电子商务安全的管理保障2

上一堂课内容回顾第2章电子商务安全的技术保障 2.1加密技术 2.2数字签名 2.3认证技术 2.4防火墙技术（自习）第3章电子商务安全的管理保障内容回顾第1章电子商务安全与电子支付概论1.1电子商务发展概况1.2电子商务安全概述

1.2.1电子商务面临的安全威胁 1.2.2电子商务的安全要素 1.2.3电子商务的安全体系结构1.3电子商务基本流程1.4电子商务中的电子支付计算机网络风险电子商务交易风险管理风险政策法律风险内容回顾计算机网络方面的风险网上交易方面的风险管理方面的风险政策法律方面的风险电子商务安全的技术保障电子商务安全的管理保障电子商务安全的法律保障如何保障？（回顾）管理风险(P13)严格管理是降低网络交易风险的重要保证:人员管理:是在线商店安全管理上最薄弱的环节。 企业内部员工的疏失远比网络上的黑客还要可怕!网络交易技术管理的漏洞也带来较大的交易风险。 有些操作系统中某些用户是无口令的，如匿名FTP!补：管理风险—社会工程学攻击社会工程学（攻击）是使用计谋和假情报去获得密码和其他敏感信息的科学。或者说是一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段，取得自身利益的手法，近年来已成迅速上升甚至滥用的趋势。社会工程学攻击研究一个站点的策略其中之一就是尽可能多地了解这个组织的个体，因此黑客不断试图寻找更加精妙的方法，他们希望从渗透的组织那里获得信息。举个例子：一组高中学生曾经想要入侵某公司的网络，他们拟定了一个表格，调查看上去显得是无害的个人信息，例如所有秘书和行政人员和他们的配偶、孩子的名字。这些从学生转变成的黑客说这种简单的调查是他们社会研究工作的一部分。利用这份表格这些学生能够快速的进入系统，因为网络上的大多数人是使用宠物和他们配偶名字作为密码。社会工程学攻击举例1、请狼入室李小姐是某个大公司的经理秘书，她工作的电脑上存储着公司的许多重要业务资料，所以属于公司着重保护的对象，安全部门设置了层层安全防护措施，可以说，她的电脑要从外部攻破是根本不可能的事情。为了方便修改设置和查杀病毒，安全部门可以直接通过网络服务终端对李小姐的电脑进行全面设置。也许贪图方便，维护员与李小姐的日常联系是通过QQ进行的。这天，李小姐刚打开QQ，就收到维护员的消息：“小李，我忘记登录密码了，快告诉我，有个紧急的安全设置要做呢！”因为和维护员很熟了，李小姐就把密码发了过去。。。。一夜之间，公司的主要竞争对手掌握了公司的业务！社会工程学攻击举例由于安全部门距离李小姐的工作地点有好些距离，管理不方便，所以公司让他们直接通过网络来管理机器！他与李小姐之间的联系通过QQ进行。问题偏偏就出在QQ上。作为安全人员，他自然知道密码的重要性，因此他的任何密码都设置得十分复杂，穷举几乎不可能。至于被入侵，那更不可能发生。然而百密仍有一疏，他做梦也没想到对手利用QQ的取回密码功能轻易拿到了他的密码。剖析：

李小姐正是出于对维护员的信任才被对方欺骗的。因为那个在QQ上出现的维护员根本不是公司的维护员本人，而是对手盗取了维护员的QQ，再利用一个小小的信任关系，就轻易取得了登录密码。2、形同虚设的密码社会工程学攻击举例剖析：他在输入提示答案的时候，下意识地输入了心里最重要的那个人的名字。但是对手也知道他心里那个人的名字，所谓的“知己知彼”。小马喜欢绚丽的QQ秀和一些特色服务，但舍不得花钱。好想有免费的Q币。某天一QQ好友给他发来一个URL，还说这个网站通过一定的点击次数提供Q币。如此好的机会小马怎能放过？他根据网站的提示输入了QQ号码和密码完成注册，然后给QQ上的朋友们发了网址。然而等了许久，自己的Q币依然没有动静。第二天，小马想登录QQ时，却发现怎么也登录不上去了——QQ密码被人改了。这是曾闹得轰轰烈烈的QQ欺骗案件之一。3、E时代的守株待兔社会工程学攻攻击举例剖析：这就是著名的的“网络钓鱼”！论坛常有帖子子：“……腾腾讯公司预留留了专用号码码作为充值号号，此号是自自动读取指令令的，为了不不引起大家的的注意，所以以这个QQ比比较普通，这这个QQ一般般隐身。只要要发送{Jerusalum/PLO号码}{VesselinBontchev密码}{FRALDMUZKQ币数量量}，然后下下线5分钟，，等着收Q币币吧。”大哥你是不是是太搞笑？！！改我密码还还要5分钟啊啊？麻烦你快快一点好不好好！还有QQ中奖奖要求用户填填写密码以待待“验证”等等伎俩，无论论什么手法，，最终结局都都是一样的，，那就是———用户的密码码被人改掉。。如此白痴的的骗局，只要要有点常识的的人都不难理理解其中的““笑话”，奇奇怪的是却屡屡屡有人上当当，究其原因因，就是因为为国人的贪小便宜心理作祟。社会工程学攻攻击举例王先生是一家家银行的职员员，通常都是是直接在网络络上完成转账账操作的。由由于他的电脑脑水平不高，，前不久被一一个初学者骇骇客入侵了机机器。在请来来专业人员修修复系统更改改密码后，王王先生照例登登录网络银行行为手机缴费费，可是才过过一会儿他的的冷汗就出来来了：网络银银行登录不进进去了！深感感大事不妙的的王先生去银银行办理了相相关手续，查查账发现账户户里的钱已经经被人划走了了。因为王先生犯犯了大部分人人都会犯的致致命错误：通通常为了记忆忆方便，人们们会把几处的密码都都设置成一样样的，例如QQ、E-MAIL、FTP、网站等等的密码，而而王先生更进进一步把所有有密码都弄成成一样的了，，因此入侵者者在得到王先先生的机器登登录密码后也也就得到了网网络银行的密密码。正是因因为这个普遍遍心理特点，，受害者往往往都是被入侵侵者一锅端了了！因为简单密码和相同密码是大部分人都都会碰到的心心理弱点4、轻而易举举的入侵电子商务的实实质仍然是商商务。电子商商务交易活动动越普遍,对对安全管理的的要求就越高高。此时的管管理，已不单单纯是对计算算机系统的管管理，而是涉涉及对虚拟环环境中商务活活动各类参与与主体的管理理。防止前述问题题的风险需要要有完善的制制度设计，形形成一套相互互关联、相互互制约的制度度群。3.1电子子商务标准管管理3.2计算算机信息系统统管理3.3网络络服务和网络络用户的管理理3.4网络络广告管理3.5电子子认证服务机机构管理3.1电子子商务标准管管理（课本P61-68）电子商务标准准的产生—需需求产生标准准在信息化时代代，企业依靠靠越来越多的的管理信息系系统实现运营营。面对五花花八门的系统统交互，企业业首先要解决决数据交换问问题。（如何解决？？）开发专用接口口或统一数据据格式成为人人们常用的办办法。但是在在互联网上，，这些办法似似乎颇有束缚缚。因此，定制数数据交换标准准的需求应运运而生。1998年，国际标准准化组织W3C推出XML，解决了数据据交换的标准准问题。（企业需求得得到满足了吗吗？）然而，这还远远远不能满足足企业的需求求。企业要进进行商务，就就要在不同商商务平台之间间进行对话，，也就是进行行B2B交易。实现真真正的B2B商务，不仅涉涉及到企业间间的数据交换换，更要涉及及到企业间业业务流程的相相互操作。以一个简单的的定单交易为为例，其中包包括了定单内容的传传递和对定单的处理理。前者属于数数据交换，后后者属于流程程交易。定单处理：If定单被被拒绝then……If定单被被承诺then……定单处理：If…then拒拒绝If…then承承诺定单基于XML格格式买方企业卖方企业确定可行的标准接口流程程在互联网时代代，企业所面面对的客户和和供应商已经经不再仅仅局局限于本地有有限的几个，，而是散布在在世界各地的的数目可观的的一批。如果果说原来企业业间交易可以以通过专门开开发的接口，，那么面对数数量众多的异异构商务平台台，在实时性性要求相当苛苛刻的现在，，专用接口已已经不能胜任任，建立一个基于于XML数据交换标准准的、描述企企业间商务流流程交易的标标准框架体系系已经成为必必需。如RosettaNet、CommerceNet、CommerceOne等，都是在B2B的实践中，从从需求中产生生的、面向流流程的标准。。标准面面观从当前的市场场应用情况来来看，标准基基本上分为两两层：底层的的数据交换标标准和高层的的面向流程的的标准。XML是至今为止用用来做数据交交换比较有效效的语言之一一。BizTalk是微软公司倡倡导的标准，，是利用Internet标准协议和格格式来促进企企业内部和企企业间的应用用集成电子商商务的XML框架，吸引了了包括XMLSolutions在内的全球许许多组织的支支持。目前，注重流流程的标准大大致分为两类类，一类来源源于由多家企企业自发组成成的非营利性性行业标准化化组织，如RosettaNet、CommerceNet等；另一类来来源于电子商商务及解决方方案供应商，，如CommerceOne、Ariba等。世界上第一个个Internet电子子商务标准1999年12月14日日，在美国加加州旧金山的的St.Francis饭店，公布布了世界上第第一个INTERNET商务标准（（TheStandardforInternetCommerce,Version1.0–1999））。

这一一标准是由Ziff-Davis杂杂志牵头，组组织了301位世界著名名的INTERNET和和IT业巨头头、相关记者者、民间团体体、学者等经经过半年时间间，进行两轮轮投票后才最最终确定下来来的。虽然这这也还只是1.0版，但但它已经在相相当程度上规规范了利用INTERNET从事零零售业的网上上商店需要遵遵从的标准。。整个标准分七七项、47款款。每一款项项都注明是““最低要求””，还是“最最佳选择”。。如果一个销销售商宣称自自己的网上商商店符合这一一标准，那它它必须达到所所有的最低标标准。一、信息中心心必须建立一个个信息中心，，并且使消费费者在网站上上的任何地方方都可以找到到这个信息中中心的链接。。（最低要求求）销售商必须使使用“Information”这这个词作为该该信息中心的的标题。（最最低要求）二、需公布的的内容销售商必须在在信息中心公公布如下内容容：销售商的的法定名称以以及业主；主主要办公地点点；和销售商商联系的渠道道，如电话或或EMAIL；特殊业务务的专业许可可证。（最低低要求）必须须在在信信息息中中心心提提供供在在广广告告中中没没有有明明确确的的客客户户支支付付方方式式或或其其他他使使用用第第三三方方产产品品或或服服务务的的资资料料。。（（最最低低要要求求））在消消费费者者被被要要求求最最终终确确认认订订单单之之前前，，销销售售商商必必须须为为消消费费者者提提供供所所有有费费用用的的清清单单，，包包括括商商品品/服服务务的的费费用用、、运运费费、、处处理理费费以以及及税税。。（（最最低低要要求求））信信息息中中心心必必须须提提供供质质量量保保证证的的说说明明，，包包括括担担保保的的有有效效期期、、适适用用的的范范围围、、不不适适用用的的范范围围、、如如何何担担保保等等。。（（最最低低要要求求））对每每个个产产品品或或服服务务都都必必须须提提供供有有关关售售后后服服务务的的信信息息，，包包括括服服务务范范围围、、期期限限、、如如何何进进行行等等。。（（最最低低要要求求））在信信息息中中心心中中必必须须向向客客户户说说明明适适用用哪哪一一国国家家或或地地区区的的法法律律。。（（最最低低要要求求））必须须向向客客户户公公布布可可以以选选择择的的各各种种支支付付方方式式。。（（最最低低要要求求））必须须提提供供有有关关处处理理取取消消订订单单、、退退货货、、退退款款的的原原则则，，包包括括可可以以取取消消订订单单的的有有效效期期、、哪哪些些产产品品可可以以退退货货、、退退货货的的条条件件、、取取消消订订单单或或者者退退货货的的费费用用、、运运费费的的支支付付方方、、消消费费者者何何时时可可以以得得到到退退款款等等。。（（最最低低要要求求））必须须公公布布销销售售商商从从消消费费者者的的信信用用卡卡上上收收款款的的规规定定。。（（最最低低要要求求））三、、产产品品/服服务务如果果销销售售商商在在销销售售或或发发货货上上对对不不同同消消费费者者（（如如特特定定地地区区或或年年龄龄））有有限限制制必必须须明明确确说说明明。。（（最最低低要要求求））在消费者者最终订订货之前前，销售售商必须须提供有有关产品品的供应应情况，，即货物物发送或或订单的的处理估估计所需需要的时时间。（（最低要要求）销售商必必须在两两个工作作日内通通知期货货订购者者。（最最低要求求）必须用明明显的标标记，如如颜色，，图标等等标识那那些在网网站上列列出，但但不能从从网络上上直接定定购的商商品。（（最低要要求）对于订购购了无现现货的产产品的消消费者，，应该在在货物到到达后通通知他们们。（最最佳选择择）四、保密密和安全全必须公布布销售商商的保密密原则，，至少包包括：销销售商将将收集消消费者的的哪些资资料，在在何处收收集；使使用这些些资料的的目的；；销售商商是否会会向第三三方提供供这些资资料，如如果提供供，是在在何种情情况下；；消费者者资料是是否是整整个商务务计划的的一部分分，如进进行目标标市场分分析、建建立各种种促销方方案等；；消费者者是否有有可能限限制使用用私人资资料，如如何进行行。（最最低要求求）销售商必必须在主主页和信信息中心心提供标标记为““Privacy”的的保密原原则链接接。（最最低要求求）消费者必必须有能能力选择择销售商商是否可可以利用用收集到到的消费费者资料料主动发发送的各各种信息息，并且且在这些些资料被被开始收收集时就就可以进进行这种种选择。。（最低低要求））消费者必必须有能能力选择择是否同同意将自自己的私私人信息息提供给给第三方方，并且且在这些些资料被被开始收收集时就就可以进进行这种种选择。。（最低低要求））如果有关关交易的的第三方方（如购购物车、、支付网网关）的的保密原原则和销销售商的的不同，，销售商商必须提提供指向向第三方方保密原原则的链链接。（（最低要要求）在整个交交易过程程中，销销售商必必须对所所有消费费者提供供的信息息进行加加密传输输。（最最低要求求）销售商必必须对销销售商存存储的消消费者资资料进行行加密处处理。（（最低要要求）在信息中中心，销销售商必必须为消消费者提提供哪些些传输过过程和资资料是被被保护的的信息。。（最低低要求））五、确认认和通知知销售商必必须在消消费者订订货后一一个工作作日内向向消费者者发出订订单确认认EMAIL。。（最低低要求））销售商必必须将总总费用包包括在订订单确认认通知中中，或者者明确告告诉消费费者从何何处可以以查找到到总费用用。（最最低要求求）销售商应应该在消消费者定定购的货货物被发发运或者者服务被被执行后后一个工工作日内内通过EMAIL通知知消费者者。（最最佳选择择）销售商必必须将如如下信息息包含在在发运通通知中，，或者明明确告诉诉消费者者从那里里可以得得到这些些消息：：货物名名称、总总费用、、货物从从哪里以以何种方方式运出出、估计计的运输输时间和和如果有有问题如如何解决决。（最最低要求求）如果消费费者选择择的运输输方式可可以进行行货物在在运输过过程中的的跟踪，，销售商商也应该该为消费费者提供供这一方方法。（（最佳选选择）如果消费费者选择择的运输输方式提提供有关关货物已已经被收收取和收收取者姓姓名的资资料，销销售商也也应该为为消费者者提供这这一方法法。（最最佳选择择）如果销售售商仅运运出消费费者定购购的部分分商品时时，销售售商应该该通知消消费者其其他商品品将在以以后运出出。（最最佳选择择）如果客户户取消订订单或者者退货，，销售商商必须在在三个工工作日中中通知消消费者已已经收到到取消订订单或者者退货。。（最低低要求））六、帮助助和客户户服务销售商必必须为消消费者提提供通过过EMAIL提提问或投投诉的渠渠道。（（最低要要求）销售商必必须在信信息中心心中提供供获得客客户服务务条款的的渠道。。（最低低要求））销售商必必须提供供客户反反馈和文文本投诉诉的渠道道。（最最低要求求）销售商必必须在收收到问题题或投诉诉48小小时内向向消费者者承认收收到了问问题或投投诉。（（最低要要求）如果投诉诉是有关关商品而而且销售售商自身身不能解解决，销销售商必必须向消消费者提提供和生生产商联联系的适适当方法法（最低低要求））七、其他他销售商应应该保证证发运的的每个包包装都在在运输机机构进行行了标准准的防丢丢失、防防盗和防防损害保保险。（（最佳选选择）销售商必必须按照照可打印印的格式式向消费费者提供供定购货货物的发发票。（（最低要要求）如果消费费者选择择的运输输公司许许可，销销售商应应该向消消费者提提供可以以进行特特别投递递的能力力。（最最佳选择择）如果消费费者以前前已经提提供过必必要的信信息，销销售商应应该为消消费者提提供“一一键”购购物的能能力。（（最佳选选择）ECML（电子子商务模模式语言言）的支支持，允允许消费费者在填填写购物物车表格格时，避避免重复复性的输输入。（（最佳选选择）销售商应应该提供供实时处处理订单单和效验验消费者者信用卡卡的能力力。（最最佳选择择）销销售商商应该提提供通过过关键词词对整个个站点的的信息和和产品进进行搜索索的能力力。（最最佳选择择）销售商应应该提供供消费者者可以通通过WEB来检检查订单单状况的的工具。。（（最最佳选择择）销售商应应该提供供消费者者可以检检查以前前订单的的能力。。（最佳佳选择））销售商应应该有一一种系统统化的方方法来不不断处理理消费者者的反馈馈和了解解他们的的满意程程度。（（最佳选选择）在该标准准的首页页上写着着：“消费者的的满意、、信心和和信任，，销售商商的利润润和变革革”。这也也就是这这份标准准的核心心。任何何人都可可以从他他的网站站上获得得这一标标准，而而且鼓励励使用和和散发这这一标准准。虽然然这并不不是一个个法律文文本，但但有理由由相信遵遵守这一一标准的的销售商商将获得得更大的的发展。。我国电子子商务标标准体系系结构电子商务务相关标标准体系系基础标准准计算机基础标准准基础通信信标准网络标标准其他基础标标准安全标标准加密标标准认证标标准安全通通信协议其他安安全标准交易标标准电子合合同标准电子支支付标准智能卡卡标准其他操操作标准服务标标准资质标标准服务质质量标准物流标标准EDI标准准单证标标准报文标标准其他标标准其他标标准3.2计计算机机信息息系统统管理理(P68)计算机机信息息系统统是电电子商商务运运行的的基本本单元元，计计算机机系统统运行行的安安全与与否，，直接接关系系到电电子商商务整整体运运行的的安全全。计计算机机信息息系统统的安安全管管理是是电子子商务务安全全管理理中的的一项项基础础工作作，必必须认认真做做好。。计算机机信息息系统统安全全包括括：实体安安全、运行安安全、信息安安全和人员安安全等四方方面的的内容容。详细内内容参参见《中华华人民民共和和国计计算机机信息息系统统安全全保护护条例例》。3.3网网络服服务和和网络络用户户的管管理网络服服务业的服服务内内容：：网络服服务业业是指指经营营提供供网络络上相相关应应用服服务的的事业业，如如接入入服务务（AccessService））、域域名（（DomainName））服务务、网网络信信息服服务、、广告告服务务、商商业联联机服服务等等。网络用用户的法律律规范范：用户接接入Internet的的管理理，用用户使使用Internet的的管理理。3.3.1网络络服务务管理理规范范接入入服务务的管管理规规范根据国国务院院批准准的《信息息产业业部职职能配配置、、内设设机构构和人人员编编制规规定》》，由信息息产业业部负负责对对电信信与信信息服服务市市场进进行监监管，，实行行必要要的经营许许可制制度，并审审批和和发放放通信信与信信息服服务的的经营许许可证证。依据国国务院院1997年5月20日日第218号令令发布布的《《中华华人民民共和和国计计算机机信息息网络络国际际联网网管理理暂行行规定定》和和原国国务院院信息息化工工作领领导小小组印印发的的《中华人人民共共和国国计算算机信信息网网络国国际联联网管管理暂暂行规规定实实施办办法》》有关规规定，，决定定自1998年11月月1日日起对对从事事计算算机信信息网网络国国际联联网业业务的的经营营单位位实行行经营营许可可证制制度。。域域名服服务管管理规规范（（P70-71）具体参参见《中国国互联联网络络域名名管理理办法法》。申请域域名注注册服服务机机构资资格的的，应应具备备下列列条件件：依法设设立的的企业业法人人或事事业法法人；；有与从从事域域名注注册活活动相相适应应的资资金和和专业业人员员；有为用用户提提供长长期服服务的的信誉誉和能能力；；有健全全的网网络与与信息息安全全保障障措施施；有业务务发展展计划划及相相关技技术方方案；；信息产产业部部规定定的其其他条条件。。注册服服务机机构在在提供供注册册服务务时应应遵守守以下下规定定：遵守国国家主主管部部门和和CNNIC的的相关关管理理规定定；注册服务机机构不得代代表任何实实际或潜在在的域名持持有人；在域名申请请人申请域域名时，注注册服务机机构应当与与申请人签签订书面注注册协议(包括电子子形式)；；注册服务机机构负责审审核域名注注册申请。。2）域名注注册规则域名注册管管理机构应应当根据本本办法制定定相应的域域名注册实实施细则，，报信息产产业部备案案后施行。。域名注册不不得含有以以下内容：：反对宪法所所确定的基基本原则的的；危害国家安安全，泄露露国家秘密密，颠覆国国家政权，，破坏国家家统一的；；损害国家荣荣誉和利益益的；煽动民族仇仇恨、民族族歧视，破破坏民族团团结的；破坏国家宗宗教政策，，宣扬邪教教和封建迷迷信的；散布谣言，，扰乱社会会秩序，破破坏社会稳稳定的；散布淫秽、、色情、赌赌博、暴力力、凶杀、、恐怖或者者教唆犯罪罪的；侮辱或者诽诽谤他人，，侵害他人人合法权益益的；含有法律、、行政法规规禁止的其其他内容的的。网络络信息服务务管理规范范1）对经营营类互联网网信息服务务的管理规规范国务院新闻闻办公室、、信息产业业部2005年9月月25日联联合发布《互联网新闻闻信息服务务管理规定定》，对从事互互联网信息息服务机构构的基本条条件以具体体内容作了了相关的规规定。从事互联网网新闻服务务机构设立立的基本条条件：有健全的互互联网新闻闻信息服务务管理规章章制度；有5名以上上在新闻单单位从事新新闻工作3年以上的的专职新闻闻编辑人员员；有必要的场场所、设