电子商务非技术风险的防控对策范文

一、电子商务的技术风险

国内外研究普遍认为技术风险对电子商务的发展影响较大,但我们的研究表明在中国现实条件下,非技术风险的存在更会引起消费者(最终消费者和制品需求者)对网上商品提供商的不信任,从而影响电子商务的发展。根据《第18次中国互联网络发展状况统计报告》2006年7月最新调查[1],网民不进行网上交易的原因,有61·5%的人选择交易安全性得不到保障,有70·1%的网民的电脑在最近半年内受到过病毒或黑客的攻击,并且对内容的真实性、个人隐私的保护、安全性等感到非常满意的网民仅为2·9%。

另据加拿大《格瑞贝斯环球财经报道》[2]:中国企业在市场交易中因信用缺失、违反经济秩序等问题所造成的损失已占到中国GDP的20%,直接和间接经济损失每年高达5855亿元,相当于中国每年财政收入的37%,国民生产总值每年因此至少减少两个百分点,中国每年由于产品质量低劣或制假售假造成的各种损失达2000亿元,同时企业相互拖欠现象也非常严重。从8848以网上购物B2C业务起家,引领中国电子商务后又遭受挫折,到雅宝、搜房、美商网、索易等或清盘或卖掉的经历,无一不说明在我国电子商务非技术风险更应该值得关注和研究。

同时我们不难看出,在中国现阶段,困扰电子商务发展的问题不仅是技术的落后,而且还包括与之相关的体制障碍、社会诚信的缺乏和法制法规的效力不足以及社会普遍存在的贫富间的显著差距、失业等非技术因素,这些都会使从事电子商务活动的风险增加。

但目前对电子商务的研究大多倾向于电子商务应用、电子商务技术、电子商务政策法规环境等方面的讨论,对电子商务风险特别是非技术风险的研究却相对较少,至于研究如何建立起防范体系就更为少见了。本文试图从电子商务交易主体受攻击的角度出发,将电子商务非技术风险分为消费者所面临的风险、销售商所面临的风险、电子商务企业所面临的风险。并从交易主体受攻击前、受攻击时和受攻击后三个时间段来构建一个电子商务非技术风险的技术防范体系。

二、非技术风险的定义和分类

人们依据各自不同的视角对风险进行了不同的分类。A.H.Mowbray(1969)依据风险的可能结果是否带来盈利将风险分为纯粹风险(PureRisk)与投机风险(SpeculativeRisk)两类,保险专家A.H.Willet(1951)依据外部经济环境是否发生变化将风险分为静态风险(StaticRisk)与动态风险(DynamicRisk)两类,国内有些学者按导致风险损失的原因将风险分为自然风险(PhysicalRisk)、社会风险(So2cialRisk)、经济风险(EconomicRisk)、政治风险(PoliticalRisk)和技术风险(TechnologicalRisk)五类。以上对传统风险划分的三种视角(当然还有其他分类视角)对于电子商务风险而言也是合适的。

本文依据风险的来源,将电子商务风险分为技术风险(TechnologicalRisk)和非技术风险(Non-TechnologicalRisk)两类。所谓技术风险是指电子商务活动中,涉及终端设备及其连接介质的纯技术因素造成的风险;而非技术风险则是指电子商务活动中各种人为因素造成的风险。同时,由风险的基本理论得知,风险与三个因素直接有关,那就是自然状态的不确定性、人的主观行为及两者结合所蕴涵的潜在后果[3]。但目前对电子商务非技术风险的研究和分类主要集中在政策法规、环境和信用等方面。我们认为,风险的产生除了市场和社会约束、控制机制的失灵和不确定性之外,更离不开非技术的主体因素———人的行为。所以,本文的研究视角主要集中在电子商务交易主体(消费者、销售商、电子商务企业)中人的行为上,并从人在交易中由于本身的不合法攻击行为将电子商务非技术风险分为消费者面临的风险、销售商面临的风险和电子商务企业面临的风险。

1.消费者面临的风险

(1)虚假或恶意网站的人为攻击。虚假或恶意网站是指利用IE漏洞,嵌入恶意代码,在用户不知情的情况下,对用户的电脑进行篡改或破坏的网站。恶意网站一般都是为窃取访问者的身份证信息与口令、窃取信用卡信息、偷窥访问者的硬盘或从访问者硬盘中下载文件而设立的。攻击者的手段是设立一个恶意或虚假的网站,要求使用者注册并给出一个口令,口令是使用者自愿给出的,只有在这同一口令被使者同时应用于许多不同事务时,如自动取款机(ATM)、与工作有关的口令、家庭安全警报口令等,才可能对使用者造成危害。因此,在各种与因特网相关的事务中,一定要坚持使用不同的口令。

(2)隐私问题的人为攻击。电子商务时代,由于网络可以联接到世界各地乃至每一个家庭,各种信息将呈开放或者无序状态,并且直接涉及并威胁到每个家庭和个人的信息(隐私),在网上个人信息包括个人资料、消费习惯、阅读习惯、交往信息、通信信息等,都很容易被商家和网络经营者有意收集和利用,而这些收集和利用不仅会侵犯用户的一些隐私权,还可能成为其他侵权或骚扰行为的铺垫。据美国《商业周刊》进行的一项有关电子商务的隐私权方面的调查结果显示,大多数个人因担心个人隐私外泄而拒绝电子商务,所以企业实施电子商务时,一定要采取具体有效措施防止对第三方合法权利造成损害。否则,因此而被卷入各种侵权诉讼时,不但企业运作的电子商务模式或者项目可能会被迫夭折,更有可能对企业的商誉、经济利益造成毁灭性的打击[4]。目前我国还没有针对个人隐私保护的法律,并且在其他的法律法规中相关规定也很单薄,隐私权保护尤其是网络与电子商务中的隐私权保护,在我国法律界还是一个新的课题。

(3)网上存在的有害信息对消费者的不良影响。网上有害信息是指危害国家安全,煽动民族分裂,散布谣言,扰乱社会秩序,影响社会稳定,宣扬邪教和封建迷信,传播淫秽、色情、暴力、等信息。目前,网上有害信息的涵盖范围已相当广泛,既包括政治法律领域也包括商务生活领域的不道德及不良文化信息、侵权信息、欺诈信息及与教唆犯罪有关的信息等。

2.销售商面临的风险

(1)拒绝服务攻击。拒绝服务攻击广义上指任何导致服务器不能正常提供服务的攻击。确切地说,拒绝服务攻击是故意攻击网络协议实现的缺陷或直接通过各种手段耗尽被攻击对象的资源,目的是让目标计算机或网络无法提供正常的服务,使目标系统停止响应甚至崩溃。这些服务资源包括网络带宽、文件系统空间容量、开放的进程或者允许的连接等。拒绝服务攻击被用于破坏、关闭或削弱某一电脑或网络的资源,这一攻击的目的是通过使目标网站的通信端口与记忆缓冲区满溢,达到阻止合法信息与合法联接服务要求的接收[5]。

(2)数据被窃。对于那些以数字化形式存贮的,并连接到公共通信线路上的数据文件来说,偷窃者可能通过某种手段很容易将之窃走,而且窃贼可以远隔千里或远隔重洋作案。另外如果窃贼害怕暴露,只要马上断开连接,就很难查到他的踪影。

(3)域名被抢注。在电子商务发展的初期,人们对域名的重要性并没有充分认识,许多企业、公司疏于对网络世界的关注,对自己的公司名称、商标、商号、个人姓名等未进行及时的域名注册,结果导致与他们相关的名称被他人以相同或者近似的名称抢先注册,给企业或其他组织造成较大的损失。

(4)客户假冒。即客户与他们所自称的身份不一致。如果假客户把自己装扮成合法客户,他们就能以各种目的来订购商品与服务了,目的之一就是订购某种免费服务或商品,比如购买或下载软件,以一个假用卡号付款。另一个目的就是让货物发出,而没有任何接货或付款的打算。这种虚假订货技术的恶意使用可以出自种种原因:一是黑客从这种闹剧的成功中所得到的自我满足;二是打击那些有关政策或规定与黑客个人观点不相符的公司;三是损害竞争对手或前雇主的公司利润及客户关系。

3.电子商务企业面临的风险

电子商务企业是指以商业贸易和计算机网络技术的发展为基础,以企业电子化、信息化为核心,以新的交易方式为手段为消费者和销售商提供服务和交易平台的电子商务实体[6]。电子商务企业面临的风险主要有:

(1)企业内部网的黑客攻击。许多企业已经开始构建内部网Intrane,t随着网络技术的发展,企业可以将自己的Intranet同其他企业的Intranet或开放的Internet网相连,构成强大的网络通讯世界[4]。据统计,对网络系统的攻击有85%是来自企业内部的黑客。这些黑客,可能是企业从前的雇员,也可能是在职员工。企业内部网的风险主要有两种:金融诈骗、盗取文件或数据。金融诈骗是指更改企业计算机内财务方面的记录,以骗得企业的钱财或为减免税等。这种风险的作案手段很多,有采用黑客程序的,更多的则是贿赂有关操作人员。盗取文件或数据是一种很常见的黑客方式。由于Intranet将各个雇员的计算机同企业各种重要的数据库、服务器等连接起来,所以雇员进行越权访问和复制机密数据或文件的机会就会大大增加。

(2)外部网的人为破坏。包括黑客用户的恶意攻击、窃取信息,网络传送的病毒和电子邮件夹带的病毒,来自于Internet浏览可能存在的恶意Java/ActiveX控件,等等。三、非技术风险的识别和评估预先识别风险并及时有效地进行处理对于减少风险是十分重要的。所谓风险识别就是分析风险的来源及特征。[7]

电子商务非技术风险识别的手段包括:向风险管理顾问咨询、财务报表分析、对设备及运营状况进行检查、与其他部门交流、相对历史资料的回顾与分析等[8]。利用解释结构模型法[9]识别电子商务非技术风险也是十分有效的。该法从电子商务系统进行分析,对杂乱堆积的风险因素进行结构性分析,对可能的风险进行识别在风险识别的基础上需要对这些风险进行评估和分析,全面、准确地评估这些风险对企业可能产生的影响非常关键,因为它们是开展风险控制和风险融资的基础。目前常用的企业电子商务风险评估方法主要有以下几种:

1.合理预测

在预测中引入反馈,信息联系使风险的辨识更加准确[10](其结构如图2所示),这种方法的主要问题是找出闭环的平衡点及其概率分布。

2.风险树

对风险进行逐步分解、细化,形成树状结构,即风险树。对风险树还可以进行进一步的分析和处理,例如可以用来确定风险的概率,这就需要找出所有可能性及其相互联系,标出各种风险的概率,然后对其进行计算,形成风险概率树。对于那些不能用以上方法解决的问题,专家调查的方法就得到了广泛的应用,主要有以下两种:①头脑风暴法。这是一种刺激创造性、产生新思想的技术。它由美国人奥斯本于1939年首创。这种方法用于风险识别,根据风险识别的特点做出相应的修改[11]。②德尔菲法。这种方法是由美国著名的咨询机构兰德公司于20世纪50年代初发明的,它具有三个特点:参加者相互之间匿名;对各种反映进行统计处理;带有反馈地反复地进行意见测试[12]。在对预测结果处理时,专家的倾向性和一致性是主要考虑的两个方面。倾向性是指专家意见的主要倾向是什么或大多数意见是什么,统计上称此为集中趋势;一致性是指专家在此倾向性意见分散到什么程度,统计上称为离散趋势。专家的倾向性意见常被作为主要参考依据,而一致性程度则表示这一倾向性意见参考价值的大小或其权威程度的大小。

3.综合风险分析

综合风险分析的基本步骤如下:①组织头脑风暴专家小组,这个小组可以通过网络进行意见交换,而专家的思想都是根据自己的专业背景及经验对事件的分析而得出的风险因素。②对头脑风暴专家小组提出的思想进行组合及分类,归结为一组具有特殊形式的明确问题,然后通过德尔菲专家小组,对以上问题进行评估,并对这些信息进行反馈,利用德尔菲方法使意见收敛,得出确切的风险因素及其可能的概率分布。应该注意的问题是,德尔菲专家小组的成员比头脑风暴专家小组成员应具有更深的专业知识和实践背景。③不断反复利用德尔菲方法来预测企业未来状态,以形成众多远景,向决策人员提供某种未来商机最可能发生的、最好的和最坏的前景,并详细地给出这三种情况下可能发生的概率和风险,供决策时参考。综合分析方法可以完成风险分析的主要工作,防止风险分析只围绕分析者目前的价值观和信息水平进行。

4.模型评估

通过建立数学模型,运用概率论和数理统计的方法对风险进行定量评估,比如对某特定风险事件发生的概率进行估算,对该风险事件发生后可能造成的损失值进行估算。模型评估的结果虽较定性方法要精确一些,但对所需样本数量及其质量均有一定要求,而未来事件本身又具不确定性,因此,该法和定性方法相结合运用效果会更好。

四、非技术风险的技术防范策略

1.攻击发生前的防范

(1)防火墙技术。防火墙是设置在被保护网络和外部网络之间的一道屏障,以防止发生不可预测的、潜在破坏性的侵入。它是不同网络或网络安全域之间信息的唯一出入口,能根据企业的安全政策控制(允许、拒绝、监测)出入网络的信息流,且本身具有较强的抗攻击能力。它是提供信息安全服务,实现网络和信息安全的基础设施。防火墙可通过监测、限制、更改跨越防火墙的数据流,尽可能地对外部屏蔽网络内部的信息、结构和运行状况,以此来实现网络的安全保护。它可以实现保护脆弱的服务、控制对系统的访问、集中的安全管理、增强的保密性、记录和统计网络利用数据以及非法使用数据[13]。防火墙提供了制定和执行网络安全策略的手段。除了安全作用,防火墙还支持具有Internet服务特性的企业内部网络技术体系VPN。通过PN,将企业在地域上分布在全世界各地的LAV或专用子网有机地联成一个整体。不仅省去了专用通信线路,而且为信息共享提供了技术保障。

(2)信息加密技术。数据加密技术是网络中最基本的安全技术,主要是通过对网络中传输的信息进行数据加密来保障其安全性,这是一种主动安全防御策略,用很小的代价即可为信息提供相当大的安全保护。经过加密后,攻击者无法理解一个适当加密的数据包。一个采用适当密钥进行加密的数据包,用不适当密钥将不可能解密成为任何可理解的东西。这极大地限制了攻击者注入虚假报文的能力。

(3)认证技术。电子商务的认证是保证电子商务安全的必要措施之一。所谓认证,就是通过认证中心对数字证书进行识别。网络的虚拟性使得要保证每个参与者都能被无误地识别,就必须使用身份认证技术。身份认证技术包括数字证书、数字签名、数字时间戳、信息摘要等多种技术。这些技术的采用,就可以在电子商务中建立起信任关系[14]。随着科学技术的发展,身份认证技术也会不断完善。认证分为实体认证和信息认证,这里的实体是指个人、客户程序或服务程序等参与通信的实体。实体认证是对这些参与通信实体的身份认证。对用户身份的认证,密码是最常用的,但由于许多用户采用了很容易被破解的密码,使得该方法经常失效。信息认证是对信息体进行认证,以决定该信息的合法性。信息认证发生在信息接收者收到信息后,使用相关技术对信息进行认证,以确认信息的发送者是谁,信息在传递过程中是否被篡改等。

(4)安全协议。安全协议是指国际组织为保证Internet运行的安全,相继制定的一些安全规范。目前国际上通行的安全协议主要有安全套接层协议(SSL),安全的超文本传输协议(S-HTTP)、安全电子交易规范(SET)等。

(5)漏洞扫描技术。漏洞扫描技术是检测远程或本地系统安全脆弱性的一种安全技术,通过与目标主机TCP/IP端口建立连接并请求某些服务(如TELNET/FTP等),记录目标主机的应答,搜集目标主机相关信息(如匿名用户是否可以登录等),从而发现目标主机某些内在的安全弱点,漏洞扫描技术的重要性在于把极为繁琐的安全检测,通过程序来自动完成,不仅可以减少管理者的工作,而且缩短了检测时间,使问题发现得更快。当然,也可以认为扫描技术是一种网络安全性评估技术。一般而言,扫描技术可以快速、深入地对网络或目标主机进行评估。漏洞扫描是对系统脆弱性的分析评估,能够检查、分析网络范围内的设备、网络服务、操作系统、数据库系统等系统的安全性,从而为提高网络安全的等级提供决策的支持。系统管理员利用漏洞扫描技术对局域网络、Web站点、主机操作系统、系统服务以及防火墙系统的安全漏洞进行扫描,可以了解在运行的网络系统中存在的不安全的网络服务,在操作系统上存在的可能导致黑客攻击的安全漏洞,还可以检测主机系统中是否被安装了窃听程序,防火墙系统是否存在安全漏洞和配置错误等等。网络管理员可以利用安全扫描软件这把双刃剑,及时发现网络漏洞并在网络攻击者扫描和利用之前予以修补,从而提高网络的安全性。

2.攻击过程中的防范

(1)入侵取证技术。它是指利用计算机软硬件技术,按照符合法律法规的方式,对计算机网络入侵、破坏、欺诈、攻击等犯罪行为进行识别、保存、分析和提交数字证据的过程。其中一个关键环节类似于飞机上的黑匣子,它将记录所有网络上发生的入侵事件,有了入侵取证技术,我们便可以根据记录信息对入侵事实予以确认并解释入侵过程,据此找到入侵者或入侵机器,从而对入侵事件起到证据保存、协助追查的作用,这也对黑客的攻击行为起到极大的震慑作用。

(2)网络陷阱技术。它通过提供虚假信息迫使攻击者攻击“陷阱机”,既浪费了攻击者的时间,减弱了其后续攻击力量,又可获得攻击者的攻击手法和动机等相关信息,便于我们及时采取防范措施,从而保护真正的服务器的安全,提高网络的安全防护性能。它包括:伪装技术、诱骗技术、引入技术、信息控制技术、数据捕获技术及数据统计和分析技术等。

(3)入侵检测技术。入侵检测技术是继“防火墙”、“数据加密”等传统安全保护措施后新一代的安全保障技术。它可以对计算机和网络资源上的任何恶意使用行为进行识别和响应,不仅可以检测来自外部的入侵行为,同时也可以监督内部用户的未授权活动。[15]入侵检测技术可以从各种各样的系统和网络资源中采集信息(系统运行状态、网络流经的信息等),并对这些信息进行分析和判断,及时发现入侵和异常的信号,为做出响应赢得宝贵时间,必要时还可直接对攻击行为做出响应,将攻击行为带来的破坏和影响降至最低。其主要技术有:数据收集技术、攻击检测技术、响应技术。

(4)自动恢复技术。自动恢复技术针对服务器上的关键文件和信息进行实时地一致性检查,一旦发现文件或信息的内容、时间等被非法修改就及时报警,并在极短的时间内进行恢复,其主要技术包括:备份技术、冗余技术、恢复技术、远程控制技术。

3.攻击后的应对

我们可以利用防火墙、入侵检测系统等技术手段对所有错误操作的危险动作和蓄意攻击行为保留详尽的记录,而且记录在一台专用的安全主机上,这样可以在攻击后通过这些记录来分析黑客的攻击方式,弥补系统漏洞,防止再次遭受攻击,并可进行黑客追踪和查找责任人。

同时,我们也看到,建立在电子商务交易主体受攻击视角的电子商务非技术风险所伴随的网络攻防作为伴随网络信息化发展的一对矛盾体,在当前乃至今后都将继续作为网络信息化发展的主旋律而存在。而从纷乱复杂的网络攻击中我们也可以循迹摸索出各种网络攻击的特点,有的放矢地研制各种防护方法或工具。更重要的是,实践证明,网络安全和风险防范实际上是三分技术、七分管理。加强管理是保证网络安全的根本指导思想,而实现管理方式的一些技术方法将用以保障网络安全。这除了要不断总结攻击方法,填补系统漏洞外,还需要加强网络资源和操作人员的管理,不断摸索出新的管理方式、方法。这是过去、现在乃至未来对抗网络攻击、提高网络安全、减少电子商务非技术风险的根本途径。在研制新防护技术的同时,我们更需要查漏补缺,加强各种管理方式和正负反馈机制,从源头上杜绝网络安全隐患,提高电子商务非技术风险的防范能力,同时借助现有的防护措施,提高网络的安全性。