电子商务安全技术策略与管理课件

《电子商务安全技术策略与管理课件》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第七章电子商务安全策略1TechnologyofElectronicBusinessSecurity2011年10月16日本章学习内容：安全策略概述网络安全策略主机安全策略设施安全策略攻击防范策略病毒防范策略（略）系统开发、运行和维护策略数据管理策略安全交易策略组织安全策略2TechnologyofElectronicBusinessSecurity2011年10月16日7.1安全策略概述电子商务安全策略:企业在电子商务中关于安全的纲领性的条例,用于指导安全管理，保证电子商务信息安全。安全策略文件应包括：对安全的定义，其总体目标和范围，安全作为电子商务保障机制的重要性。支持安全目标和

2、原则的管理意向声明。安全政策、原则、标准/应达到要求的解释。安全管理的权责的定义。用以支持政策的文献援引。3TechnologyofElectronicBusinessSecurity2011年10月16日7.1安全策略概述（Cont.）安全策略是安全的基础。构建适当的安全体系结构的依据。相关人员操作和安全管理的标准。安全控制的准则。安全策略应向每个使用者传达。4TechnologyofElectronicBusinessSecurity2011年10月16日7.1安全策略概述（Cont.）安全策略制定原则需求、风险、代价平衡分析的原则综合性、整体性原则一致性原则：安全体系与安全需求

3、一致。易操作性原则：安全体系不能太复杂，影响实施、管理及系统效率。适应性、灵活性原则：能适应需求及系统的变化。多重保护原则：安全体系有层次性。5TechnologyofElectronicBusinessSecurity2011年10月16日7.1安全策略概述（Cont.）安全策略检查和审订。按既定程序对安全策略进行定期检查和审订，反映风险评估方面所发生的新变化，譬如重大安全事故、组织或技术基础设施上出现的新漏洞等。具体包括：策略的有效性（可通过记录在案的安全事故的性质,数目和影响来论证）。对运营进行管制的成本和影响。技术变化的影响。6TechnologyofElectronicBu

4、sinessSecurity2011年10月16日7.1安全策略概述（Cont.）系统安全策略的制定制定安全策略考虑的有关项目网络系统。业务。信息。用户管理。安全策略的制定方法根据风险分析，确立安全方针(目标、原则、范围、要求)。依照该方针从上面所列项目中选择必要的内容或根据需求追加部分内容来制定。7TechnologyofElectronicBusinessSecurity2011年10月16日7.1安全策略概述（Cont.）安全模型-纵深防御策略周边防御网络防御主机防御应用程序防御数据防御物理安全图7-1纵深防御层次8TechnologyofElectronicBusinessS

5、ecurity2011年10月16日7.2网络安全策略防止对网络的非法访问或非授权使用。监视日志启用网络访问日志。日志的内容至少可确定访问者的情况。保证日志本身的安全。对日志进行定期检查。将日志保存到下次检查时。9TechnologyofElectronicBusinessSecurity2011年10月16日7.2网络安全策略（Cont.）对不正当访问的检测能够检测不正当访问并通知安全管理员。隔离非授权访问。设置对网络及主机等工作状态的监控功能。若利用终端进行访问，那么对该终端设置指定功能。设置发现异常情况时，能够使网络、主机等停止工作的功能。10TechnologyofElect

6、ronicBusinessSecurity2011年10月16日7.2网络安全策略（Cont.）网络连接与不可信网络的连接应限定在最小范围（功能、线路和主机）。与不可信网络连接时，监控预防对系统的不正当访问。设置对连接通道负荷状况的监视功能。发现异常情况时，应根据需要断开与与不可信网络的连接。11TechnologyofElectronicBusinessSecurity2011年10月16日7.2网络安全策略（Cont.）依据口令进行认证用户必须设定口令，并做到保密。指导用户他们尽量避免设定易猜测的口令，并在系统上设置拒绝这种口令的机制。指导用户定期更改口令，并在系统中设置促使更改

7、的功能。限制口令的输入次数。在用户忘记口令时，能提供口令提示，帮助恢复口令。对口令文本采取加密方法。12TechnologyofElectronicBusinessSecurity2011年10月16日7.2网络安全策略（Cont.）在网络访问登录时，进行身份识别和认证。按照系统的安全需求选择身份认证方法。设定可以确认前次登录日期与时间的功能。用户身份识别（用户ID）管理对因退职、调动、长期出差等不再需要或长期不使用的用户ID予以注销或锁定。对长期未登记的