不安全系统中的商务风险与管理PPT课件(-28页)

1、不安全系统中的商务风险与管理0301 了解不安全网络和企业内部网络相关的风险 掌握商业交易过程中数据传输风险和风险控制手段 掌握风险管理模式和顺序过程 理解智能代理与电子商务的关系及其影响本章教学目标本章关键术语 不安全网络 风险管理模式 第三方保证 智能代理03011 与不安全通信网络相关的风险本节讲述接入不安全网络，尤其是Internet从事一系列商务（如：外部电子邮件、内部地理上相分隔的部门间的电子邮件、市场营销、电子销售和采购系统）所面临的风险。03011.1 与不安全通信网络相关的风险虚假的或恶意的网站 窃取访问者的身份证信息与口令、窃取信用卡信息、偷窥访问者的硬盘或从硬盘中上载文件

2、注册、虚假商业活动、“虫子”从销售代理及Internet服务商（ISP）处窃取用户数据 信用卡信息保存在销售代理或ISP处信用卡信息失窃隐私与cookies的使用隐私权组织的反对用户首次访问网站，Cookies文件建立，分配用户身份号码，提高了网站访问的效率Cookies被营销公司利用03011.2 销售代理所面临的风险销售代理与消费者同样都面临电子商务风险 客户假冒 假冒他人订购免费服务或商品收货拒付拒绝服务DoS袭击拒绝服务袭击用于破坏、关闭或削弱某电脑或网络资源难以防范、追查SYN淹没数据的失窃 03012 与企业内部网相关的风险对于许多大型企业而言，公司企业内部网的维护与安全已经变得像

3、一只难驯的野兽一般棘手。在一些大型企业中，单是能够及时了解企业内部网的数目及其确切位置就是一个不小的难题。内部黑客的威胁03012.1 离职员工的破坏活动离职员工真会对以前的雇主及其电脑系统进行报复性活动吗？1998年的CSI/FBI调查显示，89%的公司认为心怀不满的员工会进行这类袭击。 03012.2 在职员工的威胁在职员工也会给企业的电脑系统造成严重破坏。嗅探器 嗅探企业内部网信息（消息、文件、用户身份、口令）如果由一条共享渠道传输，就存在着被另一个电脑站点截取的可能数据下载内部数据资料共享电子邮件假冒社交伎俩电话、短信诱骗03013 贸易伙伴间商业交易数据传输中的风险3.1 企业内部网

4、、企业外部网及互联网之间的关系 企业外部网是从事合作业务的贸易伙伴之间，包括供应商、客户、流通服务商及任何其他商家，利用Internet技术连接在一起的集团网络。企业外部网与互联网的区别何在？为这个问题做一个清楚的答案并不容易。企业外部网可以使用互联网的路径与互联网服务供应商（ISP）传送数据。互联网服务供应商就是通过提供互联网接入服务而赢利的公司。 03013.2 数据截取在经过Internet的数据传输问题上，无论是在形成企业外部网连接的两个公司之间，还是在个体用户与网上销售代理或服务商之间，数据截获都是一个很大的顾虑。图6-4显示了公司通过互联网传送数据所面临的风险。 图64 通过互联网

5、传送的信息所面临的风险0301 3.3 受保密措施维护的档案文件、主文件与参考数据所面临的风险 假如一名黑客闯入了系统，他都能造成什么危害呢？最为可能的危害是： 毁坏数据恶意的作恶者会删除重要交易或主文件数据，意图是破坏公司的运营。 改动数据恶意的作恶者会改动数据。 未经授权使用数据作恶者会利用数据赢得对其竞争对手的主动。 改动应用程序作恶者会改动一个程序，从而导致它的错误运算。03014风险管理模式 风险本身并不是一个坏事；风险是发展所不可或缺的因素，而失败往往又是增长知识的重要因素。但我们必须学会在风险潜在的负面影响与其相关机遇所带来的潜在效益之间把握好一个平衡。用来减少损失或伤害可能性的

6、方法就是人们所称的风险管理。 4.1 风险管理模式 图6-5描述了一个风险管理模式（risk management paradigm）。该模式是一个连续的过程，它的设计是基于这样一种认识，即风险管理是一个连续不断的过程。图5 .风险管理模式03014.2 电子商务风险类型 电子商务是新的商业模式，也就有新商业的特征。作为新的商业模式，其风险类型有：1、完整性风险 （1）用户界面（user interface） （2）处理（processing） （3）错误处理（error proccssing） （4）界面（interface） （5）变化处理（change management） （6）数据

7、（data） （7）接入风险业务流程（business process） 应用软件（application） 数据和数据管理（data and management） 流程的环境（processing environment） 网络（network） 硬件设备（physical）03012、基础设施风险 基础设施风险（infrastructure risk）指企业不具备完整的信息技术基础设施而造成的风险。 基础设施风险有下列内容： 组织计划（organization planning） 应用系统的定义和开发（application systems definition and deployme

8、nt） 逻辑安全和安全管理（logical security and security administration） 计算机和网络操作（computer and network operations） 数据和数据库管理（data and database management） 核心业务数据恢复（business data center recovery）03013、 获得性风险 获得性风险（availability risk）是指企业在获得数据时的风险，如破坏者经常利用邮件轰炸来阻碍服务，或者对服务系统提出虚假请求，这给网络用户提供服务带来了一种危险。 通过事先对行为的监督和对系统问题的解

9、决，能够避免此类的风险。 获得性风险与系统的短期中断相关联 获得性风险与信息处理过程长时间中断也有关联，其重点是诸如备份与应急计划等控制手段。4、其他与商务相关的风险 正确性风险（validity risk） 效率风险（efficiency risk） 周期性风险（cycle time risk） 报废风险（obsolescence risk） 业务中断风险（business interruption risk） 产品失败风险（product fail risk）03014.3 内部控制体系1、控制环境 控制环境包括以下因素： 品行、职业道德和能力 董事会的指导及关注程度 管理层的管理哲学与经

10、营风格 权力和责任的分配 人力资源政策和措施2、风险评估 风险和风险管理在其它地方已经讨论过。风险评估是设计、评价内部控制体系的一个重要组成部分。在企业层次上，需要考虑的风险： 外部因素 内部因素03013、控制行为 信息系统控制分为两组：综合控制（general control）和应用控制（application control），图6列举了这两组控制的内容。图6 信息系统控制0301 4、信息与沟通 良好的沟通渠道可以确保反馈信息及时传达给相关主管人员，在安全评估各层次之间，计划与执行各阶段之间，都应该有沟通渠道。5、监控 高效的监控应该是一个不断进行的过程而不是某一个孤立事件。如果发现问

11、题，而指定人员由于工作繁忙无法做出反应，公司的安全政策与实际做法之间就会出现安全漏洞，在这种情况下，实行响应报告制度是十分必要的。响应报告制度要求有关人员记录下他们针对报告的情况所采取的具体措施。03014.4 内部控制在风险管理中的作用 除了传统的独立审计职能外，作为新的会计师职能，内部控制的作用范围正在日趋扩充到整个电子商务行业，尤其在信息系统。普华永道是能够提供这类服务的代表，它有一个全球风险管理服务（GRMS）分部，它可以提供下列服务： 1、战略性风险管理 2、金融风险管理 3、 运作与系统风险管理 4、 技术风险服务 5、 具体部署服务 6、 环境服务 03015 控制风险与实施计划

12、5.1 控制支出不足与控制支出风险 控制支出不足（control weakness）一词用来形容实施控制的成本小于预期利润的情况。控制支出风险（control risk）一词则用来形容额外控制的预期利润可能不会超过实施和保持这些控制的成本的情况。 图 7 风险程度与相关费用03015.2灾害拯救计划 即使是设计最好的系统也避免不了自然灾害。因此，所有的公司应该制定一个灾害拯救计划（disaster recovery plan），其目的是为了在因不可预见的人或自然灾害发生而造成操作中断时能恢复操作。1、灾害拯救计划的目标 完善的拯救应涉及以下目标： 评估薄弱环节 防止和减少风险 设计出高效益-低

13、成本的解决方案 最大限度地减少业务中断，保障业务的继续进行 提供被选的互联网接入模式 恢复丢失的数据 提供灾害拯救的步骤 训练雇员熟悉灾害拯救步骤2、备用第二地址 服务器的连续性是评判灾害拯救计划好坏的关键因素。如果公司原地址不能服务，那么就需要第二地址来继续服务。03016 电子商务的第三方保证 什么是电子商务的第三方？广义地说，是电子商务交易双方以外的部门或机构。第三方主要是完成商务背景的处理，起到商务运作中的标准制定、合法性确认、影响机制和纠纷解决等作用，以降低电子商务运作中双方交易的风险，这一些就是电子商务的第三方保证。1 标准制定 为了降低交易的风险，标准制定必须涵盖交易的全过程，主

14、要包括：数据安全、商业政策、交易处理完整性、数据私密和网站标记等。2 合法性确认 必须在符合电子商务法律规范的框架下，还要包括： 建立行业支持这种规范的认证； 外部中介机构促使认证过程的合法化； 公司的优良承诺保证交易执行，减少或杜绝“柠檬”问题。03013 影响机制 影响机制能够刺激交易双方履行义务，以减少交易双方的风险。借助信息中间媒介（information intermediaries）的服务和网站标记，可以有效低刺激影响机制。信息中间媒介指的是专门从事于不同行业生产的产品和服务的质量进行评估的公司或组织。这种组织对消费者交易双方有很大的促进作用。4 解决纠纷 解决纠纷的手段主要有直接

15、谈判、诉诸法律或者采用武力等。解决纠纷的机构或组织，除了传统法律机构外，网上法庭、认证机构、网站标记组织等等，应该在各自的范围内，促使纠纷的解决。03017 智能代理与电子商务7.1 智能代理的定义 智能代理是一种辅助使用者并代表其行动的软件。智能代理的工作原理就是让使用者向代理软件分派（delegate）他们本来可以自己执行的任务。代理可以像助理一样自动执行重复任务，记住你忘记的事情，智能化地总结复杂的数据，向你学习，甚至并向你建议。7.2 智能代理的能力 智能代理能够执行许多功能。吉尔伯特（Gilbert，1997）定义了三个主要标准：代理、智能、移动性。 代理。能够进行自主行动的程度 智

16、能。能够理解其自身内部状态和外部环境的程度智能水平可以根据其反应、适应、采取主动的能力进一步分类。 灵活性（也称为代理的交际性）。代理的灵活性是指软件在不同机器之间移动并在外部计算机上执行某些工作的能力。 03017.3 代理组合 多个代理一起工作来达成多样的、然而是独立目标的系统和环境称为代理组合（agent society）。设计代理组合时头脑中至少要记住以下五个特点： 开放性 组合的复杂性 界面技术 协商 内部控制方法7.4 智能代理与电子商务 智能代理可能通过很多途径影响电子商务。它们可能是： 帮助实体更有效、更高效地找到他们的目标顾客，包括为了营销目的以及运送商品或信息服务。 帮助顾

17、客更有效、更高效地搜集产品信息并进行价格和产品特点的比较； 向顾客提供更用户化的服务； 帮助企业更有效、更高效地观察环境，以便与新的发展同步； 为企业开发新的地区时常； 提高电子交易谈判的速度和效率 0301图10 应用智能代理的电子商务03017.5 代理的局限性 代理技术有其有前途的一面，但它也有它的局限性。Jennings和Woolridge（1998）指出了代理模式的三种局限：1、没有总体系统控制器（system controller） 代理技术对下列系统并不合适：必须维持全球限制的系统；必须保障实时反应的系统；必须比开死锁或活锁的系统。2、非全球视角（global perspecti

18、ve）观点 代理的当地情况决定了代理的行为。从全球的观点来看，代理可能因其“狭隘的视野”而做出次优的决策。多代理系统必须提高合作和谈判技术，以便能产生更多的最佳全球决策。3、信任（trust）和委托（delegation） 个体必须信任代理所使用的基本技术和代理的实际知识基础，以便能放心地把工作委托给代理。 7.6 代理与安全 代理具有灵活的特点，而这种灵活性带来了安全问题。要求在远程计算机上执行程序的灵活的代理对安全系统提出了挑战。在代理模块中出现恶性代码的危险是存在的。管理者必须意识到允许代理组合运行的系统所面临的风险。 03015、世上最美好的事是：我已经长大，父母还未老;我有能力报答，

19、父母仍然健康。6、没什么可怕的，大家都一样，在试探中不断前行。7、时间就像一张网，你撒在哪里，你的收获就在哪里。纽扣第一颗就扣错了，可你扣到最后一颗才发现。有些事一开始就是错的，可只有到最后才不得不承认。8、世上的事，只要肯用心去学，没有一件是太晚的。要始终保持敬畏之心，对阳光，对美，对痛楚。9、别再去抱怨身边人善变，多懂一些道理，明白一些事理，毕竟每个人都是越活越现实。10、山有封顶，还有彼岸，慢慢长途，终有回转，余味苦涩，终有回甘。11、人生就像是一个马尔可夫链，你的未来取决于你当下正在做的事，而无关于过去做完的事。12、女人，要么有美貌，要么有智慧，如果两者你都不占绝对优势，那你就选择善

20、良。13、时间，抓住了就是黄金，虚度了就是流水。理想，努力了才叫梦想，放弃了那只是妄想。努力，虽然未必会收获，但放弃，就一定一无所获。14、一个人的知识，通过学习可以得到;一个人的成长，就必须通过磨练。若是自己没有尽力，就没有资格批评别人不用心。开口抱怨很容易，但是闭嘴努力的人更加值得尊敬。15、如果没有人为你遮风挡雨，那就学会自己披荆斩棘，面对一切，用倔强的骄傲，活出无人能及的精彩。5、人生每天都要笑，生活的下一秒发生什么，我们谁也不知道。所以，放下心里的纠结，放下脑中的烦恼，放下生活的不愉快，活在当下。人生喜怒哀乐，百般形态，不如在心里全部淡然处之，轻轻一笑，让心更自在，生命更恒久。积极者

21、相信只有推动自己才能推动世界，只要推动自己就能推动世界。6、人性本善，纯如清溪流水凝露莹烁。欲望与情绪如风沙袭扰，把原本如天空旷蔚蓝的心蒙蔽。但我知道，每个人的心灵深处，不管乌云密布还是阴淤苍茫，但依然有一道彩虹，亮丽于心中某处。7、每个人的心里，都藏着一个了不起的自己，只要你不颓废，不消极，一直悄悄酝酿着乐观，培养着豁达，坚持着善良，只要在路上，就没有到达不了的远方！8、不要活在别人眼中，更不要活在别人嘴中。世界不会因为你的抱怨不满而为你改变，你能做到的只有改变你自己！9、欲戴王冠，必承其重。哪有什么好命天赐，不都是一路披荆斩棘才换来的。10、放手如拔牙。牙被拔掉的那一刻，你会觉得解脱。但舌头总会不由自主地往那个空空的牙洞里舔，一天数次。不痛了不代表你能完全无视，留下的那个空缺永远都在，偶尔甚至会异常挂念。适应是需要时间的，但牙总是要拔，因为太痛，所以终归还是要放手，随它去。