從管理的角度談企業電子商務信息安全管理

天津職業大學 趙學麗

從管理的角度談企業電子商務信息安全管理

天津職業大學 趙學麗

隨著互聯網的迅速發展，電子商務成為企業青睞的商務模式，而由此引發的安全問題也日漸突出。本文通過對我國企業電子商務信息安全管理情況調查，得出企業電子商務信息安全不僅需要技術上的支持，更重要的是突出管理，進而提出企業在進行電子商務信息安全管理中所實施的策略。

信息安全 管理 策略

隨著Internet的飛速發展和計算機技術的日臻成熟，電子商務正以其高效率、低成本的優勢給社會帶來了巨大的商機。而由此引發的安全問題日漸突出。根據2009年7月中國互聯網絡信息中心(CNNIC)發布的“中國互聯網絡發展狀況統計報告”顯示,僅有29.2%的電子商務交易用戶認為互聯網是安全可靠的。由此可見，電子商務中的安全問題是企業實現電子商務的關鍵之所在。

1 企業電子商務信息安全管理情況調查

信息和信息系統已經成為企業管理和經營活動中不可或缺的內容，信息系統的建立和完善是企業日常辦公和業務實現的有力支撐。因此，一旦企業信息系統出現安全性問題，就會直接影響到業務的開展，導致巨大的經濟損失，甚至造成不良的社會影響，損壞公司的形象和品牌。所以，如何保證企業信息安全,已成為當前企業信息化健康發展的重要任務。

根據CSI和FBI的最新“計算機犯罪和安全調查”，不滿的員工是最有可能發動攻擊的人，如圖1：

圖1

從圖1中可見人員管理常常是網上交易安全管理上的最薄弱的環節，近年來我國計算機犯罪大都呈現內部犯罪的趨勢，除了競爭對手利用企業招募新人的方式潛入該企業，或利用不正當的方式收買企業網絡交易管理人員，竊取企業的用戶識別碼、密碼、傳遞方式以及相關的機密文件資料。

而通過對多家企業調研分析發現我國從事電子商務的軟件型企業比從事電子商務的貿易型企業更加重視信息安全。具體情況如表1：

表1

2 企業電子商務信息安全存在的問題

電子商務信息安全主要存在兩大安全隱患：一種是信息存儲的軟硬件系統的安全風險；另一種是電子商務的信息安全管理存在漏洞。而目前，大部分企業將信息安全局限于前者，隨之而來的就是計算機技術企業所開發的基于軟硬件系統的防護技術，防火墻技術出現、加密技術的使用、數字簽名、身份認證的應用并沒有從根本上解決企業電子商務信息的安全管理，幾乎很少有企業能夠從自身管理的角度以及人員管理的角度來進行電子商務的信息安全建設。“三分技術，七分管理”，闡述了信息安全的本質。總的來說，我國企業在電子商務信息安全方面主要存在以下幾個方面的問題：

(1) “重技術、輕管理”，由于企業管理手段不到位，往往導致先進的技術無法發揮應有的效能，從而導致企業不能做到管理與技術相得益彰。

(2)企業管理高層對信息安全的認識不夠，缺少信息安全管理配套的人力、物力和財力。企業如果沒有一批業務能力強，且具有信息網絡知識、信息安全技術、法律知識和管理能力的復合型人才和專門人才，就不可能做好信息安全保障工作。

(3)企業對員工的信息安全教育不夠。員工的信息安全意識薄弱，90%的安全事故是由于人為疏忽所造成。如：有些企業不限制內部人員使用高科技信息載體(U盤、移動硬盤等)，以及筆記本電腦等移動辦公設備。

(4)缺少信息安全的監督審計機制，導致安全項目實施完后無法發揮長期效能，安全策略無法持續性改進。缺少監督審計，就會使得管理制度流于形式，變得空洞。

(5)缺少完整的信息安全策略，信息安全管理沒有形成標準和規范，沒有形成一套體系。

3 企業電子商務信息安全管理策略

信息安全管理不是單純的技術問題，而是一個上至領導下至員工的管理活動，涉及到企業全員的參與，企業中的任何一個人、任何一個崗位、任何一項工作都應做到關注信息安全，并且在企業文化中務必融入信息安全管理理念，“管理”是保證信息安全之本。從管理的角度來看，實現電子商務信息安全的策略包括三個方面：“防”——企業信息資產的保護；“阻”——信息傳輸通道的管理；“執行力”——建立與企業文化相適應的安全體系。

“防”、“阻”、“執行力”是信息安全管理的核心凝練，“防”即“保護”，“阻”即“阻塞”，二者與“執行力”一起組成企業電子商務信息安全管理的規則，不論企業的規模和性質如何，從事信息安全管理的人員可從以下三個方面的基本內容著手。

“防”：對于企業內部核心信息資產的保護。核心信息資產主要指價值比較高或一旦泄露可能會對企業造成比較大的損失的資產，如企業的數據、紙質和電子類的文檔、影像等企業的核心資產。

“阻”：信息傳輸通道的管理，信息安全管理人員根據企業業務模塊或業務流程分析信息資產傳輸的各個渠道，禁止非授權的訪問或傳遞。

人員的安全管理是“阻”的核心，企業的信息資產都是通過人來管理和控制的。對人的管理實際是信息安全工作中難度最大的工作，業界有一句話：“在企業中信息安全最大的風險是心懷不測的一些員工可能帶來的風險”。

“執行力”：將信息安全建設與企業文化進行有機地結合，不同企業擁有不同的企業文化，其采用的信息安全方法和管理思路也會不盡相同，擁有較強“執行力”的企業更多的采用強制管理手段，制定行之有效的信息防護政策，并通過管理者有力的執行以達到信息安全管理的效果，而“執行力”較弱的企業則需要將完善的技術與合理的管理方法進行有效融合，使企業的信息安全得到有效的管理和保護。

4 結語

企業電子商務信息的安全管理依賴一個完整的強有力的管理體系，從而保證信息安全管理的規范與長效，企業需要在良好的信息安全管理基礎之上，制定相應的、完善的管理策略以及規章制度，管理工作所涉及的廣度和深度要根據企業電子商務業務對人員及組織的依賴程度決定，也可以根據本企業的特點選擇適當的方法來完善信息安全管理小組。管理制度需要隨著環境的變化不斷改進，以達到信息管理的安全、可靠、穩定。

[1] 林寧,吳志剛.我國信息安全技術標準化現狀[J].中國標準化,2007,(4).

[2] 胡艷春.電子商務網站建設中的安全問題研究[J].商場現代,2006,(10).

[3] 劉茹.電子商務安全技術[J].科技情報開發與經濟,2006,(13) .

[4] 林黎明,李新春.基于Internet 的電子商務安全管理策略研究[J].中國管理信息化,2006,(3).

[5] 董衛華.以人為本的信息安全管理[J].內蒙古科技與經濟,2003,(11).

F272

A

1005-5800(2010)11(c)-102-02