关键词：；监控系统；系统设计；系统应用；信息网络
中图分类号：TP39；F239文献标识码：A文章编号：1003-5168（2015）08-0006-3
随着计算机技术、信息技术不断推陈出新，各类威胁到网络信息安全的因素越来越多，虽然防火墙与外部检测技术等能够在某种程度上防止网络的外部入侵，保护数据信息不受侵犯［1］。但也会因入侵技术的更新和漏洞的长期存在而无法彻底保障网络处于安全状态。因此，在现有技术的基础上，通过引入安全审计系统对用户的网络行为加以记录，对网络安全隐患给出评判具有重要的现实意义。
1网络安全审计的必要性
1.1提高企业数据安全管理绩效
近年来，我国信息化程度不断加深，尤其新媒体技术和自媒体技术的出现，企业信息的网络化、无边界化趋势越来越明显，也使得网络信息安全问题不断突显。在这种情况下，无论是企业本身还是参与网络信息提供和维护的第三方，在端口和信息通道内都加强了对信息安全策略的部署，无论是信息的控制还是数据的授权，都在大量管理制度和规则下运行。即便如此，与网络信息安全相关的各类故障还是不断出现，甚至会给企业的网络运营和实际经营都造成了消极影响。但是，当我们对信息安全漏洞进行分析和查验时发现，一些严重的信息安全问题之所以会由于不合规、不合法而给利益相关者造成经济损失，其中一个重要原因便是一些内部“合法”用户的“非法”操作。这是因为，对于一般的网络信息或者数据，借助防火墙、防病毒软件、反入侵系统等都能够解决，在一定程度上能够保证信息安全。可是一旦内部人员在缺乏监管的情况下进行违规操作，就会使在信息外部建立起来的防线为力［2］。一项最新的调查显示，企业内部人员是对企业网络信息进行攻击最为严重也最难防范的。在这种情况下，亟须提高企业的内部审计能力，对内部用户的误用、滥用信息行为进行审计和监管，对那些可能或者已经造成各种安全事故的人员，在要求其协助网管人员找出原因外，还对其按照相关法律法规进行严肃处理，以杜绝此类事件再次发生。
1.2提高网络运维绩效
当前，在网络环境中构建统一的安全审计平台，提高网络运维绩效，是十分必要的。在这一平台之上，能够对重要设备系统的安全信息进行统一监管，以便能够在海量数据中挖掘出有价值的信息，使信息的获取和使用更加有效。可见，提高网络信息的可靠性和真实性，借助网络信息安全审计提供网络运维管理绩效，是网络化运营需要认真思考的问题［3］。实际上，信息的安全防御是信息安全审计的一种，都是要在信息生产的源头对其进行管理和监控，并对可能对信息安全造成威胁的因素加以防范。而即便在信息源头未能做到完全的安全防范，在事后也可以借助各种技术手段及时分析安全防御系统中可能存在的各类漏洞。甚至能够在安全防御的过程中，对非法操作行为和动作进行还原，使违法、违规用户的不当操作暴露出来，为认定其非法行为提供真实有效的客观证据。因此，对网络信息进行安全审计是一项复杂的系统工程，不但要规范网络、主机以及数据库的访问行为，还要对用户的使用习惯、信息内容形成和改变进行监控和审计，以便有效地完成对各类信息的监管，提高信息质量，为企事业单位的信息运用和网络运营提供安全保障。
1.3提高网络信息安全性
。需要注意的，访问控制系统不但界定了访问主体还界定了访问，其目的在于检测与防止系统中的非法访问。而借助对访问控制机制的管理和设计，能在很大程度上实现对网络信息的安全审计，使网络信息处在安全状态；②虽然网络是开放的，但网络数据却具有私有性，只有在被授权的情况下才能让非用户或者原始使用者访问，否则将被控制在不可见的范围。为了实现这一点，就需要进行网络安全管理，包括网络安全审计，通过信息加密，比如加密关键字或者授权机制、访问控制等。为了提高网络信息安全水平，还要维护与检查安全日志；③提高网络信息安全性，为社会组织的网络化行为提供安全保障，除了要对现实中传输的信息进行安全审查外，对网络中传输的信息也要进行安全审计，通过对网络操作行为的监控，评判信息的安全等级，有针对性地对网络加以控制。
2信息时代网络安全审计的关键技术与监控范畴
在网络信息安全审计的过程中，为了最大限度地提高审计效果，不但需要借助多种信息、网络和计算机技术，还应进一步界定网络审计的监控范围，使网络信息安全审计能够在更为广阔的领域得到应用。
2.1网络安全审计的关键技术
在前文的分析中可知，在当前网络环境中，网络信息安全的直接威胁主要来自网络内部，要建立切实有效的监督，对有破坏信息安全倾向的员工进行监督，以保障信息安全。。借助该技术构建起来的信息安全系统以网络主机为载体，以分布式方式运行。这一技术虽然能够很好地防范信息安全威胁，但是由于监视器是这一信息系统的核心模块，需要高度保护，一旦出现故障，就会引发其他转发器都陷入被动境地，无法正常提交结果；②基于数据挖掘的网络安全审计技术。数据挖掘是近几年被广泛采用的信息安全技术，以此为基础建立起来的网络安全审计系统能够借助数据挖掘技术或者大数据技术，以大量日志行为为样本，对数据中体现出来的行为进行描述、判断与比较，特征模型，并最终对用户行为特征和行为结果进行界定；③基于神经网络的审计技术。神经网络是计算机应用领域中广泛采用的技术，该关键技术的使用能够改变网络单元状态，使连接权值处在动态之中，一旦加入一个连接或者移去一个连接，就能够向管理者指示出现了事件异常，需要果断采取行动保证信息安全。单纯使用该技术所产生的作用是十分有限的。一般情况下，要将多种技术配合使用，以便能对出现的异常情况做出解释，这对确认用户或者事故责任人是有明显帮助的；④借助专家系统构建的网络安全审计技术。该技术较于其他技术能够将信息系统的控制推理出来，使问题的解决能够借助输入的信息。为了评估这些事实，在运行审计系统之前，需要编写规则代码，而这也恰是能够有效防范网络信息安全威胁的有效手段。
2.2网络信息安全审计的监控范畴
2.2.1信息安全审计方法。经验表明，一些网络信息安全审计系统可以借助远程登录完成对器的管理和对应用系统、数据库系统的记录等，用户的操作行为和操作习惯会在服务器上留下痕迹。；对采集到的数据信息进行综合分析与处理，使之能够转换成对于审计工作对应的数据形式；借助计算机审计软件完成对审计数据的复核。按照业内的经验，在网络信息安全审计的设计过程中，需要将数据采集环节作为整个审计工作的前提与基础，是其中的核心环节，否则，将无法保证数据的完整性、全面性和准确性以及及时性，后面的审计工作也就无法正常开展。一般而言，借助互联网进行审计数据的采集主要有直接读取数据和记住数据库连接件读取两种方式，它们之间具有相似性。按照这两种方式完成数据采集，一旦其中一方数据的存储格式改变，就应及时对数据采集全部存储格式进行调整。这样就会导致数据采集效率和效果受到影响，降低信息安全审计的灵活性。因此，在实际操作中，要保证数据存储格式的一致性，防止审计低效。
2.2.2信息安全审计设备。在网络信息安全审计中，只要将需要管理的网络设备（比如出口路由器、核心交换机、汇聚交换机与接入交换机等）添加到相关安全审计系统之中，就能够获得发送过来的SNMP数据包。随后，信息安全审计系统就会对数据包依据事件的等级和重要性予以分类，以便在后续的查询和使用中更加方便。实际上，网络的信息安全设备种类繁多，具体操作方法也大同小异。只要按照不同厂商设备的设置步骤和原则，开启对应的SNMP功能之后，将相关设备添加到网络中安全审计系统之后，就能够进行相关操作。。由此可以看出，借助安全设备实现对网络信息的监控和审计，能够为网络信息安全提供必要保障。当然，由于监控信息会不断更新，加之由于海量数据造成的压力，要依照实际需求确定监控信息可以被记录，以便能够缩小记录范围，为信息安全审计提供更有价值、更具针对性的数据。
2.2.3信息安全审计流程。通过指派权限，设备管理员能够更为直观和真实地了解对应设备的操作过程。如果在这一过程中出现了故障，可以对应地分析和查找问题，找到解决问题的途径。此外，网络信息系统的类别较多，以不同平台或者中间件定制开发的系统也不尽相同。在这种情况下，就需要以信息手册为蓝本，在与开发人员进行沟通之后，确定开放日志接口，并将其纳入到网络信息安全审计的范畴。
3网络信息安全审计监控系统的设计与应用
3.1网络信息安全审计系统的运行设计
当前，网络信息安全审计系统经常使用两个端口，其主要任务便是对联入局域网系统的核心部位交换机与服务器进行数据和信息交换。而为了更好地收集与存放信息安全审计数据，无论是系统日志还是安全审计系统的安全管控中心，都要设在同一服务器之上。这样一来，基于网络的信息安全审计系统就能够在搜集安全审计系统内部数据的同时，按照要求从相关子系统模块中获取数据，以保证各个系统内的信息实现共享，提高信息安全审计的效率。
3.2网络信息安全审计系统的实现
网络信息安全审计系统不但是一个能够帮助企业完成内部经济管理与效益控制的系统，社会组织还能借助网络安全监控体系，实现对网络操作对象的实时监控，保证网络操作中相关文件与数据的安全。这一审计系统的工作原理为：①借助网络文件监控能够实现消息的安全传递，借助标签维护可实现对安全标签的及时、正确处理；②借助多线程技术，构建网络信息安全监控系统的驱动程序消息控制模块，实现对驱动程序的全程监视，并保证信息接收与发送过程处在安全保护之中；③借助系统程序中的文件对用户进程中的相关文件操作予以过滤、监视和拦截，以保证网络数据访问处在全面审核与严格控制之中，使网络环境中文件的安全得到保障。
3.3网络信息安全审计系统的实际应用
通常而言，网络信息安全审计系统的实际应用需要在动态管理的状态下进行。只有这样，才能在投入使用之后，完全、精准地记录用户的网上操作行为，也能对数据库服务器的运行予以全面监控。比如，一旦企业员工通过“合法手段”对业务系统的安全性造成了威胁，那么这类“非法操作”等网络行为就会被记录和禁止。这是因为用户的相关行为能够映射到网络信息安全审计系统之中，管理者能够借此对用户信息和相关操作进行快速定位，在极短的时间内就能够查出事故责任人，为信息安全运行和非法行为的处置都提供极大便利。此外，基于先进技术建立起来的网络信息安全审计系统，还可以在全局层面上监视网络安全状况，对出现的任何问题都能够予以有效把控，对那些可能造成企业重大变故或者机密、核心信息的外泄行为，能够借助网络信息实时动态监控系统做出积极反应。
参考文献：
［1］付晓坤.网络安全审计技术的运用［J］.中国水运，2013（9）：50-51.
［2］张文颖.探讨网络安全中安全审计与监控系统的设计与实现［J］.电脑知识与技术，2013（16）：37-38.
［3］伍闽敏.建设企业计算机网络安全审计系统的必要性及其技术要求［J］.信息安全与技术，2011（12）：34-36.
关键词：山区道路；安全审计；内容；步骤
道路安全审计(RoadSafelyAudits,简称RSA)是从预防交通事故、降低事故产生的可能性和严重性人手，对道路项目建设的全过程，即规划、设计、施工和服务期进行全方位的安全审核，从而揭示道路发生事故的潜在危险因素及安全性能，是国际上近期兴起的以预防交通事故和提高道路交通安全为目的的一项新技术手段。其目标是：确定项目潜在的安全隐患；确保考虑了合适的安全对策；使安全隐患得以消除或以较低的代价降低其负面影响，避免道路成为事故多发路段；保障道路项目在规划、设计、施工和运营各阶段都考虑了使用者的安全需求，从而保证现已运营或将建设的道路项目能为使用者提供最高实用标准的交通安全服务。
一、道路安全审计的起源与发展
1991年，英国版的《公路安全审计指南》问世，这标志着安全审计有了系统的体系。从1991年4月起，安全审计成为英国全境主干道、高速公路建设与养护工程项目必须进行的程序，使英国成为安全审计的重要发起与发展国。而我国则是在20世纪90年代中期开始发展安全审计，主要有两个渠道：①以高等院校为主的学者通过国际学术交流与检索国外文献，从理论体系的角度引入道路安全审计的理论；②通过世界银行贷款项目的配套科研课题。在工程领域开展道路安全审计的实践。
目前，在澳大利亚、丹麦、英国、冰岛、新西兰和挪威等国已定期地执行道路安全审计，德国、芬兰、法国、意大利、加拿大、荷兰、葡萄牙、泰国以及美国正处于实验或试行阶段，其他许多国家也在就道路安全审计的引入进行检验，比如希腊等国家。国外研究表明，道路安全审计可有效地预防交通事故，降低交通事故数量及其严重度，减少道路开通后改建完善和运营管理费用，提升交通安全文化，其投资回报是15～40倍。
道路安全审计在我们道路建设中的重要性，不仅仅是在提高安全性方面，对经济性也有帮助。而山区道路的安全比起一般道路来讲，就更应该引起我们的注意，毕竟山区道路的崎岖以及地势的高低相对与一般道路对驾驶者来说是一个很大的挑战，而且其发生事故的死亡率也比其他道路高很多，因此，审计对于山区道路来说是至关重要的。
二、山区道路安全审计内容
加拿大等国家认为，在项目建设的初步设计阶段进行道路安全审计最重要、最有效，因而早期的道路安全审计主要重点是在项目建设的初步设计阶段。现世界各国都普遍认为可在已运营的道路和拟建道路项目建设期的全过程实行安全审计，即在规划或可行性研究、初步设计、施工图设计、道路通车前期(预开通)和开通服务期(后评估阶段)都有所侧重地实行审计。山区道路安全审计同样与其他道路的安全审计工作内容一样。
三、审计要素
典型的道路安全审计过程为：组建审计组+设计队介绍项目情况及提供资料+项目实施考察－安全性分析研究－编写安全审计报告+审计组介绍项目审计结果+设计队研究、编写响应报告－审计报告及响应报告共同构成项目安全文件。
整个安全审计的时间一般为两周左右。为保证安全审计的质量，审计组人员的构成至关重要。审计组的人数依项目的规模大小一般由26人组成，审计组应由不同背景、不同经历、受过培训、经验丰富、的人员(与设计队无直接关联)组成。审计人员一般应具备交通安全、交通工程、交通运行分析、交通心理、道路设计、道路维护、交通运营及管理、交通法律法规等方面的知识，应保证审计组人员相互间能平等、自由地交流、讨论和商议安全问题。审计人员应本着对社会(用户)负责的态度、安全第一的观点，依据道路标准规范，对项目各种设计参数、弱势用户、气候环境等的综合组合，展开道路安全审计。道路安全审计人员(审计组)与设计人员(设计队)的区别在于：设计人员需要综合考虑项目投资、土地、政治、地理、地形、环境、交通、安全等方方面面的因数，限于经验、时间的约束，对安全问题难免有所偏颇。而安全审计人员不考虑项目投资、建设背景等因数，仅仅考虑安全问题，只提安全建议，最后由设计人员决定：采纳、改进或不采纳。因而可以说道路安全审计的关键点为：它是一个正式的、进行的审计过程，须由有经验的、有资格的人员从事这一工作，要考虑到道路的各种用户，最重要的一点是只考虑安全问题。
安全审计报告一般应包括：设计人及审计组简述、审计过程及日期、项目背景及简况、图纸等，对确认的每一个潜在危险因素都应阐述其地点、详细特征、可能引发的事故(类型)、事故的频率及严重度评估、改进建议及该建议的可操作性(实用性)等。审计报告应易于被设计人员接受并实施。响应报告应由项目设计人员编写，其内容—般应包括：对审计报告指出的安全缺陷是否接受，如不接受应阐述理由，对每一改进建议应一一响应，采纳、部分采纳或不采纳，并阐明原因。
四、现有山区道路的安全审计
对现状山区道路进行安全审计，主要评估现状道路潜在事故危险性，同时提出改进措施以降低未来发生事故的可能性。现状道路的安全审计与新建道路相类似，也需进行上面所提到的工作，但现场调查以及评估资料及文件这两步与新建道路有所不同。此时事故资料被作为欲审计资料的重要组成部分，同时该资料也包括可能导致事故发生潜在性的一些不利因素的详细资料。
理想的关于现状道路网的安全审计应该建立在有规律的基础之上。它可以以连续几年审计的结果为基础，采用滚动式的审计方式对路网中的每条道路都进行评估。对于里程较长的道路(一般>100km)，其安全审计工作可按两阶段进行，即初步审计阶段和详细审计阶段。前者主要对道路总体上进行粗略审计，给出存在的主要问题及所处位置，后者则对找到的问题进行进一步的详细分析并提出相应的改进建议。对里程较短的道路(<30km)可直接进行第二阶段的工作。而对里程在30km～100km的道路，两阶段审计工作可根据具体情况灵活进行。
由于欲审计道路已修建完成并已经运营，此时现场调查就显得非常重要。不管是拟建道路或已建道路、线内工程还是线外工程，安全审计工作必须全方位细致地进行。要考虑不同道路使用者对道路安全性能的不同需求。例如：①由于坡度太大或海拔高而使得驾驶员的心理产生恐惧；②半径太小可能使得驾驶员无法在规定视距范围内看到对方；③山体的稳定性也可能会影响到驾驶员。
另外，现状山区道路的安全审计工作还要调查不同的道路类型，例如白天、黑夜、干燥、潮湿等情况对道路的影响。此外，对现有道路网络的安全审计可结合养护工作同时进行，这样可减少相应的成本费用。
五、我国山区道路的审计现状及问题和解决方法
5.1审计现状及问题
由于目前审计这个名词在国内还算比较新鲜，国外从起步发展到现在也不过十来年的时间，各方面都只是处于实验或者是试行阶段，并没有固定的一套理论依据。而我国相对外国来说又是落后了好几年，因此我国现在总体的审计现状也就处于探索阶段，各个方面也是处于起步阶段，不可能对各个方面的审计工作做到非常的完善。而道路的审计不过是众多审计工作中的一小部分，由于其本身的“新鲜性”，又对审计人员的要求较高，西部一些贫困地区教育跟不上，审计的人才缺乏也不是没有可能，设备等亦未全部到位。山区道路安全审计工作的开展较一般道路可能要更加的困难，因为山区道路多是停山临崖，弯道又多，坡度又大等各方面因素是其工作的开展要难与一般道路；更有甚者像那些偏僻地区的山区道路，可能路面的质量都无法保证，更不要提进行什么安全审计。:
5.2解决方法
要改善我国目前的这种安全审计情况，需要全国各个方面的努力与配合，不过要有所规定，我们民间也要有这方面的意识。笔者简单列出几项：①国家应该颁布相关的法律制度，严格要求进行安全审计；②地方部门要加强管理；③加强对审计人员的培训；④提高我国的教育水平和人们的交通安全意识；⑤交通安全部门要深入到偏僻的山区；⑥提高我国的经济实力。
六、结束语
山区道路的安全审计工作与其他道路的安全审计总体上应该说差不多，当然山区的那种独特的环境使得审计工作的重点可能不仅仅局限与一般的道路，不要认为山区道路的流量没有城市道路那么多而忽视它，我国是个多山的国家，山区道路对于我国各个地区的经济往来的作用不言而誉。通过安全审计，加强了全国各地交流。对于我国的经济发展有百利而无一害。
(1)道路安全审计于设计和标准。是以安全为核心的审计，其对象为一切与交通安全相关的工程和设施，它可分阶段、按步骤的实施，审计的结果为安全审计报告。
关键词：网络安全；审计安全；监控系统
中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2013）16-3707-02
1 网络安全概述
。；数据和信息的使用需要经过信息所有者的授权，网络系统需要保护数据在非授权情况下不被非法使用；网络信息可以进行访问控制，对网络资源的访问进行规范的控制。针对网络安全问题，常见的网络安全管理措施主要包括加密技术，授权管理以及访问控制管理等。还包括对网络安全日志的维护和检查，对安全日志进行创建和删除，建立网络日志的安全服务机制，相关安全信息等。
网络信息安全的实现，需要对网络信息的传输进行严格的审计，保证数据传输的规范。同时，还需要对网络操作行为进行监督，通过网络信息访问控制机制的建立来做好对网络信息的审计和监控工作，实现网络信息的安全性保障。网络安全的访问控制环节，主要通过访问的设置来实现对资源访问的控制，减少和及时发现非法入侵，网络信息安全体系中常见的访问控制系统主要有网络用户主体与客体间的安全访问规则等。通过对网络安全访问控制机制的建立，规范了网络信息访问秩序，确定了访问主体以及访问的权限等，防止未授权的非法访问。进而做好对网络信息的安全审计以及监控工作，确保网络信息安全。
2 安全审计和监控系统设计技术分析
1）Web Service技术
Web Service技术是Web应用技术的分支，通过该技术可以实现对网络信息的描述性以及模块化管理。通过信息定位以及等方式，Web Service可以进行数据请求以及数据处理等操作。当命令发出之后，Web Service就开始对任务的执行工作，通过网络信息中的各种Web Service应用程序来执行任务服务。综上所述，Web Service是网络信息环境中的一种应用程序，通过标准化互联网协议的使用，实现网络信息功能性纲领在互联网上的体现。其中使用的互联网协议主要有超文本传输协议（HTP）以及XML协议等。
2）XML数据处理
XML主要是指可扩展性的标记语言，属于标准通用标记语言的范畴。XML技术在互联网环境中，实现了跨平台数据操作和处理，是一种对数据内容依赖程度比较高的技术，在当下一些结构化的文档信息处理中应用的比较广泛。同时，XML属于比较简单的数据存储语言，对数据进行简单的标记和描述，标记可以通过特定的方式来建立，因此，利用XML技术对数据的处理比较好操作，而且处理方式比较灵活。通过可扩展标记语言可以在网络信息系统中建立共同信息格式以及共享格式等，主要应用在金融行业内部网以及其他网络体系中。例如，一些计算机制造商往往用同一种标准来进行计算机产品相关信息的定义，然后通过XML描述产品信息格式。通过这种标准数据描述方式，让使用户通过智能程序，来对各个计算机制造商的信息进行了解，最终通过比较来得出自己需要的计算机产品。
3） 软件开发和应用
网络安全环境下的安全审计以及监控系统的设计和开发需要软件平台来支持，通过软件系统的开发和应用，网络信息系统中的上层应用为一些同网络硬件以及操作系统无关的软件开发以及应用提供必要的环境支持。同时，软件平台也可以为用户的各种数据处理工作提供便利，例如数据访问、数据封装以及数据分析等。通过软件应用为上层透明数据访问提供了一个明确的接口。
3 网络安全审计以及监控系统的设计与实现
1）安全审计设计
；其次，需要对采集的各种数据进行综合分析和处理，集合审计工作的具体需要将相关数据进行整合，然后转换成审计所需要的数据形式；最后还要对审计数据进行复核工作，复核工作主要通过计算机审计软件来完成。在安全审计设计过程中，数据采集环节是整个审计工作的前提和基础，只有完整、全面、准确以及及时的数据，才能有效的开展审计工作。常用的审计数据采集方式有三种，即直接读取数据、通过数据库连接件进行数据读取以及文件传输读取数据三种。其中，在直接读取数据这种数据采集方式中，一般通过审计软件来进行数据库的审计工作；在数据库连接件这种采集方式中，采集时也需要直接同被审计单位的数据库进行连接。因此，这两种数据采集方式具有一定的相似性，采用这两种方式进行数据采集时，首先需要对双方的数据存储格式进行了解，当采集过程中有一方的数据存储格式发生了变化，整个数据采集的存储格式都需要进行重新调整，在这种情况下，数据采集的效率就受到了影响，灵活性也降低了。此外，采集过程中直接同被采集单位的数据进行连接，也影响了被采集单位的数据安全和数据运行速度，进而影响了被采集单位的正常工作。因此，在进行数据采集工作时，需要采取第三种方式进行，由被采集单位进行数据格式的指定，然后将数据导出，避免同被采集方数据库的直接连接，在获得采集数据的同时也保障了被审计单位的信息安全，真正实现安全审计。
2）网络安全监控系统设计
在网络安全监控体系中，最主要的就是对网络操作对象进行监控，对网络操作的各种文件和数据进行监控，进而实现网络安全运行的目标。对操作对象的监控可以通过Windows程序来实现，工作原理为：利用Windows程序中的文件过滤驱动系统来对用户进程中的各种文件操作进行拦截，做好对网络数据访问的审核和控制，决定用户进程的访问权限以及访问方式，在这种监控环境下，网络环境中的文件安全得以保障和实现。通过网络文件监控可以实现对文件系统的过滤和管理，具体表现在：Driver Message Controller负责对监控系统的驱动以及通信，通过监控程序来进行消息发送；利用标签维护模块来进行安全标签的处理，比如添加和删除等，该模块主要用作文件访问日志的显示；此外，网络安全监控系统中的驱动程序消息控制模块主要借助CDriverMsgController类型的多用线程技术来实现，进而对驱动程序所监视的消息进行接收和发送等方面的处理。
4 结束语
随着网络信息技术的发展，网络信息安全问题也越来越突出，一些非授权网络信息访问以及非法网络入侵行为大量存在，严重影响了金融行业的网络信息安全，危及业务系统正常运行，甚至造成了信息泄露，系统数据被非法篡改等重大损失。做好网络安全维护工作十分重要，在安全的网络环境下开展安全审计工作以及系统监控工作时必须的，金融行业要做好安全审计以及监控系统的设计工作。通过安全审计工作的开展来保证金融行业的信息安全，通过监控系统来规范管理网络信息环境，进而打造安全的网络信息环境，保证金融行业及住房公积金行业的网络运行安全。
参考文献：
[1] 倪竹清.网络安全行为监控系统的探索与实践[J].中国传媒科技，2011（7）.
近年来，我市各县市区、各部门在加强信息系统安全和保密管理方面做了大量工作，取得了明显成效。但也要看到，当前境内外敌对势力大肆利用各种手段对我各级行政机关进行网络攻击和窃密活动的事实，加之，信息系统安全和保密管理工作中还存在不少薄弱环节，一些单位和人员信息安全和保密意识淡薄，管理机制不健全，制度不落实，技术防护措施不完善，安全隐患比较严重，信息安全形势十分严峻。
根据省转发关于加强信息系统安全和保密管理工作的通知（陕政办发〔〕79号）精神，为认真贯彻落实中、省通知精神，切实提高我市信息系统安全保障能力，现就进一步加强政信息系统安全和保密管理工作通知如下：
一、加强组织领导，健全信息安全责任制
各县市区、各部门要把信息安全和保密工作列入重要议事日程，加强领导，落实责任，完善措施，切实抓紧抓好。要按照“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则，健全信息安全和保密责任制，把责任落实到具体部门、具体岗位和个人。要明确一名主管领导，负责本单位信息系统安全和保密管理工作，根据国家法律法规和有关要求，结合实际组织制订信息安全保密管理制度和防护措施，开展信息安全、保密教育和监督检查。要指定一名安全观念强、富有责任心、懂防护技术的工作人员任信息系统安全员，负责日常督促、检查和指导工作。要建立健全岗位信息安全和保密责任制度，明确信息安全和保密责任。
二、强化教育培训，提高安全意识和防护技能
各县市区、各部门要认真组织信息安全和保密基本技能培训，开展信息安全和保密形势分析、典型案例分析和警示教育，并做到经常化、制度化。要把信息安全和保密教育作为工作人员上岗、干部培训、业务学习的重要内容，提高安全和保密意识，使主动做好信息安全和保密工作成为每个工作人员的自觉行动。加快研究建立行政机关工作人员信息安全技能考试制度，逐步做到工作人员持证上岗。当前，要针对存在的突出问题，深入学习宣传信息安全“五禁止”规定：一是禁止将信息系统接入国际互联网及其他公共信息网络；二是禁止在计算机与非计算机之间交叉使用U盘等移动存储设备；三是禁止在没有防护措施的情况下将国际互联网公共信息网络上的数据拷贝到信息系统；四是禁止计算机、移动存储设备与非计算机、非移动存储设备混用；五是禁止使用具有无线互联功能的设备处理信息。行政机关及其工作人员要切实遵守信息安全和保密管理各项规定，做到令行禁止，杜绝安全隐患。
三、完善安全措施和手段，夯实安全工作基础
一是加强对信息、人员、场所和设备的管理。严格执行保密要害部门、要害部位管理制度；严格执行人员管理和资格审查制度；严格执行计算机、设备登记管理和定期检查制度；严格执行计算机、信息系统软件和维护服务提供者资质审查及监管制度。
二是实行计算机配置管理和安全审计。加快对办公用计算机和移动存储设备实行配置管理，统一编号、统一标志、统一登记；对办公用计算机逐步加装安全审计工具，定期进行安全审计。市信息办要会同有关部门和单位抓紧制订行政机关办公用计算机配置指南、安全使用规范和安全审计办法。
三是规范电子文档的管理。统一电子文档命名规则，根据文件内容在文件名中标明密级、类别，便于识别和管理。建立并保留电子文档的创建、复制、删除等相关记录，为安全审计提供依据。规范电子文档的复制、传递，电子文档要严格按照同等密级纸质文件的有关规定进行。逐步采用加密等技术手段对电子文档的存储和传输进行保护。
四是加快信息安全防护设施建设。行政机关在规划建设信息系统时，要严格遵循同步规划、同步建设、同步运行的原则，按照国家有关法律法规和标准同步规划、设计、建设、运行、管理信息安全防护设施。要将信息安全防护设施建设、运行、维护、检查和管理费用纳入预算，保证资金落实。项目审批部门要将拟建信息系统是否具备信息安全防护设施作为重要审核内容。信息系统建成后，必须经保密工作部门审批后方可投入使用。
五是切实增强业务网络安全保障能力。业务网络是信息系统的重要组成部分，是推行电子政务的重要基础，必须采取切实有效的安全措施。要加快建立健全以身份认证、访问控制、安全审计、责任认定、病毒防护等为主要内容的网络安全体系，完善网络安全技术防护手段。抓紧制订网络对接、信息交换、安全技术及运行管理标准规范，实行严格的网络接入审批制度。行政机关要督促、指导业务网络管理单位完善相应的办法，保证网络安全运行。
六是严格信息技术产品的采购管理。按照采购法有关要求，行政机关要带头使用国产信息技术产品和服务，确保信息系统安全可控。其中，办公用计算机、公文处理软件、信息安全产品等应使用国产产品，信息安全服务应选择有相应资质的国内厂商，因特殊原因必须选用国外信息技术产品和信息安全服务的，应进行安全审查，并报本单位主管信息安全的领导同志批准。信息系统、保密要害部门和部位使用信息技术产品及服务，必须严格执行国家有关保密规定和标准。信息系统以及关系的重要信息系统的数据中心、灾难备份中心不得设立在境外，原则上不得接受在线远程服务。
四、做好信息安全检查工作，依法追究责任
各县市区、各部门每半年要对信息系统进行一次全面的安全检查，认真查找隐患，及时掌握信息安全状况和面临的威胁，及时采取应对措施，堵塞安全漏洞，减少安全风险。要提高应急处置能力，及时发现网络泄密隐患，迅速处置网络泄密事件。市信息办负责制定信息安全检查办法，各部门要定期向其报告检查落实情况。各县市区还要结合实际制订具体的信息安全检查和实施办法。
加大信息安全和保密执法工作力度。对违反信息安全和保密管理规定的，要给予严肃处理，对造成泄密事件和信息安全事故的，要依法追究当事人和有关负责人的责任，并以适当方式予以通报，以儆效尤。要建立网络泄密举报制度和奖惩制度。明确举报方式、受理机构和奖惩力度，充分发挥广大行政机关工作人员的监督作用。
电力二次系统是指各级电力监控系统和调度数据网络以及各级管理信息系统和电力数据通信网络构成的大系统，也是电力异构二元复合网络的关键节点。当电力信息网受到有意或者无意攻击时，信息网的故障可能会通过电力二次系统穿越信息网边界，波及电力物理网，进而导致故障在电力网出现连锁反应，在一些极端情况下，故障在两者之间交替传播，严重威胁电网安全运行。
随着电力二次系统安全防护系统工作的深入开展，众多学者在安全防护体系方面做了大量的研究工作。然而，现行支撑电力信息网的电力二次系统都具有自己的安全防护体系，对用户身份认证、资源授权、安全审计、用户管理等难以统一。一方面，当用户角色以及资源需要改变时，电力公司业务运作变得不够顺畅，导致业务流程被割裂，需要过多的人工介入，效率下降，数据一致性降低，使电力二次应用系统失去了应有的作用。另外一方面，安全防护体系公钥算法大多采用RSA算法。随着全球范围内密码技术的发展和计算能力的提升，现有的基于1024bit的RSA算法的密码体系已不能满足当前和今后的安全应用需求，尽管增加RSA算法密钥长度可以提高原有系统的安全性，但是密钥长度的增加会导致加解密速度降低、硬件实现复杂、基于RSA的传输协议在实际应用中存在不可忽视的时延，影响了服务质量，除此之外，欧美等国也密钥长度大于1024bit的RSA程序出口。全面采用国产通用算法，这是国家的要求，建立和发展基于国产通用算法的商用密码支撑体系和应用体系是关系国家信息安全的重要措施。2011年国家密码管理局下发了《关于做好公钥密码算法升级工作的函》(国家密码管理局函〔2011〕7号），规定2011年7月1曰以后投入运行并使用公钥密码的信息系统应使用SM2算法；同时，规定从2011年2月28日起在建和拟建公钥密码基础设施的电子认证系统和密钥管理系统应使用SM2算法，新研制的含有公钥密码算法的商用密码产品必须支持SM2算法，实现SM2算法逐步取代RSA算法，建立基于国产算法的密码支撑体系。因此，针对电力公司这种关系国计民生、社会稳定的企业，更加需要采用国产算法密码支撑体系，增强电力信息网的安全，防止有害信息和恶意攻击对电力网的干扰而引发的重大生产事故，保证电力生产和调度自动化系统的安全运行。
为此，本文提出了一种基于SM2算法密码体系的安全支撑平台的设计和实现方案。由于当前处于RSA算法向SM2算法过渡的时期，为了节约用户的硬件投资，减少系统的管理工作量，该平台同时支持RSA和SM2两种算法的密码体系混合使用，这样既不影响现有的业务，又可以满足的要求，并逐步淘汰RSA算法的密码体系，最终符合国家密码管理局密码管理规范的要求。基于该方案设计开发的安全支撑平台已经在某省级电网成功投入应用。
1椭圆曲线加密
椭圆曲线密码学(ellipticcurvecryptography，ECC)是基于椭圆曲线离散对数问题的一种公钥密码算法，国产SM2算法是具有中国自主知识产权并由国家密码管理局的公钥密码算法，是ECC算法的一种。；③存储空间小，SM2算法的密码一般为192〜256bit，RSA算法的密码一般需要为1024〜096bit；©国产算法，无国外可利用的后门。SM2算法和RSA算法的安全性能和速度性能如表1和表2所示，其中破译所需时间的单位年表示运算速度为106次/s的计算机连续运行一年。
为了提高电力二次系统认证平台的安全性，现行的及下一代认证平台和密钥管理系统必须使用国产SM2算法。。
2安全支撑平台的设计
针对电力二次系统缺乏集中管理和审计，本文设计了一种安全支撑平台，通过在电力二次系统之前部署一个这样的安全支撑平台作为应用网关，由平台提供安全可靠的身份认证、严格有效的访问控制与权限管理以及进行安全审计日志记录，并对用户信息及系统资源进行管理等功能。安全支撑平台系统结构和部署如图1所示。；①，②，③分别表示可信的第三方证书授权中心（CA)为用户、管理员和安全支撑平台颁发公钥证书；©表示安全支撑平台身份认证模块查询用户信息；⑤表示安全支撑平台授权管理模块查询用户角色信息表示安全支撑平台安全审计模块查询用户访问日志信息；⑦表示安全支撑平台资源管理模块查询电力二次系统的资源域等相关信息。用户通过电力信息网访问电力二次系统应用服务时，首先要通过安全支撑平台的身份认证并根据用户角色确定其访问权限后，才能访问相应的电力二次系统应用服务。系统管理员通过电力信息网来配置安全支撑平台和用户信息，完成添加、删除用户等操作，第三方CA为用户、管理员和服务器颁发公钥数字证书（PKC)，并提供证书撤销列表（CRL)服务。LDAP数据库一方面为安全支撑平台提供用户信息和访问控制策略，另一方面实时更新CRL以确保用户身份的有效性。MySQL数据库一方面存储审计日志以及各个电力二次系统应用授权码等相关信息，另一方面实时更新应用授权码等信息，确保电力二次系统与用户身份映射的有效性。
安全支撑平台应用WebServices技术将身份认证、授权管理、安全审计及用户管理等功能封装为Web服务，利用LDAP数据库存储的用户身份、角色和访问控制等信息和MySQL数据库存储安全审计曰志以及各个电力应用系统的信息，方便电力二次应用系统的整合集成调用，从而实现统一认证、统一管理、统一授权和统一审计。
3安全支撑平台中SM2算法的应用
3.1 存在的问题
上述构建的安全支撑平台要支持国家商用SM2算法的数字证书，需要考虑两个方面的内容，即电力公司的公钥基础设施（PKI)系统是否可以发放支持SM2算法的数字证书，以及电力二次应用系统是否可以使用支持国家商用SM2算法的数字证书。对于是否可以发放支持国家商用SM2算法的数字证书，主要与可信第三方CA中心关联；对于是否可以使用支持国家商用SM2算法的数字证书，主要与数字证书和电力系统应用业务的整合集成相关。
1) 电力公司PKI系统是否可以发放支持SM2算法的数字证书。目前根据国家商用密码建设来看，支持SM2椭圆曲线算法的加密卡和USBKey以及加密设备的标准调用接口、证书格式等相关的标准规范基本制定完成，对于发放支持SM2椭圆曲线算法的数字证书的条件已完全具备。
2) 电力二次系统是否可以使用支持国家商用SM2算法的数字证书。现有基于RSA算法的安全支撑平台与电力应用系统集成整合，可以细分为客户端和服务器端两个部分：①对于客户端而言，应用环境是基于浏览器/服务器（B/S)架构，用户通过IE浏览器访问系统资源时，通过调用Microsoft定义的加密应用程序接口（CryptoAPI)调用加密服务提供者（CSP)组件接口，对客户端USBKey硬件加密设备进行调用，实现客户端的加密、解密、签名、验证等操作丨②对于服务器端（安全支撑平台或电力二次应用系统）而言，其Web服务器（例如Apache、互联息服务（IIS)等）可以通过安全套接层（SSL)协议与客户端实现传输信息的加解密，间接地实现身份认证，服务器一般调用标准的PKCS#11接口实现硬件加密卡的访问，提供加密、解密、签名、验证的服务。然而CSP和PKCS#11两类标准的接口中每个密码算法均是以国际标准化组织（ISO)建立的对象标识符（OID)值来进行区分，应用系统通过传递不同的OID值对不同的密码算法进行应用。因为国家密码管理局颁布的SM2算法是中国自有算法，加之Microsoft的Windows操作系统的垄断，SM2算法还没有被CSP和PKCS#11等标准接口包容，电力二次应用系统无法利用SSL安全传输通道传递算法OID值的方式实现对SM2算法的调用，使得支持SM2算法的数字证书无法直接在上述应用环境中使用，进而给现有安全支撑平台升级实现SM2算法带来了相应的困难。
3.2 解决方案
电力二次系统业务资源需要操作系统作支撑，然而主流的办公操作系统是Microsoft的Windows操作系统。Windows操作系统目前还不支持SM2算法数字证书的OID值，所以要求Windows操作系统支持中国颁布的SM2算法数字证书，使SM2算法数字证书得到全面的应用还比较困难。。。
1) 改造OpenSSL需要修改大量源代码，工程量极大，而且这种方案只针对Apache架构的服务器，对IIS服务器或者其他服务器不适用。
2) 基于SM2算法的加密卡是国家密码管理局制定的接口标准，OpenSSL需要调用PKCS拈11标准接口的加密设备，因此，需要对加密接口进行相应的转换，需要相应组件对加密设备进行调用。
鉴于上述情况，加密通道不采用标准的SSL协议实现，而是基于组件技术自行设计安全传输通道，实现现有的安全支撑平台升级支持SM2算法。通过这种改变调用的方式，从而使电力应用系统可以使用SM2椭圆曲线算法的数字证书。
基于组件的开发技术是以嵌入后可立即使用的即插即用型概念为核心，以可重用为目的设计、封装的软件技术。通过采用安全组件技术改变对加密设备的调用方式，完成电力二次应用系统的PKI系统升级，实现SM2算法的数字证书。下面重点介绍客户端、应用系统及安全支撑平台部署相关安全组件的设计。
3.2.1客户端的iMidWare安全组件
iMidWare安全组件主要实现对SJK1134型USBKey进行调用完成用户身份认证，主要功能包括:建立用户端与平台的可信会话，管理用户认证会话及重定向，实现对加密设备的访问。
客户端部署iMidWare安全组件之后，客户端如图2所示包括SJK1134型USBKey和iMidWare安全组件、浏览器。
3.2.2电力二次应用系统的iAccount安全组件
iAccount安全组件主要实现对SJK0817-B型加密卡调用和对访问用户进行身份认证。iAccount组件为各种电力二次应用系统提供安全可靠的应用接入开发接口，是实现各种异构电力二次应用信息系统的基础。iAccount组件主要实现建立电力应用服务器与安全支撑平台的可信加密通信，管理用户认证会话及重定向，维护用户认证用户信息，为电力应用系统提供安全审计接口及资源授权接口。
系统管理员将电力应用服务资源映射成应用授权码，并将应用授权码存储于安全支撑平台及电力二次应用系统中，当用户对服务发起访问时，Account组件通过资源授权接口将应用授权码传递给安全支撑平台进行验证，确保授权用户能合法访问。
电力二次应用系统部署iAccount安全组件之后，电力二次应用系统如图3所示，包括SJK0817-B型加密卡、iAccount安全组件、电力二次应用系统Web服务资源。
3.2.3安全支撑平台及iServer安全组件
iServer组件是Web服务提供者对服务请求者的身份验证的接口程序，是一个能够处理用户访问的底层服务程序模块，主要实现处理用户对计算机或网络资源访问的请求，对用户身份和操作授权进行验证，通过检索资源授权库来决定用户的资源访问权限，同时对用户在电力应用系统中的活动进行行为记录。
部署iServer安全组件之后，安全支撑平台如图4所示，包括SJK0817-B型加密卡、iServer安全组件、核心服务模块。核心服务模块除了包括AAAA服务引擎之外，还包括支撑服务程序。支撑服务程序是其他基本功能模块的安全控制程序，负责其他模块之间的调度，同时又是远程网络安全访问的提供者。
3.3安全支撑平台的升级
采用SM2算法的安全支撑平台进行单点登录设计时，通过客户端浏览器部署iMidWare组件，安全支撑平台部署iServer组件，电力二次应用系统部署iAccount组件，实现自行设计安全传输通道替换原有安全支撑平台两个链路上的SSL协议加密通道，完成安全支撑平台升级，支持SM2算法数字证书。
1) 安全支撑平台与客户端的安全传输通道。客户端通过iMidWare组件和统一安全支撑平台Server组件，替换这条链路上的SSL协议加密通道。两者在安全传输通道进行双向身份认证，安全支撑平台将根据当前用户会话信息、用户基本信息、随机序列值等生成一次性凭证票据，由安全支撑平台证书签名后传递给用户端iMidWare安全组件。
2) 安全支撑平台与电力应用系统的安全传输通道。为了达到平台升级支持SM2算法，在安全支撑平台与电力应用系统分别部署iServer组件和iAccount组件，电力应用系统调用iAccount安全套件的证书认证接口来首先验凭证签名的合法性以及应用授权系统授权码的合法性。验证通过，安全支撑平台将用户属性信息和应用扩展信息(如账号、组织、单位等）签名加密后返回给电力二次应用系统。
基于SM2算法的安全支撑平台的架构及访问流程如图5所示。
1) 访问用户在客户端插入带SM2算法的USBKey，通过HTTP协议及数字证书登录电力二次系统，发起对电力二次系统的访问。
2) 电力二次系统服务器调用iAccount 套件证书，认证接口判断此访问是否经过认证，如没有通过认证，通知客户端的iMidWare组件自动重定向至安全支撑平台。
3) 安全支撑平台将根据提交的SM2算法数字证书验证用户，检查CRL、证书有效性、用户角色、用户权限等信息，并在认证日志中记录用户名、IP地址、时间、电力二次系统名称、登录方式、认证状态等信息。
4) SM2算法数字证书认证通过后，安全支撑平台将根据当前用户会话信息、用户基本信息、随机序列值等由服务器证书签名生成一次性凭证，传递给客户端。
5) 客户端通过iMidWare组件自动重定向客户端至电力二次系统，并提交这个一次性签名凭证。
6) iAccount套件证书认证接口首先验签名凭证，验证通过以后，将应用授权码和一次性签名凭证传递给安全支撑平台，以验证当前会话用户访问签名凭证的合法性以及电力二次应用系统授权码的正确性。
7) 验证通过后，安全支撑平台获取用户信息并进行加密，将加密用户信息签名后返回给电力二次应用系统，随即销毁一次性签名凭证。应用系统得到签名的用户信息后，验证该信息的真实性，通过后，解密用户信息，然后根据该用户信息登录电力二次系统。
8)确认用户身份，允许用户正常访问。
4集成应用及功能测试
该平台已在多个某省级电网投入运行，下面以为电网公司的电力营销支撑系统（包括营销信息管理系统、客户服务管理系统、营销质量管理系统、营销决策支持系统等）及周边的其他电力应用信息系统(负荷管理信息系统、能量采集系统等）构建“大营销”背景下的电力营销综合应用平台为例，说明安全支撑平台是如何在实际应用中解决多个电力信息系统集成问题，并对集成整合后的电力营销综合应用平台进行前后台功能测试。
电网公司的营销支撑系统及周边信息系统按照图5所示，分别调用lAccount组件接口，实现营销支撑系统及周边异构信息系统集成，完成电力营销综合应用平台的建设。构建的电力营销综合应用平台如图6所示。
4.1集成整合前台登录测试
本文是基于数字证书的认证方式对访问用户进
行身份认证，对电力营销综合应用平台进行前台登录测试，主要是验证访问合法用户是否能正常登录电力营销综合应用平台、防止非法用户进入，验证是否可以实现SM2数字证书的认证方式和用户在登录及操作时产生的用户信息能否正常保存在数据库中。通过获取链路中数字证书的公钥参数值，即OID值1.2.156.197.1.301(如附录A图A1所示），说明构建的电力营销综合应用平台可以升级实现SM2数字证书认证方式。
4.2 安全支撑平台功能测试
安全支撑平台借助于Web方式，对平台的身份认证、授权管理、安全审计、用户管理等功能进行测试，验证是否达到预期设计的安全应用需要。
4.2.1后台登录测试
安全支撑平台的后台登录测试主要包括对合法用户的正常识别和杜绝非法用户，其认证的Web界面如附录A图A2所示。通过查看平台的审计中心的访问认证日志（如附录A图A3所示)，用户在访问电力应用系统或者安全支撑平台时，必须先通过安全平台的认证，才能对相应的资源进行访问和操作。
4.2.2 授权管理测试
。授权管理通过管理员对用户角色添加资源域，实现资源的访问权限控制，其授权的Web界面如附录A图A4所示，对用户授权的资源经测试用户能正常访问，反之则不能访问。
4.2.3安全审计测试
安全支撑平台的安全审计功能测试主要包括查看和管理访问认证、资源授权等日志功能。经测试合法的安全审计员可以查看访问用户对系统资源的访问情况或管理员对用户授权管理情况等日志，而非审计人员不能操作安全审计中心的任何资源，进而无法篡改审计日志。附录A图A3描述了访问认证曰志情况，图A5描述了资源授权日志情况。
4.2.4 用户管理测试
安全支撑平台用户管理功能测试主要包括对角色管理、用户组管理及用户信息管理功能进行测试，用户管理员通过角色管理模块为系统管理员提供增加新角色、删除角色、修改现有角色的描述等操作。
实践表明，安全支撑平台为电力二次系统安全防护监管提供了有效的技术手段。一方面，运行人员可以通过安全支撑平台全面掌握电力二次系统安全状态，及时发现安全隐患；另一方面，安全支撑平台为电力二次系统提供了完备的、标准化的基础信息，便于进行安全审计。
关键词：电子商务；安全审计；安全管理
中图分类号：F239文献标志码：A文章编号：1673-291X（2011）21-0097-02
一、外部审计
。
1.制度审计。在电子商务网络系统环境下，网络电子交易数据安全是关系到交易双方切身利益的关键问题，是企业计算机网络应用的最大障碍和审计的最重要问题之一。电子商务的网络数据安全措施，至少包括三个方面：一是网络数据安全技术方面的措施；二是安全管理制度(措施)的制定和实施；三是社会立法和法律保障措施。内部审计师关心的是这些措施实施的情况，通常可从如下几点进行评价：（1）审查防火墙技术、网络系统反病毒功能、数据加密措施、身份认证和授权等软件技术的应用实施情况；实施这一审查可以用模拟数据对系统的各安全关键点进行全面检查。（2）审查安全管理制度建立和施行的情况，采用面谈法、访问和实地察看法按预先给定的内控制度评价清单进行。注意检查岗位责任实施、安全日志制度。（3）审查有关计算机安全的国家法律和管理条例的执行情况。
2.选用内部审计师实施审计。内部审计师是电子商务审计最合适的专业人员。由内部审计师做电子商务内部审计业务，可为电子商务用户提供职业安全保障。
内部审计师进行电子商务审计是国际惯例。内部审计师是从事企业内部审计业务的专家，具有良好的基础背景和良好的声誉。在中国，内部审计师除了参与财务审计，还参与对管理效益和人离任内部审计和对企业计算机信息系统的实施情况审计，大量参与税务、财务和评估等咨询服务工作。
内部审计业务是按照特定的审计规范的程序执行，对内部控制与经营、业务审查和评价，内部审计师有着敏锐的专业洞察能力，这是内部审计师发展计算机网络内部审计的良好职业背景基础。
内部审计师的审计具有客观性和公正性。电子商务审计人员必须对交易的双方所提供的电子信息进行必要的审计，其审计本身应当客观、、公正和具有可靠的专业技术作为支撑，才能赢得网络交易的多方的信赖，同时他们必须是社会公认的权威审计业务专业人员。在计算机网络化的商务活动中，根据对交易合法性和交易信息的可靠性和安全性，是企业信息系统的内部控制制度及其对顾客提供必要的法律保障的一个重要内容，内部审计师对企业信息系统的内部控制制度设置和施行情况的审查评价，已具有特别的专长和丰富的经验。
3.安全审计系统分析。防火墙、入侵检测、防病毒网关等安全产品越来越多地应用在网络中，它们在运行过程中都会产生大量的日志信息，其中隐藏了非常重要的信息是分析网络安全运行情况的依据。安全审计系统中结合各种信息算法对这些日志数据进行分析，挖掘出其中隐藏的异常动态信息，并利用各个审计源之间的联动及时阻断各种入侵活动。同时，对进出网络内部的电子邮件和传输信息实时跟踪，进行数据截取和还原，更好的维护系统安全。
。监视网络中的各种安全设备、主机系统、数据库、进出网络内部的电子邮件和传输信息等情况，全面掌握网络活动和行为。（2）事件自动响应机制。当发生的网络行为可能威胁到系统安全并且达到预先设定的域值时，系统自动断开该用户的连接并及时向管理员发出报警信号。（3）自动生成安全信息报告。在固定时间内把系统的运行情况以报表的形式发送给管理员。通过设置合理的审计报表，管理员可以迅速、直观地浏览报表内容，了解系统的当前运行情况和资源使用情况，在减少管理员单纯人为判断和经验参与的情况下，能更好地帮助系统管理员及时采取相应措施，从而使威胁整个网络的潜在破坏最小化，提高系统的安全性能。（4）系统综合管理。虽然安全审计系统是一个运行的软件系统，但是它和其他安全产品如防火墙、VPN，漏洞扫描等并不会产生冲突，相反它们能够相互协调和促进、更好地起到系统安全防护的作用。
二、内部审计
内部审计的作用主要体现在对于电子商务公司内部系统安全和财务风险的管理上，主要包括两个方面的内容：对电子商务系统的技术审计；对电子商务公司的财务进行审计。
（一）技术审计
1.访问控制审计。网络访问控制包括访问权限控制和用户认证。访问权控制的审查，主要是检查是否有端口访问控制情况――进入访问端口前的用户号鉴别回应控制和特别安全保护的访问点控制。用户认证的方法一般可分三类：口令或密钥、身份鉴别（如指纹）和使用权限控制，其中最安全的认证是身份鉴别（用指纹或其他特性），但制作费用比较昂贵，其他两种方法都是最常用的用户认证法。初步审查除了解各种认证方法外，主要查各类型控制执行的情况。
2.数据加密审计。现在流行的电子商务网络系统是由至少一个计算机服务器和多台客户机联网形成的，并与外部交易有关的国内网络和国际网络系统相连结。客户机一般处理业务数据，网络数据库和软件程序库一般由服务器统一控制管理。由于网络中的数据库具有共享性，很容易受到舞弊人或黑客的修改和破坏，要确保合法的客户对网络数据库访问的便利性和网络数据的完整性，应比非网络系统增加对数据库的加密管理，相应地形成数据库的加密管理审计，其内容：一是审查服务器的数据库加密装置，服务器密码装置的密钥分配，这种审查主要了解系统管理员和相应密钥分配情况。二是审查网络端对端的加密，测试关键的网络数据在传输中的全程加密，此种加密是通过专用的软件实现的，因此，对这类的加密软件要进行特别的安全保护管理。
3.运行审计。（1）记录、跟踪系统的运行状况。利用审计工具，监视和记录系统的活动情况，如记录用户登录账号、登录时间、登录的终端以及所访问的文件、存取操作，并放人系统日志中保存在磁盘上，使影响系统安全性的存取以及其他非法操作留下线索，以便审查。（2）检测各种安全事故。审计工具能检测和判定对系统的攻击，如多次使用非法口令登录系统的尝试，及时提供报警甚至自动处理，使系统安全管理人员能够了解系统的运行情况，及时堵住非法入侵者。（3）保存、维护和管理审计日志。由于审计日志记录了审计、跟踪、检测各种安全事件的结果，是查找、分析网络系统安全事件的客观依据，是重要的系统文档，必须要有可靠的存储和管理机制。在现代的经济环境下对电子商务公司的财务进行审计，其审计的职能已经发生了根本性的变化。审计已经从传统的财务审计过渡到了风险审计与内部控制。因此，运用内部审计可以很好地控制风险的发生。
（二）财务审计
1.数据库审计。在无纸化环境下，内部审计能鉴别出已发生的经济业务及其数据的真实和可靠，这是内部审计师所面临的严峻挑战。显然，内部审计师必须开发一套电子商务内部审计专用的软件和改进传统的审计程序，来适应这种审计的需要。电子商务审计软件一定能使内部审计师在经济业务发生的时候就对它们进行测试和保留必要的审计线索，否则时过境迁，就无案可查。
2.内控制度审计。网络化的计算机信息系统不断发展，内部控制将会变得越来越重要。从前述内容可以进一步说明网络环境下的内部控制制度的重要性。可以断言，在电子商务环境下，内部审计师在监测公司内部控制制度的运转、评价这些控制以及为改进这些制度提供建议等方面，都将起到重要作用。这是因为他们必须测试这些制度以判断电子商务经济信息（含会计信息）的可靠性和经济业务处理的恰当性，并且对内部控制的状况作出全面评价。
3.披露事项审计。保证电子交易的可靠性和真实性，是任何交易的基本前提。；（2）对交易条件进行披露，如发货距离、发货时间、完成交易所需的时间、另外订单的时间、支付条件、电子结算惯例和顾客必须承担的费用、退货的程序和；（3）售后服务和产品技术支持；；（5）对争议的处理，争议处理的程序，包括管理当局和请第三方中立机构处理争议问题的程序。
4.客户信息隐私保护审计。；客户有权禁止其信息在与交易无关的场合使用和为第三方所使用；客户私人信息未经授权不准访问，客户私人信息不能随意被透露给其他的单位或个人；；在存储、变更或从客户计算机上复制信息前应得到客户的许可；严禁向客户输送恶意的程序；企业信息保护的控制得到有效执行；企业若不能执行上述控制手段，应及时公告，并说明正在采取的补救措施。
参考文献：
[1]傅元略，等.企业信息化下的财务监控[M].北京:中国财政经济出版社，2003.
[2]刘艳慧.电子商务及其安全性研究与应用[D].天津:天津大学，2008.
[3]王铁柱，等.中国电子商务安全性分析与研究[J].河北职业学院学报，2010，(3).
因篇幅问题不能全部显示，请点此查看更多更全内容