中职教育-电子商务安全与管理(第三版高教版)课件：第一章 电子商务安全导论(一).ppt

3. 安全管理问题
2. 信用安全问题
1.1.2 电子商务涉及的安全问题
信息安全问题
冒名偷窃
“黑客”为了获取重要的商业秘密、资源和信息， 常常采用源IP地址欺骗攻击。
篡改数据
攻击者未经授权进入电子商务系统，使用非法手段， 删除、修改、重发某些重要信息
信息丢失
交易信息的丢失可能有三种情况；买卖双方都可能 在网络上发布虚假的供求信息
• 活动区域保护，对活动区域（如活动机房等）进行某种形式的保 护。
1.2.2 系统实体安全
设备安全
设备防盗就是对电子商务系统的设备实施防盗 保护，以提高系统设备和部件的安全性。
设备防毁就是对电子商务系统的设备实施防毁 保护，主要包括两个方面功能
防止线路截获主要是要防止对电子商务系统通 信线路的截获和外界对电子商务系统的通信线路 的干扰
买卖双方都有可能会抵赖曾经发生过的交易。
电子商务系统安全的构成
Composition of Security System
PART
2
1.2.1 电子商务系统安全概述
电子商务系统安全
实体 安全
运行安全
信息安全
环境 安全
设备 安全
媒体 安全
风险 分析
审计 跟踪
备份 与恢 复
应急
操作 系统 安全
数据 库安 全
Security Problems in E-Commerce
PART 1
1.1.1 安全问题的提出
2011-2015年CNVD漏洞收录情况
数据来源：CNCERT/CC2015年我国互联网网络安全态势综述
电子商务安全问题不仅与计算机安全问题相关，而 且与网络安全问题有着千丝万缕的联系。
漏洞的大量存在是网络安全问题的总体形势趋于严 峻的重要原因之一。
区域防护就是要对特定区域提供某种形式的保护和隔离措施
前
中
后
• 静止区域保护，如通过电子手段（如红外扫描等）或其它手段对
特定区域（如机房等）进行某种形式的保护（如监测和控制等）
为了实施受灾防护，在电子商务系统中应考虑受灾恢复计划辅 助软件，这主要是为制订受灾难恢复计划提供计算机辅助
• 灾难发生时的影响分析 • 受灾恢复计划的概要设计或详细制订 • 受灾恢复计划的测试与完善。
系统运行后
分析系统运行记录，旨在 发现系统的安全隐患，为 改进系统的安全性提供分 析报告。
1.2.3 系统运行安全
审计跟踪
记录和跟踪各种系统状态的变化
如提供对系统故意入侵行为的记录和对系统安全功 能违反的记录。
实现对各种安全事故的定位
如监控和捕捉各种安全事件
保存、维护和管理审计日志
1.2.3 系统运行安全
案例中的公司遇到的安全问题是什么？它还有哪些潜在的安全问 题需要面对？
安全问题会给电子商务企业带来哪些负面影响？
中国的微众银行是腾讯投资参股的纯数字银行，在安 全性方面和其他网银一样，也需要实名认证和绑定银 行卡，以及设置安全密码。
资料来源：麦肯锡公司（2016-5-7）
如何减少安全问题的发生？
电子商务面临的安全问题
Chapter 1
电子商务安全导论
INTRODUCTION TO E-COMMERCE SECURITY
目录
01 电子商务面临的安全问题 02 电子商务系统安全的构成 03 电子商务安全的需求 04 电子商务安全的保障
引例
安全问题影响公司决策
某公司以千禧一代（即80后90后）为目标客群推出了数字银行业务，以为重点在于把社交媒体与新用户入门过程联系起来，比如，允许使用社交网络 账户登录。然而，深入顾客访谈与多个版本的原型（通过100-150次结构性消费者调查与反馈回路的筛选）显示，事实恰恰相反，受过良好教育的城 市新生代十分担心资金账户与社交网络连接后的安全隐患和隐私泄露风险。该公司已预计到严重的安全问题，用户迭代得到的数据进一步证明了安全 问题对用户的重要性，所以后来打消了用社交网络账户登录的念头，并在新用户入门中可视化展示安全相关提示。
抗电磁干扰主要是要防止对电子商务系统的电磁 干扰，从而保护系统内部的信息
防止电磁信息泄漏，可以提高系统内敏感信息 的安全性。
电源保护主要是指为电子商务系统设备的可靠 运行提供能源保障
1.2.2 系统实体安全
媒体的安全
媒体安全
媒体数据的安全
• 媒体的安全主要是要提供对媒体的安全保管 • 目的是保护存储在媒体上的信息
客户
• 虚假订单 • 付款后收不到商品。 • 机密性丧失 • 拒绝服务
银行
• 中断(攻击系统的可用性) • 窃听(攻击系统的机密性) • 篡改(攻击系统的完整性) • 伪造(攻击系统的真实性)
1.1.2 电子商务涉及的安全问题
主要的电子商务安全问题
4. 电子商务的法律法规保障问题
1. 信息安全问题
• 紧急事件或安全事故发生时的影响分析 • 应急计划的概要设计或详细制订。 • 应急计划的测试与完善。
• 提供实时应急设施，实现应急计划，保障电子商务系统的正 常安全运行。
• 提供非实时应急设施，实现应急计划。
网络 安全
病毒 防护
访问 控制
加密
鉴别
电子商务系统，从某种意义上来说，其实就是一种计 算机信息系统
计算机信息系统是指由计算机及其相关的和配套的设 备、设施（含网络）构成的，按照一定的应用目标和 规则对信息进行采集、加工、存储、传输、检索等处 理的人机系统
可以从计算机信息系统的角度来阐述电子商务系统的 安全，认为电子商务系统的安全是由系统实体安全、 系统运行安全和系统信息安全这三个部分来组成的
高危漏洞占所有安全漏洞的比例逐年上升
1.1.1 安全问题的提出
2005年-2015年移动互联网恶意程序数量
数据来源：CNCERT/CC2015年我国互联网网络安全态势综述
移动互联网恶意程序随着智能手机普及后数量每年 都在大幅度增长
主要针对安卓平台进行恶意扣费、流氓留存和远程 控制的恶意行为
1.1.1 安全问题的提出
网络仿冒事件数量暴涨
数据来源：CNCERT/CC2015年我国互联网网络安全态势综述
网络仿冒事件在CNCERT处置的各类网络安全事件中 数量位居第一
针对金融支付的仿冒页面数量上升最快
1.1.2 电子商务涉及的安全问题
以电子商务交易活动中的对象为例
商家
• 中央系统安全性被破坏 • 竞争者检索商品的销售情况 • 客户资料被竞争者获悉 • 被他人冒名而损害企业的名誉 • 消费者提交订单后不付款 • 虚假订单
• 媒体数据的防毁，防止意外或故意的破坏而使媒体数据丢失。
1.2.3 系统运行安全
风险分析
电子商务系统安全的第二部分: 运行安全
应
审
运行安全是指为保障系ቤተ መጻሕፍቲ ባይዱ功能的安全实现，提供
急
计
一套安全措施（如风险分析，审计跟踪 ，备份
措 施
跟 踪
与恢复，应急等）来保护信息处理过程的安全。
备份与恢复
1.2.3 系统运行安全
1.2.2 系统实体安全
电子商务系统安全的第一部分: 实体安全
所谓实体安全，是指保护计算机设备、设施（含 网络）以及其它媒体免遭地震、水灾、火灾、有 害气体和其它环境事故（如电磁污染等）破坏的 措施、过程。
环境安全 媒体安全
设备安全
1.2.2 系统实体安全
环境安全
受灾保护
区域防护
受灾保护就是系统要具有受灾报警、受灾保护和受灾恢复等功 能，目的是保护电子商务系统免受水、火、有害气体、地震、 雷击和静电的危害。
风险分析
系统设计前
通过分析系统固有的脆弱 性，旨在发现系统设计前 潜在的安全隐患。
系统试运行前
根据系统试运行期的运行 状态和结果，分析系统的 潜在安全隐患，旨在发现 系统设计的安全漏洞。
系统运行期
提供系统运行记录，跟踪 系统状态的变化，分析系 统运行期的安全隐患，旨 在发现系统运行期的安全 漏洞，并及时通告安全管 理员。
备份与恢复
内
提供场点内高速度、大容量自动 的数据存储，备份和恢复
外
提供场点外的数据存储，备份和 恢复
提供对系统设备的备份
1.2.3 系统运行安全
应急计划辅助软件
应急措施
应急设施
所谓应急计划，是指在紧急状态下，使系统能够尽量完成原定 任务的计划。应急计划辅助软件主要是为制订应急计划提供计 算机辅助
应急设施主要是提供紧急事件或安全事故发生时，电子商务系 统实施应急计划所需要的措施，包括实时应急设施、非实时应 急设施等。
信息传递出问题
计算机病毒的侵袭、“黑客”的非法侵入、线路窃 听等很容易使重要数据在传递过程中泄露
1.1.2 电子商务涉及的安全问题
信用安全问题
买方的信用安全问题
分个人消费者和集团购买者两种情况
卖方的信用安全问题
卖方不能按质、按量、按时送寄消费者购买的货物， 或者不能完全履行与集团购买者签订的合同
买卖双方都存在抵赖
• 区域防护就是要对特定区域提供某种形式的保护和隔离措施 媒体数据的安全主要是要提供对媒体数据的保护，实施对媒 体数据的安全删除和媒体的安全销毁
• 目的是为了防止被删除或者被销毁的敏感数据被他人恢复
• 媒体的防盗
• 媒体数据的防盗，如防止媒体数据被非法拷贝。
• 媒体的防毁，如防霉和防砸等。
• 媒体数据的销毁，包括媒体的物理销毁（如媒体粉碎等）和 媒体数据的彻底销毁（如消磁等），防止媒体数据删除或销 毁后被他人恢复而泄露信息。