目前，电子商务的信息安全已成为其应用及推广的关键问题。如果不能解决好电子商务的安全问题，电子商务的发展将会受到极大制约，这是因为电子商务更加注重安全性，否则客户在网络上进行电子商务活动时将得不到应有的保障，由此将使客户失去对电子商务的信心。在电子商务中，有关安全性问题有如下几个方面：
从设备层次来看，包括物理安全、设备备份、质量保证等。
从网络层次来看，包括网络的可靠性、可操作性、可计算性、可控性等。
从信息层次来看，包括信息的保密性、完整性和不可否认性等。
从管理层次来看，包括人员管理、人员的可靠性、规章制度的完整性等。
对以上问题，如何有针对性地采取相应的防范机制与策略，已成为电子商务应用和推广的重点。
5.2.1安全防范策略
策略是为实现战略的具体行动，它是一种单一的主意或谋略，具有某种竞争优势。而电子商务安全防范策略则是为保障电子商务活动的安全性而采取的谋略，它可包括技术和管理两个方面的策略。在电子商务中，制定安全策略不仅应该包括整个网络系统及其相关的通信系统的安全；而且应该包括更广泛范围内的安全，通常有：数据预处理阶段的数据安全、输出安全、用户控制、安全保险及风险分析等。
电子商务的安全防范策略是在构建好电子商务网络后，以什么方法来保护自己的网络及其中的信息。安全防范策略主要包括总的策略和具体规则两个方面。安全防范中的总策略主要阐明安全防范策略的总体思想，制定一个电子商务组织机构的战略性指导方针，并为实现这个方针分配必需的人力和物力；而安全防范中的具体规则主要说明哪些规则是允许的，哪些规则是禁止的。安全防范策略一般是由网络组织领导机构和高层领导来主持制定，以建立该机构的安全计划和基本的框架结构。
要实现电子商务系统安全，不但要靠先进的技术，而且也得靠严格的安全管理、法律约束和安全教育。电子商务安全的防范策略应该包括技术和管理两个方面的内容，它可以通过下述几个方面来解决。
1.建立健全电子商务管理制度
首先，电子商务管理部门应严格按照国家有关计算机系统和电子商务活动中的相关法律、法规，在国家相关部门（诸如国家安全部、保密局及各地区信息系统安全管理处等）的行政管理下，建立电子商务相关单位、部门的组织领导管理机构，明确领导及工作人员职责，制定管理岗位责任制及相关措施，严格内部安全管理机制。同时，对破坏电子商务信息安全的事件进行调查和处理，以确保电子商务活动的安全。
其次，应逐步完善“网上警察”队伍建设，加大监视和打击网络犯罪活动的力度。我国于1983年成立了公安部计算机管理和监察局，其目的就是“监督计算机信息系统安全保护工作”。1998年又成立了公安部公共信息网络安全监察局，并逐步形成了一支“网上警察”队伍。经过多年的建设与发展，网络警察已取得很大进步，网络警察的快速反应能力、侦察与追踪水平等都得到很大提高，对电子商务活动的安全性起到了极大的保护作用。
2.完善信息安全基础设施
具有自主知识产权的信息产业或信息产品是保证电子商务信息安全的根本。如果信息安全技术和产品受制于他国，将会对国家安全利益构成极大威胁。因此，国家应对国有信息安全产业的发展给予充分的政策和财政支持。
同时，我国应在电子商务的相关技术领域有所突破，只有这样，才能保证电子商务活动的安全性。在带有普遍性的网络安全关键技术，诸如密码技术、鉴别技术、病毒防御技术、入侵检测技术等方面具有自主知识产权，能逐步改善信息安全状况。在如网络侦察技术、信息监测技术、风险管理技术、测试评估技术等创新性强、可发挥杠杆作用的技术上也应该有所突破。而对操作系统、密码专用芯片和安全处理器等方面也应该形成自己的技术。同时，狠抓技术及系统的综合集成，以确保电子商务信息系统的安全可靠。
目前，国家已经建立了相关的信息安全基础设施，包括国际出入口监控中心、安全产品评测认证中心、病毒检测和防治中心、关键网络系统灾难恢复中心、系统攻击和反攻击中心、电子保密标签监管中心、网络安全紧急处置中心、电子交易证书授权中心、密钥恢复监管中心、公钥基础设施与监管中心、信息战防御研究中心等安全机构。但随着不断出现的网络安全问题，这些机构及其所用技术仍需不断发展和完善，以能够进行更有效的防御。
3.规范电子商务软件强制性认证标准
电子商务软件是进行电子商务活动的载体，软件盗版和侵权行为会对电子商务软件的开发造成极大打击，而用法律来保障电子商务信息活动成为最有力的安全手段。由于电子商务软件本身的好坏直接影响到电子商务信息的安全性，因此应尽快出台相关法律规范电子商务软件市场，避免由于行业垄断等原因造成的重复开发、强制购买等行为。软件开发单位要遵循国家有关部门制定的标准和规范，用户要选择知名度高、拥有知识产权、通过强制性认证的正版品牌软件，有关部门要根据电子商务准则的修订和软件在使用中发现的问题，督促软件开发商修改、升级软件功能，还要根据市场经验，不断提升软件认证标准。
4.制定电子商务法律和法规
一直以来，计算机网络上很多行为无法可依、无章可循，导致网络上计算机犯罪有机可乘。为此，我国制定了相关法律和法规，以规范网络行为。但由于网络行为的特殊性，使得网络法律、法规的制定相对落后，且网络执法也具有这种特殊性。因此，应该加快制定与电子商务活动相关的法律、法规，以规范电子商务活动，同时，加强网络执法力度，保障电子商务活动的安全。
西方发达国家已经在电子商务信息安全立法方面积累了成功经验，如美国的《情报自由法》和《阳光下的电子商务法》、英国的《官方信息保护法》、俄罗斯的《联邦信息、信息化和信息保护法》等。我国立法部门也应该加快立法进程，吸取和借鉴国外网络信息安全立法的先进经验，尽快制定和颁布相关法律和法规，以完善我国的网络信息安全法律体系，使电子商务信息安全管理走上法制化轨道。
5.合理选择和配置安全手段和措施
计算机病毒的出现对计算机系统的安全性造成极大危害，损害对象不仅包括软件，也包括硬件，因此应采取必要的措施和手段防范病毒。防范措施包括：对软件、计算机系统的采购和更新应通过计算机病毒检测后才能使用；坚持使用正版软件，不使用盗版或来路不明的软件；专机专用，安装防病毒卡和反病毒软件，定期对计算机硬盘和软盘进行检测并清除计算机病毒等。由于许多病毒是通过网络进行传播的，所以还应通过安装设置防火墙，将病毒及非法入侵访问者抵挡在内部网络之外，从而保护内部信息，同时建立身份认证中心对有关的访问用户进行多层身份认证，如口令控制等。
网络攻击事件不会随着网络安全技术的发展而减少，仍然呈逐年上升的趋势。网络安全问题本身具有动态性，今天的安全问题到明天也许不再成为安全问题，而今天不为人关注的问题，明天可能成为严重的安全威胁。任何时候网络安全管理员都不能掉以轻心，认为自己的计算机网络是安全的。因此网络安全防范是一种持续不断的工作，网络安全管理员需要跟踪最新的网络安全技术，在原有安全系统的基础上调整网络安全策略，添加相应的网络安全产品，给网络安全提供强有力的保障。应该根据电子商务的特点和在使用中发现的问题，选择更加适合电子商务控制系统的类型，增加系统自检能力、故障隔离能力和防止人为造假、破坏的能力。
6.强化电子商务中的信息安全意识
信息安全意识是指公众对电子商务中信息安全问题的主要表现与危害以及保证电子商务信息安全的意义的正确认识，发现电子商务中影响信息安全的现象和行为的敏锐性，维护电子商务信息安全的主动性。强化公众的信息安全意识就是要让公众认识到电子商务信息安全是电子商务正常而高效运转的基础，是保障电子商务信息安全的重要前提，从而牢固树立信息“安全第一”的思想。各级电子商务管理部门要利用多种途径对公众进行电子商务信息安全方面的教育。
目前国内互联网用户对身份认证的应用知之不多，没有形成广泛重视身份认证技术的意识和氛围。对于广大的电子商务用户来说，面对网络威胁，要不断培养自己的网络安全意识，学习一些基本的网络安全知识，积极面对随时可能发生的网络威胁。对于网络安全建设者和管理者来说，更要加大对网络安全意识的教育和培训。要加强身份认证中心的管理工作，信息的审查与管理、网络规划与建设、系统维护等都需要加强管理。
除了以上措施以外，还要提高系统使用人员的业务素质和思想修养，树立良好的职业道德，使其能够自觉遵守各种操作规章制度和操作规程，防止操作中出现不必要的失误。加强系统使用人员特别是系统操作人员对计算机、通信和网络理论知识的学习，这对减少电子商务活动中的安全风险也非常重要。
5.2.2安全防范策略的实施
保障电子商务网络系统的安全为电子商务网络提供了资源的共享性、用户使用的方便性，通过分布式处理提高了系统效率和可靠性，并且还具有良好的可扩充性。但同时，也正是这些特点增加了电子商务活动的不安全性。电子商务系统早期开发、建设的时候，网络协议本身没有过多地考虑安全问题，这给电子商务的发展和普及带来了极大的隐患，而且这种隐患是与生俱来的。面对如此复杂的安全问题，应从以下几个方面来实施电子商务的安全防范策略。
1.客户机的保护措施
在电子商务网络上客户机的安全，主要是Web浏览器的安全。Web浏览器的保护措施通常是使用Web服务器上用于限制和监视访问的机制。保护措施除了要防护Web浏览器本身的漏洞之外，还要防护与Web浏览器有关的其他软件的漏洞。针对这些漏洞应随时安装相关的漏洞补丁，以避免被“黑客”利用这些漏洞来进行攻击。SSL（Secure Sockets Layer）安全套接层协议是一种安全的网上购物机制，可以保护在进行电子商务活动时，网络系统中传输信息的安全。通过使用SSL协议，信息在传送之前进行自动加密，在接收端信息被解密。若没有正确的解密密钥，显然无法阅读其中的信息，这就在一定程度上保障了客户的信息安全。
此外，为更好地保护客户机的安全，也可以在客户机上安装个人防火墙，以对网络接入信息进行必要的审查，增强电子商务活动时的安全性。
2.服务器的安全措施
由于电子商务服务器是电子商务的活动中枢，服务器中保存着商家及客户的相关机密资料，因此，其安全性显得尤其重要。为保障服务器的安全，在配置服务器时应注意多个方面的安全措施。
首先，应尽量关闭Web服务器上不必要的特殊服务。如果没有关闭某一特殊服务，就应密切关注该特殊服务可能导致的安全威胁。建议最好是一个服务器运行单一的、不同的服务，如E-mail服务、Web服务、Telnet服务等应各自在一个服务器上。这样即使一个系统被攻破，也不至于影响其他的服务和主机。
此外，采用认证和访问控制机制也是对付外来入侵最重要的手段。通过认证机制可以识别用户的身份，防止盗用别人的身份进行非法操作。并且要由系统管理员定义访问控制策略，即规定哪个用户有权限访问哪些具体内容，以防止越权访问。
当然，在服务器端安装网络防火墙是必需的选择，只有通过各种安全防范技术，以便尽最大努力保障电子商务活动时的安全。
3.综合使用防火墙等网络安全技术
为了阻止未经授权的用户访问电子商务企业的内部网络，防止他们更改、拷贝、毁坏内部网的重要信息，就需要采取一些方法进行网上的甄别，这些方法中防火墙技术是使用最为广泛的。如果说第一层计算机网络安全措施使开展电子商务活动变得可能，那么基于身份认证的第二层安全措施则为电子商务活动的开展提供了可行性。而入侵检测技术也是一种主动防御技术，它能主动检测“黑客”的入侵，当检测到入侵时能及时进行报警，让用户能及时采取措施，保障网络的安全。只有综合使用各种网络安全技术，从各个层面上保护电子商务交易中的安全，才能使电子商务得到良好的发展。
5.2.3安全防范的关键支撑技术
电子商务对安全性的要求，主要在于信息的保密性、完整性、可认证性、不可抵赖性和信息传输的可靠性几个方面。为了能在互联网上安全地开展电子商务活动，满足上述几个安全性要求，需要多种安全技术来保障这些要求。
要做到全面的网络安全，需要综合考虑各个方面，包括系统自身的硬件和软件安全，也包括完善的网络管理制度以及先进的网络安全技术等。网络安全防范技术可从数据的加密/解密算法、安全的网络协议、网络防火墙、完善的安全管理制度、硬件的加密和物理保护、安全监听系统和防病毒软件等领域来进行考虑和完善。
网络安全来源于安全策略与技术的多样化，如果采用一种统一的技术和策略也就不安全了，因此网络安全机制与技术要不断地变化。随着网络在社会各个方面的延伸，进入网络的手段也越来越多，因此，网络安全技术是一个十分复杂的系统工程。安全与反安全就像矛盾的两个方面，总是不断地向上攀升，所以安全技术也要不断地提高。网络安全技术包括防火墙技术、VPN技术、网络入侵检测技术和计算机病毒及其防治技术等。
1.防火墙技术
防火墙是保护计算机网络安全的主要手段，一般位于开放的、不安全的公共网与安全性要求较高的内部网之间，在网络边界上通过建立相应的网络通信监控系统来隔离内部和外部网络，用于实现两个网络之间的访问控制，防火墙技术越来越多地应用于专用网络与公用网络的互联环境之中。
防火墙一般由软件和硬件设备组合而成，它具有限制外界用户对内部网络访问及管理内部用户访问外界网络的作用。它可以确定哪些内部服务允许外部访问，哪些外部服务可由内部人员访问。因此，它可以控制内部和外部网络之间的信息交流，提供接入控制和审查等，是一种访问控制机制。防火墙技术是一种静态防范技术，它只能被动地进行防御。这种技术已成为保障网络最有力的手段和方法。
2.VPN技术
VPN（Virtual Private Network）指的是依靠ISP和其他NSP（网络服务提供商），在公用网络中建立专用的数据通信网络的技术。虚拟专用网能够实现专用网络的功能，但它不是真实的专用网络。在虚拟专用网中，任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是利用某种公众网的资源动态组成的。
3.网络入侵检测技术
网络入侵检测是指从计算机网络的若干关键点收集信息并对其进行分析，从中发现网络中是否有违反安全策略的行为或遭到入侵的迹象，并依据既定的策略采取一定措施。网络入侵检测技术是网络动态安全的核心技术，相关设备和系统是整个安全防护体系的重要组成部分。目前，防火墙是静态安全防御技术，但对网络环境下日新月异的攻击手段缺乏主动的响应，不能提供足够的安全保护。而网络入侵检测能对网络入侵事件和过程做出实时响应，与防火墙共同成为网络安全的核心。
4.计算机病毒及其防治技术
随着计算机技术的发展和互联网的扩大，计算机已成为人们生活和工作中所依赖的重要工具。但与此同时，计算机病毒对计算机及网络的攻击与日俱增，而且破坏性日益严重。一旦病毒发作，它能冲击内存，影响性能，修改数据或删除文件。一些病毒甚至能擦除硬盘或使硬盘不可访问，甚至使整个网络陷于瘫痪。病毒的防范可以从安装查杀病毒软件并及时升级和重要数据及时备份等方法进行防治。
5.加密技术
信息在传输过程中有可能受到攻击而丧失保密性，而加密技术正是实现信息保密的重要手段。加密主要利用数学原理，采用计算机科学中的软件方法或硬件方法来重新组织信息，使得只有合法接收者才能恢复被加密的信息。
在电子商务交易过程中，包括保密性、完整性、身份验证与防否认等四个方面的安全问题，这四个问题都可以使用加密技术来解决。保密性可以使用公开密钥加密；完整性可以使用单向散列函数；身份验证与防否认都可以使用数字签名技术。通过数字签名乃至于公开密钥加密技术，可以使电子商务活动中的信息经过加密之后再进行传输，在一定程度上满足了电子商务活动的安全性。
6.认证技术
信息的认证是信息安全的重要方面。认证包括验证信息的发送者和验证信息的完整性两个方面，它使用了数字签名、身份识别、信息完整性校验等技术。认证技术能保证用户身份的真实性，使得交易过程中的双方能够互相信任。同时，它也能验证信息的完整性，保证信息不会被破坏。通过认证技术，使得电子商务交易双方能够互相信任，交易过程能安全地进行。
7.数字签名技术
所谓“数字签名”，就是通过某种密码运算生成一系列符号及代码组成电子密码进行签名，来代替书写签名或印章，对于这种电子式的签名还可进行技术验证，其验证的准确度是一般手工签名和图章的验证而无法比拟的。“数字签名”是目前电子商务、电子政务中应用最普遍、技术最成熟的、可操作性最强的一种电子签名方法。它采用了规范化的程序和科学化的方法，用于鉴定签名人的身份以及对一项电子数据内容的认可。它还能验证出文件的原文在传输过程中有无变动，确保传输电子文件的完整性、真实性和不可抵赖性。
数字签名在ISO7498-2标准中定义为：“附加在数据单元上的一些数据，或是对数据单元所作的密码变换，这种数据和变换允许数据单元的接收者用以确认数据单元来源和数据单元的完整性，并保护数据，防止被人（例如接收者）进行伪造”。美国电子签名标准（DSS，FIPS186-2）对数字签名作了如下解释：“利用一套规则和一个参数对数据计算所得的结果，用此结果能够确认签名者的身份和数据的完整性”。按上述定义，PKI可以提供数据单元的密码变换，并能使接收者判断数据来源及对数据进行验证。因为有了这些技术的支持，才能更好地保护电子商务交易的安全，使得用户在交易时，能在充分安全的前提下进行电子商务活动。
