时间：2023-09-20 18:13:31
引言：易发表网凭借丰富的文秘实践，为您精心挑选了九篇电子商务安全事件范例。如需获取更多原创内容，可随时联系我们的客服老师。
关键词：商业银行；电子商务；风险管理
商业银行从事金融业务面临着市场风险、信用风险、以及操作风险等，而电子商务的出现则加剧了上述各类风险发生的可能性以及风险发生之后的破坏程度。2004年以来，我国面临的网络仿冒威胁正在逐渐加大，仿冒对象主要是金融网站和电子商务网站。2005年上半年共收到网络安全事件报告65679件，超过2004年全年案件数，商业银行电子商务安全风险管理策略已成为理论与实践中必须重视的课题。
一、信息安全管理的策略大体遵循事件驱动(技术和管理脱节)－逐渐标准化(技术和管理逐渐结合)——安全风险管理(引入了风险分析)的发展路径。
(一)以事件驱动的初级阶段时期
19世纪70年代安全主要是指物理设备和环境的安全，人与计算机之间的交互主要局限在大型计算机上的哑终端，安全问题只涉及能访问终端的少数人。安全管理策略处于初级阶段，由事件驱动，没有形成规范的管理流程。在此阶段的前期，只重视技术手段。后期开始重视管理手段，但是技术和管理之间脱节。许多组织对信息安全制定了相应的规章和制度，但组织的信息安全管理基本上还处在一种静态、局部、少数人负责、突击式、事后纠正式的管理方式。
(二)标准化时期
企业开始将安全问题作为整体考虑，形成一套较为完整的安全管理策略，其中包括了安全管理的技术手段和管理制度(或称运作管理)。几乎所有从事电子商务的企业都拥有自己的安全策略，内容也包括了技术手段、安全管理制度、人员安全教育等等，基本上形成体系，技术和管理手段综合统一，但是安全风险分析还存在不足之处。
(三)安全风险管理策略时期
随着电子商务安全管理发展到一个比较高的层次，安全管理策略也演进到安全风险管理阶段。主要特点如下：
1.安全风险管理成为主流趋势；在安全管理策略的演进过程中，技术和管理手段综合统
一、又融入了风险管理的分析、防范策略，从而安全管理进入了安全风险管理时期。西方商业银行已对安全风险管理形成共识。如安氏公司(is—One)，认为信息安全问题最终将归结为风险管理问题，风险管理方法是建立良性的安全技术和管理体系的依据和基础。
2.安全风险管理的国际标准和各国的规范逐渐形成并趋于完善。国际上关于安全风险管理的标准有巴塞尔银行监管委员会的《电子银行业务风险管理原则》、英国标准协会制订的BS7799等。各国也日益重视安全风险管理，制定了许多规范。例如美国货币监理署(OCC)的《电子银行最终规则》、香港金融管理局的《电子银行服务的安全风险管理》等。中国银行业监督管理委员也于2006年颁布了《电子银行业务管理办法》，对国内企业的电子商务安全风险管理给出了指导意见。
3.利用外部专业化机构对金融机构的安全性评估已成为大部分国家的选择。电子银行面临的安全和技术风险，在相当程度上取决于采用的信息技术的先进程度，系统的设计开发水平，以及相关设施设备及其供应商的选择等；银行依靠传统的风险管理机制已很难识别、监测、控制和管理相关风险。同样，监管机构也难以完全依靠自身的力量对电子银行的安全性进行准确评价和监控。因此，大部分国家都采用了依靠外部专业化机构定期对电子银行安全性进行评估的办法，加强对电子银行安全性和技术风险的管理和监管。
4.在许多国家信息系统审计(IsAudit)作为一种信息技术服务被广泛提供，许多知名的咨询公司都提供类似的信息审计服务。业界的IT风险分析师也成为一种职业，专门从事电子商务的安全风险工作，从经济学的角度出发分析风险，充分衡量保持安全的代价和收益之间的关系，寻求用最小的代价实现最大的效用，在风险分析中也形成一套较为成熟的模式。
二、我国商业银行电子商务安全风险管理策略的薄弱点
(一)系统管理思想缺乏
目前的电子商务安全风险管理策略，在全局上缺乏系统论理论的指导，在实际操作中受到多种多样的安全攻击时会不可避免地出现安全漏洞，无法形成一张全面有序的安全网络。
实践中被采用的安全风险管理策略，以及作为指导意见的规则规范，如《信息安全管理实务准则》(IS017799)、《信息技术安全性评估准则》(GB／T18336．1)、巴塞尔银行监管委员会的《电子银行业务风险管理原则》，尽管提出了比较全面的安全风险管理方案，层次上也比较清晰，但是还不足以作为一个风险防范系统。实践中，电子商务组织是一个复杂的系统组织，电子商务的安全风险管理体系和过程也是个复杂的系统。系统论、控制论的思想在电子商务安全风险管理中是不可或缺的。
(二)风险分析的模型与方法不成熟，定量分析不足
电子商务模式自身的发展历史也不过20几年，在风险分析的定量技术上并不成熟；如BS7799中推荐的电子商务安全风险管理中实施风险评估时，往往将威胁发生的可能性定性划分为几个级别，将威胁所造成的影响也定性划分为1～5级，实质上是将一些按照概率发生的事件定义为不连续的几个级别，在操作上易行，但造成了度量的不精确。在进行监控和审计之后，也存在无法量化、对比的问题。
(三)忽视与原有的传统风险管理策略的结合
本质上，电子商务的安全风险无非是新兴的商业模式对传统的风险的改变，以及产生的在传统风险控制领域暂时无法明晰的新风险；现有管理策略只从信息技术的角度、或者从偏重技术的角度看待问题，站在金融领域本身来分析研究较少。这种状况导致了对电子商务安全风险管理的研究无法立足于一个比较高的层次；忽略了风险的整体性，只进行偏信息和技术的研究，导致了现有的电子商务安全风险管理策略与金融机构原有的传统业务风险管理策略存在差距。对于商业银行而言，传统金融业务的风险控制与电子商务的技术风险控制，两个方面存在脱节，同样属于商业银行的风险，存在着不同的管理策略，导致多头管理、资源浪费、机构之间的扯皮，乃至缺位管理。
(四)风险管理策略无法依赖外部的信息安全管理行业
在发达国家，信息系统审计(IsAudit)作为一种信息技术服务被广泛提供，许多知名的咨询公司都提供类似的信息审计服务。IT风险分析师也成为一种职业，专门从事电子商务的安全风险工作。商业银行采用依靠外部专业化机构定期对电子银行的安全性进行评估的办法，提高对电子银行安全性和技术风险的管理和监管。而国内初步建立了国家信息安全组织保障体系，制定和引进了一批重要的信息安全管理标准、法律法规，风险评估工作得到了一定重视，但与发达国家成熟完善的外部信息安全管理行业仍有很大差距。
(五)风险管理策略中商业银行的内部风险控制能力薄弱
我国商业银行目前均建立起统一的风险管理部门；但风险控制部门的职能、权限与花旗银行等体制较为先进的银行相比仍然存在较大差距，风险控制实质上仍然分散在各个子部门；风险的评估、防范与控制实质上完全依靠商业银行的电子交易部门；风险管理部门、内审稽核部门实质上无法控制电子商务安全风险。例如，风险管理部门接受了电子交易部的风险控制报告，表面上履行的内控审核的流程，但审核作用有限，无法完成电子商务安全风险管理中的监控与审计环节。
三、商业银行的电子商务安全风险管理策略的改进建议
(一)基于系统的思想构建商业银行电子商务安全风险管理策略框架
利用系统理论作为总体的指导思想，将电子商务安全风险管理策略本身当作一个开放的自适应系统。将商业银行电子商务安全风险管理中的各个环节组成循环上升的系统。
在商业银行电子商务安全风险控制的流程中，经过信息安全的风险评估、资产识别和选择、实施控制降低风险的措施、将风险控制在可接受的范围内，然后进行监控和审计；尤其重要的是把监控和审计所得到的内容作为新一轮风险分析输入，从而开始新一轮的风险管理过程。商业银行电子商务安全风险管理的各个步骤为动态的循环系统。每完成一个循环，安全风险管理的有效性就上一个台阶，商业银行的安全管理水平变得到了提高。新晨
(二)电子商务安全风险管理中定量分析中的改进思路
商业银行可以借鉴成熟的传统金融风险度量中的一些方法来改变电子商务安全风险管理中对资产进行粗略的优先级别排序的方法。实践中，商业银行对操作风险的管理与对电子商务安全风险管理有其相似之处。巴塞尔委员会对商业银行的操作风险的内部计量法中规定，商业银行内部估计风险敞口指标、损失事件发生的概率、风险损失，巴塞尔委员会制定资本要求的转换系数；在度量损失的分布时，主要利用统计和精算技术。商业银行应通过数据库将威胁发生的频率、威胁所造成的影响等精确记录下来，利用现有的度量方法进行精确的风险定量分析的尝试。
(三)将商业银行电子商务安全风险纳入商业银行总体风险管理范畴
[关键词] 电子商务信息加密案例教学
目前电子商务安全问题已经成为制约电子商务快速发展的障碍。因此,了解和掌握安全技术,已经成为从事电子商务人员的必备知识。为此,目前很多高校电子商务专业都开设了《电子商务安全技术》课程。如何针对该课程的特点使学生掌握安全知识和技术,是教师在课程设计中最为重视的问题。笔者结合该课程的讲授经验,从教学内容、教学方法、实验教学等方面进行了探索。
一、课程特点
《电子商务安全技术》课程是电子商务专业的专业课程。该课程的目标是要求学生在掌握基本概念和理论的基础上,结合实际问题,在电子商务的实施中应用有关技术为具体商务过程的实现提供安全保障。该课程内容非常庞杂且综合性强,包括信息加密技术、计算机网络安全技术、电子支付技术等。
该课程的突出问题是学习内容多,课时少。仅计算机网络安全技术一项内容,就是一门独立的课程。然而该课程安排课时为44学时。因此,在有限的学时内,不可能详细讲解所有内容。为此,我们精心设计教学内容和实验,采用小组讨论、案例教学等教学方法,取得了不错的效果。
二、教学内容设计
《电子商务安全技术》课程的教学内容包括以下8个部分:电子商务安全概述、信息加密技术、计算机网络安全技术、公钥基础设施(PKI)、电子支付技术、电子商务安全交易协议、安全电子商务应用、其他电子商务安全技术。教学内容的设计原则如下:
1.重视信息加密技术。信息加密技术是其他技术的核心,是电子商务安全的基石。在教学过程中,应该把对称加密和非对称加密的原理、特点讲透。对于对称加密可首先以恺撒密码、换位密码算法为例来讲解,这些算法简单,学生理解起来较为容易。而对于非对称加密算法,可以RSA算法为例来讲解,让学生能理解该算法的优点和不足。学会了加密技术,在理解数字签名、公钥基础设施等这些应用加密算法的技术时就会容易得多。
2.重视计算机网络安全技术。电子商务是基于Internet网络的商务模式,因此,电子商务的安全是以计算机网络的安全性为基础的。因此,在教学过程中,必须教导学生重视计算机网络安全技术,必须掌握基本的网络安全攻防体系、防火墙、虚拟专用网、入侵检测系统等网络安全的主要技术和解决方案。
3.加强流行技术和新技术的讲解。电子商务安全相关的新技术不断涌现。例如,在电子支付技术中,除了信用卡电子支付、电子支票、电子现金支付方法,比较流行的还有支付宝等第三方支付方法;随着移动电子商务的流行,无线电子商务安全技术逐渐被人们所重视;信息隐藏技术、数字水印技术和数字版权保护等新技术已成为了非常热门的话题。在教学中,可简单介绍这些新技术,学生根据自己的兴趣进一步跟踪和探索。
三、教学方法
教学方式主要采用多媒体教学。在多媒体课件的设计上,主要以设置问题、讨论解答的方式来引出各个知识点,以便激发学生的求知欲。提出问题后,可以组织学生分组讨论,或者师生共同讨论来给出问题的答案,并总结知识点。
根据教学内容的不同,采用灵活多样的教学方法,如小组讨论、案例教学等。比如:在讲解电子支付时,先在课前布置学生收集5个国内电子商务网站的电子支付方式,而后在课堂上进行小组讨论,结合实际情况来加深学生对知识点的掌握。在讲解网络防火墙技术时,收集某连锁店网络和九运会防火墙配置案例,让学生更加直观地理解防火墙的实际应用情况。
四、实验内容
实验教学是为学生理解课程内容而设计的。通过实验教学的实施,使学生掌握课程内容,以及电子商务安全技术的操作与配置方法。实验设计的原则是:
1.强调基础。结合学习内容的各主要知识点来设计实验。通过实验,让学生理解各知识点,并会加以运用。
2.既有验证性实验,也有设计性实验。通过验证性实验,掌握各个技术。通过设计性实验,综合应用各种技术,培养学生解决实际问题的能力。
根据上述原则,我们设计了7个实验,如下表所示。
其中实验1属于调查分析类,该实验的目的是通过调查分析当前大型电子商务网站,掌握常用的安全措施。具体要求是了解2个国内大型电子商务网站如eBay网、淘宝网的电子商务安全措施。
实验2到实验6是属于操作性和验证性的实验。通过实际操作,理解课堂所学的理论知识,并进一步掌握各种电子商务安全技术的应用方法。实验3中的防火墙、VPN、入侵检测这三个内容,由于课时的关系,可以把防火墙作为重点,其他两个作为课下作业。
实验7是设计某小型电子商务系统的安全解决方案,这是一个设计性实验。该实验需要综合运用各种安全技术,并写出方案报告。
五、学习效果
在教学实践过程中,学生实验报告、案例分析报告都撰写得不错。同时本课程很受学生欢迎,取得了令人满意的教学效果。
参考文献:
[1]张爱菊:电子商务安全技术[M].北京:清华大学出版社,2006
一、私有密钥加密法
(一)含义
私有密钥加密,指在计算机网络上甲、乙两用户之间进行通信时,发送方甲为了保护要传输的明文信息不被第三方窃取,采用密钥A对信息进行加密而形成密文M并发送给接收方乙,接收方乙用同样的一把密钥A对收到的密文M进行解密,得到明文信息,从而完成密文通信目的的方法。这种信息加密传输方式,就称为私有密钥加密法。此加密法的一个最大特点是,信息发送方与信息接收方均需采用同样的密钥,具有对称性,所以私有密钥加密又称为对称密钥加密。
(二)应用原理
具体到电子商务,很多环节要用到私有密钥加密法。例如,在两个商务实体或两个银行之间进行资金的支付结算时,涉及大量的资金流信息的传输与交换。这里以发送方甲银行与接收方乙银行的一次资金信息传输为例,来描述应用私有密钥加密法的过程:银行甲借助专业私有密钥加密算法生成私有密钥A,并且复制一份密钥A借助一个安全可靠通道(如采用数字信封)秘密传递给银行乙;银行甲在本地利用密钥A把信息明文加密成信息密文;银行甲把信息密文借助网络通道传输给银行乙;银行乙接受信息密文;银行乙在本地利用一样的密钥A把信息密文解密成信息明文。这样银行乙就知道银行甲的资金转账通知单的内容,结束通信。
(三)常用算法
世界上一些专业组织机构研发了许多种私有密钥加密算法,比较著名的有DES（DataEncryptionStandard，数据加密标准）算法及其各种变形、国际数据加密算法IDEA等。DES算法由美国国家标准局提出,1977年公布实施,是目前广泛采用的私有密钥加密算法之一,主要应用于银行业中的电子资金转账、军事定点通信等领域,比如电子支票的加密传送。经过20多年的使用,已经发现DES很多不足之处,随着计算机技术进步,对DES的破解方法也日趋有效,所以更安全的高级加密标准AES（AdvancedEncryptionStandard，先进加密标准）将会替代DES成为新一代加密标准。
(四)优缺点
私有密钥加密法的主要优点是运算量小,加解密速度快,由于加解密应用同一把密钥而应用简单。在专用网络中由于通信各方相对固定、所以应用效果较好。但是,私有密钥加密技术也存在着以下一些问题:一是分发不易。由于算法公开,其安全性完全依赖于对私有密钥的保护。因此,密钥使用一段时间后就要更换,而且必须使用与传递加密文件不同的途径来传递密钥,即需要一个传递私有密钥的安全秘密渠道,这样秘密渠道的安全性是相对的,通过电话通知、邮寄软盘、专门派人传送等方式均存在一些问题。二是管理复杂,代价高昂。私有密钥密码体制用于公众通信网时,每对通信对象的密钥不同,必须由不被第三者知道的方式,事先通知对方。随着通信对象的增加,公众通信网上的密码使用者必须保存所有通信对象的大量的密钥。这种大量密钥的分配和保存,是私有密钥密码体制存在的最大问题。三是难以进行用户身份的认定。采用私有密钥加密法实现信息传输,只是解决了数据的机密性问题,并不能认证信息发送者的身份。若密钥被泄露,如被非法获取者猜出,则加密信息就可能被破译,攻击者还可用非法截取到的密钥,以合法身份发送伪造信息。在电子商务中,有可能存在欺骗,别有用心者可能冒用别人的名义发送资金转账指令。因此,必须经常更换密钥,以确保系统安全。四是采用私有密钥加密法的系统比较脆弱,较易遭到不同密码分析的攻击。五是它仅能用于对数据进行加解密处理,提供数据的机密性,不能用于数字签名。
二、公开密钥加密法
(一)定义与应用原理
公开密钥加密法是针对私有密钥加密法的缺陷而提出来的。是电子商务应用的核心密码技术。所谓公开密钥加密,就是指在计算机网络上甲、乙两用户之间进行通信时,发送方甲为了保护要传输的明文信息不被第三方窃取,采用密钥A对信息进行加密而形成密文M并发送给接收方乙,接收方乙用另一把密钥B对收到的密文M进行解密,得到明文信息完密文通信目的的方法。由于密钥A、密钥B这两把密钥中其中一把为用户私有,另一把对网络上的大众用户是公开的,所以这种信息加密传输方式,就称为公开密钥加密法。与私有(对称)密钥加密法的加密和解密用同一把密钥的原理不同,公开密钥加密法的加密与解密所用密钥是不同的,不对称,所以公开私有密钥加密法又称为非对称密钥加密法。公开密钥加密法的应用原理是:借助密钥生成程序生产密钥A与密钥B,这两把密钥在数学上相关,对称作密钥对。用密钥对其中任何一个密钥加密时,可以用另一个密钥解密,而且只能用此密钥对其中的另一个密钥解密。在实际应用中,某商家可以把生成的密钥A与密钥B做一个约定,将其中一把密钥如密钥A保存好,只有商家自己知道并使用,不与别人共享,叫作私人密钥;将另一把密钥即密钥B则通过网络公开散发出去,谁都可以获取一把并能应用,属于公开的共享密钥,叫做公开密钥。如果一个人选择并公布了他的公钥,其他任何人都可以用这一公钥来加密传送给那个人的消息。私钥是秘密保存的,只有私钥的所有者才能利用私钥对密文进行解密,而且非法用户几乎不可能从公钥推导出私钥。存在下面两种应用情况:一是任何一个收到商家密钥B的客户,都可以用此密钥B加密信息,发送给这个商家,那么这些加密信息就只能被这个商家的私人密钥A解密。实现保密性。二是商家利用自己的私人密钥A对要发送的信息进行加密进成密文信息,发送给商业合作伙伴,那么这个加密信息就只能被公开密钥B解密。这样,由于只能应用公开密钥B解密,根据数学相关关系可以断定密文的形成一定是运用了私人密钥A进行加密的结果,而私人密钥A只有商家拥有,由此可以断定网上收到的密文一定是拥有私人密钥A的商家发送的。
(二)应用过程
具体到电子商务,很多环节要用到公开密钥加密法,例如在网络银行客户与银行进行资金的支付结算操作时,就涉及大量的资金流信息的安全传输与交换。以客户甲与乙网络银行的资金信息传输为例,来描述应用公开密钥加密法在两种情况下的使用过程。首先,网络银行乙通过公开密钥加密法的密钥生成程序,生成自己的私人密钥A与公开密钥B,私人密钥A由网络银行乙自己独自保存,而公开密钥B已经通过网络某种应用形式(如数字证书)分发给网络银行的众多客户,当然客户甲也拥有一把网络银行乙的公开密钥B。
1.客户甲传送一“支付通知”给网络银行乙,要求
“支付通知”在传送中是密文,并且只能由网络银行乙解密知晓,从而实现了定点保密通信。客户甲利用获得的公开密钥B在本地对“支付通知”明文进行加密,形成“支付通知”密文,通过网络将密文传输给网络银行乙。网络银行乙收到“支付通知”密文后,发现只能用自己的私人密钥A进行解密形成“支付通知”明文,断定只有自己知晓“支付通知”的内容,的确是发给自己的。
2.网络银行乙在按照收到的“支付通知”指令完成支付转账服务后,必须回送客户甲“支付确认”,客户甲在收到“支付确认”后,断定只能是网络银行乙发来的,而不是别人假冒的,将来可作支付凭证,从而实现对网络银行业务行为的认证,网络银行不能随意否认或抵赖。网络用户乙在按照客户甲的要求完成相关资金转账后,准备一个“支付确认”明文,在本地利用自己的私人密钥A对“支付确认”明文进行加密,形成“支付确认”密文,通过网络将密文传输给客户甲。客户甲收到“支付确认”密文后,虽然自己有许多密钥,有自己的,也有别人的,却发现只能用获得的网络银行乙的公开密钥B进行解密,形成“支付确认”明文,由于公开密钥B只能解密由私人密钥A加密的密文,而私人密钥A只有网络银行乙所有,因此客户甲断定这个“支付确认”只能是网络银行乙发来的,不是别人假冒的,可作支付完成的凭证。
(三)算法
当前最著名、应用最广泛的公开密钥系统是RSA(取自三个创始人的名字的第一个字母)算法，RSA算法是第一个能同时用于加密和数字签名的算法，也易于理解和操作。目前电子商务中大多数使用公开密钥加密法进行加解密和数字签名的产品和标准使用的都是RSA算法。RSA算法是基于大数的因子分解，而大数的因子分解是数学上的一个难题，其难度随着模数n的位数加多而提高，网络交易安全随之提高。(四)优缺点优点是可以在不安全的媒体上通信双方交换信息,不需共享通用密钥,用于解密的私钥不需发往任何地方,公钥在传递与过程中即使被截获,由于没有与公钥相匹配的私钥,截获公钥也没有意义。能够解决信息的否认与抵赖问题,身份认证较为方便。密钥分配简单,公开密钥可以像电话号码一样,告诉每一个网络成员,商业伙伴需要好好保管的只是一个私人密钥。而且密钥的保存量比起私人密钥加密少得多,管理较为方便。最大的缺陷就在于它的加解密速度慢。
[关键词] 网络安全 事件 安全对策
随着网络时代的到来，越来越多的人通过Internet进行商务活动。电子商务的发展前景十分诱人，而其安全问题也变得越来越突出。近年来，网络安全事件不断攀升，电子商务金融成了攻击目标，以网页篡改和垃圾邮件为主的网络安全事件正在大幅攀升。在国家计算机网络应急技术处理协调中心（CNCERT/CC）2005处理的网络安全事件报告中，网页篡改占45.91％，网络仿冒占29%，其余为拒绝服务攻击、垃圾邮件、蠕虫、木马等。如何建立一个安全、便捷的电子商务应用环境，对信息提供足够的保护，已经成为电子商务的所有参与者十分关心的话题。
一、电子商务中的主要网络安全事件分析
归纳起来，对电子商务应用影响较多、发生率较高的互联网安全事件可以分为网页篡改、网络蠕虫、拒绝服务攻击、特罗伊木马、计算机病毒、网络仿冒等，网页篡改、网络仿冒（Phishing），逐步成为影响电子商务应用与发展的主要威胁。
1.网页篡改
网页篡改是指将正常的网站主页更换为黑客所提供的网页。这是黑客攻击的典型形式。一般来说，主页的篡改对计算机系统本身不会产生直接的损失，但对电子商务等需要与用户通过网站进行沟通的应用来说，就意味着电子商务将被迫终止对外的服务。对企业网站而言，网页的篡改，尤其是含有攻击、丑化色彩的篡改，会对企业形象与信誉造成严重损害。
2.网络仿冒（Phishing）
网络仿冒又称网络欺诈、仿冒邮件或者钓鱼攻击等，是黑客使用欺诈邮件和虚假网页设计来诱骗收件人提供信用卡账号、用户名、密码、社会福利号码等，随后利用骗得的账号和密码窃取受骗者金钱。近年来，随着电子商务、网上结算、网上银行等业务在日常生活中的普及，网络仿冒事件在我国层出不穷，诸如中国银行网站等多起金融网站被仿冒。网络仿冒已经成为影响互联网应用，特别是电子商务应用的主要威胁之一。
网络仿冒者为了逃避相关组织和管理机构的打击，充分利用互联网的开放性，往往会将仿冒网站建立在其他国家，而又利用第三国的邮件服务器来发送欺诈邮件，这样既便是仿冒网站被人举报，但是关闭仿冒网站就比较麻烦，对网络欺诈者的追查就更困难了，这是现在网络仿冒犯罪的主要趋势之一。
3.网络蠕虫
网络蠕虫是指一种可以不断复制自己并在网络中传播的程序。这种程序利用互联网上计算机系统的漏洞进入系统，自我复制，并继续向互联网上的其他系统进行传播。蠕虫的不断蜕变并在网络上的传播，可能导致网络被阻塞的现象发生，从而致使网络瘫痪，使得各种基于网络的电子商务等应用系统失效。
4.拒绝服务攻击(Dos)
拒绝服务攻击是指在互联网上控制多台或大量的计算机针对某一个特定的计算机进行大规模的访问，使得被访问的计算机穷于应付来势凶猛的访问而无法提供正常的服务，使得电子商务这类应用无法正常工作。拒绝服务攻击是黑客常用的一种行之有效的方法。如果所调动的攻击计算机足够多，则更难进行处置。尤其是被蠕虫侵袭过的计算机，很容易被利用而成为攻击源，并且这类攻击通常是跨网进行的，加大了打击犯罪的难度。
5.特罗伊木马
特罗伊木马（简称木马）是一种隐藏在计算机系统中不为用户所知的恶意程序，通常用于潜伏在计算机系统中来与外界联接，并接受外界的指令。被植入木马的计算机系统内的所有文件都会被外界所获得，并且该系统也会被外界所控制，也可能会被利用作为攻击其他系统的攻击源。很多黑客在入侵系统时都会同时把木马植入到被侵入的系统中。
二、解决电子商务中网络安全问题的对策研究
随着网络应用日益普及和更为复杂，网络安全事件不断出现，电子商务的安全问题日益突出，需要从国家相关法律建设的大环境到企业制定的电子商务网络安全管理整体架构的具体措施，才能有效保护电子商务的正常应用与发展。
1.进一步完善法律与政策依据 充分发挥应急响应组织的作用
我国目前对于互联网的相关法律法规还较为欠缺，尤其是互联网这样一个开放和复杂的领域，相对于现实社会，其违法犯罪行为的界定、取证、定位都较为困难。因此，对于影响电子商务发展的基于互联网的各类网络安全事件的违法犯罪行为的立法，需要一个漫长的过程。根据互联网的体系结构和网络安全事件的特点，需要建立健全协调一致，快速反应的各级网络应急体系。要制定有关管理规定，为网络安全事件的有效处理提供法律和政策依据。
互联网应急响应组织是响应并处理公共互联网网络与信息安全事件的组织，在我国，CNCERT/CC是国家级的互联网应急响应组织，目前已经建立起了全国性的应急响应体系；同时，CNCERT/CC还是国际应急响应与安全小组论坛（FIRST，Forum of Incident Response and Security Teams）等国际机构的成员。应急响应组织通过发挥其技术优势，利用其支撑单位，即国内主要网络安全厂商的行业力量，为相关机构提供网络安全的咨询与技术服务，共同提高网络安全水平，能有效减少各类的网络事件的出现；通过聚集相关科研力量，研究相关技术手段，以及如何建立新的电子交易的信任体系，为电子商务等互联网应用的普及和顺利发展提供前瞻性的技术研究方面具有积极意义。
2.从网络安全架构整体上保障电子商务的应用发展
网络安全事件研究中看到，电子商务的网络安全问题不是纯粹的计算机安全问题，从企业的角度出发，应该建立整体的电子商务网络安全架构，结合安全管理以及具体的安全保护、安全监控、事件响应和恢复等一套机制来保障电子商务的正常应用。
安全管理主要是通过严格科学的管理手段以达到保护企业网络安全的目的。内容可包括安全管理制度的制定、实施和监督，安全策略的制定、实施、评估和修改，相关人员的安全意识的培训、教育，日常安全管理的具体要求与落实等。
安全保护主要是指应用网络安全产品、工具和技术保护网络系统、数据和用户。这种保护主要是指静态保护，通常是一些基本的防护，不具有实时性，如在防火墙的规则中实施一条安全策略，禁止所有外部网用户到内部网Web服务器的连接请求，一旦这条规则生效，它就会持续有效，除非我们改变这条规则。这样的保护能预防已知的一些安全威胁，而且通常这些威胁不会变化，所以称为静态保护。
安全监控和审计是实时保护的一种策略，它主要满足一种动态安全的需求。因为网络安全技术在发展的同时，黑客技术也在不断的发展，网络安全不是一成不变的，也许今天对你来说安全的策略，明天就会变得不安全，因此我们应该时刻关注网络安全的发展动向,以及网络上发生的各种各样的事情，以便及时发现新的攻击，制定新的安全策略。可以这样说，安全保护是基本，安全监控和审计是其有效的补充，两者的有效结合，才能较好地满足动态安全的需要。
事件响应与恢复主要针对发生攻击事件时相应的应急措施与恢复正常应用的机制。就是当攻击发生时，能及时做出响应，这需要建立一套切实有效、操作性强的响应机制，及时防止攻击的进一步发展。响应是整个安全架构中的重要组成部分，因为网络构筑没有绝对的安全，安全事件的发生是不可能完全避免的，当安全事件发生的时候，应该有相应的机制快速反应，以便让管理员及时了解攻击情况，采取相应措施修改安全策略，尽量减少并弥补攻击的损失，防止类似攻击的再次发生。当安全事件发生后，对系统可能会造成不同程度的破坏，如网络不能正常工作、系统数据被破坏等，这时，必须有一套机制能尽快恢复系统的正常应用，因为攻击既然已经发生了，系统也遭到了破坏，这时只有让系统以最快的速度运行起来才是最重要的，否则损失将更为严重。因此恢复在电子商务安全的整体架构中也是不可缺少的组成部分。
三、结论
Internet的快速发展，使电子商务逐渐进入人们的日常生活，而伴随各类网络安全事件的日益增加与发展，电子商务的安全问题也变得日益突出，建立一个安全、便捷的电子商务应用环境，解决好电子商务应用与发展的网络安全问题必将对保障和促进电子商务的快速发展起到良好的推动作用。
参考文献:
[1]CNCERT/CC.2005年上半年网络安全工作报告
[2]李 卫:计算机网络安全与管理.北京：清华大学出版社，2000
[3]李海泉:计算机网络安全与加密技术.北京：科学出版社，2001
关键词： 网络安全, 事件安全, 对策
1．引言
随着网络时代的到来，越来越多的人通过Internet进行商务活动。电子商务的发展前景十分诱人，而其安全问题也变得越来越突出。近年来，网络安全事件不断攀升，电子商务金融成了攻击目标，以网页篡改和垃圾邮件为主的网络安全事件正在大幅攀升。在网络安全事件报告中，网页篡改占46％，网络仿冒占30％，其余为拒绝服务攻击、垃圾邮件、蠕虫、木马等[1]。近来最让国人印象深刻的，比如熊猫烧香病毒，其危害之大、传播范围之广令人咂舌，毫不夸张的说，当时网民们真是人人自危。如何建立一个安全、便捷的电子商务应用环境，对信息提供足够的保护，已经成为电子商务的所有参与者十分关心的话题。
2．电子商务中的主要网络安全事件分析
归纳起来，对电子商务应用影响较多、发生率较高的互联网安全事件可以分为网页篡改、网络蠕虫、拒绝服务攻击、特洛伊木马、计算机病毒、网络仿冒等，网页篡改、网络仿冒，逐步成为影响电子商务应用与发展的主要威胁[2]。
2.1 网页篡改
网页篡改是指将正常的网站主页更换为黑客所提供的网页。这是黑客攻击的典型形式。一般来说，主页的篡改对计算机系统本身不会产生直接的损失，但对电子商务等需要与用户通过网站进行沟通的应用来说，就意味着电子商务将被迫终止对外的服务。对企业网站而言，网页的篡改，尤其是含有攻击、丑化色彩的篡改，会对企业形象与信誉造成严重损害。
2.2 网络仿冒
网络仿冒又称网络欺诈、仿冒邮件或者钓鱼攻击等，是黑客使用欺诈邮件和虚假网页设计来诱骗收件人提供信用卡账号、用户名、密码、社会福利号码等，随后利用骗得的账号和密码窃取受骗者金钱。近年来，随着电子商务、网上结算、网上银行等业务在日常生活中的普及，网络仿冒事件在我国层出不穷，诸如中国银行网站等多起金融网站被仿冒。网络仿冒已经成为影响互联网应用，特别是电子商务应用的主要威胁之一。
网络仿冒者为了逃避相关组织和管理机构的打击，充分利用互联网的开放性，往往会将仿冒网站建立在其他国家，而又利用第三围的邮件服务器来发送欺诈邮件，这样既便是仿冒网站被人举报，但是关闭仿冒网站就比较麻烦，对网络欺诈者的追查就更困难了，这是现在网络仿冒犯罪的主要趋势之一。
2.3 网络蠕虫
网络蠕虫是指一种可以不断复制自己并在网络中传播的程序。这种程序利用互联网上计算机系统的漏洞进入系统，自我复制，并继续向互联网上的其他系统进行传播。蠕虫的不断蜕变并在网络上的传播，可能导致网络被阻塞的现象发生，从而致使网络瘫痪，使得各种基于网络的电子商务等应用系统失效。
2.4 拒绝服务攻击(Dos)
拒绝服务攻击是指在互联网上控制多台或大量的计算机针对某一个特定的计算机进行大规模的访问，使得被访问的计算机穷于应付来势凶猛的访问而无法提供正常的服务，使得电子商务这类应用无法正常工作。拒绝服务攻击是黑客常用的一种行之有效的方法。如果所调动的攻击计算机足够多，则更难进行处置。尤其是被蠕虫侵袋过的计算机，很容易被利用而成为攻击源，并且这类攻击通常是跨网进行的，加大了打击犯罪的难度。
2.5 特罗伊木马
特罗伊木马(简称木马)是一种隐藏在计算机系统中不为用户所知的恶意程序，通常用于潜伏在计算机系统中来与外界联接，并接受外界的指令。被植入木马的计算机系统内的所有文件都会被外界所获得，并且该系统也会被外界所控制，也可能会被利用作为攻击其他系统的攻击源。很多黑客在入侵系统时都会同时把木马植入到被侵入的系统中。
很多人认为木马也是病毒的一种，这是因为他们把危害计算机安全的“败类”，都一股脑儿地冠以“病毒”之名。实际上，木马并不感染软件或者数据，而是通过伪装，进行远程控制等行为，这与病毒有着根本性的差异。所以，病毒是病毒，木马是木马，我们还是应该分开来的。木马的可怕之处在于，一旦你的电脑中了木马，它就变成了一台傀儡机，控制端利用木马，悄无声息地在你的电脑上上传下载文件，偷窥你的私人文件，甚至盗取各种密码，造成非常严重的后果。
3．解决电子商务中网络安全问题的对策研究
3.1 进一步完善法律与政策依据，充分发挥应急响应组织的作用
我国目前对于互联网的相关法律法规还较为欠缺，尤其是互联网这样一个开放和复杂的领域，相对于现实社会，其违法犯罪行为的界定、取证、定位都较为困难。因此，对于影响电子商务发展的基于互联网的各类网络安全事件的违法犯罪行为的立法，需要一个漫长的过程。根据互联网的体系结构和网络安全事件的特点，需要建立健全协调一致，快速反应的各级网络应急体系。要制定有关管理规定，为网络安全事件的有效处理提供法律和政策依据。
3.2 从网络安全架构整体上保障电子商务的应用发展
安全管理是中心，它渗透到四个基本中去，而这四个基本点各占据电子商务安全的各个方面，即保护、监控、响应和恢复。安全管理指导四个基本点的工作，四个基本点体现和完成安全管理的任务，它们相辅相成，构成一个完整的体系，满足电子商务安全的整体需求。
（1） 安全管理
安全管理就是通过一些管理手段来达到保护网络安全的目的。它所包含的内容有安全管理制度的制定、实施和监督，安全策略的制定、实施、评估和修改，以及对人员的安全意识的培训、教育等。
（2） 保护
保护就是采用一些网络安全产品、工具和技术保护网络系统、数据和用户。这种保护可以称作静态保护，它通常是指一些基本防护，不具有实时性，如在制定的安全策略中有一条，不允许外部网用户访问内部网的web服务器，因此我们就可以在防火墙的规则中加入一条，禁止所有从外部网用户到内部网web服务器的连接请求，这样一旦这条规则生效，它就会持续有效，除非我们改变了这条规则。这样的保护可以预防已知的一些安全威胁，而且通常这些威胁不会变化，所以称 为静态保护。
（3）监控／审计
监控就是实时监控网络上正在发生的事情，这是任何一个网络管理员都想知道的。审计一直被认为是经典安全模型的一个重要组成部分。审计是通过记录下通过网络的所有数据包，然后分析这些数据包，帮助你查找已知的攻击手段、可疑的破坏行为，来达到保护网络的目的。
监控和审计是实时保护的一种策略，它主要满足一种动态安全的需求。因为网络安全技术在发展的同时，黑客技术也在不断的发展，因此网络安全不是一层不变的，也许今天对你来说安伞的策略，明天就会变得不安全，因此我们应该时刻关注网络安全的发展动向以及网络上发生的各种各样的事情，以便及时发现新的攻击，制定新的安全策略。有些人可能会认为这样就不需要基本的安全保护，这种想法是错误的，因为安全保护是基本，监控和审计是其有效的补充，只有这两者有效结合，才能够满足动态安全的需要。
（4） 响应
响应就是当攻击正在发生时，能够及时做出响应，如向管理员报告，或者自动阻断连接等，防止攻击进一步的发生。响应是整个安全架构中的重要组成部分，为什么呢?因为即使你的网络构筑的相当安全，攻击或非法事件也是不可避免的要发生的，所以当攻击或非法事件发生的时候，应该有一种机制对此做出反应，以便让管理员及时了解到什么时候网络遭到了攻击，攻击的行为是什么样的，攻击的结果如何，应该采取什么样的措施来修补安全策略，弥补这次攻击的损失，以及防止此类攻击再次发生。
（5）恢复
当入侵发生后，对系统造成了一定的破坏，如网络不能正常工作、系统数据被破坏等，这时，必须有一套机制来及时恢复系统正常工作，因此恢复在电子商务安伞的整体架构中也是不可少的一个组成部分。恢复是最终措施，因为攻击既然已经发生了，系统也遭到了破坏，这时只有让系统以最快的速度运行起来才是最重要的，否则损失将更为严重。
4．结束语
Internet的快速发展，使电子商务逐渐进入人们的日常生活，而伴随各类网络安全事件的日益增加与发展，电子商务的安全问题也变得日益突出，建立一个安全、便捷的电子商务应用环境，解决好电子商务应用与发展的网络安全问题必将对保障和促进电子商务的快速发展起到良好的推动作用。
参考文献：
本文通过对不同电子商务强度的公司做网络安全投资回报计算,进而在经济性的基础上，对采用各种主要措施来加强网络安全技术防范进行评价,从而帮助企业在投资网络安全上做有效选择，此研究无论从理论上还是实践上都具有重要的现实意义。
[关键词] 投资 网络安全 经济性
笔者所在公司的计算机网络经常会遇到各种各样的安全问题，主要包括病毒感染、恶意攻击和疏忽大意。公司内部建立了一个局域网，有400多台电脑通过一个服务器与外网连接，同时，公司有自己的OA系统和正式对外信息的网站，这些都对网络系统的安全性提出了较高要求。
几年来，我在管理公司整个网络系统安全的过程中，在为地税系统做安全服务时，参照研究了国内外一些主要从事电子商务网站的经验（主要是阿里巴巴网站和CISCO公司），并根据本企业实际情况和经常发生的安全问题，采取了一些较为适用的安全防范措施。在不断的选用和比较中，我对投资网络安全所带来的经济回报有了一定的认识。
事实上，许多企业都愿意采用一个相对通用的方案来评价在网络安全活动和过程中的投资行为，一般是由一个专门的部门用多年时间来搜集数据，然后帮助企业形成一个结构良好的通用的投资回报分析报告。处理这些通用数据需要一些步骤，如下所示：
1.分析潜在经济影响
2.明确电子商务强度
3.检验安全成本
4.计算一个通用的安全投资回报
一、分析潜在经济影响
对于病毒和入侵，企业一般面临三种类型的经济性影响――直接性经济影响、短期性经济影响和长期性经济影响。据国家公安部公共信息网络安全监察局的调查结果显示，2005年5月～2006年5月间，有54％的被调查单位发生过信息网络安全事件，其中，感染计算机病毒、蠕虫和木马程序的安全事件为84％，遭到端口扫描或网络攻击的占36％，垃圾邮件占35％。未修补和防范软件漏洞仍然是导致安全事件发生的最突出原因，占发生安全事件总数的73％。
对于一个以网络为支撑的、单一业务的企业，恶意攻击给其带来的经济性影响如表1所示。
表 1
来源: 《公安部公共信息网络安全监察局》
在提交公司的调研报告上，我参照研究了《计算机经济》上的数据，如表2所示。如果针对恶意攻击，企业没有采用足够的安全防护，那些能够预测到发生的平均经济影响。可以看出，对电子商务技术依赖的越多，恶意攻击所带来的负面经济影响就越大（表中节点数是指连接到网络上的设备）。
表2
来源:《计算机经济》
表中的结果是过去五年的历史数据所做的平均值，主要包括清除被恶意代码感染系统的成本，黑客攻击和入侵的恢复成本，收入损失和员工生产率降低。我公司属于低强度电子商务公司，有500个节点，从2005年、2006年两年的各种安全技术、设备的使用对比中发现:恶意攻击给我公司带来的经济影响要相对小于表2提供的数据，但如果算上短期经济影响，基本符合了数值取向。阿里巴巴网站算是一家高强度电子商务公司，由于其具备网上实时交易的特性，所以它的安全等级要求极高，而根据该公司曾提及的蠕虫病毒等网络攻击给其带来的损失来看，要远大于表2提供数据。
二、明确电子商务的强度
在明确一家企业电子商务强度的时候，需要考虑的、能支持该公司电子商务强度的因素如下：
1.信息系统员工岗位是否多样化
2.是否有合适的电子商务软件
3.是否有自己的网站、有多条互联网接入
4.是否用信息技术支持电子通信
5.是否有基于网络的B2B、B2C交易
6.是否通过网站进行电子数据交换
7.是否支持通过直接拨号与供应商、消费者进行电子数据交换
三、安全成本有哪些
花费在安全方面的IT预算很难确定标准。近来大部分的研究表明，多数企业在安全方面花费不足2％的IT预算。在企业内，系统的可用性、数据的完整性和保密性都极度重要，国内有些专家呼吁，企业应花费其IT预算总额的5％用于安全。
事实上，安全方面的预算支出常常是一个经验值，通过一些基础数据，逐步摸索出一个相对经济的安全防范成本。安全防范的成本可以被划分为许多子类，而且不同的企业差异也很大。
四、计算一个通用的安全投资回报
当要计算安全投资回报时，一定要考虑使用一些变量。首先应该考虑的是耗费在安全方面的资金量。其次，明确当前的威胁水平，或者至少是知道当前的威胁大概什么样。最后，还有法律、法规和安全的要求，这需要不同类型的组织采取一些有效措施来保护信息免受攻击。为达到合法、合规的目的，这些组织就需要花费成本，也许会超过平衡点，以此来帮助企业告知当前威胁水平（这点，我们企业经常会接到哈尔滨市网络安全管理局定期的网络病毒报告）。
在电子商务企业中，恶意攻击对潜在的经济影响是相当大的，这也增加企业对安全产品和相关人员的需求。
五、总结
如果能够相对清晰地计算你的投资回报，这将有利于你在网络安全方面做正确的决定，将拥有一个安全的基础来进行信息共享，可以通过电子商务来增加你的收入，可以通过提高人员效率来增加企业利润。
参考文献:
[1]张宽海:《电子商务概论》,机械工业出版社,2003年
[2]丘晓理:《部属安全的无线局域网络》，摘自《计算机世界――技术与应用》，2006年第37期
【 关键词 】 电子认证；数字证书；电子签名；网络安全
Status and Trends of the Policy Environment of Certificate Authentication Services Industry
Chen Yue-hua
（China Center for Information Industry Development Beijing 100048)
【 Abstract 】 In recent years, network security attracts much attention.The world's major developed countries, such as United States, Germany, the United Kingdom, have released policies to cope with the growing security threats. Certificate authentication service industry, by confirming the truth and reliability of the network subject and their behavior, is to provide the network security, to maintain the network order, to play an irreplaceable role in reducing online fraud and crime. This paper highlights the 2011 China key policy of certificate authentication service industry, and analyzes policy development trends.
【 Keywords 】 certificate authentication；electronic signature；digital certificate；network security
1 引言
随着全球信息化的不断发展和电子政务、电子商务等网络应用的普及，信息安全问题日益突出。截止到2011年12月底，我国互联网普及率已达到38.3%，身份盗用、交易诈骗、信息泄露等信息安全事件出现频率不断提升，严重影响了网络经济的发展和社会的稳定。据统计，我国有近1.28亿互联网用户遭遇过上述安全事件，据估计损失超过150亿元。导致互联网信息安全事件频发的一个重要主要原因是缺少全局、有效、易于推广的网络身份信任体系。
电子认证服务作为重要的信息安全保障手段，基于PKI技术确定网络空间中个体的真实身份，建立网上行为与现实空间真实主体的严格对应关系，为实现网上行为的追踪、管理、取证等提供解决方法和法律保障，在维护网络秩序、减少网络欺诈和犯罪、促进网络经济发展等方面发挥着不可替代的作用。
自2005年4月1日《中华人民共和国电子签名法》颁布实施以来，电子认证服务业经历了从无到有、逐步壮大的重要发展时期。行业政策环境日益优化，为电子认证服务业发展提供了良好的契机。
2 行业政策环境日益优化，行业发展面临大好机遇
2.1 电子认证服务业首个发展规划，为行业未来发展指明了方向
近年来，国家对电子认证服务的重视程度日益提高。2011年11月，工业和信息化部印发《电子认证服务业“十二五”发展规划》，这是我国电子认证服务业的首个规划。在全面回顾“十一五”发展现状、分析“十二五”形势的基础上，规划提出到“十二五”末期，“形成覆盖全国的网络身份认证服务体系，基本形成可靠电子签名认证体系，并在数据电文可靠性认证服务模式探索方面取得积极进展，电子认证服务市场规模突破80亿元”的发展目标，并明确提出健全政策法规、规范认证服务、发展可靠电子签名和数据电文、拓展应用市场、开展试点示范、推行分类分级证书策略、加快数字证书交叉互认等重点任务，为行业发展指明了方向。
此外，信息安全产业、电子商务等“十二五”发展规划都将电子认证服务作为信息安全保障的重要手段，予以培育和支持。工业和信息化部的《信息安全产业“十二五”发展规划》，明确将电子认证服务作为重点发展的信息安全服务类别，以满足信息化建设对安全可控信息安全服务的需求。商务部的《电子商务“十二五”发展指导意见》，明确提出支持鼓励符合条件的第三方机构按照独立、公正、客观原则对电子商务交易平台和经营主体开展认证服务，鼓励电子签名、电子发票在电子商务中的应用。各项与电子认证相关的“十二五”政策文件的出台，电子认证是信息安全服务的重要构成，对于保障电子政务、电子商务等领域信息安全具有重要作用。
尽管电子认证服务已经获得较广泛的应用，但社会的认知度并不高，各项“十二五”政策文件明确将电子认证作为信息安全服务的重点之一，有利于增强社会各界对电子认证服务的认识，对于指导电子认证服务业发展、加快网络信任体系建设、推动电子认证服务应用普及具有重要的意义。
事实上，随着网络技术的不断开发应用，人们在工作生活中对网络依赖性的不断提高，针对网络的犯罪活动必然不断攀升，特别是随着电子商务的兴起和广泛应用，网络侵财犯罪也呈高发态势。
与现实生活中的侵财犯罪相比，网络侵财犯罪最明显的特点就是成本低，收益大。这种成本包括两方面:一个是技术成本，网络技术说到底只是一种技术，而不是一门十分高深的学问，它的入职门槛并不高，一台电脑、一条网线，只要你有足够的耐心和技术，发现了“芝麻开门”的奇妙咒语，可以说整个世界的财富和秘密都将为你而打开，这也就是为什么很多人如此痴迷于网络的原因。另一个是风险成本，目前，不只是中国，世界各国的网络犯罪破案率都不是很高，这不仅仅是一个技术水平的问题，主要还有一个犯罪地域的问题。正如这次大连会议上透露出来的信息所说的那样，“去年以来网络安全事件的跨境化特点日益突出，中国遭受的各类网络安全事件中有近半数来自境外”。其实，不要说是跨国犯罪，就是跨地区犯罪，以我们目前这种分块管理的治安管控模式来看，想要破获网络犯罪，严惩犯罪嫌疑人也是不容易的。
因此，要扼制网络犯罪多发的趋势，一方面是提升技术水平，网络技术无限，网络对抗其根本还是技术的对抗，到底是魔高还是道高关键要看谁玩得更好，增加技术投入不可缺少。另一方面是提升区域合作的水平。今年我国公安机关的一大战果是取得了打击拐卖儿童犯罪的巨大突破，这种突破特别表现在警方跨地区、跨国境的合作上。打击网络犯罪也是一样，通过机构调整，以及管理方式的转变，在合作上取得突破，相信可以遏制目前这种犯罪高发态势。
网络犯罪首先当然是刑事案件，但同样不可回避的还有民事问题。电子商务双方——电子商务服务的提供者和接受电子商务服务者，两者之间形成的是民事合同关系。一旦出现问题，离不开归责分析。就目前我国电子商务情况看，服务接受方承担的风险比较大。且不说在钓鱼网站泛滥的现实中，消费者误入钓鱼网站受到损失，只能自认倒霉，以花钱买教训来自我安慰，这种责任分配方式是否合理。只说曾经轰动一时的携程假保单案，消费者最终只获得了2200元的赔偿，这种不合理的赔偿，在事实上加了消费者的风险，而降低了电子商务服务提供者的风险。
从一般的归责原则上来讲，为促进电子商务的发展，无疑应该加大服务提供者的风险，减少接受者的风险。服务提供者，特别是像银行、证券、保险等这样的大型企业，是有足够的网络风险防范能力的，它们有高质量的团队能够为其提供安全保障。加大这些企业的法律风险，可以促使它们增加技术投入，不断提高技术水平，从而完善电子商务的安全性，扩大电子商务的应用领域和服务水平。如果相反，加大服务接受者的风险，在客观上可能导致电子商务使用门槛的不断提升，一些没有足够网络知识水平和技术能力的消费者因为害怕风险不得不选择退出电子商务，重新使用传统的服务手段，从而影响了电子商务的普及和应用。
随着现代计算机网络技术和信息技术的飞速发展，电子商务得到了越来越广泛的应用，越来越多的企业和个人用户依赖于电子商务的高效和快捷而进行着各种商务活动。电子商务顺利开展的核心和关键问题是保证交易的安全性，这是网上交易的基础。电子商务是以计算机和开放的网络为基础载体的，大量重要的身份信息、金融信息、交易信息都需要在网上进行电子的传输，电子商务安全支付问题成为大家共同关心的问题。伴随着各种移动终端和无线网络的不断发展和完善，移动支付在不仅是一个重要的机遇，同时也带来了一个重大的挑战。
2电子商务及信息安全现状
近年来，电子商务开始了蓬勃地发展，但电子商务安全隐患严重地影响了电子商务的进行。信息安全问题成为制约我国电子商务发展的重要因素还是，因此，必须从技术上为电子商务交易活动提供机密性、完整性、真实性和抗抵赖性等安全保障。我们将从电子商务和信息安全两个方面分别进行讨论。
2.1 电子商务发展现状
依据国家互联网中心（CNNIC）的最新报告，2013年网络购物市场继续快速向前发展，交易金额达到1.85万亿元，较2012年增长40.9%。2013年网络零售市场交易总额占社会消费品零售总额的7.9%。
截至2013年12月，我国网络购物用户规模达到3.02亿，较上年增加5987万，增长率为24.7%，使用率从42.9%提升至48.9%。网购用户规模的快速扩张为网购市场的发展奠定良好的用户基础，释放着巨大的市场潜力。
2.2 信息安全现状
近年来，虽然安全软件逐渐普及、防范能力不断加强，但新的病毒、诈骗手段和骚扰手段不断涌现，安全软件防范难度加大，安全事件发生概率仍然较高。整体上来讲，我国信息安全环境仍不容乐观，有74.1%的网民在过去半年内遇到过安全事件，总人数达4.38亿。
电脑网上购物发生安全问题的网民数占整体电脑上网人数的4.0%，影响人口达2010.6万人。电脑网上购物发生安全事故较多的是遇到欺诈信息，在网购安全事故发生人群中的发生比例达75.0%；其次为假冒网站/诈骗网站，比例为60.7%；其它方面，个人信息泄露比例达42.9%、账号密码被盗比例达23.8%、中病毒和木马的情况为22.6%。
网购时发生这些安全事件，不仅给购物者造成损失，同时也影响电子商务的健康发展。
3电子支付安全
在电子商务的交易完成后，如何保证交易的任何一方无法否认已发生的交易。这些安全问题将在很大程度上限制电子商务的进一步发展，因此如何保证Internet 网上信息传输的安全，已成为发展电子商务的重要环节。电子支付涉及到大量资金流的转移以及个人隐私或商业机密，而这种支付是发生在开放性程度非常高的互联网上，必须从技术上为电子商务交易活动提供机密性、完整性、真实性和抗抵赖性等安全保降。因此，要对网上安全电子支付提出以下的要求：
（1）交易数据的保密性。保密性是网络信息不被泄露给非授权的用户、实体或过程，或供其利用的特性。即，防止信息泄漏给非授权个人或实体，信息只为授权用户使用的特性。电子支付过程主要处理与金融数据有关的信息， 数据处理量大，且每笔数据都会影响到一定的经济利益，因此，交易过程中产生的与支付有关的数据应该被严格保密， 除交易双方以及被授权第三方外，必须保护支付交易的私密性，同时要防止信息被越权访问。
（2）交易数据的完整性。完整性是网络信息未经授权不能进行改变的特性。即网络信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。交易数据在网络上传输过程中的完整性和有效性，即发送方发出的数据与接收方收到数据应该是相同的、未经更改的。
（3）交易数据的不可抵赖性。不可抵赖性也称作不可否认性，在网络信息系统的信息交互过程中，确信参与者的真实同一性。即，所有参与者都不可能否认或抵赖曾经完成的操作和承诺。利用信息源证据可以防止发信方不真实地否认已发送信息，利用递交接收证据可以防止收信方事后否认已经接收的信息。
电子商务交易过程是双方或者是多方的，其中一方抵赖自己的交易都会给另一方带来利益损失，因此必须保证交易双方在交易后都无法否认和抵赖。
4电子商务支付安全中主流技术
电子支付中交易信息的安全在很大程度上依赖于网络信息安全技术的完善，电子商务安全是信息安全的上层应用， 它包括的技术范围比较广， 主要分为数据加密技术和身份认证技术两大类。
4.1数据加密技术
加密技术是保证电子商务中采用的主要安全措施， 交易双方可根据需要在信息交换阶段使用。在一个加密过程中有两个基本元素： 算法和密钥。加密过程就是根据一定的算法， 将可理解的数据（明文） 与一串数字（ 密钥） 相结合， 从而产生不可理解的密文的过程， 主要加密技术是对称密文加密和非对称加密
（1）对称密文加密。对称密钥加密又称为秘密密钥加密， 即收发双方采用相同的密钥来进行加密和解密， 对称密钥加密的最大优点是加解密速度快， 适合于进行大量数据加密， 但也存在密钥管理、困难以及无法进行身份鉴别的缺点。
（2）非对称密钥加密。非对称密钥加密也称为公开密钥加密， 每个用户有一对密钥：一个用于加密， 一个用于解密， 两把密钥实际上是两个很大的质数， 加解密过程。其中， 加密密钥（公钥） 可以在网络服务器、报刊等场合公开， 而解密密钥（私钥） 则属用户的私有密钥， 由公开的加密密钥导出私有的解密密钥在技术上是不可实现的。与对称密钥加密相比， 采用非对称密钥加密方式密钥管理较方便， 且保密性比较强， 但加解密实现速度比较慢， 不适用于通信负荷较重的应用。
数据加密技术是信息安全的基础，加密的主要目的是防止信息的非授权泄露、保证交易信息的保密性、完整性和不可抵赖性的要求。
4.2主流身份认证方式
身份认证技术是指计算机及网络系统确认操作者身份的过程所应用的技术手段。如何保证以数字身份进行操作的操作者就是这个数字身份合法拥有者，也就是说保证操作者的物理身份与数字身份相对应。
（1）用户名口令。针对盗取密码的恶意软件越来越多
（2）动态口令。动态口令也称动态密码，是根据专门的算法每隔一定时间生成一个与时间相关的随机密码。用户进行认证时候，除输入账号和静态口令之外，必须要求输入动态口令。通过“动态密码”登录的用户没有电子签名，这样也就没有具有法律效力的认证材料。因此，“动态密码”它只适用于金额小的交易，对于金额大、使用频繁的用户，其安全性存在一定的风险。
（3）数字证书。数字证书是由权威公正的第三方机构（即CA中心）签发的证书。它的加密技术可以对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的机密性、完整性。为解决这些Internet 的安全问题，世界各国对其进行了多年的研究，初步形成了一套完 整的Internet 安全解决方案，即被广泛采用的PKI 技术（Public Key Infrastructure-公钥基础设施）。公钥基础设施PKI是一种遵循标准的利用公钥加密技术为电子商务的开展提供一套安全基础平台的技术和规范。采用基于PKI 结构结合数字证书，通过把要传输的数字信息进行加密，保证信息传输的保密性、完整性，签名保证身份的真实性和抗抵赖。
（4）生物特征识别。生物识别技术主要是指通过人类生物特征进行身份认证的一种技术。由于人的生物特征具有唯一性和稳定性的特点，并且可随身携带、不易被盗、不易被伪造、不易丢失，所以生物特征识别成为目前最安全的身份认证技术。但是，生物特征识别通常需要昂贵的专用设备、受使用环境限制等缺点，在电子支付中较少采用。
每一种身份认证方式都有其优势也存在一定的局限性。动态密码以方便便捷且与平台无关性，通过电脑、手机、IPAD都可以使用等优点在网银、网游、电信领域成为电子支付重要的身份认证方式，主流产生形式有手机短信、硬件令牌、手机令牌等。基于数字证书的身份认证是电子支付中最安全解决方案。但是，需要专用的硬件和客户支持，使用不如动态密码方便快捷，一般用于大额电子交易。
5电子商务发展趋势
依据CNNIC报告，2014年电子商务类应用整体行业发展态势良好，手机支付是亮点。随着线上与线下渠道的打通及多类移动应用的服务带动，手机支付呈现爆发式增长，手机网上支付、手机网络购物、手机网上银行和手机网上预订应用网民规模年增长速度均超过100%。手机网络购物在移动端商务市场发展迅速，用户规模达到1.44亿，使用率从13.2%提升到28.9%。
截至2014年6月，我国手机网民规模达5.27亿，较2013年底增加2699万人，网民中使用手机上网的人群占比进一步提升，由2013年的81.0%提升至83.4%，手机网民规模首次超越传统PC网民规模。
随着移动电子商务的普及和发展，移动支付业务受到了越来越多的关注，而其安全性更是成为大众关注的焦点。由于移动终端种类繁杂、使用环境也更为复杂、基于数字证书的身份认证和数字签名技术兼容性和成熟度远不及PC平台，并且移动终端本身的安全性问题也给动态口令等身份认证方式带来了新的安全问题和挑战。
