軟考電子商務(wù)設(shè)計師：電子商務(wù)安全問題探討

　　電子商務(wù)的發(fā)展是互聯(lián)網(wǎng)上最大的應(yīng)用趨勢，是國際經(jīng)貿(mào)全新的一種形式，是我國經(jīng)濟生活牛的新手段，也給我國的安全保密管理帶來新課題。

　　人類社會的三大支柱有材料、能源和信息，說明信息非常重要。今天談到的信息主要還是IT信息技術(shù)方面的信息�；ヂ�(lián)網(wǎng)的迅速發(fā)展?fàn)縿恿巳�球�?jīng)濟的發(fā)展，我們把互聯(lián)網(wǎng)的發(fā)展提得非常高。近年來出現(xiàn)一些新的概念，網(wǎng)絡(luò)經(jīng)濟、數(shù)字化生存、信息戰(zhàn)等。

　　信息化被日益全球化的經(jīng)濟帶來什么樣的安全威脅?涉及到國家經(jīng)濟運行與監(jiān)管的安全問題，比如說東南亞金融風(fēng)暴問題，以后再談金融風(fēng)暴怎么進行宏觀結(jié)合。在金融資本的流動和資本安全，包括證券市場，特別開展網(wǎng)上證券、網(wǎng)上銀行等等。另外金融網(wǎng)絡(luò)和系統(tǒng)的安全，銀行、稅務(wù)、證券、保險方面的一些行業(yè)。這些網(wǎng)絡(luò)和系統(tǒng)的安全非常重要，影響到國計民生。如果我們對網(wǎng)上的炒股行為和網(wǎng)上銀行的存儲行為不進行監(jiān)管，如果別人調(diào)動一千億元進行網(wǎng)上招股，這樣的危險就會很大。經(jīng)濟信息安全問題，無論是易趣網(wǎng)還是股票網(wǎng)站也好，你的信息被改動，影響交易的真實性，這些給經(jīng)濟安全帶來很多威脅。

　　80年代對信息安全理解為信息保密，90年代認識到除了保密以外，還有完整性，還有系統(tǒng)的可用性。如果我通過網(wǎng)上取錢，本來想取一百塊錢，被改成取一萬塊錢，這個損失是誰的?信息和系統(tǒng)可用性，如果說誰打一個電話追究的力度不大，但是誰把系統(tǒng)破壞掉，死機一個小時，損失很大。90年代后期，對信息安全的認識又了新的變化，現(xiàn)在談的比較多的是對信息和系統(tǒng)的可控問題，還有對信息行為的不可否認追究問題。

　　過去談計算機安全，昨天談信息安全，今天談信息保障。

　　計算機安全里面用加密的方式可以基本做到保密問題。今天有人講中文我們聽得懂，如果兩個人站起來講俄文我們就聽不懂，這就是加密的方法。信息安全信息的保密性、完整性、可用性，從保障角度講，還應(yīng)該提到如何檢測現(xiàn)在的信息脆弱性入侵，死機了怎么恢復(fù)。網(wǎng)絡(luò)犯罪新的摩爾定律，網(wǎng)絡(luò)犯罪是18個月翻一番。

　　整個社會對電子商務(wù)的安全有多方面的需求，歸結(jié)起來要點主要是：

　　一、加密保證、使用者和數(shù)據(jù)的識別和鑒別要求，對存儲和加密數(shù)據(jù)進行保密，對聯(lián)網(wǎng)交易支付的可靠性保證，比較方便的安全管理，還有對數(shù)據(jù)的完整性進行驗證，防止抵賴。

　　二、政府關(guān)心的問題：經(jīng)濟安全問題，執(zhí)法部門需要相應(yīng)的措施、相應(yīng)的證據(jù)，另外采購與使用需要，網(wǎng)絡(luò)安全和消費者的保護問題。

　　三、制約電子商務(wù)發(fā)展有幾個主要因素：1、基礎(chǔ)設(shè)施問題。2、觀念改變問題。3、信用機制問題。4、支付技術(shù)問題。5、法律保障問題。6、物流配送問題。7、信息安全問題。

　　怎么看待電子商務(wù)的安全問題?安全不是一個純技術(shù)的概念，沒有絕對的安全。安全是有成本和代價的，要采取安全措施不光會帶來不方便，可能會帶來成本和代價。在2000年中國人民銀行出了一本信息安全保障的規(guī)范，里面明確提到在人民銀行這個系統(tǒng)建設(shè)里面，安全保障應(yīng)該投入10%的經(jīng)費。這是國內(nèi)第一個行業(yè)主管部門發(fā)布明確的定額10%。系統(tǒng)的重要性不一樣，有的需要投入15%甚至50%的經(jīng)費，有的可能只能投入百分之幾，而且可能有很多的電子商務(wù)網(wǎng)站投入遠遠不到10%，甚至很多安全措施都沒有跟上去。安全是發(fā)展的、動態(tài)的。包括病毒、攻擊措施，不可能一蹴而就。

　　電子商務(wù)的安全支付方式，可以分為直接支付和間接支付。根據(jù)銀行中是否有帳號可以分為基于帳戶的支付和基于貨幣的支付，基于帳號的電子支付又可分為基于信用卡支付和電子支票支付，基于貨幣的電子支付又成為電子現(xiàn)金或數(shù)字現(xiàn)金。是否必須與第三方進行在線聯(lián)系還可以分為在線支付和離線支付。

　　基于信用卡的支付方式采用的協(xié)議主要有兩種：SSL和SET。目前我國的應(yīng)用得到最廣泛的就是基于信用卡的電子支付方式，中國銀行的網(wǎng)上銀行使用的是SET協(xié)議，招商銀行的一卡通是SSL協(xié)議。

　　CA問題也是安全性問題，是電子商務(wù)里面解決可信問題的關(guān)鍵設(shè)施。在我們國家建立CA的時候，會出現(xiàn)好多問題。CA建設(shè)我們國家現(xiàn)在已經(jīng)建了40多個，有人說80多個，地方的、政府的、行業(yè)的。很多CA認為很多問題，沒有和銀行結(jié)合起來，沒有得到銀行的認可。中國電子商務(wù)標(biāo)準化方面很缺乏。國家沒有電子商務(wù)關(guān)于CA的要求等等，包括信息的披露等等。

　　CA設(shè)備的安全性，現(xiàn)在國家的設(shè)備或者是自己研發(fā)，或者地方采購的，電子商務(wù)網(wǎng)站也好，用戶也好，怎么樣對設(shè)備的安全性進行驗證，采取國家安全機構(gòu)的檢測的產(chǎn)品，這樣放心一點。

　　電子商務(wù)方面技術(shù)方面缺乏統(tǒng)一規(guī)范，影響互聯(lián)互通。國際標(biāo)準一萬七干多個，IF的標(biāo)準有三千多個，真正在電子商務(wù)里面的標(biāo)準遠遠不夠，還需要開發(fā)。標(biāo)準不僅應(yīng)該先行，還應(yīng)該鋪路。標(biāo)準是游戲規(guī)則，你先制定標(biāo)準你就掌握了主動權(quán)，以后銀行也好，交易也好，造成的影響非常大。管理方面，容易政出多門，造成管理混亂。法律法規(guī)不夠健全。電子簽章法沒有出臺，網(wǎng)上出了問題，出現(xiàn)郵件攻擊怎么辦，出現(xiàn)責(zé)任怎么辦?安全方面是主要的問題。安全保證措施也是一個問題，跟直接投入跟相應(yīng)的技術(shù)措施有關(guān)系，跟成本也有關(guān)系。我們不可能用比我們的資產(chǎn)價值更高的代價來做安全保護。比如網(wǎng)站上信用卡號被盜，這方面誰來負主要責(zé)任?這方面的法律法規(guī)如果有相應(yīng)規(guī)定，應(yīng)該負連帶責(zé)任，對安全保護措施的問題一定要負相應(yīng)責(zé)任。

　　最后，提高服務(wù)的安全性，否則會影響電子商務(wù)的發(fā)展，或者成為發(fā)展的瓶頸。提高通信的速度，否則電子商務(wù)就成了純粹的電子廣告而無法將商場搬到里面，許多東西我們無法看到，也更談不上交易。降低成本，包括硬件成本、通信成本核計算成本。

　　現(xiàn)在，信息技術(shù)、通信技術(shù)的重要特征是大設(shè)備為小設(shè)備服務(wù)。電子商務(wù)管理體系應(yīng)具備的特點是與經(jīng)濟體制的一致性，與信息安全保密管理的一致性，與經(jīng)濟安全監(jiān)督的一致性，與信用體制的一致性。

　　國家應(yīng)該有相關(guān)的電子商務(wù)CA管理中心，充分發(fā)揮政府在電子商務(wù)發(fā)展中的主導(dǎo)作用，以小政府、大社會的方式規(guī)范和管理CA的發(fā)展，在電子商務(wù)的建設(shè)和采購中務(wù)必考慮安全因素，加強各部門之間的協(xié)調(diào)和配合。