件，超过2004年全年案件数，商业银行电子商务安全风险管理策略已成为理论与实践中必须重视的课题。
一、信息安全管理的历史演进与现阶段的特点
信息安全管理的策略大体遵循事件驱动(技术和管理脱节)－逐渐标准化(技术和管理逐渐结合)——安全风险管理(引入了风险分析)的发展路径。
(一)以事件驱动的初级阶段时期
19世纪70年代安全主要是指物理设备和环境的安全，人与计算机之间的交互主要局限在大型计算机上的哑终端，安全问题只涉及能访问终端的少数人。安全管理策略处于初级阶段，由事件驱动，没有形成规范的管理流程。在此阶段的前期，只重视技术手段。后期开始重视管理手段，但是技术和管理之间脱节。许多组织对信息安全制定了相应的规章和制度，但组织的信息安全管理基本上还处在一种静态、局部、少数人负责、突击式、事后纠正式的管理方式。
(二)标准化时期
企业开始将安全问题作为整体考虑，形成一套较为完整的安全管理策略，其中包括了安全管理的技术手段和管理制度(或称运作管理)。几乎所有从事电子商务的企业都拥有自己的安全策略，内容也包括了技术手段、安全管理制度、人员安全教育等等，基本上形成体系，技术和管理手段综合统一，但是安全风险分析还存在不足之处。
(三)安全风险管理策略时期
随着电子商务安全管理发展到一个比较高的层次，安全管理策略也演进到安全风险管理阶段。主要特点如下：
1.安全风险管理成为主流趋势；在安全管理策略的演进过程中，技术和管理手段综合统一、又融入了风险管理的分析、防范策略，从而安全管理进入了安全风险管理时期。西方商业银行已对安全风险管理形成共识。如安氏公司(is—One)，认为信息安全问题最终将归结为风险管理问题，风险管理方法是建立良性的安全技术和管理体系的依据和基础。
2.安全风险管理的国际标准和各国的规范逐渐形成并趋于完善。国际上关于安全风险管理的标准有巴塞尔银行监管委员会的《电子银行业务风险管理原则》、英国标准协会制订的BS7799等。各国也日益重视安全风险管理，制定了许多规范。例如美国货币监理署(OCC)的《电子银行最终规则》、香港金融管理局的《电子银行服务的安全风险管理》等。中国银行业监督管理委员也于2006年颁布了《电子银行业务管理办法》，对国内企业的电子商务安全风险管理给出了指导意见。
3.利用外部专业化机构对金融机构的安全性评估已成为大部分国家的选择。电子银行面临的安全和技术风险，在相当程度上取决于采用的信息技术的先进程度，系统的设计开发水平，以及相关设施设备及其供应商的选择等；银行依靠传统的风险管理机制已很难识别、监测、控制和管理相关风险。同样，监管机构也难以完全依靠自身的力量对电子银行的安全性进行准确评价和监控。因此，大部分国家都采用了依靠外部专业化机构定期对电子银行安全性进行评估的办法，加强对电子银行安全性和技术风险的管理和监管。
4.在许多国家信息系统审计(IsAudit)作为一种信息技术服务被广泛提供，许多知名的咨询公司都提供类似的信息审计服务。业界的IT风险分析师也成为一种职业，专门从事电子商务的安全风险工作，从经济学的角度出发分析风险，充分衡量保持安全的代价和收益之间的关系，寻求用最小的代价实现最大的效用，在风险分析中也形成一套较为成熟的模式。
二、我国商业银行电子商务安全风险管理策略的薄弱点
(一)系统管理思想缺乏
目前的电子商务安全风险管理策略，在全局上缺乏系统论理论的指导，在实际操作中受到多种多样的安全攻击时会不可避免地出现安全漏洞，无法形成一张全面有序的安全网络。
实践中被采用的安全风险管理策略，以及作为指导意见的规则规范，如《信息安全管理实务准则》(IS017799)、《信息技术安全性评估准则》(GB／T18336．1)、巴塞尔银行监管委员会的《电子银行业务风险管理原则》，尽管提出了比较全面的安全风险管理方案，层次上也比较清晰，但是还不足以作为一个风险防范系统。实践中，电子商务组织是一个复杂的系统组织，电子商务的安全风险管理体系和过程也是个复杂的系统。系统论、控制论的思想在电子商务安全风险管理中是不可或缺的。
(二)风险分析的模型与方法不成熟，定量分析不足
电子商务模式自身的发展历史也不过20几年，在风险分析的定量技术上并不成熟；如BS7799中推荐的电子商务安全风险管理中实施风险评估时，往往将威胁发生的可能性定性划分为几个级别，将威胁所造成的影响也定性划分为1～5级，实质上是将一些按照概率发生的事件定义为不连续的几个级别，在操作上易行，但造成了度量的不精确。在进行监控和审计之后，也存在无法量化、对比的问题。
(三)忽视与原有的传统风险管理策略的结合
本质上，电子商务的安全风险无非是新兴的商业模式对传统的风险的改变，以及产生的在传统风险控制领域暂时无法明晰的新风险；现有管理策略只从信息技术的角度、或者从偏重技术的角度看待问题，站在金融领域本身来分析研究较少。这种状况导致了对电子商务安全风险管理的研究无法立足于一个比较高的层次；忽略了风险的整体性，只进行偏信息和技术的研究，导致了现有的电子商务安全风险管理策略与金融机构原有的传统业务风险管理策略存在差距。对于商业银行而言，传统金融业务的风险控制与电子商务的技术风险控制，两个方面存在脱节，同样属于商业银行的风险，存在着不同的管理策略，导致多头管理、资源浪费、机构之间的扯皮，乃至缺位管理。
(四)风险管理策略无法依赖外部的信息安全管理行业
在发达国家，信息系统审计(IsAudit)作为一种信息技术服务被广泛提供，许多知名的咨询公司都提供类似的信息审计服务。IT风险分析师也成为一种职业，专门从事电子商务的安全风险工作。商业银行采用依靠外部专业化机构定期对电子银行的安全性进行评估的办法，提高对电子银行安全性和技术风险的管理和监管。而国内初步建立了国家信息安全组织保障体系，制定和引进了一批重要的信息安全管理标准、法律法规，风险评估工作得到了一定重视，但与发达国家成熟完善的外部信息安全管理行业仍有很大差距。
(五)风险管理策略中商业银行的内部风险控制能力薄弱
我国商业银行目前均建立起统一的风险管理部门；但风险控制部门的职能、权限与花旗银行等体制较为先进的银行相比仍然存在较大差距，风险控制实质上仍然分散在各个子部门；风险的评估、防范与控制实质上完全依靠商业银行的电子交易部门；风险管理部门、内审稽核部门实质上无法控制电子商务安全风险。例如，风险管理部门接受了电子交易部的风险控制报告，表面上履行的内控审核的流程，但审核作用有限，无法完成电子商务安全风险管理中的监控与审计环节。
三、商业银行的电子商务安全风险管理策略的改进建议
(一)基于系统的思想构建商业银行电子商务安全风险管理策略框架
利用系统理论作为总体的指导思想，将电子商务安全风险管理策略本身当作一个开放的自适应系统。将商业银行电子商务安全风险管理中的各个环节组成循环上升的系统。
在商业银行电子商务安全风险控制的流程中，经过信息安全的风险评估、资产识别和选择、实施控制降低风险的措施、将风险控制在可接受的范围内，然后进行监控和审计；尤其重要的是把监控和审计所得到的内容作为新一轮风险分析输入，从而开始新一轮的风险管理过程。商业银行电子商务安全风险管理的各个步骤为动态的循环系统。每完成一个循环，安全风险管理的有效性就上一个台阶，商业银行的安全管理水平变得到了提高。
(二)电子商务安全风险管理中定量分析中的改进思路
商业银行可以借鉴成熟的传统金融风险度量中的一些方法来改变电子商务安全风险管理中对资产进行粗略的优先级别排序的方法。实践中，商业银行对操作风险的管理与对电子商务安全风险管理有其相似之处。巴塞尔委员会对商业银行的操作风险的内部计量法中规定，商业银行内部估计风险敞口指标、损失事件发生的概率、风险损失，巴塞尔委员会制定资本要求的转换系数；在度量损失的分布时，主要利用统计和精算技术。商业银行应通过数据库将威胁发生的频率、威胁所造成的影响等精确记录下来，利用现有的度量方法进行精确的风险定量分析的尝试。
商业银行从事金融业务面临着市场风险、信用风险、以及操作风险等，而电子商务的出现则加剧了上述各类风险发生的可能性以及风险发生之后的破坏程度。2004年以来，我国面临的网络仿冒威胁正在逐渐加大，仿冒对象主要是金融网站和电子商务网站。2005年上半年共收到网络安全事件报告65679件，超过2004年全年案件数，商业银行电子商务安全风险管理策略已成为理论与实践中必须重视的课题。
一、信息安全管理的历史演进与现阶段的特点
信息安全管理的策略大体遵循事件驱动(技术和管理脱节)－逐渐标准化(技术和管理逐渐结合)——安全风险管理(引入了风险分析)的发展路径。
(一)以事件驱动的初级阶段时期
19世纪70年代安全主要是指物理设备和环境的安全，人与计算机之间的交互主要局限在大型计算机上的哑终端，安全问题只涉及能访问终端的少数人。安全管理策略处于初级阶段，由事件驱动，没有形成规范的管理流程。在此阶段的前期，只重视技术手段。后期开始重视管理手段，但是技术和管理之间脱节。许多组织对信息安全制定了相应的规章和制度，但组织的信息安全管理基本上还处在一种静态、局部、少数人负责、突击式、事后纠正式的管理方式。
(二)标准化时期
企业开始将安全问题作为整体考虑，形成一套较为完整的安全管理策略，其中包括了安全管理的技术手段和管理制度(或称运作管理)。几乎所有从事电子商务的企业都拥有自己的安全策略，内容也包括了技术手段、安全管理制度、人员安全教育等等，基本上形成体系，技术和管理手段综合统一，但是安全风险分析还存在不足之处。
(三)安全风险管理策略时期
随着电子商务安全管理发展到一个比较高的层次，安全管理策略也演进到安全风险管理阶段。主要特点如下：
1.安全风险管理成为主流趋势；在安全管理策略的演进过程中，技术和管理手段综合统
一、又融入了风险管理的分析、防范策略，从而安全管理进入了安全风险管理时期。西方商业银行已对安全风险管理形成共识。如安氏公司(is—One)，认为信息安全问题最终将归结为风险管理问题，风险管理方法是建立良性的安全技术和管理体系的依据和基础。
2.安全风险管理的国际标准和各国的规范逐渐形成并趋于完善。国际上关于安全风险管理的标准有巴塞尔银行监管委员会的《电子银行业务风险管理原则》、英国标准协会制订的BS7799等。各国也日益重视安全风险管理，制定了许多规范。例如美国货币监理署(OCC)的《电子银行最终规则》、香港金融管理局的《电子银行服务的安全风险管理》等。中国银行业监督管理委员也于2006年颁布了《电子银行业务管理办法》，对国内企业的电子商务安全风险管理给出了指导意见。
3.利用外部专业化机构对金融机构的安全性评估已成为大部分国家的选择。电子银行面临的安全和技术风险，在相当程度上取决于采用的信息技术的先进程度，系统的设计开发水平，以及相关设施设备及其供应商的选择等；银行依靠传统的风险管理机制已很难识别、监测、控制和管理相关风险。同样，监管机构也难以完全依靠自身的力量对电子银行的安全性进行准确评价和监控。因此，大部分国家都采用了依靠外部专业化机构定期对电子银行安全性进行评估的办法，加强对电子银行安全性和技术风险的管理和监管。
4.在许多国家信息系统审计(IsAudit)作为一种信息技术服务被广泛提供，许多知名的咨询公司都提供类似的信息审计服务。业界的IT风险分析师也成为一种职业，专门从事电子商务的安全风险工作，从经济学的角度出发分析风险，充分衡量保持安全的代价和收益之间的关系，寻求用最小的代价实现最大的效用，在风险分析中也形成一套较为成熟的模式。
二、我国商业银行电子商务安全风险管理策略的薄弱点
(一)系统管理思想缺乏
目前的电子商务安全风险管理策略，在全局上缺乏系统论理论的指导，在实际操作中受到多种多样的安全攻击时会不可避免地出现安全漏洞，无法形成一张全面有序的安全网络。
实践中被采用的安全风险管理策略，以及作为指导意见的规则规范，如《信息安全管理实务准则》(IS017799)、《信息技术安全性评估准则》(GB／T18336．1)、巴塞尔银行监管委员会的《电子银行业务风险管理原则》，尽管提出了比较全面的安全风险管理方案，层次上也比较清晰，但是还不足以作为一个风险防范系统。实践中，电子商务组织是一个复杂的系统组织，电子商务的安全风险管理体系和过程也是个复杂的系统。系统论、控制论的思想在电子商务安全风险管理中是不可或缺的。
(二)风险分析的模型与方法不成熟，定量分析不足
电子商务模式自身的发展历史也不过20几年，在风险分析的定量技术上并不成熟；如BS7799中推荐的电子商务安全风险管理中实施风险评估时，往往将威胁发生的可能性定性划分为几个级别，将威胁所造成的影响也定性划分为1～5级，实质上是将一些按照概率发生的事件定义为不连续的几个级别，在操作上易行，但造成了度量的不精确。在进行监控和审计之后，也存在无法量化、对比的问题。
(三)忽视与原有的传统风险管理策略的结合
本质上，电子商务的安全风险无非是新兴的商业模式对传统的风险的改变，以及产生的在传统风险控制领域暂时无法明晰的新风险；现有管理策略只从信息技术的角度、或者从偏重技术的角度看待问题，站在金融领域本身来分析研究较少。这种状况导致了对电子商务安全风险管理的研究无法立足于一个比较高的层次；忽略了风险的整体性，只进行偏信息和技术的研究，导致了现有的电子商务安全风险管理策略与金融机构原有的传统业务风险管理策略存在差距。对于商业银行而言，传统金融业务的风险控制与电子商务的技术风险控制，两个方面存在脱节，同样属于商业银行的风险，存在着不同的管理策略，导致多头管理、资源浪费、机构之间的扯皮，乃至缺位管理。
(四)风险管理策略无法
依赖外部的信息安全管理行业
在发达国家，信息系统审计(IsAudit)作为一种信息技术服务被广泛提供，许多知名的咨询公司都提供类似的信息审计服务。IT风险分析师也成为一种职业，专门从事电子商务的安全风险工作。商业银行采用依靠外部专业化机构定期对电子银行的安全性进行评估的办法，提高对电子银行安全性和技术风险的管理和监管。而国内初步建立了国家信息安全组织保障体系，制定和引进了一批重要的信息安全管理标准、法律法规，风险评估工作得到了一定重视，但与发达国家成熟完善的外部信息安全管理行业仍有很大差距。
(五)风险管理策略中商业银行的内部风险控制能力薄弱
我国商业银行目前均建立起统一的风险管理部门；但风险控制部门的职能、权限与花旗银行等体制较为先进的银行相比仍然存在较大差距，风险控制实质上仍然分散在各个子部门；风险的评估、防范与控制实质上完全依靠商业银行的电子交易部门；风险管理部门、内审稽核部门实质上无法控制电子商务安全风险。例如，风险管理部门接受了电子交易部的风险控制报告，表面上履行的内控审核的流程，但审核作用有限，无法完成电子商务安全风险管理中的监控与审计环节。
三、商业银行的电子商务安全风险管理策略的改进建议
(一)基于系统的思想构建商业银行电子商务安全风险管理策略框架
利用系统理论作为总体的指导思想，将电子商务安全风险管理策略本身当作一个开放的自适应系统。将商业银行电子商务安全风险管理中的各个环节组成循环上升的系统。
在商业银行电子商务安全风险控制的流程中，经过信息安全的风险评估、资产识别和选择、实施控制降低风险的措施、将风险控制在可接受的范围内，然后进行监控和审计；尤其重要的是把监控和审计所得到的内容作为新一轮风险分析输入，从而开始新一轮的风险管理过程。商业银行电子商务安全风险管理的各个步骤为动态的循环系统。每完成一个循环，安全风险管理的有效性就上一个台阶，商业银行的安全管理水平变得到了提高。
(二)电子商务安全风险管理中定量分析中的改进思路
商业银行可以借鉴成熟的传统金融风险度量中的一些方法来改变电子商务安全风险管理中对资产进行粗略的优先级别排序的方法。实践中，商业银行对操作风险的管理与对电子商务安全风险管理有其相似之处。巴塞尔委员会对商业银行的操作风险的内部计量法中规定，商业银行内部估计风险敞口指标、损失事件发生的概率、风险损失，巴塞尔委员会制定资本要求的转换系数；在度量损失的分布时，主要利用统计和精算技术。商业银行应通过数据库将威胁发生的频率、威胁所造成的影响等精确记录下来，利用现有的度量方法进行精确的风险定量分析的尝试。新晨
(三)将商业银行电子商务安全风险纳入商业银行总体风险管理范畴
国内外调查显示…，52．26％的用户最关心的是网上交易的安全可靠性，超过6O％的人由于担心电子商务的安全问题而不愿进行网上购物。加强电子商务实施过程中的安全管理已经成为促进电子商务高速发展的重要因素。
电子商务的安全，可分为技术安全和管理安全两种类型。所谓技术安全，是指通过各种黑客手段窃取企业的用户lD、密码以及相关的机密文件，甚至网络银行帐号、密码等，给企业造成经济损失。而管理安全则是指缺乏对参与电子商务过程中各个环节的人员的管理预防手段，最终导致的电子商务安全事件。从美国的花旗银行和中央情报局到中国的某家国有商业银行，都有过由于内部人员的违规和违法操作，导致数据被篡改和泄密的事件发生。
近几年的电子商务安全案件表明：人员是网上交易安全管理中的最薄弱的环节，近年来我国计算机犯罪大都呈现内部犯罪的趋势，有的竞争对手利用企业招募新人的方式潜入对方企业，或利用不正当的方式收买企业网络交易管理人员。有的电子商务从业人员从本企业辞职后，迅速把客户资料、产品研发成果等机密出售给竞争对手，给企业带来了不必要的经济损失。
2、原因分析
电子商务信息安全已经引起很多企业的重视，但大多数企业往往侧重于加强技术措施，如购买先进的防火墙软件，采用更高级的加密方法等，很多企业认为：员工泄密的安全事故只是偶然现象，很少从人员管理的角度来探讨出现这些事故的根本原因。“重技术、轻管理”是当前很多电子商务企业的通病。由于管理手段不到位，很多先进的安全技术无法发挥应有的效能。之所以出现上述问题，主要有以下原因：
首先，很多企业管理高层对人员管理在信息安全中的地位认识不足。大多数企业将电子商务网络作为一项纯粹的技术工程来实施，企业内部缺乏系统的安全管理策略，只是被动的使用一些技术措施来进行防御，因此电子商务过程中一旦出现突发性事件，往往造成很大的经济损失。现实中没有一个网络系统是完美无缺的，不安全因素随时存在。因此，安全管理措施必须渗透到系统的每一个环节和企业组织的～个层面，只有构建一个人与技术相结合的安全管理体系，才能确保整个电子商务系统得安全。
企业没有从整体上、有计划地考虑信息安全问题。企业各部门、各下属机构都存在“各自为政的局面，缺少统一规划、设计和管理信息安全强调的是整体上的信息安全性，而不仅是某一个部门或公司的信息安全。而各部门、各公司又确实存在个体差异，对于不同业务领域来说，信息安全具有不同的涵义和特征，信息安全保障体系的战略性必须涵盖各部门和各公司的信息安全保障体系的相关内容。
缺少信息安全管理配套的人力、物力和财力。人才是信息安全保障工作的关键。信息安全保障工作的专业性、技术性很强，没有一批业务能力强，且具有信息网络知识、信息安全技术、法律知识和管理能力的复合型人才和专门人才，就不可能做好信息安全保障工作。应该从信息安全建设和管理对信息安全人才的实际需求出发，加快信息安全人才的培养。
企业对员工的信息安全教育不够。员工的信息安全意识薄弱，9O％的安全事故是由于人为疏忽所造成。如有些企业不限制内部人员使用各种高科技信息载体，如U盘、移动硬盘以及笔记本等移动办公设备。
3、加强电子商务安全管理的建议
电子商务信息安全管理实践表明，大多数安全问题是由于管理不善造成的。安全管理是一项系统工程，不仅涉及到企业的组织架构、信息技术、人员素质等各个方面，还牵扯到国家法律和商业规则。企业内部存在着诸多影响信息安全的因素：改变lT系统不等于改变企业的信息安全管理，要使企业信息尽可能的安全，必须在技术投人的基础上融人人在管理方面的智慧i同时，不仅要防外，更要防内，即对组织内部人员的管理。信息安全问题的解决需要技术，但又不能单纯依靠技术。整个电子商务的交易过程，是人与技术相互融合的过程，如何使管理与技术相得益彰十分重要。“三分技术，七分管理”阐述了信息安全的本质。
电子商务的安全管理，就是通过一个完整的综合保障体系，来规避信息传输风险、信用风险、管理风险和法律风险，以保证网上交易的顺利进行。网上交易安全管理，应采用综合防范的思路，一是技术方面的考虑，如防火墙技术、网络防毒、信息加密、身份认证、授权等，但必须明确，只有技术措施并不能完全保证网上交易的安全。二是必须加强监管，建立各种有关的合理制度，并加强严格监督，如建立交易的安全制度、交易安全的实时监控、提供实时改变安全策略的能力、对现有的安全系统漏洞的检查以及安全教育等。为了加强企业电子商务的信息安全，我们提出如下建议：
(1)提高网络安全防范意识。
现在许多企业没有意识到互联网的易受攻击性，盲目相信国外的加密软件，对于系统的访问权限和密钥缺乏有力度的管理。这样的系统一旦受到攻击将十分脆弱，其中的机密数据得不到应有的保护。据调查，目前国内90％的网站存在安全问题，其主要原因是企业管理者缺少或没有安全意识。某些企业网络管理员甚至认为其公司规模较小，不会成为黑客的攻击目标，如此态度，网络安全更是无从谈起。应该定期由公司或安全管理小组承办信息安全讲座，只有提高网络安全防范意识，才能有效的减少信息安全事故的发生。
(2)建立电子商务安全管理组织体系。
一个完整的信息安全管理体系首先应建立完善的组织体系。即建立由行政领导、IT技术主管、信息安全主管、本系统用户代表和安全顾问组成的安全决策机构。其职责是建立管理框架，组织审批安全策略、安全管理制度，指派安全角色，分配安全职责，并检查安全职责是否已被正确履行，核准新信息处理设施的启用、组织安全管理专题会等。还应建立由网络管理员、系统管理员、安全管理员、用户管理员等组成的安全执行机构。该机构负责起草网络系统的安全策略、执行批准后的安全策略、日常的安全运行和维护、定期的培训和安全检查等。如果需要，还可建立安全顾问机构。安全顾问机构可聘请信息安全专家担任系统安全顾问，负责提供安全建议，特别是在安全事故或违反安全策略事件发生后，可以被安全决策机构指定负责事故(事件)调查，并为安全策略评审和评估提供意见。
(3)制定符合机构安全需求的信息安全策略。电子商务交
易过程中，需要明确的安全策略主要包括客户认证策略、加密策略、日常维护策略、防病毒策略等安全技术方案的选择。安全执行机构应根据本信息网络的实际情况制定相应的信息安全策略，策略中应明确安全的定义、目标、范围和管理责任，并制定安全策略的实施细则。安全策略文档要由安全决策机构审查、批准，并和传达给所有的人安全策略还应由安全决策机构定期进行有效性审查和评估：在发生重大的安全事故、发现新的脆弱性、组织体系或技术上发生变更时，应重新进行安全策略的审查和评估。
(4)人员安全的管理和培训
参与网上交易的经营管理人员在很大程度上支配着企业的命运，他们承担着防范网络犯罪的任务。而计算机网络犯罪同一般犯罪不同的是，他们具有智能性、隐蔽性、连续性、高效性的特点，因而，加强对有关人员的管理变得十分重要。首先，在人员录用时应做好人员鉴别，人员录用或人员职位调整时，一般要签署保密协议。当人员到期离开或协议到期、工作终止时，要审查保密协议。其次对有关人员进行上岗培训，建立人员培训计划，定期组织安全策略和规程方面的培训。第三，落实工作责任制，在岗位职责中明确本岗位执行安全政策的常规职责和本岗位保护特定资产、执行特定安全过程或活动的特别职责，对违反网上交易安全规定的人员要进行及时的处理。第四，贯彻网上交易安全运作基本原则，包括职责分离、双人负责、任期有限、最小权限、个人可信赖性等。
(5)增强法律意识，促进电子商务立法
面对电子商务这种新型的贸易形式，我国目前尚无专门法规可依，使得部分违法犯罪人员没有得到应有的惩罚。近几年里，国家加强了这方面的投入。在全国性的立法文件中，《合同法》的部分条款可以看作是针对电子商务的立法。此外，广东省制定的《广东省电子交易管理条例》这个地方性的法规可以看作是对加快我国电子商务立法的有益探索。《中华人民共和国电子签名法》是对主要用于电子商务活动，电子政务等其他应用应该有新的适用法规。
0引言
美国等发达国家，通过Internet进行电子商务的交易已成为潮流。随着internet的发展和网络基础设施的不断完善，我国的电子商务虽已初具规模，但是安全问题却成为发展电子商务亟待解决的问题。电子商务过程中，买卖双方是通过网络联系的，由于internet是开放性网络，建立交易双方的安全和信任关系较为困难，因此本文对电子商务网络支付上的安全问题进行探讨分析。
1电子商务的概念和特点
1）电子商务的概念：电子商务（ElectronicCommerce）是通过电信网络进行的生产、营销、销售、流通等活动，不仅是指基于因特网上的交易，而且还指利用电子信息技术实现解决问题、降低成本、增加价值、创造商机的商务活动[1]。
2）电子商务的特点：（1）电子商务将传统的商务流程电子化、数字化。不仅以电子流代替了实物流，大量减少了人力物力，降低了成本；而且突破了时间空间的限制，使得交易活动可在任何时间、任何地点进行，大大提高了效率。（2）电子商务使企业能以较低成本进入全球电子化市场,也使中小企业可能拥有与大企业一样的信息资源，提高了中小企业的竞争能力。（3）电子商务重新定义了传统的流通模式，减少了中间环节，使得生产者和消费者的直接交易成为可能，从而一定程度上改变了社会经济的运行方式。（4）电子商务提供了丰富的信息资源，为社会经济要素的重新组合提供了更多的可能，这将影响到社会的经济布局和结构。
2电子商务安全的技术体系
1）物理安全。首先根据国家标准、信息安全等级和资金状况，制定适合的物理安全要求，并经建设和管理达到相关标准[2]。再者，关键的系统资源（包括主机、应用服务器、安全隔离网闸GAP等设备），通信电路以及物理介质（软/硬磁盘、光盘、IC卡、PC卡等）、应有加密、电磁屏蔽等保护措施，均应放在物理上安全的地方。
2）网络安全。网络安全是电子商务的基础。为了保证电子商务交易顺利进行，要求电子商务平台要稳定可靠，能够不中断地提供服务。系统的任何中断（如硬件、软件错误，网络故障、病毒等）都可能导致电子商务系统不能正常工作，而使贸易数据在确定的时刻和地点的有效性得不到保证，往往会造成巨大的经济损失。
3）商务安全。主要是指商务交易在网络媒介中出现的安全问题，包括防止商务信息被窃取、篡改、伪造、交易行为被抵赖，即要实现电子商务的保密性、完整性、真实性、不可抵赖性。商务安全的各方面也要通过不同的网络安全技术和安全交易标准实现，加解密技术保证了交易信息的保密性，也解决了用户密码被盗取的问题；数字签名是实现对原始报文完整性的鉴别，它与身份认证和审查系统一起可杜绝交易的伪造和抵赖行为。保证电子商务安全的主要技术有：在线支付协议（安全套接层SSL协议和安全电子交易SET协议）、文件加密技术、数字签名技术、电子商务认证中心（CA）。
4）系统安全。主要是保护主机上的操作系统与数据库系统的安全。对于保护系统安全，总体思路是：通过安全加固，解决管理方面安全漏洞；然后采用安全技术设备，增强其安全防护能力。
3安全管理过程监督
3.1加强全过程的安全管理
1）网络规划阶段，就要加强对信息安全建设和管理的规划。信息安全建设需要投入一定的人力、物力、财力。要根据状况实事求是地确定网络的安全总体目标和阶段目标、分段实施、降低投资风险。2）工程建设阶段，建设管理单位要将安全需求的汇总和安全性能功能的测试，列入工程建设各个阶段工作的重要内容，要加强对开发（实施）人员、版本控制的管理，要加强对开发环境、用户路由设置、关键代码的检查[3]。3）在运行维护阶段，要注意以下事项：(1)建立有效的安全管理组织架构，明确职责，理顺流程，实施高效管理。(2)按照分级管理原则，严格管理内部用户帐号和密码，进入系统内部必须通过严格的身份确认，防止非法占用、冒用合法用户帐号和密码。(3)制定完善的安全管理制度，加强信息网的操作系统、数据库、网络设备、应用系统运行维护过程的安全管理。(4)要建立应急预察体系，建立网络安全维护日志，记录与安全性相关的信息及事件，有情况出现时便于跟踪查询，还要定期检查日志，以便及时发现潜在的安全威胁。
3.2建立动态的闭环管理流程
网络处于不断地建设和调整中，可能发现新的安全漏洞，因此需要建立动态的、闭环的管理流程。要在整体安全策略的控制和指导下，通过安全评估和检测工具（如漏洞扫描，入侵检测等）及时了解网络存在的安全问题和安全隐患，据此制定安全建设规划和加固方案，综合应用各种安全防护产品（如防火墙、身份认证等手段），将系统调整到相对安全的状态。并要注意以下两点：1）对于一个企业而言，安全策略是支付信息安全的核心，因此制定明确的有效的安全策略是非常重要的。安全组织要根据这个策略制定详细的流程、规章制度、标准和安全建设规划、方案，保证这些系列策略规范在整个企业范围内贯彻实施，从而保护企业的投资和信息资源安全。2）要制定完善的、符合企业实际的信息安全策略，就须先对企业信息网的安全状况进行评估，即对信息资产的安全技术和管理现状进行评估，让企业对自身面临的安全威胁和问题有全面的了解，从而制定针对性的安全策略，指导信息安全的建设和管理工作。
4结束语
本文分析了目前电子商务网络支付安全方面的主要技术状况，安全技术可以说是网络技术中较为尖端的技术，都是非常先进的技术手段；只要运用得当，配合相应的安全管理措施，基本能够保证电子商务中网络支付的安全；但不是100％的绝对安全，而是相对安全。随着网络安全技术的进步与信用机制的完善，网络支付定会越来越安全。
参考文献
0引言
美国等发达国家,通过Internet进行电子商务的交易已成为潮流。随着internet的发展和网络基础设施的不断完善,我国的电子商务虽已初具规模,但是安全问题却成为发展电子商务亟待解决的问题。电子商务过程中,买卖双方是通过网络联系的,由于internet是开放性网络,建立交易双方的安全和信任关系较为困难,因此本文对电子商务网络支付上的安全问题进行探讨分析。
1电子商务的概念和特点
1)电子商务的概念:电子商务(Electronic Commerce)是通过电信网络进行的生产、营销、销售、流通等活动,不仅是指基于因特网上的交易,而且还指利用电子信息技术实现解决问题、降低成本、增加价值、创造商机的商务活动[1]。
2)电子商务的特点:(1)电子商务将传统的商务流程电子化、数字化。不仅以电子流代替了实物流,大量减少了人力物力,降低了成本;而且突破了时间空间的限制,使得交易活动可在任何时间、任何地点进行,大大提高了效率。(2)电子商务使企业能以较低成本进入全球电子化市场,也使中小企业可能拥有与大企业一样的信息资源,提高了中小企业的竞争能力。(3)电子商务重新定义了传统的流通模式,减少了中间环节,使得生产者和消费者的直接交易成为可能,从而一定程度上改变了社会经济的运行方式。(4)电子商务提供了丰富的信息资源,为社会经济要素的重新组合提供了更多的可能,这将影响到社会的经济布局和结构。
2电子商务安全的技术体系
1)物理安全。首先根据国家标准、信息安全等级和资金状况,制定适合的物理安全要求,并经建设和管理达到相关标准[2]。再者,关键的系统资源(包括主机、应用服务器、安全隔离网闸GAP等设备),通信电路以及物理介质(软/硬磁盘、光盘、IC卡、PC卡等)、应有加密、电磁屏蔽等保护措施,均应放在物理上安全的地方。
2)网络安全。网络安全是电子商务的基础。为了保证电子商务交易顺利进行,要求电子商务平台要稳定可靠,能够不中断地提供服务。系统的任何中断(如硬件、软件错误,网络故障、病毒等)都可能导致电子商务系统不能正常工作,而使贸易数据在确定的时刻和地点的有效性得不到保证,往往会造成巨大的经济损失。
3)商务安全。主要是指商务交易在网络媒介中出现的安全问题,包括防止商务信息被窃取、篡改、伪造、交易行为被抵赖,即要实现电子商务的保密性、完整性、真实性、不可抵赖性。商务安全的各方面也要通过不同的网络安全技术和安全交易标准实现,加解密技术保证了交易信息的保密性,也解决了用户密码被盗取的问题;数字签名是实现对原始报文完整性的鉴别,它与身份认证和审查系统一起可杜绝交易的伪造和抵赖行为。保证电子商务安全的主要技术有:在线支付协议(安全套接层SSL协议和安全电子交易SET协议)、文件加密技术、数字签名技术、电子商务认证中心(CA)。
4)系统安全。主要是保护主机上的操作系统与数据库系统的安全。对于保护系统安全,总体思路是:通过安全加固,解决管理方面安全漏洞;然后采用安全技术设备,增强其安全防护能力。
3安全管理过程监督
3.1加强全过程的安全管理
1)网络规划阶段,就要加强对信息安全建设和管理的规划。信息安全建设需要投入一定的人力、物力、财力。要根据状况实事求是地确定网络的安全总体目标和阶段目标、分段实施、降低投资风险。2)工程建设阶段,建设管理单位要将安全需求的汇总和安全性能功能的测试,列入工程建设各个阶段工作的重要内容,要加强对开发(实施)人员、版本控制的管理,要加强对开发环境、用户路由设置、关键代码的检查[3]。3)在运行维护阶段,要注意以下事项:(1)建立有效的安全管理组织架构,明确职责,理顺流程,实施高效管理。(2)按照分级管理原则,严格管理内部用户帐号和密码,进入系统内部必须通过严格的身份确认,防止非法占用、冒用合法用户帐号和密码。(3)制定完善的安全管理制度,加强信息网的操作系统、数据库、网络设备、应用系统运行维护过程的安全管理。(4)要建立应急预察体系,建立网络安全维护日志,记录与安全性相关的信息及事件,有情况出现时便于跟踪查询,还要定期检查日志,以便及时发现潜在的安全威胁。
3.2建立动态的闭环管理流程
网络处于不断地建设和调整中,可能发现新的安全漏洞,因此需要建立动态的、闭环的管理流程。要在整体安全策略的控制和指导下,通过安全评估和检测工具(如漏洞扫描,入侵检测等)及时了解网络存在的安全问题和安全隐患,据此制定安全建设规划和加固方案,综合应用各种安全防护产品(如防火墙、身份认证等手段),将系统调整到相对安全的状态。并要注意以下两点:1)对于一个企业而言,安全策略是支付信息安全的核心,因此制定明确的有效的安全策略是非常重要的。安全组织要根据这个策略制定详细的流程、规章制度、标准和安全建设规划、方案,保证这些系列策略规范在整个企业范围内贯彻实施,从而保护企业的投资和信息资源安全。2)要制定完善的、符合企业实际的信息安全策略,就须先对企业信息网的安全状况进行评估,即对信息资产的安全技术和管理现状进行评估,让企业对自身面临的安全威胁和问题有全面的了解,从而制定针对性的安全策略,指导信息安全的建设和管理工作。
4结束语
本文分析了目前电子商务网络支付安全方面的主要技术状况,安全技术可以说是网络技术中较为尖端的技术,都是非常先进的技术手段;只要运用得当,配合相应的安全管理措施,基本能够保证电子商务中网络支付的安全;但不是100%的绝对安全,而是相对安全。随着网络安全技术的进步与信用机制的完善,网络支付定会越来越安全。
参考文献
1 引言
随着互联网的快速发展，人们的生活方式有了非常大的改变，对应的经济社会也受到了巨大的影响。在商业贸易领域，因为网络的快速发展，产生了电子商务这样一种贸易方式。但是电子商务也是经历了一番坎坷的，因为网络的特殊性，在电子商务发展中产生了交易安全的问题，对电子商务的稳定发展带来了一定的冲击。Internet网是一个互连通的自由空间，一些人常常会因为某些目的攻击电子商务网站，比如盗窃资金、商业打击、恶作剧等，导致有些企业的电子商务网站贸易交流受损、服务暂停，甚至出现资金被盗的现象。据有关数据的统计，美国每年因为网络安全问题在经济上造成的损失就达到近百亿美元，而国内的情况也不容乐观。因此，当我们在享受互联网给生活带来的这些好处的时候，网络的安全问题，早已变成电子商务的重大难题，给电子商务企业的发展带来了极大的阻碍。所以，计算机网络安全是电子商务发展过程中所面临的重大挑战和问题。电子商务企业必须从维护顾客利益和自身利益出发，做好安全防范和自身安全管理工作，才能得到持续快速的发展。
2 电子商务面对的网络安全问题
当前，电子商务安全问题受到多方面的影响，不但有技术管理的问题，而且也有网络缺陷的因素，具体地说，直接原因有以下几点：
2.1 网络“黑客”侵犯电子商务网站
网络黑客是专门在网络中利用本身掌握的技术非法强行进入他人网站后台的人，这类人具有高超的网络技术，能够不受电子商务网站技术防护的限制。许多“黑客”篡改内容信息、破坏网站；盗取商户或企业的账户资金，极大地影响了电子商务的正常进行。
2.2 电子商务软件有漏洞
许多软件研发单位研发的技术不成熟的电子商务软件，存在许多安全漏洞，防护极易被外来入侵者利用漏洞攻破，导致电子商务企业受到很大的经济损失；有的企业即使安装了防护软件，但由于软件没有得到及时升级，致使软件丧失了应有防护功能。
2.3 电子商务网络自身存在安全问题
网络具有共享性、开放性等特点，它的设计原则是确保信息传输不会受到局部损坏的影响。所以，对网站安全带来了极大的隐患。特别是对电子商务企业情况更加严峻。
2.4 网站管理的缺失
由于电子商务企业缺乏警惕性，不重视网络安全的管理，通常只有在受到攻击以后才会去加强网站安全；部分企业则以为只要安装了入侵监测系统、杀毒软件、防火墙等安全产品，就能保障网站的安全，所以没有根据企业实际情况制定相应的管理制度，也没有加强技术防范，给入侵者提供了机会。
3 应对的措施
电子商务安全问题是在网络化、电子化技术发展的前提下出现的，所以很多传统的解决办法不能简单地应用过来。电子商务企业想要取得效益，就要从企业的健康发展出发，改善企业的安全管理，提高技术投入。具体的防范措施有： 3.1 安全技术管理需要加强
需要重视电子商务网站的维护、升级等方面，做好每天的安全备份，加强网站服务器的管理。制定安全防范预案，只要发生安全事件，能够得到尽快解决，从而减少损失。使用权威性较强的安全防护软件，并能够正常启动、正常升级，发挥应有的防护功能。
3.2 在电子安全方面扩大管理和技术投入
企业需要加大安全方面的资金投入，购买技术防护设备，加大对技术改造与设备更新的投入。引进安全管理的相关技术，招聘相应的管理人才，并进行适当的待遇倾斜，确保安全管理团队的稳定。
3.3 使用密码管理技术
电子商务中最重要的防范环节是密码管理，要使用先进的密码管理手段，确保能发挥特定的功能，重点有交易信息安全、身份认证安全和账户安全等。
3.4 电子商务企业自身的管理需要得到强化
中图分类号：TP393 文献标识码：A 文章编号：1671-7597（2013）16-0163-01
近年来随着电子商务的迅猛发展，每天进行着数以百万次计的各类交易中，电子商务中的网络安全问题日渐突出，又由于电子商务应用环境比较复杂，计算机网络本身又存在着不可靠性和脆弱性，所以电子商务交易中存在一些安全隐患。中国互联网信息中心的调查结果中指出，一半以上的用户最关心的是交易是否安全可靠。那么，电子商务面临哪些安全问题？又有哪些解决方法呢？
1 电子商务面临的安全问题
1.1 商务软件本身存在的安全问题
任何一种商务软件的程序都具有复杂性和编程多样性，而对于程序而言，越复杂意味着漏洞出现的可能性越大。
1）操作系统问题。操作系统是计算机网络系统中最重要的系统软件之一，由于操作系统在安装时存在端口开放、无认证服务和初始化配置问题，存在一些安全缺陷，这样会使系统处于不安全的状态，任一操作系统都会存在一些安全漏洞，这些安全漏洞都会影响到很大范围内的网络安全，由此，给不法分子趁机实施犯罪带来可乘之机。
2）网络协议问题。由于计算机网络最初网络协议的设计，重在实现数据的交换，并没有把网络安全作为重点来考虑，所以不利于商家之间、商家与消费者之间交易时的相互通信。如典型的TCP/IP协议就没有安全方面的设计，这就给交易双方带来好处的同时，也埋下了安全隐患。
1.2 信息安全问题
1）信息的泄露。信息在网络上传递时，要经过多个环节和渠道。不管是物理的原因还是人为的因素，都会造成信息的泄露，如一些硬件设备受自然灾害的影响造成电磁的泄露，再有信息在传输的过程中没有采用加密措施或加密强度不够，网络犯罪分子就可能在网络上安装截收装置获取用户的重要的信息，如用户的口令、银行的帐号等，严重威胁消费者电子商务交易的安全。
2）信息的篡改。未经授权的攻击者直接进入网络交易系统，获取了信息的内容及格式后，通过采取不同的技术手段和方式将信息进行删除、修改、重发，使得数据改变原有的内容，破坏数据的完整性和一致性，损害他人的经济利益，或干扰对方的正确决策。
3）信息的伪造。网络黑客通过某种技术手段冒充合法用户的身份来破坏交易，如发送伪造的信息来欺骗网络中其它的用户，或是冒充网络控制程序来套取和修改使用权限、密钥等。
1.3 信用安全问题
电子商务这种新型的商务活动自从20世纪90年代开始发展以来，由于网络环境下交易活动的虚拟性，致使交易双方的信用问题一直是世界各国关注的焦点。例如：买方进行虚假订单或提交订单后不付款，集团的购买者可能存在拖延货款的行为；卖方收到货款却给予否认或卖出的商品不能保证质量或数量，不能完全履行与买方签定的合同；交易双方都存在抵赖的现象等。
1.4 安全管理问题
网上交易安全管理问题主要表现在人员管理上存在的问题。
人员管理常常在网上交易安全管理上最薄弱的环节。近年来，由于企业工作人员职业道德修养不高，安全教育和管理松懈的主要原因，在我国计算机犯罪中大都呈现内部犯罪的趋势。再有一些竞争对手还利用不正当的方式潜入企业，窃取企业用户的重要信息，如用户的账号、密码以及相关的重要文件资料等。
1.5 安全的法律保障问题
电子商务是一种新的商务方式，由于电子商务相关法律还不完善，除在买卖双方的电子交易中经常会出现不同的网购纠份外，还会存在域名的纠纷、网络著作权的侵犯、网络诈骗以及电子交易中各方的法律责任不明确等诸多的问题，又由于电子商务活动与传统商务活动存在着很多的不同点，传统商务制定的相关法律又出现不适应电子商务的状况，同时电子商务发展速度非常快，而法律的修改制定又需要较长的时间，因此目前电子商务的相关法律还不能回避由于法律滞后而无法保证合法交易的权益所带来的风险，有待进一步修正完善。
2 电子商务安全的对策
2.1 采取不同措施加强电子商务安全教育和宣传，提高电子商务安全意识
具体可采取以下措施：一是采取不同的宣传方式，普及电子商务安全知识，提高公众的安全意识；二是通过开设电子商务安全培训课程，加强培养电子商务安全管理人才。
2.2 采用网络技术，确保网络信息安全
为了确保网络的信息安全，可以采用防火墙技术，防火墙往往设在企业内部网和外部网之间，是一种隔离设备，只允许授权信息通过，能够防止外部网上的各种危害侵入内部网络，是实现网络信息安全策略中最有效的工具之一。实现防火墙的网络信息安全策略时，有两条可以遵循的规则，即未被明确允许的都将被禁止；未被明确禁止的都将允许。前一种规则建立了一个非常安全的网络环境，而后一种规则建立了一个非常灵活的环境，给用户提供了更多的服务。
2.3 运用密码技术，强化通信安全
为了保证交易双方身份的正确性，保证交易双方的通信安全，运用各种加密技术，数字信封技术是使用两个层次的加密，解决了网上信息传输的保密性问题，数字指纹的应用验证了交易文件在传输过程中是否遭到破坏，解决了防止网上信息假冒的问题，而数字签名技术解决了交易双方的身份认证问题。
2.4 加强人员管理，确保安全管理
电子商务是一项高智商的劳动。需要从业人员一方面具备传统营销的知识和经验，另一方面又必须具有相应的计算机网络知识和操作技能。而当今计算机网络犯罪又具有高技术性、智能性、隐蔽性、连续性的特点，因而，对从事网络营销和企业内部网络维护人员进行重点安全管理，落实每个工作人员的工作责任制，完善企业内部日常安全制度。
2.5 健全法律，严格执法
电子商务应用环境是区别于传统商业环境下的新环境，在传统交易方式下适用的法律法规难以适用于新的环境，又由于关于电子商务的立法还不完善，需要在充分考虑到国内环境的前提下，尽快出台专门针对电子商务交易的法律法规，适应电子商务运作的法制环境，解决存在各种问题，如电子合同问题、网上虚拟财产保护问题等，强化法律法规的可操作性，加强与国际电子商务立法相接轨，通过建立电子商务安全法规体系，规范和维持网络的正常运行。
项目基金
本文系河北省社会科学发展研究课题，编号：201303063。
参考文献
电子信息安全管理中存在的问题
1 缺乏足够的信息安全防范意识
尽管我国的信息技术发展很快，但是，在电子商务方面还处于初期阶段，很多大规模、标准化的电子商务平台尚没有搭建起来。而在一些小型的电子商务平台，很多管理者认为自身遭受“黑客”攻击的可能性不大，所以，其常常存在侥幸心理，将更多的关注点放到了平台规模的扩大和系统功能开发上面。在这种思想的影响下，系统的信息安全管理能力相当薄弱，以至于常常成为攻击的对象。另外，还有很多管理者，对市场上的安全管理软件给予了绝对的信任，自己觉得只要安装了这些高新产品，就可以高枕无忧，但是，往往残酷的事实告诉他们不是这样的。
2 信息安全技术有所欠缺
目前，国内的信息安全管理技术已经取得了很大的进步，然而，相对于发达国家的信息安全防御与控制技术，还存在很大的一段差距。国内的自主研发技术无论是在经费上、还是人员上都存在很多不足之处。并且，大多数的技术研究机构都是过多地“借鉴”国外的先进技术。如此一来，国内的电子信息安全管理质量明显不高。
3 信息安全产品的鉴定缺乏科学、规范性
很多企业在电子信息安全管理方面，购置了大量的信息安全软件。这些软件在一定程度上能够有效地保证电子信息使用平台的安全。但是，其并不能绝对地保障信息安全。而且，在安全产品的鉴定方面，缺乏统一的鉴定标准，很多都是主观判断。
电子信息安全管理有效措施
目前，我国的很多企业在电子信息安全管理方面，普遍的“重技术，轻管理”，加之高层领导对信息安全管理的重视程度不足，以至于各项安全管理制度尚不完善。下面重点探索一些加强电子信息安全管理的主要措施。
1 构建完善的管理组织机构
电子信息安全管理组织机构主要包括了安全决策和执行组织。其中，前者的职能主要是负责管理框架的构建、安全制度的审批以及安全职责的分配以及监督。后者的主要工作是负责网络系统安全制度的拟定、制定的执行以及日常维护和业务培训等。如果是大型的电子商务平台或者集团企业，还可以聘请经验丰富的专家人员构成顾问组织。负责日常的业务咨询以及安全事件发生后的责任评估和调查等。
2 电子信息安全管理制度进一步完善
电子信息安全管理制度主要包括：（1）构建电子信息控制制度。在各个业务流程中，明确各业务人的权限，并将其纳入到内部控制制度当中，定期进行执行情况审核；（2）构建应急措施。在信息传递过程中，要对电子信息的记录、维护以及报告等环节进行有效监控。对数据文件进行定期备份。
3 提高安全方面的专业
目前，随着互联网的高度普及，安全技术的研发速度已经跟不上网络的发展速度，特别是在安全管理技术领域，而且，相应的技术人员也是严重不足。所以，要在电子商务规模不断扩大的同时，构建强大的电子信息安全管理队伍，提升安全技术的研究水平。
4 系统安全检测
病毒与黑客不断的变换着形式对系统进行着恶意的攻击，因此，技术人员要从多方位的技术角度对系统安全性进行检测。查看防火墙是否受到攻击；功能方面是否存在漏洞；密码设置的是否正确等，这些都需要技术人员认真的进行检测，稍有疏忽，就会受到恶意的攻击。
5 要建立保护系统的方案
系统的安全检测不能实时进行，这就需要建立系统安全防护措施。对于系统安全管理的复杂性，尤其是电子商务这个依靠网络平台的企业必须制定一套有效的安全策略，使系统的安全性进一步提高。只有建立了较为完善的安全策略，才能在系统受到攻击时，把损失降到最低。
6 定期进行信息安全管理培训
对有关人员进行上岗培训，建立人员培训计划，定期组织安全制度和规程方面的培训。通过教育和培训改变企业员工对信息安全的态度，使操作人员认识到信息安全对企业的重要性、企业安全规章制度的含义以及职责范围内需要注意的安全问题。
7 贯彻电子商务交易安全运作基本原则
包括职责分离、双人负责、任期有限、最小权限、个人可信赖性等。
当前，我国电子政务的管理逐渐向信息化、网络化发展，提高了管理质量、增强了管理效果。但是，安全问题却成为当前电子政务管理中的关键问题。如何有效提升电子政务外网的安全管理级别，以保证网络的安全、稳健运行成为当前人们关注的话题。但由于电子政务外网的安全管理涉及较广（设备、技术与管理），因此在安全管理中存在一定的难度。以下笔者就对当前我国的电子政务外网的安全管理策略进行一些分析，并提出相关建议。
1当前我国电子商务外网的特点
电子商务外网是一种借助信息与通信技术，为各级政府部门提供服务的应用。其具有数字化、信息化、网络化的特点，可以提升政府的管理质量，促进其进步、发展。在当前“互联网+”的影响下，我国政府的电子政务外网办公逐步深化，且在信息技术的支持下，使政府和群众可以相互沟通、相互协作，有效的促进政府办公效率的提升。但是，电子政务外网的安全性始终是当前我们面临的关键问题。所以相关人员应积极解决这一问题，以保证政府的办公能力。
2我国电子商务外网存在的安全隐患
2.1电子政务系统存在安全威胁
当前我国电子政务系统还存在一定的安全威胁。而这种威胁一般包括：人为损坏、物理损坏与设备故障等三种情况。其中，人为威胁，一般是由于工作人员的操作不当，或是有人发出攻击行为，蓄意破坏计算机网络系统等原因造成的威胁。物理损坏一般指由于物理原因造成的硬盘损坏、设备使用寿命到期，或者是一些外力破坏造成的威胁。而一些设备故障一般是指断电、电磁干扰等原因。此外，除以上威胁外，极个别时候政务外网还会受到一些网络黑客、信息战士的入侵，他们通过监听、截取破译等行为获取政务信息，使电子政务系统受到严重的威胁。
2.2电子政务系统存在安全风险
当前我国电子政务系统还存在一定的安全风险。其具体表现在以下几种情况：1）信息泄密。如：由于一些假冒身份的或是非法的用户，在没有授权的情况下访问政务网络系统，并进行了不正当的操作，导致一些信息外泄。2）计算机病毒。计算机病毒的出现可以破坏计算机的功能，毁坏计算机的数据，影响计算机的正常使用。由于其破坏力极大，防范相对困难。因此，这也是当前政务外网中最大的威胁。3）新型攻击技术。近年来，网络上逐渐出现一些新型攻击技术，为政务信息的安全带来一些威胁。以上风险的出现严重当前我国政务外网的稳定性与安全性。
3改善电子商务外网安全隐患的策略
3.1强化管理体系，拟定安全管理体制
为提升我国电子政务的网络管理工作效率，保证其安全管理质量。相关部门应积极强化政务外网的安全管理体系，拟定出安全的管理体制。相关部门具体可以：部门应以当前所使用的计算机信息系统的保护等级与系统规模等详细信息为基础，积极建立出安全且健全的管理职责体系。在体系的建立过程中，部门应严格遵守国家知识指示与标准，结合自身的实际发展情况。另外，在管理工作的进行过程中，负责人（管理者）应对工作人员进行合理的分工、责任到人，并提出严格的要求。满足以上要求后，逐渐建立出高效的安全管理体系。
3.2建立防护系统，落实安全检测工作
为有效减少安全隐患，保证电子政务外网网络整体环境的安全性。相关政府部门应积极建立相关的防护系统，并落实安全监测工作，从而实现从根源上减少安全隐患的目的。具体可以：强化网络服务供应商之间的关系，借助供应商先进的设备与技术建设出电子政务外网的专属防火墙。这样政务外网就有了安全依托，可以在一定程度上将可能出现的安全隐患扼杀。另外，部门应积极建设相关的监督系统，以落实政务外网的安全监测。系统建设后，可以由公安网络或监察部监管，以保证政务外网的安全。
3.3保证设备安全，完善外网基础应用
在电子政务外网安全管理中，无法避免一些设备与软硬件产品的使用。因此，为保证系统的安全，提高安全管理的质量。首先，相关部门应重视并保护设备的安全，并逐渐完善电子政务外网的基础应用。有关部门可以：在选择设备的过程中，尽量选择一些性能好、安全性高的网络设备。然后，系统的运行过程中，应意识到电磁辐射（网络设备、计算机等都可能产生电磁辐射）对网络安全的危害（数据泄密），并积极找出应对措施，以减少电磁辐射。同时应尽量避免一些自然、人为破坏，以保证整个网络系统的安全运行。
3.4保证数据安全，建立灾难备份中心
数据是信息系统的关键，同时也是政府各项业务间的互动，信息共享与业务协同的关键因素。因此，为保证服务的顺利运行，相关部门在电子政务外网的安全管理中，应加强对数据与信息的重视。而为保护数据的安全，部门可以建立灾难备份中心，以提高抵御灾难的能力，保证重要信息相关数据的安全，同时可以将损失降为最小。具体可以采用自建灾难备份中心、共建灾难备份中心，以及服务外包等三种模式。在政府信息数据遭遇灾难时，启动异地建立备份数据中心，可以提供不间断的数据信息服务，以保证业务的连续性。
4结论
安全问题是当前电子政务外网的安全管理中经常面临的一个问题。由于问题、原因与解决策略相对复杂，因此需要对当前电子商务外网的特点、存在安全隐患进行一些了解与分析。然后积极找出改善电子商务外网安全隐患的策略，提高电子政务外网的安全级别，从而保证外网的安全、稳定运行。
参考文献
[1]赵惠巍.电子政务外网的安全管理策略研究[J].民营科技，2014（7）：106.
[2]董舟，谢碧云，李歆.政务外网信息安全管理策略初探[J].人民长江，2015（3）：86-90.
2软件项目业务规划
2.1项目规划
项目目标：完成电子商务安全管理软件系统的研制和开发，并进行市场化运作；对电子商务安全标准进行研究。主要功能：电子商务安全管理软件系统实现的主要功能有：
（1）提供访问电子商务网站用户的身份认证、授权；授权用户在线删除，添加，更新本人信息；实现了允许一种用户可以以多种身分访问电子商务程序的身份验证和授权的功能。
（2）过滤当前用户请求中是否含有违反HTTP协议的数据存在，包括参数缺失、参数异常、参数过多；过滤当前用户请求中是否含有违反当前请求页面的数据存在。
（3）对称式和非对称式的加密解密技术：包括数字签名算法、消息摘要技术、密钥交换方法、提供基于数据库的密钥管理服务的内容。
（4）收集功能模块的日志信息，然后生成统一的日志信息，并进行分类存储(本课题提供数据库存储形式)，然后提供查询、删除等功能(用户可以对日志信息按日期、模块名进行查询、删除等操作)。
（5）随时对受保护的电子商务应用程序进行安全监控，若发现恶意代码的攻击，即刻发出报警信息。
（6）监控系统和电子商务应用程序的运行情况，若系统或应用程序出现异常，即刻发出报警信息。约束条件：本系统运行时需要JAVA运行环境人员所需工具所需资源：开发本项目需要参加人员熟练掌握JAVA、XML、TOMCAT、MYSQL、JSP、STRUTS等，开发工具使用eclipse、editplus、mysql等。
2.2项目组织与进度
本项目的开发共分四个时间段进行，具体安排如下所示：系统调研和总体方案设计3个月系统体系结构设计8个月系统程序实现8个月α测试β测试3个月
2.3开发软件所需要的工具
软件运行环境A．操作系统：Linux系统，Window2000Serve系统B．数据库：Oracle8i/9i，SQLServer2000，MysqlC．WEB服务器：Tomcat/Weblogic/Jboss编程语言：JAVA开发平台：eclipse测试与分析工具：paros
3软件开发设计与程序编码
3.1软件开发设计
电子商务安全管理软件系统采用了模块化的设计理念，遵循J2EE的开发标准，充分利用了J2EE程序开发过程中所涉及到的开放源代码的应用软件。整个软件系统是在Tomcat5.5.9条件下进行的研发，开发工具选用的是Eclipse3.1，MySQL4.1提供了数据库支持。此外，还使用了诸如Spring，Hibernate，Struts，Dom4j，Log4j等免费软件和技术。从软件设计与软件开发的角度看，电子商务安全管理软件系统的设计规划遵循了如下设计原则：
（1）电子商务安全管理软件封装了许多功能强大、易于使用的软件功能模块，对于统一安全接口标准研究十分必要。
（2）软件的开发大量采用组件化、J2EE技术，独立于操作系统与数据库系统。软件内部的模块大量采用Bean，进行业务逻辑的封装，可以方便利于网络层的请求响应调用。
（3）系统采用XML文件格式来响应业务请求，这样可以实现系统逻辑各层之间良好的通讯和接口。
（4）全面考虑电子商务安全的各种需求,设计统一的标准化的软件结构,使各种网络安全技术运行在软件框架之下,共同保护电子交易安全。
（5）提供开放的API接口,这样使其他公司的软件产品可以轻易的集成到这个软件系统平台上。
3.2程序编码
安全：安全模块就像一个数据采集器；在电子商务安全控制中心中分析的所有HTTP信息都是通过安全模块采集的。此外，安全模块还负责在分析后将反应结果返回给用户。开发安全模块所使用技术：ServletFilter。
（1）认证授权模块。身份验证和授权认证模块提供一种基于JAAS体系结构的认证解决方案。身份认证是用户或计算设备用来验证身份的过程，即确定一个实体或个人是否就是它所宣称的实体或个人。授权确定了已认证的用户是否能够访问他们所请求的资源或者执行他们所请求执行的操作。
（2）数据过滤模块。数据过滤模块实现两种分析算法：模式匹配算法和行为建模算法。一种是基于误用检测算法的模式匹配，另一种是基于异常检测算法的行为建模。
（3）协议过滤模块。根据电子商务网站管理员的人工配置和HTTP协议细节执行协议过滤算法，针对于安全数据中出现的冗余信息、检测出的缺失信息，以及异常信息分别进行安全分析，并且触发相应的安全动作。
（4）安全监控模块根据安全分析的结果与事先定义的安全动作，模块采用相应的指定动作。此外，这个模块将向安全模块发送动作指令。如果发现黑客入侵，就随时触发“拒绝”动作，然后发送警告给应用程序的管理员。同时，将恶意的入侵请求存入到数据库作为入侵分析的日志文件。因此，攻击者将会收到一个出错页面或者请求被禁止的页面。
（5）应用监控。应用监控模块主要实现了对于访问电子商务应用程序、安全模块的应用配置和应用监控功能。实现了应用程序和电子商务安全管理软件系统的动态配置、实时监控电子商务安全管理软件系统的响应速度。
随着网络时代的到来，越来越多的人通过Internet进行商务活动。电子商务的发展前景十分诱人，而其安全问题也变得越来越突出。近年来，网络安全事件不断攀升，电子商务金融成了攻击目标，以网页篡改和垃圾邮件为主的网络安全事件正在大幅攀升。在国家计算机网络应急技术处理协调中心（CNCERT/CC）2005处理的网络安全事件报告中，网页篡改占45.91％，网络仿冒占29%，其余为拒绝服务攻击、垃圾邮件、蠕虫、木马等。如何建立一个安全、便捷的电子商务应用环境，对信息提供足够的保护，已经成为电子商务的所有参与者十分关心的话题。
一、电子商务中的主要网络安全事件分析
归纳起来，对电子商务应用影响较多、发生率较高的互联网安全事件可以分为网页篡改、网络蠕虫、拒绝服务攻击、特罗伊木马、计算机病毒、网络仿冒等，网页篡改、网络仿冒（Phishing），逐步成为影响电子商务应用与发展的主要威胁。
1.网页篡改
网页篡改是指将正常的网站主页更换为黑客所提供的网页。这是黑客攻击的典型形式。一般来说，主页的篡改对计算机系统本身不会产生直接的损失，但对电子商务等需要与用户通过网站进行沟通的应用来说，就意味着电子商务将被迫终止对外的服务。对企业网站而言，网页的篡改，尤其是含有攻击、丑化色彩的篡改，会对企业形象与信誉造成严重损害。
2.网络仿冒（Phishing）
网络仿冒又称网络欺诈、仿冒邮件或者钓鱼攻击等，是黑客使用欺诈邮件和虚假网页设计来诱骗收件人提供信用卡账号、用户名、密码、社会福利号码等，随后利用骗得的账号和密码窃取受骗者金钱。近年来，随着电子商务、网上结算、网上银行等业务在日常生活中的普及，网络仿冒事件在我国层出不穷，诸如中国银行网站等多起金融网站被仿冒。网络仿冒已经成为影响互联网应用，特别是电子商务应用的主要威胁之一。
网络仿冒者为了逃避相关组织和管理机构的打击，充分利用互联网的开放性，往往会将仿冒网站建立在其他国家，而又利用第三国的邮件服务器来发送欺诈邮件，这样既便是仿冒网站被人举报，但是关闭仿冒网站就比较麻烦，对网络欺诈者的追查就更困难了，这是现在网络仿冒犯罪的主要趋势之一。
3.网络蠕虫
网络蠕虫是指一种可以不断复制自己并在网络中传播的程序。这种程序利用互联网上计算机系统的漏洞进入系统，自我复制，并继续向互联网上的其他系统进行传播。蠕虫的不断蜕变并在网络上的传播，可能导致网络被阻塞的现象发生，从而致使网络瘫痪，使得各种基于网络的电子商务等应用系统失效。
4.拒绝服务攻击(Dos)
拒绝服务攻击是指在互联网上控制多台或大量的计算机针对某一个特定的计算机进行大规模的访问，使得被访问的计算机穷于应付来势凶猛的访问而无法提供正常的服务，使得电子商务这类应用无法正常工作。拒绝服务攻击是黑客常用的一种行之有效的方法。如果所调动的攻击计算机足够多，则更难进行处置。尤其是被蠕虫侵袭过的计算机，很容易被利用而成为攻击源，并且这类攻击通常是跨网进行的，加大了打击犯罪的难度。
5.特罗伊木马
特罗伊木马（简称木马）是一种隐藏在计算机系统中不为用户所知的恶意程序，通常用于潜伏在计算机系统中来与外界联接，并接受外界的指令。被植入木马的计算机系统内的所有文件都会被外界所获得，并且该系统也会被外界所控制，也可能会被利用作为攻击其他系统的攻击源。很多黑客在入侵系统时都会同时把木马植入到被侵入的系统中。
二、解决电子商务中网络安全问题的对策研究
随着网络应用日益普及和更为复杂，网络安全事件不断出现，电子商务的安全问题日益突出，需要从国家相关法律建设的大环境到企业制定的电子商务网络安全管理整体架构的具体措施，才能有效保护电子商务的正常应用与发展。
1.进一步完善法律与政策依据 充分发挥应急响应组织的作用
我国目前对于互联网的相关法律法规还较为欠缺，尤其是互联网这样一个开放和复杂的领域，相对于现实社会，其违法犯罪行为的界定、取证、定位都较为困难。因此，对于影响电子商务发展的基于互联网的各类网络安全事件的违法犯罪行为的立法，需要一个漫长的过程。根据互联网的体系结构和网络安全事件的特点，需要建立健全协调一致，快速反应的各级网络应急体系。要制定有关管理规定，为网络安全事件的有效处理提供法律和政策依据。
互联网应急响应组织是响应并处理公共互联网网络与信息安全事件的组织，在我国，CNCERT/CC是国家级的互联网应急响应组织，目前已经建立起了全国性的应急响应体系；同时，CNCERT/CC还是国际应急响应与安全小组论坛（FIRST，Forum of Incident Response and Security Teams）等国际机构的成员。应急响应组织通过发挥其技术优势，利用其支撑单位，即国内主要网络安全厂商的行业力量，为相关机构提供网络安全的咨询与技术服务，共同提高网络安全水平，能有效减少各类的网络事件的出现；通过聚集相关科研力量，研究相关技术手段，以及如何建立新的电子交易的信任体系，为电子商务等互联网应用的普及和顺利发展提供前瞻性的技术研究方面具有积极意义。
2.从网络安全架构整体上保障电子商务的应用发展
网络安全事件研究中看到，电子商务的网络安全问题不是纯粹的计算机安全问题，从企业的角度出发，应该建立整体的电子商务网络安全架构，结合安全管理以及具体的安全保护、安全监控、事件响应和恢复等一套机制来保障电子商务的正常应用。
安全管理主要是通过严格科学的管理手段以达到保护企业网络安全的目的。内容可包括安全管理制度的制定、实施和监督，安全策略的制定、实施、评估和修改，相关人员的安全意识的培训、教育，日常安全管理的具体要求与落实等。
安全保护主要是指应用网络安全产品、工具和技术保护网络系统、数据和用户。这种保护主要是指静态保护，通常是一些基本的防护，不具有实时性，如在防火墙的规则中实施一条安全策略，禁止所有外部网用户到内部网Web服务器的连接请求，一旦这条规则生效，它就会持续有效，除非我们改变这条规则。这样的保护能预防已知的一些安全威胁，而且通常这些威胁不会变化，所以称为静态保护。
安全监控和审计是实时保护的一种策略，它主要满足一种动态安全的需求。因为网络安全技术在发展的同时，黑客技术也在不断的发展，网络安全不是一成不变的，也许今天对你来说安全的策略，明天就会变得不安全，因此我们应该时刻关注网络安全的发展动向,以及网络上发生的各种各样的事情，以便及时发现新的攻击，制定新的安全策略。可以这样说，安全保护是基本，安全监控和审计是其有效的补充，两者的有效结合，才能较好地满足动态安全的需要。
事件响应与恢复主要针对发生攻击事件时相应的应急措施与恢复正常应用的机制。就是当攻击发生时，能及时做出响应，这需要建立一套切实有效、操作性强的响应机制，及时防止攻击的进一步发展。响应是整个安全架构中的重要组成部分，因为网络构筑没有绝对的安全，安全事件的发生是不可能完全避免的，当安全事件发生的时候，应该有相应的机制快速反应，以便让管理员及时了解攻击情况，采取相应措施修改安全策略，尽量减少并弥补攻击的损失，防止类似攻击的再次发生。当安全事件发生后，对系统可能会造成不同程度的破坏，如网络不能正常工作、系统数据被破坏等，这时，必须有一套机制能尽快恢复系统的正常应用，因为攻击既然已经发生了，系统也遭到了破坏，这时只有让系统以最快的速度运行起来才是最重要的，否则损失将更为严重。因此恢复在电子商务安全的整体架构中也是不可缺少的组成部分。
三、结论
Internet的快速发展，使电子商务逐渐进入人们的日常生活，而伴随各类网络安全事件的日益增加与发展，电子商务的安全问题也变得日益突出，建立一个安全、便捷的电子商务应用环境，解决好电子商务应用与发展的网络安全问题必将对保障和促进电子商务的快速发展起到良好的推动作用。
参考文献:
[1]CNCERT/CC.2005年上半年网络安全工作报告
[2]李 卫:计算机网络安全与管理.北京：清华大学出版社，2000
