电子商务安全评估与管理

第十章电子商务平安评估与管理如果没有威胁，也就没有风险；如果没有漏洞，也就没有风险。10.1电子商务平安评估10.1.1风险管理风险的概念漏洞威胁目标代理事件威胁+漏洞＝风险10.1电子商务平安评估风险的识别与测量

风险的识别

识别漏洞

识别现实的威胁

检查对策和预防措施

识别风险

10.1电子商务平安评估风险的测量

资金时间

资源

信誉

10.1电子商务平安评估10.1.2平安成熟度模型平安方案技术和配置运行过程安全成熟度能力级别说明无效力（50％）总的安全体系结构没有遵从企业安全策略、法规，以及最佳经营实际需要改进（65%）安全体系结构中无效力的应少于35％合适（85％）企业的安全计划、部署、配置和过程控制使安全体系结构能满足总的目标极好（超过100％）安全体系结构超过了总的目标及要求10.1电子商务平安评估10.1.3威胁威胁的来源人为过失和设计缺陷内部人员临时员工自然灾害和环境危害黑客和其他入侵者病毒和其他恶意软件10.1电子商务平安评估威胁情况与对策社会工程(系统管理过程)电子窃听软件缺陷数据驱动攻击(恶意软件)拒绝效劳DNS欺骗源路由内部威胁10.1电子商务平安评估10.1.4平安评估方法平安评估过程网络平安评估平台平安评估应用平安评估10.1电子商务平安评估10.1.5平安评估准那么可信计算机系统评估准那么信息技术平安评估准那么通用平安评估准那么计算机信息系统平安保护等级划分准那么10.2电子商务平安立法10.2.1与网络相关的法律法规10.2.2网络平安管理的相关法律法规网络效劳机构设立的条件网络效劳业的对口管理互联网出入口信道管理计算机网络系统运行管理平安责任10.2电子商务平安立法10.2.3网络用户的法律标准用户接入互联网的管理用户使用互联网的管理10.2.4互联网信息传播平安管理制度从事经营性互联网信息效劳应具备的条件从事非经营性互联网信息效劳应提交的材料互联网信息效劳提供者的义务互联网信息效劳提供者不得制作、复制、发布、传播的信息10.2电子商务平安立法10.2.5其他法律法规有关网络有害信息的法律标准电子公告效劳的法律规定网上交易的相关法律法规10.3电子商务平安管理10.3.1平安管理的概念管理、平安管理和信息平安管理的概念关系管理的概念组成10.3电子商务平安管理10.3.3平安管理模型10.3电子商务平安管理10.3.4平安管理策略信息平安管理的任务信息平安管理的目标信息平安管理的对象信息平安管理的原那么策略指导原那么风险评估原那么预防为主原那么适度平安原那么立足国内原那么10.3电子商务平安管理成熟技术原那么标准标准原那么均衡防护原那么分权制衡原那么全体参与原那么应急恢复原那么持续开展原那么信息平安管理的程序1.方案2.执行3.检查4.行动信息平安管理的方法10.3电子商务平安管理10.3.5平安管理标准BS7799标准是由英国标准协会(BSI)制定的信息平安管理标准，是国际上具有代表性的信息平安管理体系标准。该标准包括以下两局部：．BS7799—1:1999?信息平安管理实施规那么?；．BS7799—2:1999?信息平安管理体系标准?。BS7799于1995年首次出版，它提供了一套综合的、由信息平安最正确实施组成的通用规那么，为工商业及大、中、小组织的信息系统在通常情况下所需的平安控制提供标准的参考基准。BS7799最新版本于1999年5月在BSI／DISC的BDD／2信息平安管理委员会的指导下制定完成，它取代了被废止的BS7799:1995。这一版充分考虑了信息处理技术，尤其是网络和通信领域应用的近期开展，同时还强调了电子商务所涉及的信息平安及信息平安的责任。思考题什么是风险？如何识别和测量风险？什么是平安成熟度模型？如何运用它来评估平安？简述平