我國(guó)電子商務(wù)安全管理制度研究

付 靜

西安科技大學(xué)，陜西西安 710054

保障電子商務(wù)的安全不僅包括技術(shù)手段的安全性，更重要是管理方面的問題。從以往的案例來看，出現(xiàn)安全問題大多數(shù)情況都有管理的責(zé)任。電子商務(wù)的安全管理涉及許多方面，不僅包括對(duì)安全技術(shù)的管理，還包括對(duì)人員的管理、企業(yè)日常維護(hù)等方面，甚至還涉及審計(jì)、稽核方面管理。

1 信息安全管理制度

國(guó)際上對(duì)計(jì)算機(jī)信息安全定義為“為數(shù)據(jù)處理系統(tǒng)建立、采取的技術(shù)和管理的安全進(jìn)行保護(hù)，保護(hù)計(jì)算機(jī)硬件、軟件和數(shù)據(jù)不受偶然因素和惡意因素的破壞、更改和泄露。”根據(jù)1994年出臺(tái)的《中華人民共和國(guó)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》所述，計(jì)算機(jī)信息系統(tǒng)安全包括信息的采集、加工、存儲(chǔ)、傳輸、檢索等方面的安全。

不論是信息的采集、加工、存儲(chǔ)、傳輸、檢索的哪個(gè)環(huán)節(jié)的安全，先進(jìn)的信息安全技術(shù)都是信息安全的保障。在采集信息時(shí)要加強(qiáng)對(duì)信息內(nèi)容的審查管理，保障信息內(nèi)容的完整性和真實(shí)性。由專門的系統(tǒng)管理人員對(duì)所負(fù)責(zé)的信息安全性進(jìn)行測(cè)評(píng)，并對(duì)發(fā)現(xiàn)的漏洞及時(shí)采取技術(shù)手段進(jìn)行補(bǔ)救，防治信息被竊取。在信息的加工處理過程中，管理人員應(yīng)該對(duì)加工處理信息的系統(tǒng)定期進(jìn)行安全檢查和維護(hù)，避免在信息的加工處理過程中應(yīng)為系統(tǒng)原因造成在系統(tǒng)內(nèi)處理的信息被破壞。信息的存儲(chǔ)設(shè)備也要有專用的設(shè)備和專門的人員進(jìn)行管理，存儲(chǔ)設(shè)備也要定期檢查。在信息的傳輸過程中是最容易出現(xiàn)問題的環(huán)節(jié)，所以要對(duì)傳輸介質(zhì)的安全格外注重。

2 網(wǎng)絡(luò)的日常維護(hù)制度

網(wǎng)絡(luò)的日常維護(hù)關(guān)系到整個(gè)電子商務(wù)活動(dòng)的安全，所以至關(guān)重要。特別是承擔(dān)整個(gè)企業(yè)電子商務(wù)活動(dòng)關(guān)鍵環(huán)節(jié)的網(wǎng)絡(luò)，如資金環(huán)節(jié)（銀行網(wǎng)絡(luò)、財(cái)務(wù)內(nèi)網(wǎng)、稅務(wù)網(wǎng)絡(luò)等）、機(jī)密環(huán)節(jié)（企業(yè)內(nèi)部電子郵件等）。

同時(shí)網(wǎng)絡(luò)的日常維護(hù)又是一項(xiàng)繁重又瑣碎的工作。一般而言，我們將電子商務(wù)網(wǎng)絡(luò)的日常維護(hù)分為硬件系統(tǒng)維護(hù)、軟件系統(tǒng)維護(hù)和數(shù)據(jù)備份三個(gè)部分。

2.1 硬件的日常維護(hù)

對(duì)于硬件而言，計(jì)算機(jī)的廠家、型號(hào)、配置等各不相同，網(wǎng)絡(luò)設(shè)備同樣也有很大不同，且安裝情況不同，所以維護(hù)起來很費(fèi)時(shí)間。服務(wù)器和用戶機(jī)也需要人工操作和維護(hù)，所以工作量很大。

網(wǎng)絡(luò)設(shè)備：通常對(duì)于網(wǎng)絡(luò)設(shè)備而言，有相應(yīng)的網(wǎng)管軟件，如WorkWin 軟件等。無論網(wǎng)絡(luò)管理系統(tǒng)的大小，基本都是由網(wǎng)絡(luò)管理軟件和支持軟件的網(wǎng)絡(luò)設(shè)備組成的。網(wǎng)絡(luò)管理軟件為網(wǎng)絡(luò)系統(tǒng)提供有關(guān)系統(tǒng)配置、故障、性能和網(wǎng)絡(luò)用戶分布等方面的管理，所以說網(wǎng)管軟件非常重要。

服務(wù)器與用戶機(jī)：一般情況下，這部分的日常維護(hù)需要人工來完成。對(duì)于服務(wù)器和用戶機(jī)而言，第一步要為每臺(tái)服務(wù)器建立完整的記錄，記錄服務(wù)器的型號(hào)、安裝的軟件及使用的數(shù)據(jù)。定期檢查服務(wù)器的電源、硬盤及系統(tǒng)日志，并定期備份。

通信線路：在內(nèi)部網(wǎng)絡(luò)線路建設(shè)初期，最好采用結(jié)構(gòu)化布線，這樣雖然會(huì)增加建網(wǎng)投入，但可以大大降低網(wǎng)絡(luò)出現(xiàn)故障的概率，節(jié)約了后期維護(hù)成本。

2.2 軟件的日常維護(hù)

軟件分為系統(tǒng)軟件和應(yīng)用軟件，系統(tǒng)軟件包括操作系統(tǒng)（Windows、DOS 等）、程序設(shè)計(jì)語(yǔ)言（C 語(yǔ)言等）、數(shù)據(jù)庫(kù)管理系統(tǒng)（Foxpro，Access 等）和系統(tǒng)輔助處理程序（調(diào)試程序、編輯程序等）。應(yīng)用軟件是專門解決各種具體應(yīng)用問題的軟件，如Word、Excel 等。

對(duì)于操作系統(tǒng)的日常維護(hù)，要定期進(jìn)行磁盤碎片整理和磁盤碎片掃描，這是最簡(jiǎn)單、最直接的方法，可以安全清理臨時(shí)文件、無用文件、備份文件；維護(hù)和備份系統(tǒng)注冊(cè)表；使用防系統(tǒng)死機(jī)工具維護(hù)系統(tǒng)穩(wěn)定；查殺病毒等。對(duì)于應(yīng)用軟件的日常維護(hù)主要是版本控制。在服務(wù)器上安裝應(yīng)用軟件，當(dāng)需要更新時(shí)，通過服務(wù)器遠(yuǎn)程對(duì)每臺(tái)用戶機(jī)進(jìn)行更新，以保證應(yīng)用軟件版本一致。

2.3 數(shù)據(jù)備份

在對(duì)網(wǎng)絡(luò)的日常維護(hù)中，應(yīng)盡量做到預(yù)防問題的發(fā)生，而數(shù)據(jù)備份是用來彌補(bǔ)發(fā)生問題的最好方式之一，所以對(duì)重要數(shù)據(jù)要進(jìn)行備份。目前數(shù)據(jù)備份主要方式有：LAN 備份、LAN Free 備份和SAN Server-Free 備份三種。LAN 備份針對(duì)所有存儲(chǔ)類型都可以使用，LAN Free 備份和SAN Server-Free 備份只能針對(duì)SAN 架構(gòu)的存儲(chǔ)。

3 人員管理制度及保密

通過網(wǎng)絡(luò)進(jìn)行的電子商務(wù)活動(dòng)具有很強(qiáng)的隱蔽性。同時(shí)，進(jìn)行電子商務(wù)交易的人員既要具有傳統(tǒng)市場(chǎng)營(yíng)銷的知識(shí)和手段，又還必須具備計(jì)算機(jī)知識(shí)，熟悉計(jì)算機(jī)網(wǎng)絡(luò)。所以他們是一群具有高技術(shù)性的專業(yè)人員，所以加強(qiáng)對(duì)這部分人員的管理是維護(hù)電子商務(wù)安全的重要一環(huán)。

首先，在人員錄用時(shí)，要嚴(yán)格遵守選拔制度，要選擇有責(zé)任心，守紀(jì)律，品德好，同時(shí)具有市場(chǎng)營(yíng)銷知識(shí)和計(jì)算機(jī)知識(shí)的人員。有時(shí)和專業(yè)知識(shí)相比，人員的品質(zhì)更為重要。其次，要與錄用人員簽訂保密協(xié)議，規(guī)定其應(yīng)當(dāng)承擔(dān)的責(zé)任和義務(wù)，規(guī)范其行為。定期組織對(duì)人員業(yè)務(wù)能力的培訓(xùn)和安全保密培訓(xùn)，對(duì)人員違規(guī)行為要堅(jiān)決按照相關(guān)規(guī)定進(jìn)行嚴(yán)肅處理，絕不姑息。第三，堅(jiān)決執(zhí)行網(wǎng)上交易安全運(yùn)作基本原則。包括雙人負(fù)責(zé)原則：重要業(yè)務(wù)不能安全一個(gè)人單獨(dú)管理，應(yīng)該由兩人或兩人以上相互制約管理。任期有限原則：任何人員不允許長(zhǎng)期擔(dān)任和安全有關(guān)的職務(wù)。最小權(quán)限原則：明確規(guī)定只有網(wǎng)絡(luò)管理人員才能進(jìn)行物理訪問和軟件安裝工作。

進(jìn)行電子商務(wù)的過程中不可避免會(huì)涉及到企業(yè)的機(jī)密，比如企業(yè)的財(cái)務(wù)狀況，生產(chǎn)成本，市場(chǎng)定位及分布等信息。但不是所有的機(jī)密都需要嚴(yán)格的保密措施，一般情況下，對(duì)于企業(yè)機(jī)密可以分為三個(gè)等級(jí)。

1）絕密級(jí)。這類機(jī)密數(shù)量最少，包括企業(yè)的經(jīng)營(yíng)狀況報(bào)告、產(chǎn)品的成本價(jià)格、公司的戰(zhàn)略規(guī)劃等。這部分網(wǎng)絡(luò)及密碼需要嚴(yán)格保密，通常只允許企業(yè)相關(guān)高層管理者掌握。

2）機(jī)密級(jí)。包括企業(yè)的人員組成情況、日常管理工作資料、會(huì)議通知、人員變動(dòng)情況、出差情況等。此部分網(wǎng)絡(luò)及密碼只限企業(yè)中層以上人員使用。

3）秘密級(jí)。包括企業(yè)簡(jiǎn)介、組織機(jī)構(gòu)設(shè)置、產(chǎn)品介紹、地址電話、郵箱網(wǎng)站等。這部分網(wǎng)絡(luò)及密碼在網(wǎng)絡(luò)上公開，可供大眾查找。帶需要一定程度上的保護(hù)，主要需要防止惡意入侵。

4 跟蹤、審計(jì)、稽核制度

跟蹤制度要求企業(yè)對(duì)網(wǎng)絡(luò)交易情況進(jìn)行日志式管理，用來記錄網(wǎng)上交易過程中系統(tǒng)運(yùn)行的數(shù)據(jù)。日至式管理要求記錄包括交易操作時(shí)間、操作方式、操作設(shè)備號(hào)碼、登陸次數(shù)、運(yùn)行時(shí)間、交易內(nèi)容等數(shù)據(jù)。同時(shí)，這些記錄生成的文件必須是系統(tǒng)自動(dòng)生成，且不可修改的。日志文件對(duì)以后系統(tǒng)的升級(jí)、故障恢復(fù)、運(yùn)行監(jiān)督等方面都有幫助。

審計(jì)制度是指企業(yè)內(nèi)部對(duì)系統(tǒng)日志的審查。這種審查是定期進(jìn)行的，以便及時(shí)發(fā)現(xiàn)系統(tǒng)存在的異常情況，對(duì)各種違反安全管理制度的操作進(jìn)行記錄、監(jiān)控、保存數(shù)據(jù)、維護(hù)和管理系統(tǒng)日志。

稽核制度是指國(guó)家相關(guān)部門，通過稽核業(yè)務(wù)系統(tǒng)軟件對(duì)企業(yè)電子商務(wù)業(yè)務(wù)經(jīng)營(yíng)活動(dòng)的情況進(jìn)行調(diào)閱、查詢、審查的制度。通過稽核制度，相關(guān)部門可以監(jiān)督企業(yè)電子商務(wù)活動(dòng)的情況，及時(shí)發(fā)現(xiàn)漏洞和問題，警示企業(yè)，并對(duì)發(fā)現(xiàn)的違規(guī)行為進(jìn)行處罰。

[1]包文夏，李文龍.電子商務(wù)管理的路徑探析[J].企業(yè)技術(shù)開發(fā)，2012：113-114.

[2]范曉菁.淺談電子商務(wù)安全[J].經(jīng)濟(jì)研究，2010：79-80.

[3]李振汕.電子商務(wù)安全管理體系的構(gòu)建[J].計(jì)算機(jī)安全，2010：65-68.

[4]孫素華.電子商務(wù)安全的安全管理分析[J].衡水學(xué)院學(xué)報(bào)，2010：14-15.