【文章內(nèi)容簡介】 冒用丟失卡或冒用被盜卡（2）截留信用卡。（3） 濫用賬號（4） 偽造卡]（5） 虛假持卡人申請（6） 虛假特約商戶申請（7） 特約商戶欺詐（8） 其他欺詐交易137頁4．內(nèi)部作案或內(nèi)外勾結(jié)5．持卡人變故（三） 銀行卡風(fēng)險防范1． 對持卡人的風(fēng)險防范和控制2． 對特約商戶和特約營業(yè)機構(gòu)的風(fēng)險防范和控制3． 對發(fā)卡銀行和收單銀行內(nèi)部管理的風(fēng)險防范和控制143頁 第一節(jié) 網(wǎng)絡(luò)銀行的發(fā)展一、 網(wǎng)絡(luò)銀行的定義網(wǎng)絡(luò)銀行（Internetbank or Ebank）是通過技術(shù)手段在地理上虛擬延伸的銀行。網(wǎng)絡(luò)銀行，又叫電子銀行、網(wǎng)上銀行、在線銀行。根據(jù)巴塞爾銀行監(jiān)管委員會的定義，網(wǎng)絡(luò)銀行是指那些通過電子通道，提供零售與小額產(chǎn)品與服務(wù)的銀行。144頁 歐洲銀行標(biāo)準(zhǔn)委員會將網(wǎng)張銀行定義為：那些利用網(wǎng)絡(luò)為通過使用計算機、網(wǎng)絡(luò)電視、機頂盒及其他一些個人數(shù)字設(shè)備連接上網(wǎng)的消費者和企業(yè)提供銀行服務(wù)的銀行。對網(wǎng)絡(luò)銀行的基本概念作如下定義：網(wǎng)絡(luò)銀行是指銀行在互聯(lián)網(wǎng)（Internet）上建立站點、通過互聯(lián)網(wǎng)向客房提供信息查詢、對賬、網(wǎng)上支付、資金轉(zhuǎn)賬、信貸、投資理財?shù)冉鹑诜?wù)。二、網(wǎng)絡(luò)銀行的特點 全面實現(xiàn)無紙化交易 服務(wù)方便、快捷、高效、可靠。實現(xiàn)3A服務(wù)（anywhere,anyplace,anytime） 經(jīng)營成本低廉 簡單易用。145頁四、國內(nèi)外網(wǎng)上銀行發(fā)展現(xiàn)狀自1995年全世界第一家網(wǎng)絡(luò)銀行——安全第一網(wǎng)絡(luò)銀行（SFNB）在美國出現(xiàn)，立即吸引了世界各大金融機構(gòu)的目光。SFNB向客戶提供免費的基本支票賬戶，使客戶能夠在毫無風(fēng)險的情況下嘗試互聯(lián)網(wǎng)銀行。1998年SFNB因巨額虧損被加拿大皇家銀行金融集團(tuán)收購。148頁 1985年瑞典銀行首家向本行客戶推出了電話銀行業(yè)務(wù)。 1996年瑞典銀行首家向客戶推出了網(wǎng)上銀行業(yè)務(wù)，同年首家向客戶推出了網(wǎng)上證券交易業(yè)務(wù)。1997年首家向客戶推出了網(wǎng)上電子對賬單服務(wù)業(yè)務(wù)。1999年首家向客戶推出了基于WAP技術(shù)的移動網(wǎng)上銀行和IP電話銀行服務(wù)精力；在瑞典首家推出了一對一個化的網(wǎng)上銀行服務(wù)業(yè)務(wù)；2000年伊始，公司領(lǐng)導(dǎo)層制定了加快新技術(shù)應(yīng)用的8項舉措。155頁 五、中國網(wǎng)上銀行與發(fā)達(dá)國家網(wǎng)上銀行發(fā)展比較（一） 經(jīng)營環(huán)境比較1． Internet的社會普及程度不同。2． 網(wǎng)絡(luò)銀行法律制度及相關(guān)標(biāo)準(zhǔn)的完備程度不同。3． 社會信用程度不同。156頁（二） 經(jīng)營觀念及內(nèi)部管理制度比較（三） 新型的客戶關(guān)系第二節(jié) 電子商務(wù)中的電子支付157頁電子商務(wù)涵蓋的業(yè)務(wù)包括：信息交換、售前服務(wù)狹義的電子商務(wù)僅僅將通過Internet網(wǎng)絡(luò)進(jìn)行的商業(yè)活動歸屬于電子商務(wù)，而廣義的電子商務(wù)則將利用包括Internet、Intranet、 LAN等各種不同形式網(wǎng)絡(luò)在內(nèi)的一切計算機網(wǎng)絡(luò)進(jìn)行的商貿(mào)活動都?xì)w屬于電子商務(wù)。159頁 中國的電子聯(lián)行系統(tǒng)在1995年共處理支付金額為3000億元，平均每筆支付金額為100萬元。162頁 小額交易中電子支付方式選擇（1） 信息加密傳輸方式（2） 第三方處理方式1）First Virtual 第一虛擬First Virtual通過普通的Email通知消費者一個密碼，稱作Virtual PIN。交易發(fā)生時，首先由客戶在WWW上填寫交易表格，并給出自己的密碼，F(xiàn)V判斷該密碼的真?zhèn)?，并加上一個后綴，從而形成 Virtual PIN；然后客戶向FV提出他的信用卡號碼，F(xiàn)V建立Virtual PIN和客戶信用卡號之間的聯(lián)系，這樣在網(wǎng)絡(luò)上就不會出現(xiàn)客戶的信用卡號碼。圖52 FV運行機制167頁電子支票交易的過程可分為以下幾個步驟：（1） 消費者和商學(xué)院家達(dá)成購銷協(xié)議并選擇使用電子支票支付。（2） 消費者通過網(wǎng)絡(luò)向商家發(fā)出電子支票，同時向銀行發(fā)出付款通知單。（3） 商家通過驗證中心對消費者提供的電子支票驗證，驗證無誤后將電子支票送交銀行索付。（4） 銀行在商家索付時通過驗證中心對消費者提供的電子支票進(jìn)行驗證，驗證無誤后即向商家兌付或轉(zhuǎn)賬。圖54 電子支票的支付過程168頁 電子現(xiàn)金的實質(zhì)是代表價值為數(shù)字。這種支付方式的最大特點是交易的“匿名性”，即不論商店還是銀行，都不知道是誰購買了哪商品，有利于保護(hù)消費者的隱私。175頁 四、網(wǎng)絡(luò)銀行對傳統(tǒng)銀行業(yè)的挑戰(zhàn) 網(wǎng)絡(luò)銀行這一新生力量給銀行業(yè)注入了新的活力，它代表了未來銀行業(yè)的發(fā)展方向，但同時也給銀行業(yè)帶來了巨大的挑戰(zhàn)。（一） 技術(shù)進(jìn)步對傳統(tǒng)銀行業(yè)經(jīng)營模式和理念造成巨大沖擊（二） 銀行經(jīng)營目標(biāo)安全性、盈利性、流動性的實現(xiàn)方式發(fā)生改變（三） 網(wǎng)絡(luò)時代金融業(yè)行業(yè)壁壘的消失給銀行帶來了非同業(yè)的巨大競爭威脅（四） 網(wǎng)絡(luò)銀行的監(jiān)管問題180頁第一節(jié) 信息安全概述一、 信息安全的含義一般認(rèn)為。信息安全至少應(yīng)具有以下特征：（1） 保密性。（2） 完整性。（3） 可用性。（4） 可控性。（5） 信息行為的不可否認(rèn)性。182頁 2002年美國FBI機構(gòu)統(tǒng)計，83%的信息安全事故為內(nèi)部人員和外部勾結(jié)所為，而且呈上升趨勢。183頁 2003年9月發(fā)布了《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意見》，成為我國今后信息安全工作的指導(dǎo)性文件。從總體、宏觀的角度看，我國銀行計算機網(wǎng)絡(luò)與信息系統(tǒng)基本上安全的，在現(xiàn)有條件下基本能夠滿足支撐銀行業(yè)務(wù)職能、保持平穩(wěn)運行的要求。184頁三、信息安全評估標(biāo)準(zhǔn)1． TCSEC評估標(biāo)準(zhǔn)目的是為安全產(chǎn)品的測評提供準(zhǔn)則和方法，指導(dǎo)信息是安全產(chǎn)品的制造和應(yīng)用。185頁2． ISO/IEC 15408評估標(biāo)準(zhǔn)由美國、加拿大、歐洲等共同發(fā)起并公布了ISO/IEC 15408標(biāo)準(zhǔn)，即通用評估標(biāo)準(zhǔn)（CC mon critenria），它從評估目標(biāo)的實現(xiàn)過程角度來描述信息安全概念。3． ISO/IEC 17799 評估標(biāo)準(zhǔn)它所闡述的主題是安全策略和優(yōu)秀的、具有普遍意義的安全操作。4． 其他安全評估標(biāo)準(zhǔn)ISO國際標(biāo)準(zhǔn)，如ISO 8372（64bit密碼工作模式）、ISO 9796（可恢復(fù)消息的簽名）、ISO 9797 （消息認(rèn)證碼）等。美國標(biāo)準(zhǔn)局標(biāo)準(zhǔn)ANSI，, , , ，……它包括了從加密標(biāo)準(zhǔn)、消息認(rèn)證、密鑰管理、各種數(shù)字簽名、證書中心和證書管理等。186頁美國政府標(biāo)準(zhǔn)FIPS，其中著名的有DES，DSS ，SHA等標(biāo)準(zhǔn)算法，還有并不成功的密鑰托管Clipper等。Internet 標(biāo)準(zhǔn)和RFC，影響較大的有RFC 131131321（雜湊函數(shù)MDMDMD5），RFC 1421—1424（安全郵件PEM），RFC 1510 （Kerberos網(wǎng)絡(luò)認(rèn)證），RFC 18471848（安全MIME）等。RSA公司標(biāo)準(zhǔn)PKCS，公鑰密碼事實上的標(biāo)準(zhǔn)。四、信息安全的內(nèi)涵1． 物理安全2． 電磁安全187頁3． 網(wǎng)絡(luò)安全4． 數(shù)據(jù)安全5． 系統(tǒng)安全6． 操作安全7． 人員安全五、信息系統(tǒng)安全等級1． 可信計算機系統(tǒng)（TCSEC）安全等級2． 我國信息系統(tǒng)安全保護(hù)等級劃分標(biāo)準(zhǔn)第一級：用戶自主保護(hù)級第二級：系統(tǒng)審計保護(hù)級第三級：安全標(biāo)記保護(hù)級189頁第四級：結(jié)構(gòu)化保護(hù)級第五級：訪問驗證保護(hù)級第二節(jié)。 用信息安全工程理論規(guī)范信息安全建設(shè)信息安全需要工程理念。網(wǎng)絡(luò)信息安全不單單是技術(shù)問題，更是策略、管理和技術(shù)的在機結(jié)合。信息安全工程學(xué)具有五大特性，即安全性、過程性、動態(tài)性、層次性和相對性。（1） 信息安全具有全面性。（2） 信息安全具有過程性或生命周期性。190頁（3） 信息安全具有動態(tài)性。（4） 信息安全具有層次性。（5） 安全具有相對性。信息安全工程學(xué)具有清晰的研究范疇，具體包括信息安全工程的目標(biāo)、原則與范圍，信息安全風(fēng)險分析與評估的方法、手段、流程，信息安全需求分析方法，安全策略，安全體系結(jié)構(gòu)，安全實施領(lǐng)域及安全解決方案。安全體第結(jié)構(gòu)的設(shè)計與安全解決方案的提出必須基于信息安全工程理論。一、 安全風(fēng)險分析與評估191頁解決信息安全的首要問題是明白信息與網(wǎng)絡(luò)系統(tǒng)目前與未來的風(fēng)險所在，充分評估這些風(fēng)險可能帶來的威脅與影響的程度，做到“對癥下藥”，這就是信息與網(wǎng)絡(luò)系統(tǒng)的風(fēng)險分析與評估。其原理是對采用的安全策略和規(guī)章制度進(jìn)行評審，發(fā)現(xiàn)不合理的地方，采用模擬攻擊的形式對目標(biāo)可能存在的已知安全漏洞進(jìn)行逐項檢查，確定存在的安全隱患和風(fēng)險級別。1． 目標(biāo)和原則風(fēng)險分析是有效保證信息安全的前提條件。風(fēng)險分析也是制定安全管理措施的依據(jù)之一。192頁2． 對象和范圍風(fēng)險分析的內(nèi)容與范圍應(yīng)該涵蓋信息網(wǎng)絡(luò)系統(tǒng)的整修體系，包括網(wǎng)絡(luò)安全組織、制度和人員情況，網(wǎng)絡(luò)安全技術(shù)方法的使用情況，防火墻布控及外聯(lián)業(yè)務(wù)安全狀況，動態(tài)安全管理狀況，鏈路、數(shù)據(jù)及應(yīng)用加密情況，網(wǎng)絡(luò)系統(tǒng)訪問控制狀況等。風(fēng)險分析的內(nèi)容范圍有：（1） 網(wǎng)絡(luò)基本情況分析：包括網(wǎng)絡(luò)規(guī)模、網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)產(chǎn)品、網(wǎng)絡(luò)出口、網(wǎng)絡(luò)拓樸結(jié)構(gòu)。（2） 信息系統(tǒng)基本安全狀況調(diào)查（3） 信息系統(tǒng)安全組織、政策情況分析（4） 網(wǎng)絡(luò)安全技術(shù)措施使用情況分析（5） 防火墻布控及外聯(lián)業(yè)務(wù)安全狀況分析（6） 動態(tài)安全管理狀況分析193頁（7） 鏈路、數(shù)據(jù)及應(yīng)用加密情況分析（8） 網(wǎng)絡(luò)系統(tǒng)訪問控制狀況分析（9） 白客測試風(fēng)險分析的過程可以分為以下四步：（1） 確定要保護(hù)的資產(chǎn)及價值。（2） 分析信息資產(chǎn)之間的相互依賴性。（3） 確定存在的風(fēng)險和威脅。194頁（4） 分析可能性的入侵者。二、 安全策略 安全策略屬于網(wǎng)絡(luò)信息安全的上層建筑領(lǐng)域，是網(wǎng)絡(luò)信息安全的靈魂和核心。1． 制定安全策略的原則195頁安全策略可以從三個層面來考慮開發(fā)制定：（1） 抽象安全策略。（2） 全局自動安全策略。（3） 局部執(zhí)行策略。2． 安全策略的內(nèi)容（1） 保護(hù)的內(nèi)容和目標(biāo)。（2） 實施保護(hù)的方法。（3） 明確的責(zé)任。（4） 事故的處理。196頁三、 需求分析安全需求是一個企業(yè)為保護(hù)其信息系統(tǒng)的安全對必須要做的工作的全面描述，是一個很詳細(xì)、全面、系統(tǒng)的工作規(guī)劃，是需要經(jīng)過仔細(xì)的研究和分析才能得一份技術(shù)成果。1． 需求分析的原則197頁2． 需求分析的內(nèi)容安全工程應(yīng)該是全方位的，應(yīng)從安全性、可靠性、高效性、可控性和持續(xù)性等多方面落實。一般情況下，要考慮以下五個層次的安全需求：（1） 管理層。（2） 物理層。（3） 系統(tǒng)層。（4） 網(wǎng)絡(luò)層。198頁（5） 應(yīng)用層。第三節(jié) 信息安全技術(shù)基本原理電子支付的安全性主要包括以下幾方面：（1） 數(shù)據(jù)的保密性（2） 數(shù)據(jù)的完整性。（3） 交易者身份的確定性。199頁（4） 交易的不可否認(rèn)性。針對電子支付的各種不同的安全性要求，目前已開發(fā)出了相應(yīng)的技術(shù)措施。較為成熟的有：加密技術(shù)、訪問控制與安全認(rèn)證技術(shù)、防火墻技術(shù)、入侵檢測技術(shù)、漏洞掃描技術(shù)等。一、 加密技術(shù)加密包括兩個元素：算法和密鑰。密鑰是用來對數(shù)據(jù)進(jìn)行編碼和解碼的一種算法。目前最典型的兩種加密技術(shù)是對稱加密（私人密鑰加密）和非對稱加密（公開密鑰加密）。（一） 對稱加密技術(shù)對稱加密技術(shù)也稱私人密鑰加密（Secret Key Encryption），是指發(fā)送和接收數(shù)據(jù)的雙方必須使用相同的密鑰進(jìn)行加密和解密運算。200頁對稱加密采用了稱密碼編碼技術(shù)，它的特點是文件加密和解密使用相同的密鑰，即加密密鑰也可以用做解密密鑰。 對稱加密算法的優(yōu)點在于加密速度快。適于大量數(shù)據(jù)的加密處理，缺點是如何在兩個通信方之間安全地交換密鑰。（二） 非對稱加密技術(shù)非對稱加密算法需要兩個密鑰：公開密鑰（publickey）和私有密鑰（privatekey）.201頁 貿(mào)易方利用該非對稱加密算法實現(xiàn)機密信息交換的基本過程包括四步：（1） 貿(mào)易方甲生成一對密鑰并將其中的一把作為公用密鑰向其他貿(mào)易方公開；（2） 貿(mào)易方乙生成一個自己的私有密鑰并用貿(mào)易方甲的公開密鑰對自己的私有密鑰進(jìn)行加密，然后通過網(wǎng)絡(luò)傳輸?shù)劫Q(mào)易方甲，接收方——貿(mào)易方甲用自己的公開密鑰進(jìn)行解密后得到發(fā)送方的私有密鑰產(chǎn)妥善保存；（3） 貿(mào)易方乙對需要傳輸?shù)奈募米约旱乃接忻荑€進(jìn)行加密，然后通過網(wǎng)絡(luò)把文件傳輸?shù)浇邮辗健Q(mào)易方甲。（4） 貿(mào)易方甲接收到貿(mào)易方乙傳輸來的文件后，用發(fā)送方——貿(mào)易方乙的私有密鑰對文件進(jìn)行解密，得到文件的明文形式。非對稱加密算法的保密性比較好，它消除了最終用戶交換密鑰的需要，但加密和解密花費時間長、速度慢，它不適合于對文件加密而只適用于對少量數(shù)據(jù)進(jìn)行加密。為保證數(shù)據(jù)的可靠傳輸，目前業(yè)界普遍采用將兩種加密方法相結(jié)合的方式來滿足網(wǎng)絡(luò)傳輸過程中的保密性需求。具體做法是：發(fā)送方用對稱密鑰來加密數(shù)據(jù)，然后將此對稱密鑰用接收方的公開密鑰加密，稱為“數(shù)字信封”，將其和數(shù)據(jù)一起發(fā)送給數(shù)據(jù)方，接收方先用相應(yīng)的私有密鑰打開數(shù)字信封，得到對稱密鑰，然后使用對稱密鑰解開數(shù)據(jù)。這種技術(shù)的安全性能相當(dāng)高，目前國際上應(yīng)用較廣的SET協(xié)議即是這種技術(shù)的一個應(yīng)用典范。用戶P要向商戶V發(fā)送一筆數(shù)字貨幣，以購買商品和服務(wù)。使用軟件程序P的計算機生成一個大的隨機數(shù)，然后將該隨機數(shù)以及提款請求利用銀行的公共密匙進(jìn)行加密，第