電子商務風險防範論文發表
風險在任何商業活動都存在,在電子商務發展過程中也存在一些風險，這些風險亟待解決。下文是小編為大家蒐集整理的關於的內容，歡迎大家閱讀參考!
篇1
淺談電子商務系統的風險及防範
[摘要] 電子商務系統的風險除了網路和交易兩方面外，還來自物理環境、系統硬體、系統軟體、電子商務軟體、外來侵入、內部管理等方面。其風險的防範也應通過技術和管理兩個層面來進行。本文將對其進行分析，並從技術和管理兩個層面提出防範的辦法。
[關鍵詞] 電子商務系統 風險 防範
關於電子商務系統的風險與防範問題，已經有了很多話題，但絕大多數是從網路和交易兩方面，且總是從技術角度進行討論，然而，電子商務產生風險的原因是多方面的，不僅僅只有網路和交易兩方面，其防範也不僅只是技術手段，下面就此展開討論。
一、物理環境的風險及防範
電子商務系統的物理環境風險是指系統的外部環境所造成的風險，包括意外事故和自然災害兩方面：
意外事故如裝置被盜，突然的斷電、溫度、溼度、電磁場的變化等、操作人員因玩笑、打鬧的誤動作而導致的裝置損毀的風險;自然災害如水災、火災、地震等不可抗拒力造成的風險。
物理環境所造成的風險對電子商務系統而言輕則直接造成業務交易的中斷，給企業帶來不可估量的損失，重則給電子商務系統帶來毀滅性的打擊。
對意外事故產生的風險應是可避免的，如安裝機房環境的報警系統、採用自動切換的備份電源，以避免外界突然斷電造成的交易中斷，使用空調保證機房的溫度和溼度，對機房進行電磁遮蔽，從制度上規範系統操作人員的行為，堅決制止其在操作空間的玩笑和打鬧行為。
對自然災害造成的風險雖無法避免，但利用遠端***異地***備份資料和恢復機制，則可將損失降至最低。因此，為抵禦電子商務系統的滅頂之災，投入一些成本，建立遠端***異地***備份資料和恢復機制，則是非常必要的。
二、系統硬體的風險及防範
系統硬體處於電子商務系統的底層，其風險主要來自構成系統裝置存在的安全缺陷和硬體的質量。一般質量問題容易引起人們的重視，質量不好的裝置誰也不會買，但硬體自身存在的安全缺陷往往容易被忽視，這類風險的隱蔽較大，但產生的風險卻是最大的。上世紀末，我國就曾對某型號的CPU因存在安全隱患，而不得進入政府辦公系統，做出過明確的規定。然而人們在購買系統硬體裝置時，往往會花很多精力做諸如經濟、技術上的論證，反覆地考慮裝置的效能價格比，卻較少甚至不做有關安全論證。根本意識不到系統硬體缺陷帶來的風險，這是很不可取的。
到目前為止，對我們而言，系統硬體最大的缺陷是其製造的核心技術，眾所周知，構成我國資訊基礎設施的網路、硬體等產品幾乎都是建立在以美國為首的少數幾個發達國家的核心資訊科技之上。由此而產生的風險是不言而喻的。
系統硬體風險的防範應從巨集觀和微觀兩方面進行:在巨集觀上，國家組織力量在關鍵的硬體製造技術上攻關，利用好國內外兩個資源，需要以我為主，以創新的思想，超越固有的約束，研製具有中國特色的關鍵晶片，從根本上杜絕系統硬體產生的風險;在微觀上，要建立系統硬體的風險意識，儘管到目前為止，系統硬體的安全不盡人意，但至少要知道風險的存在，同時應該清楚系統中哪些是存在風險的關鍵裝置，一旦風險產生，應有規避風險的措施和辦法，如監控系統的出***上的資料流量，一旦出現數據流量異常，即刻切斷系統的出***或關閉裝置，這總是做得到的。
三、系統軟體的風險及防範
系統軟體主要是指計算機作業系統軟體和資料庫管理系統軟體，其風險主要來自這兩個軟體的安全漏洞。
作業系統軟體處於硬體和上層應用的中間環節，可以提供對網路系統、資料庫、應用軟體、使用者的認證管理等，提供全方位的保護。沒有作業系統的保護，就不可能有網路系統的安全，也不可能有應用軟體資訊處理的安全性。由於作業系統是唯一緊靠硬體的基本軟體，其安全職能是其他軟體安全職能的根基, 缺乏這個安全的根基，構築在其上的應用系統以及安全系統，如PKI、加密解密技術的安全性是得不到根本保障，因此，作業系統也與系統硬體一樣是電子商務系統的安全基礎之一。
資料庫作為資訊的聚集體，是電子商務系統的核心部件，從中可以尋找出一個企業的組織架構、管理理念、客戶資源、人力資源組成、企業產能、銷售渠道、合作伙伴、競爭對手等方方面面的資訊，風險防範至關重要。
由於資料庫的安全在很大程度上依賴於資料庫管理系統，而資料庫管理系統在作業系統下都是以檔案形式進行管理的，因此入侵者可以直接利用作業系統的漏洞竊取資料庫檔案，或者直接利用作業系統工具來非法偽造、篡改資料庫檔案內容。這種隱患一般資料庫使用者是難以察覺的。
長期以來，我們在構建電子商務系統時，儘管在規劃階段也會考慮安全問題，但基本上不考慮作業系統和資料庫管理系統的安全，對其只進行效能上的選擇，這使得電子商務的資訊保安體系在基礎上就先天不足，請注意，我國廣泛應用的主流作業系統和資料庫管理系統都是從國外引進直接使用的產品。這些系統安全性是很差的。眾所周知Windows中存在著的漏洞和陷門，就不斷引起世界性的“衝擊波”和“震盪波”，存在極大風險。
對系統軟體產生的風險，可從以下方面進行防範：
第一仍需國家組織力量攻關，從作業系統的核心程式設計技術入手，以密碼技術為核心，構建具有中國特色的，擁有完全自主智慧財產權的安全作業系統，從作業系統的根本上解決安全問題。
第二在安全作業系統的研製尚未完成時，可對現有的作業系統進行安全加固，只要在它的外部加入一些加固模組，就能夠起到很好的安全防範作用，例如採用設計安全隔離層?――中介軟體的方式，增強其安全性，基於應用物件，實施安全封裝、主動服務。
第三對資料庫檔案進行加密處理，是資料風險防範的有效方法，可以從作業系統層面、資料庫管理系統核心層面和資料庫管理系統外層這三個層面分別對資料庫的資料加密，這使得即使資料不幸洩露或者丟失，也難以被人破譯和閱讀。
四、電子商務軟體的風險與防範
電子商務軟體的風險來自系統自身程式的缺陷。這種缺陷主要來自兩方面：一是在設計程式的時候，考慮的都是程式的功能和效能，基本沒有考慮安全問題;二是不影響程式功能和效能的程式設計錯誤，這種錯誤有以下幾種形式：程式設計師忘記檢查傳送到程式的***引數;程式設計師忘記檢查邊界條件，特別是處理字串的記憶體緩衝時;程式設計師忘記最小特權的基本原則。整個程式都是在特權模式下執行，而不是隻有有限的指令子集在特權模式下執行，其他的部分只有縮小的許可;程式設計師從這個特權程式使用範圍內建立一個資源，如一個檔案和目錄。不是顯式地設定訪問控制***最少許可***，程式設計師認為這個預設的許可是正確的。
這些錯誤被使用到攻擊系統的行為中。不正確地輸入引數被用來騙特權程式做一些它本來不應該做的事情。緩衝溢位攻擊就是通過給特權程式輸入一個過長的字串來實現的。程式不檢查輸入字串長度。假的輸入字串常常是可執行的命令，特權程式可以執行指令。程式碎塊是特別用來增加黑客的特權的或是作為攻擊的原因寫的。例如，緩衝溢位攻擊可以向系統中增加一個使用者並賦予這個使用者特權。由於設計時就沒考慮這些風險，程式測試就自然無此專案，而訪問控制系統中沒有什麼可以檢測到這些問題。只有通過監視系統並尋找違反安全策略的行為，才能發現這些問題的錯誤。
電子商務系統軟體風險的防範，應在電子商務系統規劃階段就予以充分考慮，對軟體如何防止資訊被故意的或偶然的非法授權洩漏、更改、破壞或使資訊被非法系統辨識、控制的措施、過程、執行的風險管理、審計跟蹤、備份與恢復、應急等方面都應有具體的措施和內容。只有這樣，才能產生相關的程式測試用例，以驗證程式的安全性。
由於大多數軟體測試假定使用者將以某種“隨機”或“有用”的方式工作，檢查程式在“一般”情況下或者在某些最大值下如何工作。與此相反，安全性缺陷通常只出現在使用極其古怪的值的情況時，傳統的測試完全不會檢查這樣的值。因此，進行安全測試時，必須突破傳統測試的框架，儘可能的找出足夠多的安全測試資料，進行測試，以保電子商務軟體自身的安全。
五、外來入侵的風險及防範
外來入侵是指計算機遭到攻擊，主要表現形式是黑客和病毒等對電子商務系統的檔案和資料的篡改和破壞。
黑客在本文是指未經許可，闖入他人計算機系統進行破壞的人，黑客們的攻擊行動是無時無刻不在進行的，這些人利用電子商務系統和管理上的一些漏洞，進入計算機系統後，破壞或篡改重要資料，盜取機密與資源，控制他人的機器，清除記錄，設定後門，給ERP系統帶來災難性的後果。
計算機病毒是人為編寫的一組程式，可以攻擊電子商務系統的資料區、檔案和記憶體，可以攻擊計算機的磁碟、COMS，擾亂螢幕顯示，干擾計算機鍵盤和印表機的正常工作，以致使計算機的硬體失靈，軟體癱瘓，資料破壞，系統崩潰，造成無法挽回的損失。
值得高度關注的是：隨著各種應用工具在計算機網路上的傳播，黑客己經大眾化了,不像過去那樣非電腦高手不能成為黑客。而計算機病毒問世十幾年來，各種新型病毒及其變種迅速增加，並利用計算機網路這一通道迅速傳播;這就使防範外來入侵的難度大大增加。但是，既然是外來入侵，就必須要有外來的通道，這個通道就是開放的計算機網路，在此設防，抵禦外來入侵事半功倍。目前常用的技術有：
1.防火牆。防火牆是應用最廣的一種防範技術。作為系統的第一道防線，其主要作用是監控可信任網路和不可信任網路之間的訪問通道，可在內部與外部網路之間形成一道防護屏障，攔截來自外部的非法訪問並阻止內部資訊的外洩，但它無法阻攔來自網路內部的非法操作。它根據事先設定的規則來確定是否攔截資訊流的進出，但無法動態識別或自適應地調整規則，因而其智慧化程度很有限。防火牆技術主要有三種：資料包過濾器***packet filter***、代理***proxy***和狀態分析***stateful inspection***。現代防火牆產品通常混合使用這幾種技術。
2.入侵檢測。入侵檢測***IDS―Instrusion Detection System***是近年來發展起來的一種防範技術，綜合採用了統計技術、規則方法、網路通訊技術、人工智慧、密碼學、推理等技術和方法，其作用是監控網路和計算機系統是否出現被入侵或濫用的徵兆。1987年，Derothy Denning首次提出了一種檢測入侵的思想，經過不斷髮展和完善，作為監控和識別攻擊的標準解決方案，IDS系統已經成為安全防禦系統的重要組成部分。入侵檢測採用的分析技術可分為三大類：簽名、統計和資料完整性分析法。
3.使用防病毒軟體構造全網統一的防病毒體系。支援對網路、伺服器、和工作站的實時病毒監控;能夠在中心控制檯向多個目標分發新版防毒軟體，並監視多個目標的病毒防治情況;支援多種平臺的病毒防範;能夠識別廣泛的已知和未知病毒，包括巨集病毒;支援對Internet/ Intranet伺服器的病毒防治，能夠阻止惡意的Java或ActiveX小程式的破壞;支援對***附件的病毒防治，包括WORD、EXCEL中的巨集病毒;支援對壓縮檔案的病毒檢測;支援廣泛的病毒處理選項，如對染毒檔案進行實時防毒，移出，重新命名等;支援病毒隔離，當客戶機試圖上載一個染毒檔案時，伺服器可自動關閉對該工作站的連線;提供對病毒特徵資訊和檢測引擎的定期線上更新服務;支援日誌記錄功能;支援多種方式的告警功能***聲音、影象、電子 郵件等***等。
需提請注意的是：在購置實現以上安全技術的產品時，一定要檢驗其合法性，必須是經過國家有關管理部門的認可或認證的安全產品;同時要掌握產品的正確使用方法;還要有一套嚴格的管理制度，規範對安全產品的操作。這三點如不能同時做到，輕則使這些產品起不到應有的作用，重則會使電子商務系統無法正常執行，而給企業帶來損失。
六、內部管理的風險及防範
內部管理的風險主要表現為：一些員工或管理員隨便讓一些非本地員工甚至外來人員進入機房重地，或者員工有意無意洩漏他們所知道的一些重要資訊，錯誤地進入資料庫、刪除資料等等;對於已經離職的員工，沒有及時地改變系統地口令並刪除他們的記錄，使他們無法再進入系統;當系統出現攻擊行為或受到其它一些安全威脅時***如內部人員的違規操作等***，無法進行實時的檢測、監控、報告與預警。同時，當事故發生後，也無法提供黑客攻擊行為的追蹤線索及破案依據，即缺乏對系統的可控性與可審查性。
缺乏約束機制，責權不明，管理混亂、安全管理制度不健全及缺乏可操作性等是引起電子商務系統安全風險的根源。這就要求必須從管理上健全相應的規章制度來規範和約束員工的行為;根據工作的重要程度，確定該系統的安全等級;根據確定的安全等級，確定安全管理的範圍;制訂相應的機房出入管理制度對於安全等級要求較高的系統，要實行分割槽控制，限制工作人員出入與己無關的區域。對人員進行識別、登記管理。制訂嚴格的操作規程，操作規程要根據職責分離和多人負責的原則，各負其責，不能超越自己的管轄範圍;制訂完備的系統維護制度，對系統進行維護時，應採取資料保護措施，如資料備份等。維護時要首先經主管部門批准，並有安全管理人員在場，故障的原因、維護內容和維護前後的情況要詳細記錄;制訂應急措施，要制定系統在緊急情況下，如何儘快恢復的應急措施，使損失減至最小;建立人員僱用和解聘制度，對工作調動和離職人員要及時調整響應的授權;對系統的訪問活動進行多層次的記錄，及時發現非法入侵行為。
七、結語
以上從六個層面討論了電子商務系統存在的風險及防範的辦法，需要強調的是，每個層面都只是風險防範其中的一個環節，還需要各個環節的配合，才能達到電子商務系統安全的最佳狀態。更重要的是，在我們的頭腦中，要“預裝”好風險防範的意識，只有這樣，才能有嚴格的規章制度，使各種安全技術和產品得到有效的應用，保證電子商務系統的安全。
參考文獻:
[1]程中東:廣域環境下的企業資訊系統安全管理分析[J].網路安全技術與應用，2007.4
[2]宋紅吳建軍嶽俊梅:電腦保安技術[M].北京：中國鐵道出版社，2003.2
[3]苟阿先:電子商務安全環境探析[J].商場現代化,2006年12月,***下旬刊***總第489期
[4]肖質紅:電子商務的安全問題和系統建設[J].集團經濟研究,2006年9,下旬刊***總第207期***
>>>下頁帶來更多的