電子商務信息安全標準研究1）

顏鷹（中國計量學院） 李寧（浙江省標準化研究院）

電子商務信息安全標準研究1）

顏鷹（中國計量學院） 李寧（浙江省標準化研究院）

標準作為規范電子商務信息安全的重要手段，推動電子商務健康發展。本文在梳理國內外電子商務信息安全相關標準研究基礎上，對電子商務安全的威脅和需求進行了綜合分析。針對目前電子商務信息安全技術、管理、業務應用等領域存在的界定不清、內容不全等問題，提出電子商務信息安全技術和管理兩類關鍵標準的研制思路。

電子商務 信息安全 標準

1 背景

當前，全球商業活動日趨電子化、網絡化。這種基于網絡的新型商務模式具有效率高、成本低、不受限等種種優勢，也不斷改變著企業經營模式與管理理念，被稱為21世紀最具活力的經濟增長點，眾所周知的亞馬遜、阿里巴巴等電子商務網站就是其中的典型代表。另一方面，電子商務的重要特征就是在線信息化，這勢必涉及到信息的傳輸與獲取，隨之而來的各類信息安全問題及其隱患層出不窮，常常會遭遇信息被截獲、篡改、偽造等各類安全威脅，從而帶來重大商業乃至聲譽損失。因此，安全是電子商務不可或缺的基礎性條件，是否能有效地防范風險、規避攻擊、提升保障質量將成為制約電子商務快速、健康發展迫切而緊要的問題。

2 電子商務信息安全標準重要性

（1）電子商務信息安全技術及其體系建構形式多樣，標準不統一。

電子商務首先是一種基于網絡、數字化技術的商務模式，在實際應用中要確保網上交易的安全性、有效性，勢必需要在技術層面對網絡與系統故障、誤操作、計算機病毒、黑客入侵等潛在威脅加以預防與控制。這樣，信息安全技術體系的建立就首當其沖。

然而，目前有關電子商務信息安全技術主要集中在局部或單一角度的探討，尚缺乏整體性、針對性與有效性的系統規定。在安全技術體系方面則多基于具體情況展開，而缺乏完整解決方案，標準接口也不統一，且系統各自封閉，僅支持特定協議。

此外，電子商務面臨著越來越多的集成了各類病毒、木馬、垃圾郵件等在內的混合型威脅，這就要求不能僅從單一角度考慮安全，而應根據威脅發展趨勢進行綜合防范，規范技術標準、制定事件管理和響應處理流程等。

（2）企業特別是中小企業的技術、管理等人員對電子商務信息安全建設理解不一，建設程度也參差不齊，留下了許多安全隱患。

電子商務安全問題不僅僅局限于互聯網及平臺自身，在平臺的規劃與設計方面也存在較多安全隱患。當前，相關管理與軟件設計等人員技術水平及整體素質參差不齊，導致企業在電子商務的規劃與設計階段就很少關注安全問題，未及時進行安全自我檢查及代碼程序檢查，這就給網站運行造成嚴重的安全漏洞，引發大量信息安全問題。

（3）有效提升全國同類企業信息安全水平，為電子商務的深入發展提供安全保障。

近年來，電子商務迅猛發展，電子商務安全問題比較突出。據調查統計，我國電子商務企業受到木馬、病毒、蠕蟲、網絡釣魚、分布式拒絕服務攻擊(DDoS)等攻擊也較為普遍，其中有86%的企業受到木馬植入，57%的企業受到病毒攻擊，35%的企業受到DDoS攻擊。電子商務安全問題不僅僅局限于互聯網及平臺方面，在平臺設計方面也存在較多安全隱患。

研制電子商務信息安全標準對解決電子商務企業信息安全建設中的實際問題，切實為企業提供指導，有效提升國內同類企業信息安全水平，為電子商務的深入發展提供安全保障。

3 國內外研究動態

對于電子商務標準，一種觀點認為是始于1999年12月14日公布的“The Standard for Internet Commerce，Version 1.0”，另一種觀點則認為可以追溯到1977年美國公布的數據加密標準DES，以及其后由美國國家標準技術研究院（NTST）制定的一系列有關密碼技術的聯邦信息處理標準（FIPS）。國際上，主要由ISO/IEC JTC1所屬各分技術委員會負責安全標準的研制，涉及到密碼算法、數字簽名機制、安全評估準則等領域，其研制制定的國際標準數量眾多?？偟膩碚f，國外電子商務的發展始終體現了標準先行的理念[1]。

在國內，成立于2007年1月的國家電子商務標準化總體組是我國電子商務標準化工作的總體規劃和技術協調機構。未來，總體組將對電子商務安全方面的安全認證、信用服務、在線支付、現代物流等進行重點研究與制定標準。

現階段，國家電子商務標準體系主要包括基礎技術標準、業務標準、支撐技術標準和監督管理標準等，其中，信息安全標準被包含在支撐技術標準內，除了積極采用國際、國外先進標準外，公眾IP網絡安全架構等國內標準也成為國內電子商務信息安全的有力保障。

在制定各類信息安全標準過程中，離不開各類主流安全協議，例如：（1）安全的超文本傳輸協議（S-HTTP）：依靠密鑰對的加密，保障web站點間的交易信息傳輸的安全。（2）安全槽層協議（SSL，Secure Socket Layer）：對信用卡和個人信息提供較強的保護。（3）安全交易技術協議（STT，Secure Transact on Technology）：由Microsoft公司提出，STT將認證和解密在瀏覽器中分離開，用以提高安全控制能力。（4）安全電子交易協議（SET，Secure Electronic Transaction）：SET協議是由VISA和MasterCard兩大信用卡公司于1997年5月聯合推出的規范[2]。

以上可以看出，國內外在標準與協議等許多方面都涉及到了電子商務的安全問題，有關電子商務安全體系、安全模型等類似提法也屢見不鮮，然而，一方面，從本質上來說，絕大多數標準都還是純技術上的協議或規范，另一方面，雖有標準體系及其標準歸類，但還都只限于理論研究及基本的層級劃分，未能形成指導性的、架構性的電子商務安全保障架構設計標準。而隨著電子商務的深入發展，越來越多的企業采取電子商務形式的經營模式，更需要這種體系流程型的架構標準及時加以指導。

4 電子商務安全威脅與需求

4.1 主要安全威脅

電子商務建設主要面臨著賬戶安全威脅、交易安全威脅、基礎網絡威脅、業務連續性威脅。

（1）賬戶安全威脅。賬戶安全是電子商務信息安全的基礎，賬戶安全威脅主要來源于賬戶被盜與垃圾注冊。

（2）交易安全威脅?，F階段在電子商務交易過程中發生的安全威脅主要包括惡意評價、交易欺詐、不良信息發布。

（3）基礎網絡威脅。電子商務是構建在互聯網上的交易平臺，同樣面臨著DDoS、端口掃描、密碼暴力破解、網站后門等安全威脅。

（4）業務連續性威脅。在電子商務領域主要面臨著特有的業務高彈性變化威脅，因為業務發展過快或網上促銷活動等原因，電子商務企業會面臨著大量客戶訪問超出現有系統設計容量的局面，而中小企業受限于資金規模導致其無力建設后備系統用于滿足無法預測的業務訪問量，最終影響電子商務網站對外提供服務的連續性。

4.2 安全需求

電子商務信息安全建設的需求主要來自于業務連續性、保護賬戶和交易信息安全、電子商務網站自身的安全性。

（1）業務連續性是電子商務業務的第一要素，應采用防DDoS技術、系統彈性擴容技術來保障電子商務對外業務的連續性。

（2）使用公共網絡的電子商務賬戶信息和在線交易中的信息宜受保護，應采用加密技術、黑名單、防釣魚、數字簽名技術來防止欺詐活動，保證賬戶和交易信息安全。

（3）電子商務網站自身的安全性宜受保護，應采取檢測網站漏洞、掛馬、端口安全、網站后門等安全手段，防密碼暴力破解及管理員異地登錄預警等技術來保障系統的安全性。

5 電子商務信息安全的關鍵標準研制

針對目前電子商務信息安全技術、管理、業務應用等領域工作存在的界定不清、內容不全、深度不統一等問題，通過技術標準、管理標準進行規范統一變得尤為重要。結合電子商務實際情況， 在電子商務信息技術、業務應用、安全管理等方面標準研究的基礎上，主要進行以下標準研究[3,4]。

5.1 電子商務信息安全技術標準

確立電子商務信息安全保障總體架構，為電子商務所涉及的信息安全技術、信息業務應用安全、信息安全管理等方面安全要求的實施提供指導。從需求分析、方案設計、安全評估、運行等方面對信息安全建設實施給予指導。

5.1.1 業務應用安全

業務應用安全是指在物理安全、網絡安全等安全環境的支持下，實現業務應用的安全目標，主要涉及到服務器端與客戶端相應的安全服務。

（1）服務器端的交易服務、數據服務、Web服務、文件服務等部件及其安全方面的屬性要求。

交易服務及其安全屬性要求，為了使電子交易安全可靠，必須建立一個安全、便捷的電子商務應用環境，保證整個電子商務交易活動中信息的安全性、匿名性和完整性，交易信息服務提供了安全、可靠的電子交易在線/離線運算。數據服務及其安全屬性要求，局域網中的一臺或多臺計算機及其數據庫管理系統軟件共同構成了數據庫服務，數據庫服務為客戶應用提供服務。這些服務是查詢、更新、事務管理、索引、高速緩存、查詢優化、安全及多用戶存取控制等。通過傳輸層和應用層安全協議、電子簽名、標識與鑒別、密碼技術、抗抵賴、內容安全、訪問控制和PKI等實現安全防護。Web服務及其安全屬性要求，Web服務主要功能是提供信息傳輸與交換服務。主要解決網絡通信和信息交換過程中的訪問控制、實體鑒別以及傳輸過程中的信息機密性、完整性問題。文件服務及其安全屬性要求，在計算機網絡中，以文件數據共享為目標，需要將多臺計算機共享的文件存放于一臺計算機中。這臺計算機被稱為文件服務器，文件服務器具有分時系統管理的全部功能，能夠對全網統一管理，能夠提供網絡用戶訪問文件、目錄的并發控制和安全保密措施。

（2）客戶端的應用程序模型分類和安全方面的屬性要求。

客戶端的應用程序模型大致分為兩種：C/S（客戶端/服務器模型）和B/S（瀏覽器/服務器模型）?？蛻舳说陌踩灾饕侵笐脤哟蔚陌踩裕饕ㄟ^用戶權限、角色分配來實現。對于客戶端應用

程序來說，通常需要通過公共密鑰基礎設施（PKI）為應用提供可靠的安全服務。

5.1.2 信息安全建設實施

電子商務信息安全建設流程可劃分為6個階段:風險評估、需求分析、方案設計、測試、系統安裝調試、正式運行等。

（1）風險評估。運用風險評估方法計算企業整體的資產價值、弱點、威脅發生的幾率及可能造成的影響等。評估時應考慮下面的因素：

① 信息安全可能造成的商業損失，并把損失的潛在后果也考慮進來。

② 在極為普遍的危害和采取的相應措施的作用下，故障實際發生的可能性。

（2）需求分析。在項目的計劃階段，項目需求部門應與項目建設部門共同討論信息系統的安全需求，明確重要的安全需求點，安全需求分析應該作為項目需求分析報告的組成部分。

① 項目需求部門與項目建設部門應對系統進行風險分析，考慮業務處理流程中的技術控制要求、業務系統及其相關在線系統運行過程中的安全控制要求，在滿足相關法律、法規、技術規范和標準等的約束下，確定系統的安全需求。

② 對系統安全應遵循適度保護的原則，需在滿足以下基本要求的前提下，實施與業務安全等級相符合的安全機制：通過必要的技術手段建立適當的安全管控機制，保證數據信息在處理、存儲和傳輸過程中的完整性和安全性，防止數據信息被非法使用、篡改和復制。實施必要的數據備份和恢復控制。實施有效的用戶和密碼管理，能對不同級別的用戶進行有限授權，防止非法用戶的侵入和破壞。

③ 系統的安全需求及其分析需經過項目組內部充分討論，項目需求方和項目建設方應對安全需求及其分析的理解達成一致。

（3）方案設計。項目建設部門應根據確定的安全需求設計系統安全技術方案，應滿足以下要求：系統安全技術方案要滿足所有安全需求，并符合公安部、工信部和主管部門的法規和標準要求。系統安全技術方案應至少包括網絡安全設計、操作系統和數據庫安全、應用軟件安全設計等部分。系統安全技術方案涉及采用的安全產品，應符合國家有關法律法規。

（4）測試。

① 信息系統安全功能測試

在信息系統測試階段，應根據信息系統安全功能需求進行測試，確保所有設計的安全功能均能得到落實和實現。在測試報告或相關文檔中應明確說明檢查列表中各項安全功能的落實和實現情況。

② 測試過程的安全管理

在信息系統開發測試過程中，對于來自業務系統的數據要根據相關規定進行變形處理，禁止在開發或測試環境中直接使用生產系統的密鑰和用戶密碼等重要數據。測試環境要依據相關規定進行合適的管理和安全防護，并通過相應的手段確保與生產系統、開發系統隔離。

（5）系統安裝調試。在信息系統安裝部署時，應采取相應措施確保系統安全功能的實現，對操作系統、數據庫、應用系統等軟件的安裝部署和配置應該符合相應的安全規范和標準。信息系統投產前應進行安全評估或審查，通過審查系統設計文檔中的安全功能設計、系統測試文檔中的安全功能測試，確保系統本身安全功能的實現。通過審核系統安裝與配置過程或文檔，確保系統安全配置的落實與實現。

（6）正式運行。系統投入正式運行后，需清除系統中各種臨時數據，進行管理權交接，開發方不得隨意更改安全策略和系統配置。

5.2 電子商務平臺安全管理標準

通過總結現有電子商務交易過程中遇到的安全問題，經過提煉和深化，系統規定電子商務交易平臺安全管理類型，如用戶安全管理、交易安全管理、信息安全管理、管理安全規范等的系統規定。

（1）用戶安全管理：主要對電商企業賬戶體系的安全和用戶信息的安全管理進行規范；對用戶注冊、用戶信息的使用、用戶隱私保護、用戶發布信息的管理提供保護措施。

（2）交易安全管理：主要對電商企業在交易過程中遇到的如商品質量問題、物流安全問題、交易欺詐問題、評價體系等進行規定；以保障消費者權益，建立健全的網上交易信譽體系。

（3）信息安全管理：重點對電商企業在信息的發布、傳輸、管理、存儲、控制等進行規定。

（4）管理安全規范：重點對電商企業在安全管理中的人員配備、工作流設置、管理制度上做規定。

[1] 王晶. 電子商務信息的安全現狀與信息安全管理對策[J]．信息安全與技術，2012（04）：168-172.

[2] 李曉玉. 國內外信息安全標準研究現狀綜述[J]. 信息安全與通信保密，2019（08）：51-55.

[3] 甘悅. 淺議電子商務信息安全的構建[J]. 西北成人教育學報，2007（02）：57-58.

[4] 陳俊豪. 淺析中小企業電子商務中的信息安全問題[J]. 中國商貿，2012（08）：142-143.

Research on the Standard of Information Security for E-commerce

Yan Ying ( China Jiliang University ) Li Ning ( Zhejiang Institute of Standardization )

Standard Specifi cation for electronic commerce as an important means of information security, and promote the healthy development of e-commerce. In the paper based on standard research of the domestic and foreign electronic commerce information security, e-commerce security threats and requirements were analyzed. According to currently exist in the field of e-commerce information security technology, management, and other business applications are not clearly defined, its content is not congruent problem, the e-commerce information security technology and management two key standards development ideas are put forward.

electronic commerce, information security, standard

1）基金項目：國家質檢總局科技計劃項目“電子商務信息安全標準體系及其關鍵標準研制研究”（2013Qk063）；國家質檢公益性行業科研項目“面向城市智慧安居共性技術標準研制與示范”（201310206）；浙江省重點軟科學研究項目“智慧城市基礎數據標準體系研究”（2014C25002）。