不安全系统中的商务风险与管理课件.ppt

《不安全系统中的商务风险与管理课件.ppt》由会员分享，可在线阅读，更多相关《不安全系统中的商务风险与管理课件.ppt（28页珍藏版）》请在三一办公上搜索。

1、0301,不安全系统中的商务风险与管理,0301,了解不安全网络和企业内部网络相关的风险 掌握商业交易过程中数据传输风险和风险控制手段 掌握风险管理模式和顺序过程 理解智能代理与电子商务的关系及其影响,本章教学目标,本章关键术语,不安全网络 风险管理模式 第三方保证 智能代理,0301,1 与不安全通信网络相关的风险,本节讲述接入不安全网络，尤其是Internet从事一系列商务（如：外部电子邮件、内部地理上相分隔的部门间的电子邮件、市场营销、电子销售和采购系统）所面临的风险。,0301,1.1 与不安全通信网络相关的风险,虚假的或恶意的网站 窃取访问者的身份证信息与口令、窃取信用卡信息、偷窥访

2、问者的硬盘或从硬盘中上载文件注册、虚假商业活动、“虫子”从销售代理及Internet服务商（ISP）处窃取用户数据 信用卡信息保存在销售代理或ISP处信用卡信息失窃隐私与cookies的使用隐私权组织的反对用户首次访问网站，Cookies文件建立，分配用户身份号码，提高了网站访问的效率Cookies被营销公司利用,0301,1.2 销售代理所面临的风险,销售代理与消费者同样都面临电子商务风险 客户假冒 假冒他人订购免费服务或商品收货拒付拒绝服务DoS袭击拒绝服务袭击用于破坏、关闭或削弱某电脑或网络资源难以防范、追查SYN淹没数据的失窃,0301,2 与企业内部网相关的风险,对于许多大型企业而言

3、，公司企业内部网的维护与安全已经变得像一只难驯的野兽一般棘手。在一些大型企业中，单是能够及时了解企业内部网的数目及其确切位置就是一个不小的难题。内部黑客的威胁,0301,2.1 离职员工的破坏活动,离职员工真会对以前的雇主及其电脑系统进行报复性活动吗？1998年的CSI/FBI调查显示，89%的公司认为心怀不满的员工会进行这类袭击。,0301,2.2 在职员工的威胁,在职员工也会给企业的电脑系统造成严重破坏。嗅探器 嗅探企业内部网信息（消息、文件、用户身份、口令）如果由一条共享渠道传输，就存在着被另一个电脑站点截取的可能数据下载内部数据资料共享电子邮件假冒社交伎俩电话、短信诱骗,0301,3

4、贸易伙伴间商业交易数据传输中的风险,3.1 企业内部网、企业外部网及互联网之间的关系 企业外部网是从事合作业务的贸易伙伴之间，包括供应商、客户、流通服务商及任何其他商家，利用Internet技术连接在一起的集团网络。企业外部网与互联网的区别何在？为这个问题做一个清楚的答案并不容易。企业外部网可以使用互联网的路径与互联网服务供应商（ISP）传送数据。互联网服务供应商就是通过提供互联网接入服务而赢利的公司。,0301,3.2 数据截取在经过Internet的数据传输问题上，无论是在形成企业外部网连接的两个公司之间，还是在个体用户与网上销售代理或服务商之间，数据截获都是一个很大的顾虑。图6-4显示了

5、公司通过互联网传送数据所面临的风险。,图64 通过互联网传送的信息所面临的风险,0301,3.3 受保密措施维护的档案文件、主文件与参考数据所面临的风险 假如一名黑客闯入了系统，他都能造成什么危害呢？最为可能的危害是：毁坏数据恶意的作恶者会删除重要交易或主文件数据，意图是破坏公司的运营。改动数据恶意的作恶者会改动数据。未经授权使用数据作恶者会利用数据赢得对其竞争对手的主动。改动应用程序作恶者会改动一个程序，从而导致它的错误运算。,0301,4风险管理模式,风险本身并不是一个坏事；风险是发展所不可或缺的因素，而失败往往又是增长知识的重要因素。但我们必须学会在风险潜在的负面影响与其相关机遇所带来的

6、潜在效益之间把握好一个平衡。用来减少损失或伤害可能性的方法就是人们所称的风险管理。4.1 风险管理模式 图6-5描述了一个风险管理模式（risk management paradigm）。该模式是一个连续的过程，它的设计是基于这样一种认识，即风险管理是一个连续不断的过程。,图5.风险管理模式,0301,4.2 电子商务风险类型,电子商务是新的商业模式，也就有新商业的特征。作为新的商业模式，其风险类型有：1、完整性风险（1）用户界面（user interface）（2）处理（processing）（3）错误处理（error proccssing）（4）界面（interface）（5）变化处理（c

7、hange management）（6）数据（data）（7）接入风险,业务流程（business process）应用软件（application）数据和数据管理（data and management）流程的环境（processing environment）网络（network）硬件设备（physical）,0301,2、基础设施风险,基础设施风险（infrastructure risk）指企业不具备完整的信息技术基础设施而造成的风险。基础设施风险有下列内容：组织计划（organization planning）应用系统的定义和开发（application systems definit

8、ion and deployment）逻辑安全和安全管理（logical security and security administration）计算机和网络操作（computer and network operations）数据和数据库管理（data and database management）核心业务数据恢复（business data center recovery）,0301,3、获得性风险,获得性风险（availability risk）是指企业在获得数据时的风险，如破坏者经常利用邮件轰炸来阻碍服务，或者对服务系统提出虚假请求，这给网络用户提供服务带来了一种危险。通过事先对行

9、为的监督和对系统问题的解决，能够避免此类的风险。获得性风险与系统的短期中断相关联 获得性风险与信息处理过程长时间中断也有关联，其重点是诸如备份与应急计划等控制手段。4、其他与商务相关的风险 正确性风险（validity risk）效率风险（efficiency risk）周期性风险（cycle time risk）报废风险（obsolescence risk）业务中断风险（business interruption risk）产品失败风险（product fail risk）,0301,4.3 内部控制体系,1、控制环境 控制环境包括以下因素：品行、职业道德和能力 董事会的指导及关注程度 管理

10、层的管理哲学与经营风格 权力和责任的分配 人力资源政策和措施2、风险评估 风险和风险管理在其它地方已经讨论过。风险评估是设计、评价内部控制体系的一个重要组成部分。在企业层次上，需要考虑的风险：外部因素 内部因素,0301,3、控制行为,信息系统控制分为两组：综合控制（general control）和应用控制（application control），图6列举了这两组控制的内容。,图6 信息系统控制,0301,4、信息与沟通 良好的沟通渠道可以确保反馈信息及时传达给相关主管人员，在安全评估各层次之间，计划与执行各阶段之间，都应该有沟通渠道。5、监控 高效的监控应该是一个不断进行的过程而不是某一

11、个孤立事件。如果发现问题，而指定人员由于工作繁忙无法做出反应，公司的安全政策与实际做法之间就会出现安全漏洞，在这种情况下，实行响应报告制度是十分必要的。响应报告制度要求有关人员记录下他们针对报告的情况所采取的具体措施。,0301,4.4 内部控制在风险管理中的作用,除了传统的独立审计职能外，作为新的会计师职能，内部控制的作用范围正在日趋扩充到整个电子商务行业，尤其在信息系统。普华永道是能够提供这类服务的代表，它有一个全球风险管理服务（GRMS）分部，它可以提供下列服务：1、战略性风险管理 2、金融风险管理 3、运作与系统风险管理 4、技术风险服务 5、具体部署服务 6、环境服务,0301,5

12、控制风险与实施计划,5.1 控制支出不足与控制支出风险 控制支出不足（control weakness）一词用来形容实施控制的成本小于预期利润的情况。控制支出风险（control risk）一词则用来形容额外控制的预期利润可能不会超过实施和保持这些控制的成本的情况。,图 7 风险程度与相关费用,0301,5.2灾害拯救计划,即使是设计最好的系统也避免不了自然灾害。因此，所有的公司应该制定一个灾害拯救计划（disaster recovery plan），其目的是为了在因不可预见的人或自然灾害发生而造成操作中断时能恢复操作。1、灾害拯救计划的目标 完善的拯救应涉及以下目标：评估薄弱环节 防止和减少

13、风险 设计出高效益-低成本的解决方案 最大限度地减少业务中断，保障业务的继续进行 提供被选的互联网接入模式 恢复丢失的数据 提供灾害拯救的步骤 训练雇员熟悉灾害拯救步骤2、备用第二地址 服务器的连续性是评判灾害拯救计划好坏的关键因素。如果公司原地址不能服务，那么就需要第二地址来继续服务。,0301,6 电子商务的第三方保证,什么是电子商务的第三方？广义地说，是电子商务交易双方以外的部门或机构。第三方主要是完成商务背景的处理，起到商务运作中的标准制定、合法性确认、影响机制和纠纷解决等作用，以降低电子商务运作中双方交易的风险，这一些就是电子商务的第三方保证。1 标准制定 为了降低交易的风险，标准制

14、定必须涵盖交易的全过程，主要包括：数据安全、商业政策、交易处理完整性、数据私密和网站标记等。2 合法性确认 必须在符合电子商务法律规范的框架下，还要包括：建立行业支持这种规范的认证；外部中介机构促使认证过程的合法化；公司的优良承诺保证交易执行，减少或杜绝“柠檬”问题。,0301,3 影响机制 影响机制能够刺激交易双方履行义务，以减少交易双方的风险。借助信息中间媒介（information intermediaries）的服务和网站标记，可以有效低刺激影响机制。信息中间媒介指的是专门从事于不同行业生产的产品和服务的质量进行评估的公司或组织。这种组织对消费者交易双方有很大的促进作用。4 解决纠纷

15、解决纠纷的手段主要有直接谈判、诉诸法律或者采用武力等。解决纠纷的机构或组织，除了传统法律机构外，网上法庭、认证机构、网站标记组织等等，应该在各自的范围内，促使纠纷的解决。,0301,7 智能代理与电子商务,7.1 智能代理的定义 智能代理是一种辅助使用者并代表其行动的软件。智能代理的工作原理就是让使用者向代理软件分派（delegate）他们本来可以自己执行的任务。代理可以像助理一样自动执行重复任务，记住你忘记的事情，智能化地总结复杂的数据，向你学习，甚至并向你建议。7.2 智能代理的能力 智能代理能够执行许多功能。吉尔伯特（Gilbert，1997）定义了三个主要标准：代理、智能、移动性。代理

16、。能够进行自主行动的程度 智能。能够理解其自身内部状态和外部环境的程度智能水平可以根据其反应、适应、采取主动的能力进一步分类。灵活性（也称为代理的交际性）。代理的灵活性是指软件在不同机器之间移动并在外部计算机上执行某些工作的能力。,0301,7.3 代理组合,多个代理一起工作来达成多样的、然而是独立目标的系统和环境称为代理组合（agent society）。设计代理组合时头脑中至少要记住以下五个特点：开放性 组合的复杂性 界面技术 协商 内部控制方法7.4 智能代理与电子商务 智能代理可能通过很多途径影响电子商务。它们可能是：帮助实体更有效、更高效地找到他们的目标顾客，包括为了营销目的以及运送

17、商品或信息服务。帮助顾客更有效、更高效地搜集产品信息并进行价格和产品特点的比较；向顾客提供更用户化的服务；帮助企业更有效、更高效地观察环境，以便与新的发展同步；为企业开发新的地区时常；提高电子交易谈判的速度和效率,0301,图10 应用智能代理的电子商务,0301,7.5 代理的局限性,代理技术有其有前途的一面，但它也有它的局限性。Jennings和Woolridge（1998）指出了代理模式的三种局限：1、没有总体系统控制器（system controller）代理技术对下列系统并不合适：必须维持全球限制的系统；必须保障实时反应的系统；必须比开死锁或活锁的系统。2、非全球视角（global

18、perspective）观点 代理的当地情况决定了代理的行为。从全球的观点来看，代理可能因其“狭隘的视野”而做出次优的决策。多代理系统必须提高合作和谈判技术，以便能产生更多的最佳全球决策。3、信任（trust）和委托（delegation）个体必须信任代理所使用的基本技术和代理的实际知识基础，以便能放心地把工作委托给代理。7.6 代理与安全 代理具有灵活的特点，而这种灵活性带来了安全问题。要求在远程计算机上执行程序的灵活的代理对安全系统提出了挑战。在代理模块中出现恶性代码的危险是存在的。管理者必须意识到允许代理组合运行的系统所面临的风险。,5、世上最美好的事是：我已经长大，父母还未老;我有能力

19、报答，父母仍然健康。6、没什么可怕的，大家都一样，在试探中不断前行。7、时间就像一张网，你撒在哪里，你的收获就在哪里。纽扣第一颗就扣错了，可你扣到最后一颗才发现。有些事一开始就是错的，可只有到最后才不得不承认。8、世上的事，只要肯用心去学，没有一件是太晚的。要始终保持敬畏之心，对阳光，对美，对痛楚。9、别再去抱怨身边人善变，多懂一些道理，明白一些事理，毕竟每个人都是越活越现实。10、山有封顶，还有彼岸，慢慢长途，终有回转，余味苦涩，终有回甘。11、人生就像是一个马尔可夫链，你的未来取决于你当下正在做的事，而无关于过去做完的事。12、女人，要么有美貌，要么有智慧，如果两者你都不占绝对优势，那你就

20、选择善良。13、时间，抓住了就是黄金，虚度了就是流水。理想，努力了才叫梦想，放弃了那只是妄想。努力，虽然未必会收获，但放弃，就一定一无所获。14、一个人的知识，通过学习可以得到;一个人的成长，就必须通过磨练。若是自己没有尽力，就没有资格批评别人不用心。开口抱怨很容易，但是闭嘴努力的人更加值得尊敬。15、如果没有人为你遮风挡雨，那就学会自己披荆斩棘，面对一切，用倔强的骄傲，活出无人能及的精彩。5、人生每天都要笑，生活的下一秒发生什么，我们谁也不知道。所以，放下心里的纠结，放下脑中的烦恼，放下生活的不愉快，活在当下。人生喜怒哀乐，百般形态，不如在心里全部淡然处之，轻轻一笑，让心更自在，生命更恒久。

21、积极者相信只有推动自己才能推动世界，只要推动自己就能推动世界。6、人性本善，纯如清溪流水凝露莹烁。欲望与情绪如风沙袭扰，把原本如天空旷蔚蓝的心蒙蔽。但我知道，每个人的心灵深处，不管乌云密布还是阴淤苍茫，但依然有一道彩虹，亮丽于心中某处。7、每个人的心里，都藏着一个了不起的自己，只要你不颓废，不消极，一直悄悄酝酿着乐观，培养着豁达，坚持着善良，只要在路上，就没有到达不了的远方！8、不要活在别人眼中，更不要活在别人嘴中。世界不会因为你的抱怨不满而为你改变，你能做到的只有改变你自己！9、欲戴王冠，必承其重。哪有什么好命天赐，不都是一路披荆斩棘才换来的。10、放手如拔牙。牙被拔掉的那一刻，你会觉得解脱

22、。但舌头总会不由自主地往那个空空的牙洞里舔，一天数次。不痛了不代表你能完全无视，留下的那个空缺永远都在，偶尔甚至会异常挂念。适应是需要时间的，但牙总是要拔，因为太痛，所以终归还是要放手，随它去。11、这个世界其实很公平，你想要比别人强，你就必须去做别人不想做的事，你想要过更好的生活，你就必须去承受更多的困难，承受别人不能承受的压力。12、逆境给人宝贵的磨炼机会。只有经得起环境考验的人，才能算是真正的强者。自古以来的伟人，大多是抱着不屈不挠的精神，从逆境中挣扎奋斗过来的。13、不同的人生，有不同的幸福。去发现你所拥有幸运，少抱怨上苍的不公，把握属于自己的幸福。你，我，我们大家都可以经历幸福的人生

23、。14、给自己一份坚强，擦干眼泪；给自己一份自信，不卑不亢；给自己一份洒脱，悠然前行。轻轻品，静静藏。为了看阳光，我来到这世上；为了与阳光同行，我笑对忧伤。15、总不能流血就喊痛，怕黑就开灯，想念就联系，疲惫就放空，被孤立就讨好，脆弱就想家，不要被现在而蒙蔽双眼，终究是要长大，最漆黑的那段路终要自己走完。5、从来不跌倒不算光彩，每次跌倒后能再站起来，才是最大的荣耀。6、这个世界到处充满着不公平，我们能做的不仅仅是接受，还要试着做一些反抗。7、一个最困苦、最卑贱、最为命运所屈辱的人，只要还抱有希望，便无所怨惧。8、有些人，因为陪你走的时间长了，你便淡然了，其实是他们给你撑起了生命的天空；有些人，分开了，就忘了吧，残缺是一种大美。9、照自己的意思去理解自己，不要小看自己，被别人的意见引入歧途。10、没人能让我输，除非我不想赢！11、花开不是为了花落，而是为了开的更加灿烂。12、随随便便浪费的时间，再也不能赢回来。13、不管从什么时候开始，重要的是开始以后不要停止；不管在什么时候结束，重要的是结束以后不要后悔。14、当你决定坚持一件事情，全世界都会为你让路。15、只有在开水里，茶叶才能展开生命浓郁的香气。,