免费智能真题库 > 历年试卷 > 信息系统监理师 > 2015年上半年 信息系统监理师 下午试卷 案例
  第3题      
  知识点：   承建单位   电子商务   防火墙   监理单位   体系建设   招标   安全体系   电子商务模式   电子商务项目   防病毒系统   漏洞扫描   认证   身份认证   审核   数字证书   微信   系统的安全   信息安全   信息化   支付宝

 
阅读下列说明，回答问题l至问题3，将解答填入答题纸的对应栏内。
[说明]
近年来，随着信息化水平不断提高，以电子商务模式提供的网络服务和交易也得到了飞速的发展和应用，网上银行、网络线上支付、手机购物、支付宝和微信红包等得到了普遍的应用，为民众购物、消费提供了极大的便利。
国内某大型民营企业，提出在其主导的某项电子商务项目建设实施过程中实行监理制。建设的主要内容以电子商务平台的建设、信息交互和信息安全为基础，为企业产品交易提供电子商务服务，并为民众提供相应商品采购的网络交易服务。
在该项目建设过程中，发生如下事件：
[事件1]甲方在项目开始前，准备先行聘请监理单位。在监理招标实施前，召集相关监理单位参与资质预审，除提供相应资质证书外，还要求监理单位陈述电子商务工程的特点，结合特点分析，进一步陈述监理的工作应对措施等。监理单位随即开始做有关准备以便于做好答辩工作。
[事件2]为了加强对客户信息的保护，也是为了保证系统的安全，在实施过程中，甲方要求乙方对VIP客户实施强化身份认证管理，通过颁发数字证书系统，强化漏洞扫描系统、防火墙系统和防病毒系统等一系列措施，“加固”系统信息安全体系建设。承建单位提出总体技术方案，甲方要求监理给予审核并提出意见。
 
问题：3.1   在事件1中，若监理单位委托你作为代表向甲方陈述意见，你认为电子商务项目的建设特点有哪些？
 
问题：3.2   根据事件2，请简要分析并论述电子商务系统在信息安全方面可能存在的问题或风险。
 
问题：3.3   针对事件2，请简要回答在总体技术方案评审过程中，监理针对数字证书系统的设计方案在功能实现方面应该重点考虑哪些内容？
 
 
 

   知识点讲解    
   · 承建单位    · 电子商务    · 防火墙    · 监理单位    · 体系建设    · 招标    · 安全体系    · 电子商务模式    · 电子商务项目    · 防病毒系统    · 漏洞扫描    · 认证    · 身份认证    · 审核    · 数字证书    · 微信    · 系统的安全    · 信息安全    · 信息化    · 支付宝
 
       承建单位
        负责具体实施的承建方应该有自己的项目管理，监理方代表项目建设方对承建方提出的工程计划进行监督和协调，对一些关键点进行控制。这些关键点主要属于进度、资金及质量的范畴，但不能涉及管理细节。工程项目管理主要以承建方为主，并强调在项目中组织并制定相关计划。
        在一个大型信息系统工程项目的建设中，承建方可能有多个，比如硬件提供商、软件开发商和系统集成商等。而在市场竞争日益激烈的今天，专业化能促进生产效率和提高生产质量，故而承建方常常分解成一定的层次结构，如总承包商和分包商等，从而使一部分人或企业专注于项目管理的科学化。
        从市场的角度看，总承包商既是买方又是卖方；从工程合同的角度来讲，他既要对建设方负全部法律责任，又要根据分包合同对分包商进行管理并履行义务，所有的主合同都会限定总承包商可以分包的最大范围。总承包商只能将某些具体的工程施工分包给分包商，但不能分包合同的责任和义务。总承包商不能期望通过分包逃避自己在合同中的法律和经济责任。
        作为分包商，一般情况下不与建设方直接发生合同关系。分包商只接受总承包商的统筹安排和调度，它只对总承包商承担分包合同内规定的责任并履行规定的义务。
        如果总承包商违反分包合同，则应该赔偿分包商的经济损失；分包商违反分包合同并造成建设方对总承包商的罚款或制裁，则分包商应该赔偿总承包商的损失。分包商是从总承包商处按分包合同索回其应得部分的，如果总承包商无力偿还债务，则分包商也同样蒙受损失，因此分包商的利益通常与总承包商的利益密切相关。
 
       电子商务
        电子商务是指买卖双方利用现代开放的Internet，按照一定的标准所进行的各类商业活动，主要包括网上购物、企业之间的网上交易和在线电子支付等新型的商业运营模式。狭义的电子商务是指利用Web提供的通信手段在网上买卖产品或提供服务；广义的电子商务除了以上内容外，还包括企业内部的商务活动，如生产、管理、财务等，以及企业间的商务活动，即把买家、卖家、厂家和合作伙伴通过Internet、Intranet和Extranet连接起来所开展的业务。
        电子商务分三个方面，即电子商情广告、电子选购和交易，电子交易凭证的交换、电子支付与结算，以及网上售后服务等。参与电子商务的实体有4类：顾客（个人消费者或集团购买）、商户（包括销售商、制造商和储运商）、银行（包括发卡行和收单行）及认证中心。电子商务主要有三种模式，分别是B2B、B2C和C2C。
        （1）企业对企业（Business To Business，B2B）：是指企业与企业之间通过因特网进行产品、服务及信息的交换。B2B电子商务模式包括两种基本模式，一种是企业之间直接进行的电子商务（如制造商的在线采购和在线供货等），另一种是通过第三方电子商务网站平台进行的商务活动。
        （2）企业对个人（Business To Customer，B2C）：商家对消费者，也就是通常说的商业零售，即直接面向消费者销售产品和服务。最具有代表性的B2C电子商务模式就是网上零售网站。B2C电子商务的模式并不是唯一的，专门依靠网站开展网上零售只是B2C电子商务的一种形式，企业网站也可以开设面向消费者的在线直接销售，这也是B2C电子商务的表现形式。
        （3）个人对个人（Customer To Customer，C2C）：消费者对消费者的交易，简单地说就是消费者本身提供服务或产品给消费者，最常见的形态就是个人工作者提供服务给消费者，如保险从业人员、促销人员的在线服务及销售网点或是商品竞标网站。此类网站非企业对消费者，而是由提供服务的消费者与需求服务的消费者私下达成交易的方式。C2C商务平台就是通过为买卖双方提供一个在线交易平台，使卖方可以主动提供商品上网拍卖，而买方可以自行选择商品进行竞价。
 
       防火墙
        防火墙是一种综合性的技术，涉及到计算机网络技术、密码技术、安全技术、软件技术、安全协议、网络标准化组织的安全规范，以及安全操作系统等方面。防火墙的主要目标是控制出入一个网络的权限，并迫使所有的连接都经过这样的检查，它主要可以分为以下5种类型。
        （1）包过滤防火墙。也称为访问控制表。它根据定义好的过滤规则审查每个数据包，并根据是否与规则匹配来决定是否能够通过。
        （2）应用网关防火墙。是指在网关上执行一些特定的应用程序和服务器程序，以实现协议过滤和转发功能。
        （3）代理服务器防火墙。主要使用代理技术来阻断内部网络和外部网络之间的通信，达到隐蔽内部网络的目的。
        （4）状态检测防火墙。也称为自适应防火墙、动态包过滤防火墙，通过状态检测技术记录、维护各个连接的协议状态，并对IP包进行分析，决定是否能够通过，它具有很高的效率。
        （5）自适应代理技术。自适应代理根据用户的安全策略，动态地适应传输中的分组流量。它整合了动态包过滤防火墙和应用代理技术，本质上是状态检测防火墙。
        由于防火墙主要用于限制保护的网络和因特网之间或与其他网络之间进行相互的信息存取、传递操作，它处于内部网络和外部网络之间，因此网络应用受到结构性限制，内部安全隐患仍然存在，效率较低，而故障率较高。这些问题导致了：
        （1）不能防范外部刻意的人为攻击；
        （2）不能防范内部用户的攻击；
        （3）不能防止内部用户因误操作而造成的口令失密及受到的攻击；
        （4）很难防止病毒或受病毒感染的文件的传输。
 
       监理单位
        项目监理方服务于信息系统建设合同的建设方与承建方。接受建设方委托后，监理方作为工程承包合同的监督者，所执行的原则是使工程承包合同成为“平等条约”；作为工程承包合同管理和工程款支付的签认者，所执行的原则是等价交换。因此监理方是为双方的利益服务的，而不仅仅为委托方服务。
        根据工程监理的深入程度不同，信息系统工程监理可分为如下三种。
        （1）咨询式监理。只解答用户方就企业信息化过程中提出的问题，其性质类似于业务咨询或方案咨询。这种方式费用最少，监理方的责任最轻，适合于对信息化有较好把握，并且技术力量较强的用户方采用。
        （2）里程碑式监理。将信息系统的建设划分为若干个阶段，在每一个阶段结束都设置一个里程碑，在里程碑到来时通知监理方进行审查或测试。一般来讲，这种方式比咨询式监理的费用要多，监理方也要承担一定的责任。不过，里程碑的确定需要承建方的参与，或者说监理合同的确立需要开发方的参与，否则就会因对里程碑的界定不同而引起纠纷。
        （3）全程式监理。一种复杂的监理方式，不但要求对系统建设过程中的里程碑进行审查，还应该派相应人员全程跟踪并收集系统开发过程中的信息，不断评估承建方的开发质量和效果。这种方式费用最高，监理方的责任也最大，适合于那些对信息系统的开发不太了解且技术力量偏弱的用户采用。
        监理单位的主要作用如下。
        （1）信息系统工程监理可以帮助建设单位更合理地保证工程的质量、进度和投资，并合理且客观地处理好它们之间的关系。监理由独立的第三方依据相关技术标准来对工程建设进行监督，这样对信息系统工程的建设质量更能起到保驾护航的作用。在项目建设全过程中，监理单位要依据国家有关法律和相关技术标准，遵循守法、公平、公正、独立的原则，对信息系统建设的过程进行监督和控制。即在确保质量、安全和有效性的前提下，合理安排进度和投资。监理单位要帮助建设单位对工程有关方面控制进行再控制，对承建单位项目控制过程进行监督管理。
        （2）在信息系统工程建设中，建设单位和承建单位有许多问题存在争议，双方都希望由第三方在工程的立项、设计、实施、验收及维护等各个阶段的效果都给予公正、恰当且权威的评价，这就需要监理单位来协调和保障这些工作的顺利进行。
        （3）由于建设单位在信息技术等相关领域普遍存在缺乏人才和经验不足的问题，实践证明建设单位自行管理对于提高项目投资的效益和建设水平是无益的。通过第三方的专业服务，帮助建设单位对项目实施控制，并对建设单位和承建单位都做出约束，是监理作用一个重要体现。
 
       体系建设
        信息系统工程监理单位的体系建设主要包括业务体系、质量保证体系和组织体系的建设。
        （1）业务体系建设。监理单位的业务体系主要涉及监理人员、监理设施（工具）和监理工作规范等。监理单位应根据《信息系统工程监理单位资质管理办法》的具体要求，配备与自身资质（或近期拟申请的资质）相匹配的监理工程师。监理工程师的专业结构应该合理。监理单位应根据监理工作的实际需求配备必要的硬件设施和软件工具，硬件设施包括办公场所、办公设备、通信设备、检测及测试设备等；软件工具主要包括信息系统工程检测、分析和管理工具，信息收集、存储、分类、分析和检索工具，质量、进度、投资和变更控制工具，合同管理和信息管理工具，监理计划管理、人员管理、组织管理和业务考核工具等。建立监理工作规范应坚持先进性与可行性相结合的原则，参照软件工程过程管理的成功经验，建立信息系统工程监理全过程的工作规范，包括监理项目立项规范、监理计划规范、监理实施规范、监理验收规范和监理文档规范等。
        （2）质量保证体系建设。监理的主要任务之一是监督承建单位的质量保证体系的建立和运行，监理单位自身也必须建立完备的质量保证体系。
        （3）组织体系建设。监理单位应根据《中华人民共和国公司法》、《信息系统工程监理单位资质管理办法》、公司章程和监理业务特点，建立机构精简、运行高效的组织体系。
 
       招标
        下列工程建设项目包括项目的勘察、设计、施工、监理，以及与工程建设有关的重要设备、材料等的采购，因此必须进行招标。
        （1）大型基础设施、公用事业等关系社会公共利益、公众安全的项目。
        （2）全部或部分使用国有资金投资或者国家融资的项目。
        （3）使用国际组织或者外国政府贷款、援助资金的项目。
        任何单位和个人不得将依法必须进行招标的项目化整为零或者以其他任何方式规避招标。招标投标活动应当遵循公开、公平、公正和诚实信用的原则。必须进行招标的项目，其招标投标活动不受地区或者部门的限制。任何单位和个人不得违法限制或者排斥本地区、本系统以外的法人或其他组织参加投标，不得以任何方式非法干涉招标投标活动。
        招标分为公开招标和邀请招标。公开招标是指招标人以招标公告的方式邀请不特定的法人或者其他组织投标。邀请招标是指招标人以投标邀请书的方式邀请特定的法人或者其他组织投标。国务院发展计划部门确定的国家重点项目和省、自治区、直辖市人民政府确定的地方重点项目不适宜公开招标的，经国务院发展计划部门或者省、自治区、直辖市人民政府批准，可以进行邀请招标。
               招标代理机构
               招标人有权自行选择招标代理机构，委托其办理招标事宜。任何单位和个人不得以任何方式为招标人指定招标代理机构。招标人具有编制招标文件和组织评标能力的，可以自行办理招标事宜。任何单位和个人不得强制其委托招标代理机构办理招标事宜。依法必须进行招标的项目，招标人自行办理招标事宜的，应当向有关行政监督部门备案。
               招标代理机构是依法设立、从事招标代理业务并提供相关服务的社会中介组织。招标代理机构应当具备下列条件。
               （1）有从事招标代理业务的营业场所和相应资金。
               （2）有能够编制招标文件和组织评标的相应专业力量。
               （3）有符合规定条件，可以作为评标委员会成员人选的技术、经济等方面的专家库。
               从事工程建设项目招标代理业务的招标代理机构，其资格由国务院或者省、自治区、直辖市人民政府的建设行政主管部门认定。具体办法由国务院建设行政主管部门会同国务院有关部门制定。从事其他招标代理业务的招标代理机构，其资格认定的主管部门由国务院规定。
               招标代理机构与行政机关和其他国家机关不得存在隶属关系或者其他利益关系。招标代理机构应当在招标人委托的范围内办理招标事宜。
               招标公告
               招标人采用公开招标方式的，应当发布招标公告。依法必须进行招标的项目的招标公告，应当通过国家指定的报刊、信息网络或者其他媒介发布。招标公告应当载明招标人的名称和地址、招标项目的性质、数量、实施地点和时间，以及获取招标文件的办法等事项。
               招标人采用邀请招标方式的，应当向3个以上具备承担招标项目的能力、资信良好的特定法人或者其他组织发出投标邀请书。投标邀请书应当载明的事项与招标公告相同。
               招标人可以根据招标项目本身的要求，在招标公告或者投标邀请书中要求潜在投标人提供有关资质证明文件和业绩情况，并对潜在投标人进行资格审查。国家对投标人的资格条件有规定的，依照其规定。招标人不得以不合理的条件限制或者排斥潜在投标人，不得对潜在投标人给予歧视待遇。
               招标文件
               招标人应当根据招标项目的特点和需要编制招标文件。招标文件应当包括招标项目的技术要求、对投标人资格审查的标准、投标报价要求和评标标准等所有实质性要求和条件，以及拟签订合同的主要条款。
               国家对招标项目的技术、标准有规定的，招标人应当按照其规定在招标文件中提出相应要求。招标项目需要划分标段、确定工期的，招标人应当合理划分标段、确定工期，并在招标文件中载明。招标文件不得要求或者标明特定的生产供应以及含有倾向或者排斥潜在投标人的其他内容。
               招标人根据招标项目的具体情况，可以组织潜在投标人踏勘项目现场。招标人不得向他人透露已获取招标文件的潜在投标人的名称、数量，以及可能影响公平竞争的有关招标投标的其他情况。招标人设有标底的，标底必须保密。
               招标人对已发出的招标文件进行必要的澄清或者修改的，应当在招标文件要求提交投标文件截止时间至少15日前，以书面形式通知所有招标文件收受人。该澄清或者修改的内容为招标文件的组成部分。
               招标人应当确定投标人编制投标文件所需要的合理时间。但是，依法必须进行招标的项目，自招标文件开始发出之日起至投标人提交投标文件截止之日止，最短不得少于20日。
 
       安全体系
        要构筑计算机系统的安全体系，其措施包括防火墙、入侵检测、病毒和木马扫描、安全扫描、日志审计系统等，另外还要注意制定和执行有关安全管理的制度，保护好私有信息等。
               病毒和木马扫描
               病毒是指一段可执行的程序代码，通过对其他程序进行修改来感染这些程序，使其含有该病毒的一个复制，并且可以在特定的条件下进行破坏。因此在其整个生命周期中包括潜伏、繁殖（也就是复制、感染阶段）、触发和执行4个阶段。
               对于病毒的防护而言，最彻底的方法是不允许其进入系统，但这是很困难的，因此大多数情况下，采用“检测—标识—清除”的策略来应对。在病毒防护的发展史上，共经历了以下几个阶段。
               （1）简单扫描程序：需要病毒的签名来识别病毒。
               （2）启发式扫描程序：不依赖专门的签名，而使用启发式规则来搜索可能被病毒感染的程序。还包括诸如完整性检查等手段。
               （3）行为陷阱：即用一些存储器驻留程序，通过病毒的动作来识别病毒。
               （4）全方位保护：联合以上反病毒技术组织的软件包，包括扫描和行为陷阱。
               特洛伊木马（Trojans）是指一个正常的文件被修改成包含非法程序的文件。特洛伊木马通常包含具有管理权限的指令，它们可以隐藏自己的行踪（没有普通的窗口等提示信息），而在后台运行，并将重要的账号、密码等信息发回给黑客，以便进一步攻击系统。
               木马程序一般由两部分组成，分别是服务端程序和客户端程序。其中服务端程序安装在被控制计算机上，客户端程序安装在控制计算机上，服务端程序和客户端程序建立起连接就可以实现对远程计算机的控制了。
               首先，服务器端程序获得本地计算机的最高操作权限，当本地计算机连入网络后，客户端程序可以与服务器端程序直接建立起连接，并可以向服务器端程序发送各种基本的操作请求，并由服务器端程序完成这些请求，也就实现了对本地计算机的控制。
               因为木马发挥作用必须要求服务器端程序和客户端程序同时存在，所以必须要求本地机器感染服务器端程序，服务器端程序是可执行程序，可以直接传播，也可以隐含在其他的可执行程序中传播，但木马本身不具备繁殖性和自动感染的功能。
               反病毒技术的最新发展方向是类属解密和数字免疫系统。与入侵检测技术一样，现在的反病毒技术只能够对已有病毒、已有病毒的部分变种有良好的防护作用，而对于新型病毒还没有有效的解决方式，需要升级特征库。另外，它只是对病毒、黑客程序、间谍软件这些恶意代码有防护作用，其他网络安全问题不属于其关注的领域。
               安全扫描
               安全扫描是指对计算机系统及网络端口进行安全性检查，它通常需要借助一个被称为“扫描器”的软件。扫描器并不是一个直接攻击网络漏洞的程序，它仅仅能够帮助管理员发现目标机的某些内在弱点，一个好的扫描器能够对得到的数据进行分析，帮助管理员查找目标主机的漏洞。它能够自动查找主机或网络，找到运行的服务及其相关属性，并发现这些服务潜在的漏洞。
               因此从上面的描述中，我们可以发现安全扫描技术是一个帮助管理员找到网络隐患的工具，并不能直接解决安全问题，而且对未被业界发现的隐患也无法完全找到。
               日志审计系统
               日志文件是包含关于系统消息的文件，这些消息通常来自于操作系统内核、运行的服务，以及在系统上运行的应用程序。日志文件包括系统日志、安全日志、应用日志等。现在的Windows、UNIX、Linux系统都提供了较完善的日志系统。
               日志审计系统则通过一些特定的、预先定义的规则来发现日志中潜在的问题，它可以用来事后亡羊补牢，也可以用来对网络安全攻击进行取证。显然它是一种被动式、事后的防护或事中跟踪的手段，很难在事前发挥作用。
               安全审计
               安全审计是指对主体访问和使用客体的情况进行记录和审查，以保证安全规则被正确执行，并帮助分析安全事故产生的原因。安全审计是落实系统安全策略的重要机制和手段，通过安全审计识别与防止计算机网络系统内的攻击行为、追查计算机网络系统内的泄密行为。它是信息安全保障系统中的一个重要组成部分。具体包括两个方面的内容：
               （1）采用网络监控与入侵防范系统，识别网络中各种违规操作与攻击行为，即时响应并进行阻断。
               （2）对信息内容和业务流程的审计，可以防止内部机密或敏感信息的非法泄漏和单位资产的流失。
               CC标准将安全审计功能分为6个部分，分别是安全审计自动响应、安全审计自动生成、安全审计分析、安全审计浏览、安全审计事件选择、安全审计事件存储。
               （1）安全审计自动响应：定义在被测事件指示出一个潜在的安全攻击时做出的响应，它是管理审计事件的需要，这些需要包括报警或行动。例如包括实时报警的生成、违例进程的终止、中断服务、用户账号的失效等。根据审计事件的不同系统将做出不同的响应。其响应的行动可以做增加、删除、修改等操作。
               （2）安全审计数据生成：记录与安全相关的事件的出现，包括鉴别审计层次、列举可被审计的事件类型，以及鉴别由各种审计记录类型提供的相关审计信息的最小集合。系统可定义可审计事件清单，每个可审计事件对应于某个事件级别，如低级、中级、高级。
               （3）安全审计分析：定义了分析系统活动和审计数据来寻找可能的或真正的安全违规操作。它可以用于入侵检测或对安全违规的自动响应。当一个审计事件集出现或累计出现一定次数时可以确定一个违规的发生，并执行审计分析。事件的集合能够由经授权的用户进行增加、修改或删除等操作。审计分析分为潜在攻击分析、基于模板的异常检测、简单攻击试探和复杂攻击试探等几种类型。
               （4）安全审计浏览：审计系统能够使授权的用户有效地浏览审计数据，它包括审计浏览、有限审计浏览、可选审计浏览。
               （5）安全审计事件选择：系统管理员能够维护、检查或修改审计事件的集合，能够选择对哪些安全属性进行审计。例如，与目标标识、用户标识、主体标识、主机标识或事件类型有关的属性，系统管理员将能够有选择地在个人识别的基础上审计任何一个用户或多个用户的动作。
               （6）安全审计事件存储：审计系统将提供控制措施，以防止由于资源的不可用丢失审计数据。能够创造、维护、访问它所保护的对象的审计踪迹，并保护其不被修改、非授权访问或破坏。审计数据将受到保护直至授权用户对它进行的访问。
               个人信息控制
               关于个人信息控制，我们结合网络上窃取个人信息的一些手段和方法来谈谈。
               （1）利用操作系统和应用软件的漏洞。可以说任何的软件内都有可能包含未被清除的错误。这些错误有些仅仅是计算逻辑上的错误，也有些可以被人别有用心地用来进入和攻击系统，此时这些错误就被称为漏洞。解决这些漏洞的途径就是对系统进行修正，及时地对系统进行升级或打上补丁是防范此类问题的一个重要手段。
               （2）网络系统设置。在网络非法入侵事件中，通过共享问题达到入侵目的的案例占到入侵事件中的绝大比例。
               （3）程序的安全性。现在计算机中运行的程序已经不是一般用户可以了解的了，这是个危险的事情。在计算机不清楚自己内部的某个程序是做什么工作的情况下，其中就很可能潜伏着木马程序。
               （4）拦截数据包。数据包探测技术可以检查所有落入其范围的数据包，甚至能够通过设置来搜取所有的数据包。
               （5）假冒正常的商业网站。罪犯给人们发一封好像来自于某站点的电子邮件，并在邮件中提供该网站登录页或者看起来像是登录页的链接。这些窃贼同时建立外观很像此站点的网页，然后在用户链接到该网页登录时捕获所有的用户名和密码。
               （6）用户自身因素。如果说攻击别人是因为别人存在漏洞的话，那么用户自身的问题或许也是网络攻击的一个巨大漏洞。首先是密码泄露问题；其次是在聊天室等公共场所，不要轻易地泄漏自己的信息；再次是观念问题，要从心理上重视计算机安全问题。
               上面说的这些方法还只是可能造成个人信息泄漏诸多情况中的一小部分，要保护好自己的信息不被他人窃取，除了要靠网络技术的不断发展以外，网络用户自己的安全观念也起到了相当重要的作用。
               安全管理制度
               建立严格规范的规章制度，规范网络管理、维护人员的各种行为，对于维护网络安全、保障网络的正常运行，起着至关重要的作用。这些安全规章制度可能包括物理安全管理、机房参观访问制度、机房设施巡检制度、机房施工管理制度、运营值班管理制度、运营安全管理制度、运营故障处理制度、病毒防治制度、口令管理制度等。
               当然，再好的规章制度，如果得不到严格的执行，那也只能是摆设。制定不是目的，只有抓好规章制度的执行，才能发挥其应有的作用。
 
       电子商务模式
               B2B模式
                      B2B模式的内涵
                      B2B即Business To Business（商家对商家），就是企业与企业之间通过互联网进行产品、服务及信息的交换。B2B是电子商务按参与对象分类中的一种。这种形式的电子商务是在企业与企业之间进行的，一般以信息发布与撮合为主，主要是建立商家之间的桥梁。B2B模式主要是通过互联网平台聚合众多的企业，形成买卖的大信息海洋，买家与卖家在平台上选择交易对象，通过在线电子支付完成交易。传统的企业间的交易往往要耗费企业的大量资源和时间，无论是销售和分销还是采购都要占用产品成本。通过B2B的交易方式买卖双方能够在网上完成整个业务流程，从建立最初印象，到货比三家，再到讨价还价、签单和交货，最后到客户服务。B2B使企业之间的交易减少许多事务性的工作流程和管理费用，降低了企业经营成本。网络的便利及延伸性使企业扩大了活动范围，企业发展跨地区跨国界更方便，成本更低廉。
                      B2B模式的分类
                      （1）面向制造业或面向商业的垂直B2B模式。垂直B2B可以分为两个方向，即上游和下游。生产商或商业零售商可以与上游的供应商形成供货关系，例如Dell电脑公司与上游的芯片和主板制造商就是通过B2B这种方式进行合作。生产商与下游的经销商可以形成销货关系，例如Cisco与其分销商之间就是通过B2B这种方式进行交易。
                      （2）面向中间交易市场的水平B2B模式。这种交易模式是水平B2B，它是将各个行业中相近的交易过程集中到一个场所，为企业的采购方和供应方提供了一个交易的机会，如像Alibaba、中国制造网、环球资源网、中国化工网、中国网库、ECVV、中国供应商、慧聪网、敦煌网、万国商业网等。水平B2B只是企业实现电子商务的一个开始，它的应用会得到不断发展和完善，并适应所有行业企业的需要。
                      （3）自建B2B模式。行业龙头企业自建B2B模式是大型行业龙头企业基于自身的信息化建设程度，搭建以自身产品供应链为核心的行业化电子商务平台。行业龙头企业通过自身的电子商务平台，串联起行业整条产业链，供应链上下游企业通过该平台实现资讯、沟通、交易。但此类电子商务平台过于封闭，缺少产业链的深度整合。
                      （4）关联行业B2B模式。关联行业B2B模式是相关行业为了提升目前电子商务交易平台信息的广泛程度和准确性，整合水平B2B模式和垂直B2B模式而建立起来的跨行业电子商务平台。
                      B2B模式的演进
                      B2B电子商务发展经历了四个阶段：电子数据交换（EDI）、基本的电子商务、电子交易集市、协同商务。
                      .第一阶段：电子数据交换（EDI）。在此阶段中，企业与组织之间，通过制定各种通信标准来管制数据传输的工作。在此阶段中企业和厂商所形成的网络是封闭的，因为信息技术并未普及、所需的费用昂贵，并不是所有的企业均有足够的资金引进EDI，在此阶段，电子商务弹性低、成本高。
                      .第二阶段：基本的电子商务。在此阶段中，买卖双方直接在网站上进行交易，并不依赖中间交易商，是从网站一对一进行，在网站上设置在线目录，卖给专业的厂商。在此阶段，弹性变高、成本降低，但互动仍是单向，同时市场的效率并不高，且市场透明度也不高。
                      .第三阶段：电子交易集市。在此阶段中，产生了第三方供应者，目的在于形成一个电子交易集市，提供大家一起交易的地方，在流程方面，由单向交易发展到双向交易，随着订单的复杂性增强，互动性更加丰富，沟通协调也增强。
                      .第四阶段：协同商务。在此阶段中，扩大了企业运作的范围，在作业流程中引入了事前、事中、事后流程，除了注重自己企业运作的内部流程，还通过上下游一起协商合作的一种商业合作，市场更加透明化。
                      B2B的盈利模式
                      （1）会员费。企业通过第三方电子商务平台参与电子商务交易，必须注册为B2B网站的会员，每年要交纳一定的会员费，才能享受网站提供的各种服务，目前会员费已成为我国B2B网站最主要的收入来源。
                      （2）广告费。网络广告是门户网站的主要盈利来源，同时也是B2B电子商务网站的主要收入来源。这一领域的典型代表有TOXUE外贸网、阿里巴巴、ECVV等。
                      （3）竞价排名。企业为了促进产品的销售，都希望在B2B网站的信息搜索中将自己的排名靠前，而网站在确保信息准确的基础上，根据会员交费的不同对排名顺序做相应调整。
                      （4）增值服务。B2B网站通常除了为企业提供贸易供求信息以外，还会提供一些独特的增值服务，包括企业认证、独立域名、提供行业数据分析报告、搜索引擎优化等。例如现货认证，由于电子采购商比较重视库存，就产生了针对电子采购行业的这样一个特殊的增值服务。另外针对电子型号做的谷歌排名推广服务，是搜索引擎优化的一种，企业都比较感兴趣。所以，可以根据行业的特殊性去深挖客户的需求，然后提供具有针对性的增值服务。
                      （5）线下服务。其主要包括展会、期刊、研讨会等。通过展会，供应商和采购商面对面地交流，一般的中小企业还是比较青睐这种方式。期刊主要是关于行业资讯等信息，期刊里也可以植入广告。环球资源的展会现已成为重要的盈利模式，占其收入的三分之一左右。而ECVV组织的各种展会和采购会也已取得不错的效果。
                      （6）商务合作。它包括广告联盟、行业协会合作、传统媒体的合作等。广告联盟通常是网络广告联盟，亚马逊通过这个方式已经取得了不错的成效，国内做得比较成熟的几家广告联盟有：百度联盟、谷歌联盟、淘宝联盟等。
                      （7）按询盘付费。它区别于传统的会员包年付费模式，按询盘付费模式是指从事国际贸易的企业按照海外推广带来的实际效果，也就是海外买家实际的有效询盘来付费。其中询盘是否有效，主动权在消费者手中，由消费者自行判断，来决定是否消费。“按询盘付费”有四大特点：零首付、零风险；主动权、消费权；免费推、针对广；及时付、便利大。广大企业不用冒着“投入几万元、十几万元，一年都收不回成本”的风险，零投入就可享受免费全球推广，成功获得有效询盘后，辨认询盘的真实性和有效性后，只需在线支付单条询盘价格，就可以获得与海外买家直接谈判成单的机会，主动权完全掌握在供应商手里。
               B2C模式
                      B2C模式的内涵
                      B2C即Business To Consumer（商家对个人），就是电子商务按参与对象分类中的一种，即表示企业对消费者的电子商务，这种形式的电子商务一般以网络零售业为主，主要借助于Internet开展在线活动，是企业通过互联网为消费者提供的一个新型的购物环境——网上商店。消费者通过网络进行全部的贸易活动。
                      B2C以完备的双向信息沟通、灵活的交易手段、快捷的物流配送、低成本高效益的运作方式等在各行各业展现了其极大的生命力。这种模式节省了消费者和企业的时间和空间，大大提高了交易效率。这种商业模式在我国已经基本成熟，其代表有当当网、卓越网等。
                      B2C模式的分类
                      （1）综合型B2C。发挥自身的品牌影响力，积极寻找新的利润点，培养核心业务。如卓越亚马逊，可在现有品牌信用的基础上，借助母公司亚马逊国际化的背景，探索国际品牌代购业务或者采购国际品牌产品进行销售等新业务。网站建设要在商品陈列展示、信息系统智能化等方面进一步细化。对于新老客户的关系管理，需要精细客户体验的内容，提供更加人性化、直观的服务。选择较好的物流合作伙伴，增强物流实际控制权，提高物流配送服务质量。
                      （2）垂直型B2C。核心领域内继续挖掘新亮点。积极与知名品牌生产商沟通与合作，化解与线下渠道商的利益冲突，扩大产品线与产品系列，完善售前、售后服务，提供多样化的支付手段。个别垂直型B2C运营商开始涉足不同行业，可以尝试探索“物流联盟”或“协作物流”模式，若资金允许也可逐步实现自营物流，保证物流配送质量，增强用户的粘性，将网站完善后再寻找其他行业的商业机会。
                      （3）传统生产企业网络直销型B2C。首先要从战略管理层面明确这种模式未来的定位、发展与目标。协调企业原有的线下渠道与网络平台的利益，实行差异化的销售。如网上销售所有产品系列，而传统渠道销售的产品则体现地区特色；实行差异化的价格；线上产品也可通过线下渠道完善售后服务。在产品设计方面，要着重考虑消费者的需求感觉。大力吸收和挖掘网络营销精英，培养电子商务运作团队，建立和完善电子商务平台。
                      （4）第三方交易平台型B2C。B2C受到的制约因素较多，但中小企业在人力、物力、财力有限的情况下，这不失为一种拓宽网上销售渠道的好方法。关键是中小企业要选择具有较高知名度、点击率和流量的第三方平台；其次要聘请懂得网络营销、熟悉网络应用、了解实体店运作的网店管理人员；再次是要以长远发展的眼光看待网络渠道，增加产品的类别，充分利用实体店的资源、既有的仓储系统、供应链体系以及物流配送体系来发展网店。
                      （5）传统零售商网络销售型B2C。传统零售商自建网站销售，将丰富的零售经验与电子商务有机地结合起来，有效地整合传统零售业务的供应链及物流体系，通过业务外包解决经营电子商务网站所需的技术问题，典型代表就是国美。
                      B2C电子商务网站主要形式
                      （1）综合商城。它有庞大的购物群体，有稳定的网站平台，有完备的支付体系和诚信安全体系，促进了卖家进驻卖东西，买家进去买东西。如同传统商城一样，淘宝自己是不卖东西的，仅提供完备的销售配套。综合商城中有许多店，如同现实生活中的大商场。
                      （2）百货商店。商店，只有一个卖家；而百货即是满足日常消费需求的丰富产品线。这种商店具有自有仓库，会库存系列产品，以备更快进行物流配送和更好地进行客户服务。这种店甚至会有自己的品牌。就如同线下的沃尔玛、屈臣氏、百佳百货。
                      （3）垂直商店。这种商城的产品存在着更多的相似性，要么都是满足于某一人群的，要么是满足于某种需要，要么是服务于某种平台的（如电器）。互联网上的垂直商店数量取决于市场的细分。一般是细分的种类3到5倍，正因为有了良好的竞争格局，从而促进了服务的完善。常见的电子商务网站除了综合商城、百货商店、垂直商店外，还包括复合品牌店、轻型品牌店、服务型网店以及导购引擎型网店。
                      B2C的盈利模式
                      （1）产品销售营业收入模式。以产品交易作为收入主要来源是多数B2C网站采用的模式。这种B2C网站又可细分为两种：销售平台式网站和自主销售式网站。
                      ①销售平台式网站。网站并不直接销售产品，而是为商家提供了B2C的平台服务，通过收取虚拟店铺出租费、交易手续费、加盟费等来实现盈利。淘宝B2C购物平台——淘宝商城就是典型代表。淘宝提供淘宝商城这一B2C平台，收取加入淘宝商城商家一定费用，并根据提供服务级别的不同收取不同的服务费和保证金。
                      ②自主销售式网站。与销售平台式网站不同，自主销售式需要网站直接销售产品。与销售平台相比运营成本较高，需要自行开拓产品供应渠道，并构建一个完整的仓储和物流配送体系或者发展第三方物流加盟商，将物流服务外包。
                      （2）网络广告收益模式。网络广告收益模式是互联网经济中比较普遍的模式，B2C网站通过免费向顾客提供产品信息或服务信息吸引足够的“注意力”从而吸引广告主投入广告，通过广告盈利。相对于传统媒体来说，广告主在网络上投放广告具有独特的优势：一方面，网络广告投放的效率较高，一般是按照广告点击的次数收费。另一方面，B2C网站可以充分利用网站自身提供的产品或服务来区分消费群体，对广告主的吸引力也很大。
                      （3）收费会员制收益模式。B2C网站对会员提供便捷的在线加盟注册程序、实时的用户购买行为跟踪记录、准确地在线销售统计资料查询等。网站收益量大小主要取决于自身推广努力。例如，网络可以适时地举办一些优惠活动并给予收费会员更优惠的会员价，与免费会员形成差异，以吸引更多的长期顾客。
                      （4）网上支付收益模式。当B2C网上支付拥有足够的用户，就可以借助其他途径来获取收入。以淘宝为例，有近90%的淘宝用户通过支付宝，带给淘宝巨大的利润空间。淘宝不仅可以通过支付宝收取一定的交易服务费用，而且可以充分利用消费者存款和支付时间差产生的巨额资金进行其他投资盈利。
               C2C模式
                      C2C模式的内涵
                      C2C即Consumer To Consumer（个人对个人），就是消费者和消费者之间通过互联网进行交易的一种商务模式，换句话说就是由提供商品的消费者与需求商品的消费者在线达成交易的方式。举个例子来说吧，张三有一件衣服，放到淘宝网上进行拍卖，被李四买到，这种交易的方式就是C2C。由于是个人跟个人的交易，大众化交易成为了C2C最大的特点。从字面上看，C2C的构成要素包括买卖双方，即消费者。消费者是C2C的主体，扮演着提供商品者和购买商品者的角色。除此之外还包括电子交易服务平台，它将买卖双方聚集在一起，扮演着管理者的角色，保障交易的顺利进行，也起着极为重要的作用。例如淘宝、易趣、拍拍、有啊这些网站，它们都是极具有代表性的电子交易服务平台。
                      C2C模式的优势
                      C2C模式具有如下优势：
                      （1）我国人数众多，且是使用互联网人数最多的一个国家，这给C2C市场的发展奠定了群众基础。我国的科技技术日新月异，不断提高，这给C2C市场的发展奠定了技术基础。
                      （2）利用互联网进行交易，大大地节约了成本。例如，店铺租金、商品展示成本等等。
                      （3）网络交易平台的安全和信用制度的不断完善。例如，淘宝的支付宝、有啊的百付宝等等，解决了人们交易支付的问题。
                      （4）有更多的年轻人喜欢追随时尚的潮流，喜欢尝试新的购物体验，这促进了C2C市场的发展。
                      C2C模式具有如下劣势：
                      （1）C2C与中国原有的消费方式大大不同。人们已经习惯了实物的面对面的购买，而C2C模式的商品是看不见摸不着的，不能确定是否满足消费者的需求。
                      （2）买卖双方在交易支付的过程中缺乏信任。虽然现在有了第三方支付，一定程度上促进了C2C业务的发展，但是减缓了交易效率，使卖家不能及时收到钱导致经营成本过高。这样在一定的程度上延缓了C2C市场的发展速率。
                      （3）人们的消费观念难以改变，尤其是年龄稍大的人群。中国人已经习惯了一手交钱一手交货的消费模式，即现金交易，虽然有支付宝、安付通等便利的支付方式，有些人却选择了在网下完成交易。
                      （4）物流体系发展不成熟。人们常常遇到买货容易收货难的问题，尤其是在特殊节日，如双11、双12等，给买卖双方都带来了不便。我国物流主要靠传统的邮政和快递企业，效率比较低，难以很好地满足网上购物快速交易的需求。
                      （5）商品质量得不到保证。网上购物是虚拟的，不能与商品零距离接触，会出现假货的可能，使网民承担了一定的风险性。
                      C2C的商业模式
                      （1）盈利模式。C2C市场的盈利方式有广告收入、交易提成、增值服务、黄金铺位的推荐费等等。
                      （2）信用模式。网络作为一种交易手段，应创建一个诚信的环境。其中应包括注册认证、交易实名认证、设立诚信指数、奖惩制度、在线支付、在线交流等等。
                      （3）支付模式。交易中支付的安全是每个用户所关心的内容，随着第三方支付的出现，凭借其信用度，解除了用户的忧虑。支付工具的出现，所建立起来的制度和采取的措施，大大地提高了交易的安全性。
                      （4）配送模式。为了买家能够及时迅速地收到商品，C2C网站推荐了物流服务。邀请物流公司为第三方支付平台用户提供特别服务和优惠价格，卖家可以应买家要求或自行选择推荐的物流公司。
               O2O模式
                      O2O模式的内涵
                      O2O即Online To Offline（线上购买线下商品与服务，实体店享受），就是把线上的消费者带到现实的商店中去——在线支付线下商品、服务，再到线下去享受服务。通过打折（如团购）、提供信息、服务（预定，如Opentable）等方式，把线下商店的消息推送给互联网用户，从而将他们转换为自己的线下客户。该模式最重要的特点是：推广效果可查，每笔交易可跟踪，相对传统网购更强调互动。模式简称为线上线下电子商务，即O2O。这个模式中必须包含“线下商户的发现或推荐”“在线支付”“营销效果的监测”这三大块。
                      O2O模式的诞生，会促进很多新生网络公司提供该服务，尤其是团购类网站，以及本地信息生活服务类平台。对于传统企业来说，下列几类企业适合利用O2O模式。
                      （1）连锁加盟型的零售企业，如：流行美、卡顿、哎呀呀，或者大型渠道流通品牌商，因为加盟门店分布广，并且有线下服务优势等各种原因，这时候借助O2O，能迅速促进门店销售，及进一步扩大连锁加盟商数量。
                      （2）连锁类餐饮公司，如小肥羊之类，因为产品无法快递，只能在线下体验服务，所以可以通过线上下单，线下体验服务的方式抢占更多消费者。
                      （3）本地生活服务企业，如：酒吧、会所、餐饮、电影等，通过O2O进行电子商务。事实上很多企业就是这么做的。
                      对于传统企业来说，开展O2O电子商务，主要有以下方式：
                      （1）自建官方商城+连锁分店铺的形式，消费者直接向最近门店的网络店铺下单购买，然后线下体验服务，而在这过程中，品牌商提供在线客服服务，及随时调货支持（在缺货情况下），加盟商收款发货，适合全国连锁型企业。可以线上和线下店铺一一对应。但是投入大，需要的推广力度很大。
                      （2）借助全国布局的第三方平台，如：赶集、拉手或窝窝等，实现加盟企业和分站系统完美结合，并且借助第三方平台的巨大流量，能迅速推广带来客户。
                      （3）建设网上商城，开展各种促销和预付款的形式，线上销售线下服务，该形式适合本地化服务企业。
                      相对于传统的电子商务而言，O2O真正实现了随时随地的信息交流和贴身服务，“任何人在任何地点、任何时间可以进行任何形式的”电子商务。O2O这种在线支付购买线下的商品和服务，再到线下享受服务的模式也被证实可以很快被消费者接受。O2O这种倡导将线上的消费者带到现实商店中，让互联网成为线下交易前台的模式正成为一种潮流。对本地商家来说，O2O模式要求消费者网站支付，支付信息会成为商家了解消费者购物信息的渠道，方便商家对消费者购买数据的搜集，进而达成精准营销的目的，更好地维护并拓展客户。通过线上资源增加的顾客并不会给商家带来太多的成本，反而带来更多利润。此外，O2O模式在一定程度上降低了商家对店铺地理位置的依赖，减少了租金方面的支出。对消费者而言，O2O提供丰富、全面、及时的商家折扣信息，能够快捷筛选并订购适宜的商品或服务，且价格实惠。对服务提供商来说，O2O模式可带来大规模高粘度的消费者，进而能争取到更多的商家资源。掌握庞大的消费者数据资源，且本地化程度较高的垂直网站借助O2O模式，还能为商家提供其他增值服务。
                      O2O模式的优势
                      相对B2C模式来说，O2O具有如下优势：
                      （1）由于是线下体验服务，所以相对信任度更高，成交率也更高。
                      （2）对于连锁加盟型零售企业来说，能顺利解决线上线下渠道利益冲突问题，而B2C模式无法避免线上和传统加盟商的渠道冲突，尤其是价格上的冲突。
                      （3）对于生活服务类来说，具有明确的区域性，消费者更精准，线上推广传播更有针对性。
                      （4）能将线下的服务优势更好发挥，具有体验营销的特色。
                      （5）通过网络能迅速掌控消费者的最新反馈，进行更个性化服务和获取高粘度重复消费。
                      （6）对于连锁加盟型企业来说，对于加盟商的管控会更方便和直接，能将品牌商、加盟商和消费者三者的关系更加紧密化。
                      O2O的盈利模式
                      O2O的收费方式分两块：商家年费和周边增值服务费。如果商家使用电子商务渠道，会收取年费。视商家的规模，年费主要分几个等级，有小店铺版、企业版和连锁店版，例如像小商户一年大概六七千元年费，而连锁店可以达到几万、十几万甚几十万元的年费。同时，还提供一些增值服务，如果商家使用这些增值服务，则需要按实际数量来缴纳相应的费用。
               微商
               微商始于2013年，发展于2015年，腾飞于2016年。行业从业人数约3000万左右。微商的形式有朋友圈与实体店相结合，电商与微商相结合，电视购物与微商相结合等多种形式。
               .优势：微商与其他电商平台相比具有一定的优势。首先，由于微商的准入门槛较低，所以微商面向的是社会全体人员，无论是全职还是兼职都是可以的。微商在发展过程中需要垫付的资金也是比较低的，这便吸引了很多大学生和全职太太投身到微商这一行业之中。微商用一台电子设备便可以实现将产品销往世界各地的目标，这也是微商发展过程中最典型的优势之一。其次，微商从业者没有纳税压力。我国的纳税义务还没有深入到微商这一群体中。微商从业者不需要交纳税金，这在一定程度上降低了成本，从而导致其所销售的产品价格下降。最后，微商起步比较容易，微商从业者在最初做生意时，一般是从熟人打开市场，而熟人之间比较容易建立起信任。与实体店的开店过程相比，微商的起步难度相对较低。
               .劣势：微商的准入门槛低，既是其发展的优势也是劣势。因为其准入门槛较低，所以各行各业、不同学历及年龄段的人都可以从事微商这一行业，其中大部分人是比较重视所销售产品的口碑和形象的，但是，微商这从业者中仍然存在一部分人只顾利益，不顾及消费者反馈的情况，这便导致了微商市场的混乱局面，对维护和发展微商市场的良好秩序有一定的阻碍作用和消极影响。其次，如今微商销售的产品存在严重的同质化现象。的确，护肤品和保健品等是人们生活中不可缺少的产品，但是反观当今的微商市场中，十个微商有八个所销售的产品是护肤品，这造成了微商发展过程中的产品同质化问题越来越严重，这是不利于微商市场健康发展的。再次，微商的售后服务有待加强。微商与实体店相比，其退、换货的服务等有一定的不便性，调查数据显示，大部分人对微商不满意的地方多在于售后问题。最后，微商的营销方法是存在一定问题的。有些微商从业人员通过疯狂刷屏的方法进行宣传，这不仅不会刺激人们的购买欲望，反而会引起大部分人的反感。
               .机遇：现如今，我国的相关领导人和管理人员是鼓励电商平台发展的，所以微商还存在很大的发展机遇。并且，我国也对“互联网+”这一概念进行了大范围渗透，在大学生的创新发展中也得到了很大程度的融合。由此可见，我国微商在现如今还是存在很大的发展机遇的。
               社交电商
               早在2010年，马克·扎克伯格——Facebook创始人就提及“下一个引爆点将是社交电子商务”。另外《2018年中国社交行业发展报告》发布的数据显示：社交电商的市场规模将突破万亿。社交电商，意指将具有社交属性的分享、讨论、互动等活动应用到电商领域的现象。表现为如下三个阶段：购买前活动、购买中活动、购买后活动，具体可表述为购买前的选择店铺、比较商品，购买中的即时通信、论坛询问，购买后的商品评价及分享。从企业角度来看，社交电商是通过将社交属性与电商属性的结合，以此来完成商品推广和销售的过程。
               （1）社交应用电商化。过去的社交应用或社交网站主要依靠广告或者增值服务实现盈利，随着移动电子支付的发展，对企业来说，将巨大的用户流量转变成现金流是实现社交类公司持续盈利的目标。
               （2）电商平台社交化。电商平台的社交化是指电商在发展过程中出于某种目的，将带有社交属性的元素运用于自身的广告传播、商品推广和销售的过程。电商融入社交属性的直接目的在于准确地把握用户数据，以此来制定具有针对性的营销策略，实现自身的长足发展，构建完整的商业闭环。如，电商巨头阿里在社交领域的尝试过程中，上线“来往”，苏宁易购开发即时通信软件——云信。
               （3）社交应用与电商平台协同发展。社交应用与电商平台协同发展主要指的是部分电商主体由于与社交应用或网站达成战略协议，进而允许用户将商品链接发送或分享到社交应用中，以提高企业知名度和交易量，拼多多与微信之间的战略合作，用户可直接将商品购买链接发送给自己的亲朋好友，邀请好友一同购买商品，也可以直接点击他人分享的购物链接进行购买，这种低成本的吸引新顾客成为电商与社交应用合作的主要案例。
               全程电商
               企业全程电子商务是指企业在进行商务活动的各个流程中都导入电子商务。企业进行全程电子商务需要借助一些系统，用以实现资源、信息的有效整合。ERP系统可以帮助企业重塑内部管理流程和体系结构，能够解决企业内部各系统之间信息孤立、运作不协调等问题，提高了整个企业的运作效率。但是，随着电子商务的兴起和企业重心从运作效率到以顾客为中心的转变，原有的ERP已不足以支撑整个供应链中所有商业流程的集成。SCM的出现，正是企业从内部的纵向集成转到以顾客为中心和外延企业的横向集成的发展。而电子商务是供应链集成的关键，它使供应链的许多核心概念和原理得以有效地实现，这些概念包括：信息共享、多方协作、为供应链的设计（Design for SCM）、为大规模定制的延迟区分（Postponement）、外包和伙伴关系、联合性能测量等等。
               以在线管理服务（SaaS）作为核心应用，帮助企业将经营管理范围延伸到上、下游业务伙伴处，对供应链上的经销商、企业、供销商、客户进行管理，并且与电子商务完全融合。构建出了新的电子商务生态系统，让缺乏IT基础的中小企业实现在线供应链管理，实现供应链上的经销商、企业、供销商、客户的商务协同，同时积极与社会公共服务体系对接，帮助中小企业建立以企业实时经营数据为基础的企业信用基础设施。
               深度融合Web技术，通过SaaS交付模式和电子商务手段，借助互联网进行一站式的全程商务管理，通过管理模式变革来提升企业经营管理水平，促使企业向“下一代”企业转变。
               无人零售
               从2017年开始，阿里无人超市“淘咖啡”、缤果盒子等红遍线上线下，EATBOX、甘来智能微超、怪兽等无人便利店也获得融资进行投放，全国各地无人便利店已在近十个城市铺开。
               无人零售是指无需人工值守的智能处理的新型零售服务。其主要特征：第一，智能技术的应用，结合视觉学习、RFID技术、大数据算法等技术，极大地减少了零售过程对人工的依赖。第二，融合线下线上，通过消费者数据的采集，分析其行为意图，以带来更贴心的购买体验。
               自助贩售机、无人货架和无人商店是目前市场上3种主要的无人零售业态。
               （1）自助贩售机。目前技术成熟，购买流程简单，且点位分布灵活，可以渗透到楼道、地铁站等门店难以进入的空间，可应用场景广泛。
               （2）无人货架。一般把商品陈列在开放的货架上，消费者通过扫码支付的方式拿走相应的商品。无人货架多设立在办公室的茶水间、写字楼大厅、办公休息区等地方，主要提供包装食品和软饮料等品类的商品，成本较低，应用场景较为有限。
               （3）无人商店。主要覆盖人流密度较大的社区和商区，提供各种食品和应急商品，部分无人店还提供鲜食、生鲜食品、餐饮等其他品类。无人商店通过一系列前沿科技实现“无人”状态。无人商店节约资源和能源，取代人力，市场潜力巨大，前景光明。
               品质电商
               在2016世界电商大会上，京东商城公共事务副总裁曲越川分享了京东对“品质电商”的理解。他表示，2016年1月京东提出新经济新秩序，品质、品牌和品商的新战略，其对现阶段的品质电商的理解是：源头的直采、加强品控、封闭物流全程可追溯、快速送达和优质的服务。京东自营的采销品控实现了全程质控，产地直采，全程进行扁平化的控制。京东通过一系列准入的标准和门槛，来确保京东售卖的商品品质和质量。
               消费升级大背景下，消费者购物时已经不单单追求价格低廉，而更多注意商品的品质，倒逼商品供给端的升级，行业对供应链各环节的重视程度也正逐步提升。电商平台为商品流通的重要渠道商之一，为了提高对商品品质的把控程度，行业中出现了一类渗透到上游供应链，以创新品控运营模式为核心竞争力的新兴电商模式。2016年12月，商务部发布《电子商务“十三五”发展规划》，鼓励发展品质电商、品牌电商，进一步发挥电子商务引导生产、引领消费的积极作用。
               品质电商发展至今，商品越来越丰富、功能越来越完善、入局玩家也越来越多，如：2012年4月上线的优选电商当当优品，2014年1月上线的C2M电商必要商城，2016年4月上线的自营家居生活品牌网易严选，2017年4月上线的精品电商米家有品，2017年5月上线的品质电商淘宝心选，2017年6月上线的ODM电商兔头妈妈甄选，2018年1月上线的京东京造等，不断为消费者提供高质量、平价的精选商品。品质电商通过“精选”商品来提高购买效率。与淘宝这一类完全开放平台不同，进入品质电商的产品加入了优质厂商和平台的双重背书，消费者的期待更高，这时品质电商就必须掌握好“精选”的度，商品太少不能满足消费者基本需求，太多则加大选择难度。
 
       电子商务项目
               电子商务项目管理
                      电子商务项目定义
                      项目就是指一系列独特的、复杂的并相互关联的活动，这些活动有着一个明确的目标或目的，必须在特定的时间、预算、资源限定内，依据规范完成。项目参数包括项目范围、质量、成本、时间及资源。项目可以说没有一个统一定义。人们从不同的角度给出了不同的定义，许多项目管理组织对项目就有各自的定义。
                      电子商务项目是一个企业或组织为实现自己既定（电子商务平台的实现等）的目标，在一定的时间、人员和资源约束条件下，所开展的一种具有一定独特性的一次性工作，项目的目标就是满足客户、管理层和供应商在时间、费用和性能（质量）上的不同要求。电子商务项目管理是项目管理的一个细分，具有项目管理流程。
                      根据项目管理研究中心（Project Management Institute，PMI），项目管理流程有五个阶段：启动、规划、执行、控制和结束。项目是创造独特产品，提供独特服务，达到独特结果的临时性工作（A temporary endeavor undertaken to create a unique product, service or result）。从定义看项目内涵，一是一次性，即项目是一个特定的、不可逆的过程，且与时间紧密相关，具有明确的开始和结束时间；二是特定性，指任何项目都具有自身特定的目标，也都具有特定的限制条件，同时项目总以一些显著的方式区别于其他任何类似的产品或服务，不存在两个完全相同的项目。项目目标的实现往往具有难度和复杂度，需要涉及团结的协调和共同努力。
                      以电子商务平台建设项目为例，由于参与项目开发和管理的技术方、管理方和商户等关注的目标、建设成本和周期以及利益不同，必须进行项目管理，对项目建设过程进行协调和控制，以保证项目的顺利实施。因此，电子商务项目管理是为完成企业电子商务项目目标，而进行的规划、组织及控制优化等。
                      电子商务项目的特性
                      电子商务项目管理是项目管理在信息技术领域的应用，由于信息技术行业的特点，电子商务项目管理除了具有项目管理普遍特性外，它的行业特性还使它具有以下特点：
                      （1）任务的明确性：项目分为产品项目和应用项目，但无论是产品项目还是应用项目都是有明确的开始和结束时间的，项目启动时，就明确了项目的目标和时限，项目开发计划SDP（Software Developing Plan）编制，明确了项目各阶段里程碑及人员和时间要求，开发计划作为项目开发进程的指南。
                      （2）管理工具的先进性：计算机的普遍应用和从业人员技术水平和综合素质高是电子商务行业的特性之一，而电子商务系统开发又是以团队协作为主要方式，所以管理工具的应用是必然的。信息技术的更新也同时加速了管理工具的更新，因此电子商务项目管理工具的先进性对于项目的成功与否起着不可替代的作用。
                      （3）信息沟通的及时性：现代通信技术和计算机网络的应用在电子商务项目开发中充当着重要的角色，项目周报、日报以及项目各种信息的正确传递，由于行业特色，项目参与人可以实时进行E-mail收发，保证了信息沟通的及时和准确性。
                      （4）资源提供的必要性：制造行业生产线设备的先进性决定产品生产过程的质量和产品产量，软件开发不同于生产制造业，软件行业中决定软件产品质量的主体是人，人是决定这一切的决定性因素，同时人又是最不可控的因素，所以高素质、掌握相应技术的人是软件开发的重要资源。软件开发的主要工具是计算机，最先进的技术实现也要依靠较先进的计算机设备。为保证团队开发的安全和可控性，文件服务器是必须配置的。网络环境的安全及速度也是软件开发的必要保障之一。必要的生产工具还包括开发所需的、从第三方采购的软件产品，如系统软件、数据库、开发语言工具等。
                      （5）测试的完善和严谨性：要保证软件产品的质量，测试是必不可少的过程。而测试的完整和全面性决定了产品的质量、成本和进度，只有通过测试及时发现和修改问题，才能最终保证开发出合格的软件产品。
                      （6）度量的准确性：电子商务项目度量指标主要包括人时数的度量、BUG的度量、成本的度量。合理的开发人月数估算不仅是项目开发计划制定的依据，同时也是对项目合同的评审依据。BUG数更多地提供过程改进及人员评价的依据。成本的度量可测定团队的开发能力及财务角度评价项目的质量及可行度。
                      电子商务项目的开始到结束会有若干个阶段，如项目的启动、计划、执行和收尾等。一般项目还有一个或更多的关键时间或“里程碑”，因此从项目开始日期到结束日期的这一时期通常被称为项目的生命周期。
               电子商务项目管理的内容
               电子商务项目管理是为了使项目能够按照预定的成本、进度、质量顺利完成，而对成本、人员、进度、质量、风险等进行分析和管理的活动。
                      电子商务项目管理的过程
                      为保证电子商务项目获得成功，必须清楚其工作范围、要完成的任务、需要的资源、需要的工作量、进度的安排、可能遇到的风险等。电子商务项目的管理工作在技术开始之前就应开始，而在电子商务从概念到实现的过程中继续进行。管理过程分为如下几个步骤。
                      （1）制订项目计划电子商务项目一旦启动，就必须制订项目计划。计划的制订以下面的活动为依据。主要包括：估算项目所需的工作量、估算项目所需的资源、根据工作量制订进度计划及分配资源、做出配置管理计划、做出风险管理计划、做出质量保证计划等。
                      （2）跟踪及控制项目计划在电子商务项目进行过程中，严格遵守项目计划。对一些不可避免的变更，要进行控制和调整，但要保证项目计划的完整性和一致性。
                      （3）评审项目计划对项目计划的完成程度进行评审，并对执行情况进行评价。
                      （4）编写管理文档检查项目完成的结果和中间记录文档，并把所有的结果记录下来形成文档保存。
                      电子商务项目管理的内容
                      传统的项目和项目管理的概念，其主要起源于建筑行业。电子商务系统的建设，更多表现为软件项目的开发，因此电子商务项目是以软件为产品的项目。
                      电子商务项目管理是项目管理在信息通讯技术领域的应用，结合电子商务行业特点运用项目管理技术、理念和方法，包括9大知识领域（范围管理、时间管理、成本管理、质量管理、人力资源管理、沟通管理、采购管理、风险管理和集成管理）以及启动、计划、实施、控制和收尾等过程组成。
                      （1）项目范围管理。是为了实现项目的目标，对项目的工作内容进行控制的管理过程。它包括范围的界定、范围的规划、范围的调整等。
                      （2）项目时间管理。是为了确保项目最终的按时完成的一系列管理过程。它包括具体活动界定、活动排序、时间估计、进度安排及时间控制等项工作。
                      （3）项目成本管理。是为了保证完成项目的实际成本、费用不超过预算成本、费用的管理过程。它包括资源的配置，成本、费用的预算以及费用的控制等项工作。
                      （4）项目质量管理。是为了确保项目达到客户所规定的质量要求所实施的一系列管理过程。它包括质量规划，质量控制和质量保证等。
                      （5）人力资源管理。是为了保证所有项目关系人的能力和积极性都得到最有效的发挥和利用所做的一系列管理措施。它包括组织的规划、团队的建设、人员的选聘和项目的班子建设等一系列工作。
                      （6）项目沟通管理。是为了确保项目的信息的合理收集和传输所需要实施的一系列措施，它包括沟通规划、信息传输和进度报告等。
                      （7）项目风险管理。涉及项目可能遇到的各种不确定因素。它包括风险识别、风险量化，制订对策和风险控制等。
                      （8）项目采购管理。是为了从项目实施组织之外获得所需资源或服务所采取的一系列管理措施。它包括采购计划、采购与征购、资源的选择以及合同的管理等项目工作。
                      （9）项目集成管理。是指为确保项目各项工作能够有机地协调和配合所展开的综合性和全局性的项目管理工作和过程。它包括项目集成计划的制订，项目集成计划的实施、项目变动的总体控制等。
                      随着全球性竞争的日益加剧，项目活动日益扩大和更为复杂，项目数量的急剧增加，项目团队规模的不断扩大，项目相关利益者的冲突不断增加，降低项目成本的压力不断上升等，这些都促进了现代项目管理及技术的研究和发展，结合现代计算机和网络技术，现代项目管理的方法、能力和效率也有了很大提高，现代项目管理也逐渐形成了自己的理论和方法体系。
               电子商务项目计划的制定
               电子商务项目可以是一个单独的开发项目，也可以与产品项目组成一个完整的电子商务产品项目。如果是订单开发，则成立电子商务项目组即可；如果是产品开发，需成立电子商务项目组和产品项目（负责市场调研和销售），组成电子商务产品项目组。公司实行项目管理时，首先要成立项目管理委员会，项目管理委员会下设项目管理小组、项目评审小组和电子商务产品项目组。
                      项目管理委员会
                      项目管理委员会是公司项目管理的最高决策机构，一般由公司总经理、副总经理组成。主要职责如下：
                      （1）依照项目管理相关制度，管理项目。
                      （2）监督项目管理相关制度的执行。
                      （3）对项目立项、项目撤销进行决策。
                      （4）任命项目管理小组组长、项目评审委员会主任、项目组组长。
                      项目管理小组
                      项目管理小组对项目管理委员会负责，一般由公司管理人员组成。主要职责如下：
                      （1）草拟项目管理的各项制度。
                      （2）组织项目阶段评审。
                      （3）保存项目过程中的相关文件和数据。
                      （4）为优化项目管理提出建议。
                      项目评审小组
                      项目评审小组对项目管理委员会负责，可下设开发评审小组和产品评审小组，一般由公司技术专家和市场专家组成。主要职责如下：
                      （1）对项目可行性报告进行评审。
                      （2）对市场计划和阶段报告进行评审。
                      （3）对开发计划和阶段报告进行评审。
                      （4）项目结束时，对项目总结报告进行评审。
                      电子商务项目组
                      电子商务项目组对项目管理委员会负责，可下设电子商务项目组和产品项目组。电子商务项目组和产品项目组分别设开发经理和产品经理。成员一般由公司技术人员和市场人员构成。主要职责是：根据项目管理委员会的安排具体负责项目的电子商务开发和市场调研及销售工作。
                      电子商务项目计划书的编写
                      项目组成立后的第一件事是编写《电子商务项目计划书》，在计划书中描述开发日程安排、资源需求、项目管理等各项情况的大体内容。计划书主要向公司各相关人员发放，使他们大体了解该电子商务项目的情况。对于计划书的每个内容，都应有相应具体实施手册，这些手册是供项目组相关成员使用的。
 
       防病毒系统
        计算机病毒的发展日益猖獗，已经成为软件系统的大敌，因此有必要采用全面的计算机病毒控制手段进行病毒的防范，基本的防毒技术包含如下几部分。
               集中式管理、分布式杀毒
               对局域网进行远程集中式安全管理，统一升级杀毒引擎和病毒定义，并可通过账号和口令设置移动控制台。并且采用先进的分布技术，利用本地资源和本地杀毒引擎，对本地节点的所有文件全面、及时、高效地查杀病毒，同时保障用户的隐私，减少网络传输的负载，避免因大量传输文件而引起网络拥塞。目前，杀毒软件中较为流行的两种集中管理方式如下。
               . 以策略为中心（如下图所示）。
               
               以策略为中心进行网络杀毒管理
               以逻辑上的策略域进行杀毒策略的部署，一般由策略服务器（或中心服务器）负责实现网络杀毒策略的部署，这种方式可以脱离网络拓扑结构，部署较灵活。
               . 以服务器为中心（如下图所示）。
               
               以服务器为中心进行网络杀毒管理
               以物理上的网络服务器为中心，进行网络杀毒的管理，这种方式与网络拓扑结构融合，使管理更加方便。
               数据库技术、LDAP技术的应用
               由于网络杀毒工作的日益复杂，一些网络杀毒软件厂商已经开始使用数据库技术和LDAP技术进行策略和日志的存储、用户管理等，不但增强了用户管理能力、策略组织能力、提高了策略调用速度，而且便于以后向日志分析等方面扩展。
               多引擎支持
               我们知道，对于网络安全来说，只有相对安全而没有绝对的安全，而对于杀毒引擎来说，我们并不能说一种杀毒技术或杀毒引擎能够查杀任何病毒，因此对于多引擎技术来说，即使使用多项杀毒技术进行网络杀毒，可以有效地提高网络杀毒的成功率，但是必然会增加网络杀毒软件的复杂度。
               不同操作系统的防护
               由于计算机网络应用的不断增加，导致计算机病毒入侵途径日益增多，并且对于某些网络上的设备，如Linux、UNIX服务器来说，虽然其本身受病毒侵害的程度相对较低，但是却也成为病毒存储的温床和发源地。因此，网络杀毒体系将会从单一设备或单一系统，发展成为一个整体的解决方案，并与网络安全系统有机地融合在一起。对软件系统来讲，无论是服务器还是客户端都应该得到保护。目前，现有的网络杀毒软件通常都可以扩展到对于数据库服务器、文件服务器、邮件服务器、Lotus服务器等的病毒防护。
               远程安装或分发安装
               由于网络杀毒软件有可能通过远程方式，实现不同物理区域的数十台，甚至成百上千台，客户端服务器的杀毒模块的安装，因此要求管理员本地安装是不现实的。目前系统一般提供两种方式进行客户端的远程安装，一种是通过Windows系统远程控制命令进行批量客户端的远程安装，另外一种方式是让所有的用户通过Web页面下载客户端自行安装，任何一种方式都需要通过管理手段和技术手段实现。
               测试人员在测试的时候应该对网络防毒软件的选购、部署方式、策略定义进行评估和测试。
 
       漏洞扫描
        漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。
        入侵者一般利用扫描技术获取系统中的安全漏洞侵入系统，而系统管理员也需要通过扫描技术及时了解系统存在的安全问题，并采取相应的措施来提高系统的安全性。漏洞扫描技术是建立在端口扫描技术的基础之上的。从对黑客攻击行为的分析和收集的漏洞来看，绝大多数都是针对某一个网络服务，也就是针对某一个特定的端口的。所以漏洞扫描技术也是以与端口扫描技术同样的思路来开展扫描的。
        漏洞扫描主要通过以下两种方法来检查目标主机是否存在漏洞：在端口扫描后得知目标主机开启的端口以及端口上的网络服务，将这些相关信息与网络漏洞扫描系统提供的漏洞库进行匹配，查看是否有满足匹配条件的漏洞存在；通过模拟黑客的攻击手法，对目标主机系统进行攻击性的安全漏洞扫描，如测试弱势口令等。若模拟攻击成功，则表明目标主机系统存在安全漏洞。
               分类和实现方法
               基于网络系统漏洞库漏洞扫描大体包括CGI、POP3、FTP、SSH、HTTP等。这些漏洞扫描是基于漏洞库，将扫描结果与漏洞库相关数据匹配比较得到漏洞信息；漏洞扫描还包括没有相应漏洞库的各种扫描，如Unicode遍历目录漏洞探测、FTP弱势密码探测、OPEN Relay邮件转发漏洞探测等，这些扫描通过使用插件功能模块技术进行模拟攻击，测试出目标主机的漏洞信息。下面就这两种扫描的实现方法进行讨论。
               （1）漏洞库的匹配方法。基于网络系统漏洞库的漏洞扫描的关键部分就是它所使用的漏洞库。通过采用基于规则的匹配技术，即根据安全专家对网络系统安全漏洞、黑客攻击案例的分析和系统管理员对网络系统安全配置的实际经验，可以形成一套标准的网络系统漏洞库，然后在此基础上构成相应的匹配规则，由扫描程序自动进行漏洞扫描工作。
               这样，漏洞库信息的完整性和有效性决定了漏洞扫描系统的性能，漏洞库的修订和更新的性能也会影响漏洞扫描系统运行的时间。因此漏洞库的编制不仅要对每个存在安全隐患的网络服务建立对应的漏洞库文件，而且应当能满足前面所提出的性能要求。
               （2）插件功能模块技术。插件是由脚本语言编写的子程序，扫描程序可以通过调用它来执行漏洞扫描，检测出系统中存在的一个或多个漏洞。添加新的插件就可以使漏洞扫描软件增加新的功能，扫描出更多的漏洞。插件编写规范化后，甚至用户自己都可以用Perl、C或自行设计的脚本语言编写的插件来扩充漏洞扫描软件的功能。这种技术使漏洞扫描软件的升级维护变得相对简单，而专用脚本语言的使用也简化了编写新插件的编程工作，使漏洞扫描软件具有很强的扩展性。
               存在的问题及解决
               现有的安全隐患扫描系统基本上是采用上述的两种方法来完成对漏洞的扫描，但是这两种方法在不同程度上也各有不足之处。
               （1）系统配置规则库问题。网络系统漏洞库是基于漏洞库的漏洞扫描的灵魂所在，而系统漏洞的确认是以系统配置规则库为基础的。但是这样的系统配置规则库存在其局限性：
               .如果规则库设计得不准确，预报的准确度就无从谈起；
               .它是根据已知的安全漏洞进行安排和策划的，而对网络系统的很多危险的威胁却是来自未知的漏洞，这样如果规则库更新不及时，预报准确度也会逐渐降低；
               .受漏洞库覆盖范围的限制，部分系统漏洞也可能不会触发任何一个规则，从而不被检测到。
               解决建议：系统配置规则库应能不断地被扩充和修正，这样也是对系统漏洞库的扩充和修正，目前仍需要专家的指导和参与才能够实现。
               （2）漏洞库信息要求。漏洞库信息是基于网络系统漏洞库的漏洞扫描的主要判断依据。如漏洞库信息不全面或得不到及时更新，不但不能发挥漏洞扫描的作用，还会给系统管理员以错误的引导，导致不能采取有效措施消除安全隐患。
               解决建议：漏洞库信息不但应具备完整性和有效性，也应具有简易性的特点，这样即使是用户自己也易于对漏洞库进行添加配置，从而实现对漏洞库的即时更新。比如漏洞库在设计时可以基于某种标准来建立，这样便于扫描者的（CVE）理解和信息交互，使漏洞库具有比较强的扩充性，更有利于以后对漏洞库的更新升级。
               （3）安全评估能力。有些扫描器如著名的ISS Internet Scanner，虽然扫描漏洞的功能强大，但只是简单地把各个扫描测试项的执行结果罗列出来，不能提供详细的描述和分析处理方案；而当前较成熟的扫描器虽然能对扫描出的漏洞进行整理，形成报表，并提供具体的描述和有效的解决方案，但仍缺乏对网络的状况有一个整体的评估，对网络安全也没有系统的解决方案。
               解决建议：未来的漏洞扫描器不但能扫描安全漏洞，所使用的漏洞扫描技术还应智能化，不但能提高扫描结果的准确性，而且应能协助网络系统管理员评估本网络的安全状况，并给出合适的安全建议。
 
       认证
        认证又分为实体认证和消息认证两种。实体认证是识别通信对方的身份，防止假冒，可以使用数字签名的方法。消息认证是验证消息在传送或存储过程中有没有被篡改，通常使用报文摘要的方法。
               基于共享密钥的认证
               如果通信双方有一个共享的密钥，则可以确认对方的真实身份。这种算法依赖于一个双方都信赖的密钥分发中心（Key Distribution Center，KDC），如下图所示，其中的A和B分别代表发送者和接收者，KA、KB分别表示A、B与KDC之间的共享密钥。
               
               基于共享密钥的认证协议
               认证过程如下：A向KDC发出消息{A，KA（B，KS）}，说明自己要与B通信，并指定了与B会话的密钥KS。注意，这个消息中的一部分（B，KS）是用KA加密的，所以第三者不能了解消息的内容。KDC知道了A的意图后就构造了一个消息{KB（A，KS）}发给B。B用KB解密后就得到了A和KS，然后就可以与A用KS会话了。
               然而，主动攻击者对这种认证方式可能进行重放攻击。例如A代表雇主，B代表银行。第三者C为A工作，通过银行转账取得报酬。如果C为A工作了一次，得到了一次报酬，并偷听和复制了A和B之间就转账问题交换的报文，那么贪婪的C就可以按照原来的次序向银行重发报文2，冒充A与B之间的会话，以便得到第二次、第三次……报酬。在重放攻击中攻击者不需要知道会话密钥KS，只要能猜测密文的内容对自己有利或是无利就可以达到攻击的目的。
               基于公钥的认证
               这种认证协议如下图所示。A向B发出EB（A，RA），该报文用B的公钥加密。B返回EA（RA，RB，KS），用A的公钥加密。这两个报文中分别有A和B指定的随机数RA和RB，因此能排除重放的可能性。通信双方都用对方的公钥加密，用各自的私钥解密，所以应答比较简单。其中的KS是B指定的会话键。这个协议的缺陷是假定双方都知道对方的公钥。
               
               基于公钥的认证协议
 
       身份认证
        身份认证的主要目标是检验身份，即确定合法用户的身份和权限，识别假冒他人身份的用户。认证系统可以与授权系统配合使用，在用户的身份通过认证后，根据其具有的授权来限制、其操作行为。常见的系统身份认证方式主要有入网访问控制和权限控制。
               入网访问控制
               入网访问控制为网络访问提供了第一层访问控制，限制未经授权的用户访问部分或整个信息系统。用户要访问信息系统，首先要获得授权，然后接受认证。对信息系统进行访问包含三个步骤：第一步，能够使用终端；第二步，进入系统；第三步，访问系统中的具体命令、交易、权限、程序和数据。目前，从市场上可以买到针对计算机、局域网、移动设备和拨号通信网的访问控制软件。访问控制规程要求为每个有效用户分配一个唯一的用户身份标识（UID），使用这个UID对要求访问信息系统用户的真实身份进行验证。可以使用数字证书、智能卡、硬件令牌、手机令牌、签名、语音、指纹及虹膜扫描等生物特征鉴别。
               其中，数字证书就是互联网通信中标志通信各方身份信息的一系列数据，提供了一种在Internet上验证身份的方式，其作用类似于司机的驾驶执照或日常生活中的身份证。它是由一个权威机构——CA机构，又称证书授权（Certificate Authority）中心发行的，人们可以在网上用它来识别对方的身份。数字证书有两种形式，即文件证书和移动证书USBKEY。其中移动证书USBKEY是一种应用了智能芯片技术的数据加密和数字签名工具，其中存储了每个用户唯一、不可复制的数字证书，在安全性上更胜一筹，是现在电子政务和电子商务领域最流行的身份认证方式。其原理是通过USB接口与计算机相连，用户个人信息存放在存储芯片中，可由系统进行读／写，当需要对用户进行身份认证时，系统提请用户插入USBKEY并读出上面记录的信息，信息经加密处理送往认证服务器，在服务器端完成解密和认证工作，结果返回给用户所请求的应用服务。
               生物特征鉴别通过自动验证用户的生理特征或行为特征来识别身份。多数生物学测定系统的工作原理是将一个人的某些特征与预存的资料（在模板中）进行对比，然后根据对比结果进行评价。常见的测定方法如下。
               （1）脸部照片。计算机对脸部进行照相并将其与预存的照片进行对比。这种方法能够成功地完成对用户的识别，只是在识别双胞胎时不够准确。
               （2）指纹扫描。当用户登录时，可扫描用户的指纹并将其与预存的指纹进行对比，确定是否匹配。
               （3）手型识别。这种方法与指纹扫描非常类似，不同之处在于验证人员使用类似于电视的照相机对用户的手进行拍照，然后将手的某些特征（如手指长度和厚度等）与计算机中存储的信息进行对比。
               （4）虹膜扫描。这种技术是使用眼睛中有颜色的一部分来确定个人身份的方法，通过对眼睛进行拍照并对照片进行分析来确定用户身份，结果非常准确。
               （5）视网膜扫描。这种方法对视网膜上的血管进行扫描，将扫描结果与预存的照片进行对比。
               （6）语音扫描。这种方法通过对比用户的语音与计算机中预存的语音来验证用户身份。
               （7）签名。将签名与预存的有效签名进行对比。
               （8）击键动态。将用户键盘压力和速度与预存的信息进行对比。
               （9）还有脸部温度测定等方法。
               网络的权限控制
               网络权限控制是针对网络非法操作所提出的一种安全保护措施。用户和用户组被赋予一定的权限。网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资源；可以指定用户对这些文件、目录、设备能够执行哪些操作；可以根据访问权限将用户分为特殊用户（系统管理员）和一般用户，系统管理员根据用户的实际需要为他们分配操作权限。网络应允许控制用户对目录、文件、设备的访问。用户在目录一级指定的权限对所有文件和子目录均有效，用户还可进一步指定目录下子目录和文件的权限。对目录和文件的访问权限一般有八种：系统管理员权限、读权限、写权限、创建权限、删除权限、修改权限、文件查找权限、存取控制权限。
 
       审核
        依据知识库内容加入的审核标准，由资深技术人员审核内容的正确性和完整性，避免与原有的知识库内容重复或冲突，给出审核意见后提交批准加入知识库中。
 
       数字证书
        数字证书是各类终端实体和最终用户在网上进行信息交流及商务活动的身份证明，在电子交易的各个环节，交易的各方都需验证对方数字证书的有效性，从而解决相互间的信任问题。
        数字证书采用公钥体制，即利用一对互相匹配的密钥进行加密和解密。每个用户自己设定一个特定的仅为本人所知的私有密钥（私钥），用它进行解密和签名，同时设定一个公共密钥（公钥），并由本人公开，为一组用户所共享，用于加密和验证。公开密钥技术解决了密钥发布的管理问题。一般情况下，证书中还包括密钥的有效时间、发证机构（证书授权中心）的名称及该证书的序列号等信息。数字证书的格式遵循ITUT X.509国际标准。
        用户的数字证书由某个可信的证书发放机构（Certification Authority，CA）建立，并由CA或用户将其放入公共目录中，以供其他用户访问。目录服务器本身并不负责为用户创建数字证书，其作用仅仅是为用户访问数字证书提供方便。
        在X.509标准中，数字证书的一般格式包含的数据域如下。
        （1）版本号：用于区分X.509的不同版本。
        （2）序列号：由同一发行者（CA）发放的每个证书的序列号是唯一的。
        （3）签名算法：签署证书所用的算法及参数。
        （4）发行者：指建立和签署证书的CA的X.509名字。
        （5）有效期：包括证书有效期的起始时间和终止时间。
        （6）主体名：指证书持有者的名称及有关信息。
        （7）公钥：有效的公钥以及其使用方法。
        （8）发行者ID：任选的名字唯一地标识证书的发行者。
        （9）主体ID：任选的名字唯一地标识证书的持有者。
        （10）扩展域：添加的扩充信息。
        （11）认证机构的签名：用CA私钥对证书的签名。
               证书的获取
               CA为用户产生的证书应具有以下特性：
               （1）只要得到CA的公钥，就能由此得到CA为用户签署的公钥。
               （2）除CA外，其他任何人员都不能以不被察觉的方式修改证书的内容。
               因为证书是不可伪造的，因此无须对存放证书的目录施加特别的保护。
               如果所有用户都由同一CA签署证书，则这一CA必须取得所有用户的信任。用户证书除了能放在公共目录中供他人访问外，还可以由用户直接把证书转发给其他用户。用户B得到A的证书后，可相信用A的公钥加密的消息不会被他人获悉，还可信任用A的私钥签署的消息不是伪造的。
               如果用户数量很多，仅一个CA负责为所有用户签署证书可能不现实。通常应有多个CA，每个CA为一部分用户发行和签署证书。
               设用户A已从证书发放机构X1处获取了证书，用户B已从X2处获取了证书。如果A不知X2的公钥，他虽然能读取B的证书，但却无法验证用户B证书中X2的签名，因此B的证书对A来说是没有用处的。然而，如果两个证书发放机构X1和X2彼此间已经安全地交换了公开密钥，则A可通过以下过程获取B的公开密钥：
               （1）A从目录中获取由X1签署的X2的证书X1《X2》，因为A知道X1的公开密钥，所以能验证X2的证书，并从中得到X2的公开密钥。
               （2）A再从目录中获取由X2签署的B的证书X2《B》，并由X2的公开密钥对此加以验证，然后从中得到B的公开密钥。
               在以上过程中，A是通过一个证书链来获取B的公开密钥的，证书链可表示为
               X1《X2》X2《B》
               类似地，B能通过相反的证书链获取A的公开密钥，表示为
               X2《X1》X1《A》
               以上证书链中只涉及两个证书。同样，有N个证书的证书链可表示为
               X1《X2》X2《X3》…XN《B》
               此时，任意两个相邻的CAXi和CAXi+1已彼此间为对方建立了证书，对每一个CA来说，由其他CA为这一CA建立的所有证书都应存放于目录中，并使得用户知道所有证书相互之间的连接关系，从而可获取另一用户的公钥证书。X.509建议将所有的CA以层次结构组织起来，用户A可从目录中得到相应的证书以建立到B的以下证书链：
               X《W》W《V》V《U》U《Y》Y《Z》Z《B》
               并通过该证书链获取B的公开密钥。
               类似地，B可建立以下证书链以获取A的公开密钥：
               X《W》W《V》V《U》U《Y》Y《Z》Z《A》
               证书的吊销
               从证书的格式上可以看到，每个证书都有一个有效期，然而有些证书还未到截止日期就会被发放该证书的CA吊销，这可能是由于用户的私钥已被泄漏，或者该用户不再由该CA来认证，或者CA为该用户签署证书的私钥已经泄漏。为此，每个CA还必须维护一个证书吊销列表（Certificate Revocation List，CRL），其中存放所有未到期而被提前吊销的证书，包括该CA发放给用户和发放给其他CA的证书。CRL还必须由该CA签字，然后存放于目录中以供他人查询。
               CRL中的数据域包括发行者CA的名称、建立CRL的日期、计划公布下一CRL的日期以及每个被吊销的证书数据域。被吊销的证书数据域包括该证书的序列号和被吊销的日期。对一个CA来说，它发放的每个证书的序列号是唯一的，所以可用序列号来识别每个证书。
               因此，每个用户收到他人消息中的证书时都必须通过目录检查这一证书是否已经被吊销，为避免搜索目录引起的延迟以及因此而增加的费用，用户自己也可维护一个有效证书和被吊销证书的局部缓存区。
 
       微信
        微信公众号是开发者或商家在微信公众平台上申请的应用账号，该账号与QQ账号互通，通过公众号，商家可在微信平台上实现和特定群体的文字、图片、语音、视频的全方位沟通、互动，形成了一种主流的线上／线下微信互动营销方式。
        正如线上／线下微信互动营销的代表微部落，率先提出标准的行业通用模板和深定制的微信平台开发理念相结合，形成了线上／线下微信互动营销的开放应用平台。
 
       系统的安全
        系统的安全涉及两类不同的问题，一类涉及技术、管理、法律、道德和政治等问题，另一类涉及操作系统的安全机制。随着计算机应用范围扩大，在所有稍具规模的系统中都从多个级别上来保证系统的安全性。一般从4个级别上对文件进行安全性管理：系统级、用户级、目录级和文件级。
        （1）系统级。系统级安全管理的主要任务是不允许未经授权的用户进入系统，从而也防止了他人非法使用系统中各类资源（包括文件）。系统级管理的主要措施有注册与登录。
        （2）用户级。用户级安全管理是通过对所有用户分类和对指定用户分配访问权，不同的用户对不同文件设置不同的存取权限来实现。例如，在UNIX系统中将用户分为文件主、同组用户和其他用户。有的系统将用户分为超级用户、系统操作员和一般用户。
        （3）目录级。目录级安全管理是为了保护系统中各种目录而设计的，它与用户权限无关。为了保证目录的安全，规定只有系统核心才具有写目录的权利。
        （4）文件级。文件级安全管理是通过系统管理员或文件主对文件属性的设置来控制用户对文件的访问。通常可设置以下几种属性：只执行、隐含、只读、读／写、共享、系统。用户对文件的访问，将由用户访问权、目录访问权限及文件属性三者的权限所确定，或者说是有效权限和文件属性的交集。例如对于只读文件，尽管用户的有效权限是读／写，但都不能对只读文件进行修改、更名和删除。对于一个非共享文件，将禁止在同一时间内由多个用户对它们进行访问。
 
       信息安全
        信息安全的5个基本要素为机密性、完整性、可用性、可控性和可审查性。
        （1）机密性。确保信息不暴露给未受权的实体或进程。
        （2）完整性。只有得到允许的人才能修改数据，并能够判别出数据是否已被篡改。
        （3）可用性。得到授权的实体在需要时可访问数据。
        （4）可控性。可以控制授权范围内的信息流向及行为方式。
        （5）可审查性。对出现的安全问题提供调查的依据和手段。
        随着信息交换的激增，安全威胁所造成的危害越来越受到重视，因此对信息保密的需求也从军事、政治和外交等领域迅速扩展到民用和商用领域。所谓安全威胁，是指某个人、物、事件对某一资源的机密性、完整性、可用性或合法性所造成的危害。某种攻击就是威胁的具体实现。安全威胁分为两类：故意（如黑客渗透）和偶然（如信息发往错误的地址）。
        典型的安全威胁举例如下表所示。
        
        典型的安全威胁
 
       信息化
        人们在生活和从事生产等活动中不断产生各种消息，接收者通过各种方式了解到的消息被称为信息。信息的传送一般应借助一定的运载工具，并将信息变换成各种表现形式，如语言、文字、图像、声音等。信息是普遍存在的，像空气一样渗透到全球各个角落、各个领域。人们在生活和工作中要随时随地地获取信息、交流和处理信息，并根据它决策或采取行动。企业为了在竞争中求得生存和发展，获取及时可靠的信息将成为第一需要。信息已同能源和材料一起成为现代化社会的三大资源。信息是资源，而且是一种战略资源。信息与材料、能源不同，信息可以被很多人使用，使用的人越多，创造的价值就越高，而且一条信息可以衍生出多条信息，取之不尽。信息与信息资源不同，信息的日常表现是无序的，但是信息本身存在着内在联系和规律，信息只有通过加工处理才能成为有价值的、可利用的信息资源。随着科技的进步和发展，特别是通信技术、电子技术、激光技术、集成电路、计算机等高技术的出现，在加快经济建设和社会发展的过程中，信息的作用越来越突出，信息和我们的日常生活密切相关，获取信息已经成为我们生活、工作中的重要内容，信息在服务于我们的生活的同时，对我们生活方式的影响也越来越大，所以我们称当前的社会为信息社会。由此衍生出了许多新兴的概念。
        信息技术是指对信息进行采集、存储、处理、检索、传递、分析与显示的高技术群。信息技术发展的总趋势是数字化、网络化与智能化，并以互联网技术及其应用技术为中心。信息产业是以现代信息技术为手段，以开发和利用信息资源为中心内容，提供信息产品和信息服务的产业部门。它包括信息产品制造业、软件与信息服务业、通信业。
        信息化是指培育、发展以智能化工具为代表的新的生产力并使之造福于社会的历史过程。智能工具一般必须具备信息获取、信息传递、信息处理、信息再生和信息利用的功能。
        完整的信息化内涵如下。
        （1）信息网络体系，它是大量信息资源、各种专用信息系统及其公用通信网络和信息平台的总称。
        （2）信息产业基础，即信息科学技术的研究、开发、信息装备的制造，软件开发与利用，各类信息系统的集成及信息服务。
        （3）社会支持环境，即现代工农业生产，以及管理体制、政策法律、规章制度、文化教育、道德观念等生产关系和上层建筑。
        （4）效用积累过程，即劳动者素质、国家的现代化水平和人们生活质量不断得到提高，精神文明和物质文明不断获得进步。
        通常人们习惯用信息产业部门所制造的收入在国民生产总值中所占的比重和信息从业者占就业人口的比例作为衡量社会信息化程度的指标。粗略认为两者均超过50%以上，其社会已进入信息社会。
 
       支付宝
        支付宝公司于2004年建立，是国内领先的第三方支付平台，致力于提供“简单、安全、快速”的支付解决方案。作为国内的第三方支付霸主，支付宝在天猫，淘宝等B2B、B2C电商支付场景中几乎处于垄断地位。支付宝提供支付及理财服务，包括网购担保交易、网络支付、转账、信用卡还款、手机充值、水电煤缴费、个人理财等多个领域。在进入移动支付领域后，为零售百货、电影院线、连锁商超和出租车等多个行业提供服务，支付宝与国内外180多家银行以及VISA、MasterCard国际组织等机构建立战略合作关系，成为金融机构在电子支付领域最为信任的合作伙伴。支付宝母公司蚂蚁金服入股印度支付巨头paytm，接着又与印尼Emtek集团成立合资公司。在短短几年时间里，支付宝实现了资金转账、生活充值、购物娱乐消费支付、财富管理等功能，相继推出了余额宝、蚂蚁分期、收款码等支付产品，接连推出蚂蚁森林、实施鼓励金计划、线下支付保障金计划等等。
   题号导航      2015年上半年 信息系统监理师 下午试卷 案例   本试卷我的完整做题情况  
1 /
2 /
3 /
4 /
5 /
 
第3题    在手机中做本题