電子商務(wù)安全電子商務(wù)安全評估與法律課件

1、電子商務(wù)安全電子商務(wù)安全評估與法律第第9章章 電子商務(wù)安全評估與法律保護電子商務(wù)安全評估與法律保護電子商務(wù)安全電子商務(wù)安全評估與法律第第9章章 電子商務(wù)安全評估與法律保護電子商務(wù)安全評估與法律保護任務(wù)驅(qū)動任務(wù)驅(qū)動隨著電子商務(wù)的發(fā)展，安全問題顯得越來越突出。概括地說，電子商務(wù)的安全主要體現(xiàn)在交易的有效性和可執(zhí)行性、交易機制的可靠性、交易過程的完整性和保密性。目前，電子商務(wù)安全問題的解決，可以分為技術(shù)與法律兩方面。通過本章學(xué)習(xí)，學(xué)生應(yīng)該能夠掌握電子商務(wù)安全評估中的風(fēng)險管理知識，了解安全成熟度模型，識別電子商務(wù)面臨的威脅，了解電子商務(wù)的安全評估方法，熟悉有關(guān)電子商務(wù)的基本法律法規(guī)。 電子商務(wù)安全電子

2、商務(wù)安全評估與法律第第9章章 電子商務(wù)安全評估與法律保護電子商務(wù)安全評估與法律保護本章內(nèi)容9.1電子商務(wù)安全評估9.2電子商務(wù)的法律法規(guī)電子商務(wù)安全電子商務(wù)安全評估與法律9.1 電子商務(wù)安全評估電子商務(wù)安全評估9.1.1風(fēng)險管理風(fēng)險管理1風(fēng)險的概念風(fēng)險的概念風(fēng)險是構(gòu)成安全基礎(chǔ)的基本觀念。風(fēng)險是丟失需要保護的資產(chǎn)的可能性。如果沒有風(fēng)險，就不需要安全了。 漏洞威脅威脅+漏洞風(fēng)險電子商務(wù)安全電子商務(wù)安全評估與法律9.1 電子商務(wù)安全評估電子商務(wù)安全評估2風(fēng)險的識別與測量風(fēng)險的識別對一個組織而言，識別風(fēng)險除了要識別漏洞和威脅外，還應(yīng)考慮已有的對策和預(yù)防措 施，如圖9-1所示。電子商務(wù)安全電子商務(wù)安全評

3、估與法律9.1 電子商務(wù)安全評估電子商務(wù)安全評估風(fēng)險的測量風(fēng)險測量是必須識別出在受到攻擊后該組織需要付出的代價。圖9-2表示風(fēng)險測量的全部。電子商務(wù)安全電子商務(wù)安全評估與法律9.1 電子商務(wù)安全評估電子商務(wù)安全評估認識到風(fēng)險使該組織付出的代價也是確定如何管理風(fēng)險的決定因素。風(fēng)險永遠不可能完全去除，風(fēng)險必須管理。代價是多方面的，包括 ：資金時間資源信譽電子商務(wù)安全電子商務(wù)安全評估與法律9.1 電子商務(wù)安全評估電子商務(wù)安全評估9.1.2安全成熟度模型安全成熟度模型成熟度模型可用來測量組織的解決方案(軟件、硬件和系統(tǒng))的能力和效力。因此它可用于安全評估，以測量針對業(yè)界最佳實際的安全體系結(jié)構(gòu)?？梢跃鸵?/p>

4、下3個方面進行分析：計劃、技術(shù)和配置、操作運行過程。安全計劃包括安全策略、標準、指南以及安全需求。技術(shù)和配置的成熟度水平根據(jù)選擇的特定產(chǎn)品、準則，在組織內(nèi)的安置以及產(chǎn)品配置而定。操作運行過程包括變更管理、報警和監(jiān)控，以及安全教育方面。 電子商務(wù)安全電子商務(wù)安全評估與法律9.1 電子商務(wù)安全評估電子商務(wù)安全評估1安全計劃一個好的安全體系結(jié)構(gòu)必須建立在一個堅固的安全計劃基礎(chǔ)之上。計劃的文本必須清晰、完整。 2技術(shù)和配置3運行過程運行過程包括安全組件需要的必要支持和維護、變更管理、經(jīng)營業(yè)務(wù)的連續(xù)性、用戶安全意識培訓(xùn)、安全管理，以及安全報警與監(jiān)控等。 電子商務(wù)安全電子商務(wù)安全評估與法律9.1 電子商務(wù)

5、安全評估電子商務(wù)安全評估9.1.3威脅威脅威脅包含3個組成部分：目標，可能受到攻擊的方面。代理，發(fā)出威脅的人或組織。事件，做出威脅的動作類型。 電子商務(wù)安全電子商務(wù)安全評估與法律9.1 電子商務(wù)安全評估電子商務(wù)安全評估1威脅的來源人為差錯和設(shè)計缺陷內(nèi)部人員臨時員工自然災(zāi)害和環(huán)境危害黑客和其他入侵者病毒和其他惡意軟件電子商務(wù)安全電子商務(wù)安全評估與法律9.1 電子商務(wù)安全評估電子商務(wù)安全評估2威脅情況與對策社會工程(系統(tǒng)管理過程)電子竊聽軟件缺陷信任轉(zhuǎn)移(主機之間的信任關(guān)系)數(shù)據(jù)驅(qū)動攻擊(惡意軟件)拒絕服務(wù)DNS欺騙源路由內(nèi)部威脅電子商務(wù)安全電子商務(wù)安全評估與法律9.1 電子商務(wù)安全評估電子商務(wù)安

6、全評估9.1.4安全評估方法安全評估方法1安全評估過程安全評估過程安全評估方法的第一步是發(fā)現(xiàn)階段，所有有關(guān)安全體系結(jié)構(gòu)適用的文本都必須檢查，包括安全策略、標準、指南，信息等級分類和訪問控制計劃，以及應(yīng)用安全需求。評估的第二步是人工檢查階段，將文本描述的體系結(jié)構(gòu)與實際的結(jié)構(gòu)進行比較，找出其差別?？梢圆捎檬止さ姆椒?，也可采用自動的方法。評估的第三步是漏洞測試階段。 安全評估的最后一步是認證安全體系結(jié)構(gòu)的處理過程部分。 電子商務(wù)安全電子商務(wù)安全評估與法律9.1 電子商務(wù)安全評估電子商務(wù)安全評估2網(wǎng)絡(luò)安全評估網(wǎng)絡(luò)評估的第一步是了解網(wǎng)絡(luò)的拓撲。假如防火墻在阻斷跟蹤路由分組，這就比較復(fù)雜，因為跟蹤路由器是

7、用來繪制網(wǎng)絡(luò)拓撲的。第二步是獲取公共訪問機器的名字和IP地址，這是比較容易完成的。只要使用DNS并在ARIN(American Registry for Internet Number)試注冊所有的公共地址。最后一步是對全部可達主機做端口掃描的處理。端口是用于TCPIP和UDP網(wǎng)絡(luò)中將一個端口標識到一個邏輯連接的術(shù)語。 電子商務(wù)安全電子商務(wù)安全評估與法律9.1 電子商務(wù)安全評估電子商務(wù)安全評估3平臺安全評估平臺安全評估的目的是認證平臺的配置(操作系統(tǒng)對已知漏洞不易受損、文件保護及配置文件有適當?shù)谋Ｗo)。認證的惟一方法是在平臺自身上執(zhí)行一個程序。有時該程序稱為代理，因為集中的管理程序由此開始。假

8、如平臺已經(jīng)適當加固，那么就有一個基準配置。評估的第一部分是認證基準配置、操作系統(tǒng)、網(wǎng)絡(luò)服務(wù)(、telnet、SSH等)沒有變更。黑客首先是將這些文件替換成自己的版本。這些版本通常是記錄管理員的口令，并轉(zhuǎn)發(fā)給Internet上的攻擊者。假如任何文件需打補丁或使用服務(wù)包，代理將通知管理員。第二部分測試是認證管理員的口令，大部分機器不允許應(yīng)用用戶登錄到平臺，對應(yīng)用的用戶鑒別是在平臺上運行的，而不是平臺本身。4應(yīng)用安全評估電子商務(wù)安全電子商務(wù)安全評估與法律9.1 電子商務(wù)安全評估電子商務(wù)安全評估9.1.5安全評估準則安全評估準則1可信計算機系統(tǒng)評估準則2信息技術(shù)安全評估準則3通用安全評估準則4計算機信

9、息系統(tǒng)安全保護等級劃分準則電子商務(wù)安全電子商務(wù)安全評估與法律9.2電子商務(wù)的法律法規(guī)電子商務(wù)的法律法規(guī)9.2.1電子商務(wù)發(fā)展中遇到的法律問題電子商務(wù)發(fā)展中遇到的法律問題1跨國界網(wǎng)絡(luò)經(jīng)濟對各國法律的沖擊2網(wǎng)上簽訂合同的有效性發(fā)盤的生效發(fā)盤的撤回與撤銷接受的生效與撤回合同的形式問題3網(wǎng)上知識產(chǎn)權(quán)的保護域名保護版權(quán)保護專利權(quán)保護4隱私權(quán)的保護電子商務(wù)安全電子商務(wù)安全評估與法律9.2.2電子商務(wù)的立法狀況電子商務(wù)的立法狀況1國際范圍內(nèi)的電子商務(wù)法律建設(shè)國際范圍內(nèi)的電子商務(wù)法律建設(shè)聯(lián)合國聯(lián)合國電子商務(wù)示范法電子商務(wù)示范法美國的電子商務(wù)立法美國的電子商務(wù)立法歐盟有關(guān)電子商務(wù)的立法狀況歐盟有關(guān)電子商務(wù)的立法狀況新加坡的電子商務(wù)立法新加坡的電子商務(wù)立法日本推動電子商務(wù)發(fā)展的政策文件日本推動電子商務(wù)發(fā)展的政策文件澳大利亞的電子商務(wù)立法澳大利亞的電子商務(wù)立法電子商務(wù)安全電子商務(wù)安全評估與法律2我國電子商務(wù)的立法現(xiàn)狀我國電子商務(wù)活動的法律建設(shè)現(xiàn)狀我國現(xiàn)階段電子商務(wù)活動的立法任務(wù)3我國電子商務(wù)立法的總則立法目的消除電子商務(wù)發(fā)展的法律障礙。消除現(xiàn)有法律適用上的不確定性，保護合理的商業(yè)預(yù)期，保障交易安全。建立一個清晰的法律框架