电子商务信息安全标准研究1）

颜鹰（中国计量学院） 李宁（浙江省标准化研究院）

电子商务信息安全标准研究1）

颜鹰（中国计量学院） 李宁（浙江省标准化研究院）

标准作为规范电子商务信息安全的重要手段，推动电子商务健康发展。本文在梳理国内外电子商务信息安全相关标准研究基础上，对电子商务安全的威胁和需求进行了综合分析。针对目前电子商务信息安全技术、管理、业务应用等领域存在的界定不清、内容不全等问题，提出电子商务信息安全技术和管理两类关键标准的研制思路。

电子商务 信息安全 标准

1 背景

当前，全球商业活动日趋电子化、网络化。这种基于网络的新型商务模式具有效率高、成本低、不受限等种种优势，也不断改变着企业经营模式与管理理念，被称为21世纪最具活力的经济增长点，众所周知的亚马逊、阿里巴巴等电子商务网站就是其中的典型代表。另一方面，电子商务的重要特征就是在线信息化，这势必涉及到信息的传输与获取，随之而来的各类信息安全问题及其隐患层出不穷，常常会遭遇信息被截获、篡改、伪造等各类安全威胁，从而带来重大商业乃至声誉损失。因此，安全是电子商务不可或缺的基础性条件，是否能有效地防范风险、规避攻击、提升保障质量将成为制约电子商务快速、健康发展迫切而紧要的问题。

2 电子商务信息安全标准重要性

（1）电子商务信息安全技术及其体系建构形式多样，标准不统一。

电子商务首先是一种基于网络、数字化技术的商务模式，在实际应用中要确保网上交易的安全性、有效性，势必需要在技术层面对网络与系统故障、误操作、计算机病毒、黑客入侵等潜在威胁加以预防与控制。这样，信息安全技术体系的建立就首当其冲。

然而，目前有关电子商务信息安全技术主要集中在局部或单一角度的探讨，尚缺乏整体性、针对性与有效性的系统规定。在安全技术体系方面则多基于具体情况展开，而缺乏完整解决方案，标准接口也不统一，且系统各自封闭，仅支持特定协议。

此外，电子商务面临着越来越多的集成了各类病毒、木马、垃圾邮件等在内的混合型威胁，这就要求不能仅从单一角度考虑安全，而应根据威胁发展趋势进行综合防范，规范技术标准、制定事件管理和响应处理流程等。

（2）企业特别是中小企业的技术、管理等人员对电子商务信息安全建设理解不一，建设程度也参差不齐，留下了许多安全隐患。

电子商务安全问题不仅仅局限于互联网及平台自身，在平台的规划与设计方面也存在较多安全隐患。当前，相关管理与软件设计等人员技术水平及整体素质参差不齐，导致企业在电子商务的规划与设计阶段就很少关注安全问题，未及时进行安全自我检查及代码程序检查，这就给网站运行造成严重的安全漏洞，引发大量信息安全问题。

（3）有效提升全国同类企业信息安全水平，为电子商务的深入发展提供安全保障。

近年来，电子商务迅猛发展，电子商务安全问题比较突出。据调查统计，我国电子商务企业受到木马、病毒、蠕虫、网络钓鱼、分布式拒绝服务攻击(DDoS)等攻击也较为普遍，其中有86%的企业受到木马植入，57%的企业受到病毒攻击，35%的企业受到DDoS攻击。电子商务安全问题不仅仅局限于互联网及平台方面，在平台设计方面也存在较多安全隐患。

研制电子商务信息安全标准对解决电子商务企业信息安全建设中的实际问题，切实为企业提供指导，有效提升国内同类企业信息安全水平，为电子商务的深入发展提供安全保障。

3 国内外研究动态

对于电子商务标准，一种观点认为是始于1999年12月14日公布的“The Standard for Internet Commerce，Version 1.0”，另一种观点则认为可以追溯到1977年美国公布的数据加密标准DES，以及其后由美国国家标准技术研究院（NTST）制定的一系列有关密码技术的联邦信息处理标准（FIPS）。国际上，主要由ISO/IEC JTC1所属各分技术委员会负责安全标准的研制，涉及到密码算法、数字签名机制、安全评估准则等领域，其研制制定的国际标准数量众多。总的来说，国外电子商务的发展始终体现了标准先行的理念[1]。

在国内，成立于2007年1月的国家电子商务标准化总体组是我国电子商务标准化工作的总体规划和技术协调机构。未来，总体组将对电子商务安全方面的安全认证、信用服务、在线支付、现代物流等进行重点研究与制定标准。

现阶段，国家电子商务标准体系主要包括基础技术标准、业务标准、支撑技术标准和监督管理标准等，其中，信息安全标准被包含在支撑技术标准内，除了积极采用国际、国外先进标准外，公众IP网络安全架构等国内标准也成为国内电子商务信息安全的有力保障。

在制定各类信息安全标准过程中，离不开各类主流安全协议，例如：（1）安全的超文本传输协议（S-HTTP）：依靠密钥对的加密，保障web站点间的交易信息传输的安全。（2）安全槽层协议（SSL，Secure Socket Layer）：对信用卡和个人信息提供较强的保护。（3）安全交易技术协议（STT，Secure Transact on Technology）：由Microsoft公司提出，STT将认证和解密在浏览器中分离开，用以提高安全控制能力。（4）安全电子交易协议（SET，Secure Electronic Transaction）：SET协议是由VISA和MasterCard两大信用卡公司于1997年5月联合推出的规范[2]。

以上可以看出，国内外在标准与协议等许多方面都涉及到了电子商务的安全问题，有关电子商务安全体系、安全模型等类似提法也屡见不鲜，然而，一方面，从本质上来说，绝大多数标准都还是纯技术上的协议或规范，另一方面，虽有标准体系及其标准归类，但还都只限于理论研究及基本的层级划分，未能形成指导性的、架构性的电子商务安全保障架构设计标准。而随着电子商务的深入发展，越来越多的企业采取电子商务形式的经营模式，更需要这种体系流程型的架构标准及时加以指导。

4 电子商务安全威胁与需求

4.1 主要安全威胁

电子商务建设主要面临着账户安全威胁、交易安全威胁、基础网络威胁、业务连续性威胁。

（1）账户安全威胁。账户安全是电子商务信息安全的基础，账户安全威胁主要来源于账户被盗与垃圾注册。

（2）交易安全威胁。现阶段在电子商务交易过程中发生的安全威胁主要包括恶意评价、交易欺诈、不良信息发布。

（3）基础网络威胁。电子商务是构建在互联网上的交易平台，同样面临着DDoS、端口扫描、密码暴力破解、网站后门等安全威胁。

（4）业务连续性威胁。在电子商务领域主要面临着特有的业务高弹性变化威胁，因为业务发展过快或网上促销活动等原因，电子商务企业会面临着大量客户访问超出现有系统设计容量的局面，而中小企业受限于资金规模导致其无力建设后备系统用于满足无法预测的业务访问量，最终影响电子商务网站对外提供服务的连续性。

4.2 安全需求

电子商务信息安全建设的需求主要来自于业务连续性、保护账户和交易信息安全、电子商务网站自身的安全性。

（1）业务连续性是电子商务业务的第一要素，应采用防DDoS技术、系统弹性扩容技术来保障电子商务对外业务的连续性。

（2）使用公共网络的电子商务账户信息和在线交易中的信息宜受保护，应采用加密技术、黑名单、防钓鱼、数字签名技术来防止欺诈活动，保证账户和交易信息安全。

（3）电子商务网站自身的安全性宜受保护，应采取检测网站漏洞、挂马、端口安全、网站后门等安全手段，防密码暴力破解及管理员异地登录预警等技术来保障系统的安全性。

5 电子商务信息安全的关键标准研制

针对目前电子商务信息安全技术、管理、业务应用等领域工作存在的界定不清、内容不全、深度不统一等问题，通过技术标准、管理标准进行规范统一变得尤为重要。结合电子商务实际情况， 在电子商务信息技术、业务应用、安全管理等方面标准研究的基础上，主要进行以下标准研究[3,4]。

5.1 电子商务信息安全技术标准

确立电子商务信息安全保障总体架构，为电子商务所涉及的信息安全技术、信息业务应用安全、信息安全管理等方面安全要求的实施提供指导。从需求分析、方案设计、安全评估、运行等方面对信息安全建设实施给予指导。

5.1.1 业务应用安全

业务应用安全是指在物理安全、网络安全等安全环境的支持下，实现业务应用的安全目标，主要涉及到服务器端与客户端相应的安全服务。

（1）服务器端的交易服务、数据服务、Web服务、文件服务等部件及其安全方面的属性要求。

交易服务及其安全属性要求，为了使电子交易安全可靠，必须建立一个安全、便捷的电子商务应用环境，保证整个电子商务交易活动中信息的安全性、匿名性和完整性，交易信息服务提供了安全、可靠的电子交易在线/离线运算。数据服务及其安全属性要求，局域网中的一台或多台计算机及其数据库管理系统软件共同构成了数据库服务，数据库服务为客户应用提供服务。这些服务是查询、更新、事务管理、索引、高速缓存、查询优化、安全及多用户存取控制等。通过传输层和应用层安全协议、电子签名、标识与鉴别、密码技术、抗抵赖、内容安全、访问控制和PKI等实现安全防护。Web服务及其安全属性要求，Web服务主要功能是提供信息传输与交换服务。主要解决网络通信和信息交换过程中的访问控制、实体鉴别以及传输过程中的信息机密性、完整性问题。文件服务及其安全属性要求，在计算机网络中，以文件数据共享为目标，需要将多台计算机共享的文件存放于一台计算机中。这台计算机被称为文件服务器，文件服务器具有分时系统管理的全部功能，能够对全网统一管理，能够提供网络用户访问文件、目录的并发控制和安全保密措施。

（2）客户端的应用程序模型分类和安全方面的属性要求。

客户端的应用程序模型大致分为两种：C/S（客户端/服务器模型）和B/S（浏览器/服务器模型）。客户端的安全性主要是指应用层次的安全性，主要通过用户权限、角色分配来实现。对于客户端应用

程序来说，通常需要通过公共密钥基础设施（PKI）为应用提供可靠的安全服务。

5.1.2 信息安全建设实施

电子商务信息安全建设流程可划分为6个阶段:风险评估、需求分析、方案设计、测试、系统安装调试、正式运行等。

（1）风险评估。运用风险评估方法计算企业整体的资产价值、弱点、威胁发生的几率及可能造成的影响等。评估时应考虑下面的因素：

① 信息安全可能造成的商业损失，并把损失的潜在后果也考虑进来。

② 在极为普遍的危害和采取的相应措施的作用下，故障实际发生的可能性。

（2）需求分析。在项目的计划阶段，项目需求部门应与项目建设部门共同讨论信息系统的安全需求，明确重要的安全需求点，安全需求分析应该作为项目需求分析报告的组成部分。

① 项目需求部门与项目建设部门应对系统进行风险分析，考虑业务处理流程中的技术控制要求、业务系统及其相关在线系统运行过程中的安全控制要求，在满足相关法律、法规、技术规范和标准等的约束下，确定系统的安全需求。

② 对系统安全应遵循适度保护的原则，需在满足以下基本要求的前提下，实施与业务安全等级相符合的安全机制：通过必要的技术手段建立适当的安全管控机制，保证数据信息在处理、存储和传输过程中的完整性和安全性，防止数据信息被非法使用、篡改和复制。实施必要的数据备份和恢复控制。实施有效的用户和密码管理，能对不同级别的用户进行有限授权，防止非法用户的侵入和破坏。

③ 系统的安全需求及其分析需经过项目组内部充分讨论，项目需求方和项目建设方应对安全需求及其分析的理解达成一致。

（3）方案设计。项目建设部门应根据确定的安全需求设计系统安全技术方案，应满足以下要求：系统安全技术方案要满足所有安全需求，并符合公安部、工信部和主管部门的法规和标准要求。系统安全技术方案应至少包括网络安全设计、操作系统和数据库安全、应用软件安全设计等部分。系统安全技术方案涉及采用的安全产品，应符合国家有关法律法规。

（4）测试。

① 信息系统安全功能测试

在信息系统测试阶段，应根据信息系统安全功能需求进行测试，确保所有设计的安全功能均能得到落实和实现。在测试报告或相关文档中应明确说明检查列表中各项安全功能的落实和实现情况。

② 测试过程的安全管理

在信息系统开发测试过程中，对于来自业务系统的数据要根据相关规定进行变形处理，禁止在开发或测试环境中直接使用生产系统的密钥和用户密码等重要数据。测试环境要依据相关规定进行合适的管理和安全防护，并通过相应的手段确保与生产系统、开发系统隔离。

（5）系统安装调试。在信息系统安装部署时，应采取相应措施确保系统安全功能的实现，对操作系统、数据库、应用系统等软件的安装部署和配置应该符合相应的安全规范和标准。信息系统投产前应进行安全评估或审查，通过审查系统设计文档中的安全功能设计、系统测试文档中的安全功能测试，确保系统本身安全功能的实现。通过审核系统安装与配置过程或文档，确保系统安全配置的落实与实现。

（6）正式运行。系统投入正式运行后，需清除系统中各种临时数据，进行管理权交接，开发方不得随意更改安全策略和系统配置。

5.2 电子商务平台安全管理标准

通过总结现有电子商务交易过程中遇到的安全问题，经过提炼和深化，系统规定电子商务交易平台安全管理类型，如用户安全管理、交易安全管理、信息安全管理、管理安全规范等的系统规定。

（1）用户安全管理：主要对电商企业账户体系的安全和用户信息的安全管理进行规范；对用户注册、用户信息的使用、用户隐私保护、用户发布信息的管理提供保护措施。

（2）交易安全管理：主要对电商企业在交易过程中遇到的如商品质量问题、物流安全问题、交易欺诈问题、评价体系等进行规定；以保障消费者权益，建立健全的网上交易信誉体系。

（3）信息安全管理：重点对电商企业在信息的发布、传输、管理、存储、控制等进行规定。

（4）管理安全规范：重点对电商企业在安全管理中的人员配备、工作流设置、管理制度上做规定。

[1] 王晶. 电子商务信息的安全现状与信息安全管理对策[J]．信息安全与技术，2012（04）：168-172.

[2] 李晓玉. 国内外信息安全标准研究现状综述[J]. 信息安全与通信保密，2019（08）：51-55.

[3] 甘悦. 浅议电子商务信息安全的构建[J]. 西北成人教育学报，2007（02）：57-58.

[4] 陈俊豪. 浅析中小企业电子商务中的信息安全问题[J]. 中国商贸，2012（08）：142-143.

Research on the Standard of Information Security for E-commerce

Yan Ying ( China Jiliang University ) Li Ning ( Zhejiang Institute of Standardization )

Standard Specifi cation for electronic commerce as an important means of information security, and promote the healthy development of e-commerce. In the paper based on standard research of the domestic and foreign electronic commerce information security, e-commerce security threats and requirements were analyzed. According to currently exist in the field of e-commerce information security technology, management, and other business applications are not clearly defined, its content is not congruent problem, the e-commerce information security technology and management two key standards development ideas are put forward.

electronic commerce, information security, standard

1）基金项目：国家质检总局科技计划项目“电子商务信息安全标准体系及其关键标准研制研究”（2013Qk063）；国家质检公益性行业科研项目“面向城市智慧安居共性技术标准研制与示范”（201310206）；浙江省重点软科学研究项目“智慧城市基础数据标准体系研究”（2014C25002）。