SET协议由于采用公钥加密、信息摘要和数字签名等技术，确保了信息的保密性、可鉴别性、完整性和不可抵赖性，且SET协议采用了双重签名来保证各参与方信息的相互隔离，使商家只能看到持卡人的订购数据，而银行只能取得持卡人的支付信息。当然SET也存在协议复杂，使用成本高等问题。根据统计，在一个典型的SET交易过程中，需验证数字证书9次，验证数字签名6次，传递证书7次，进行5次签名、4次对称加密和4次非对称加密，整个交易过程耗费时间较长。与SSL相比，SET提供了一套完整的认证体系，解决了SSL无法实现的身份认证功能。因此，SET协议的安全性远比SSL协议高。随着电子商务规模的不断扩大，网络欺诈风险的不断提高，在电子商务中SET协议正逐步取代SSL协议而占据主导地位。
5.5企业的电子商务安全管理
企业电子商务安全的实现必须从管理和技术两方面着手。所谓“三分技术，七分管理”，只有技术层面和管理层面的良好配合，企业才能有效地实现电子商务安全。
1.电子商务安全管理的组织体系的构建
有效的管理来源于有效的组织保障，所以首先应建立和完善企业安全管理的组织体系。
(1)建立由行政领导、IT技术主管、信息安全主管、本系统用户代表和安全顾问组成的安全决策机构
安全决策机构的职责是建立管理框架，组织审批安全策略、安全管理制度，指派安全角色，分配安全职责，并检查安全职责是否已被正确履行，核准新信息处理设施的启用，组织安全管理专题会等。
(2)建立由网络管理员、系统管理员、安全管理员、用户管理员等组成的安全执行机构
安全执行机构负责起草网络系统的安全策略、执行批准后的安全策略、日常的安全运行和维护、定期的培训和安全检查等。
(3)如有必要，还可建立安全顾问机构
安全顾问机构可聘请信息安全专家担任系统安全顾问，负责提供安全建议，特别是在安全事故或违反安全策略事件发生后，可以被安全决策机构指定负责事故(事件)调查，并为安全策略评审和评估提供意见。
2.安全管理的内容
企业的电子商务安全管理是企业在既定的目标驱动下，开展风险管理活动，降低风险发生的可能性。具体的管理内容包括以下几个方面。
(1)电子商务系统安全漏洞的识别与评估
这里指的安全漏洞既包括电子商务系统中硬件与软件上的安全漏洞，也包括公司组织制度上的漏洞。例如，对离职员工的用户名和口令没有及时吊销，某些员工的访问权限未设置成最小等。这些漏洞的识别一般要聘请专门的评估机构对系统进行全面检查。
(2)制定与完善各项管理制度
安全管理制度是用文字形式对各项安全要求所作的规定，企业在参与电子商务初期，就应当形成一套完整的、适应于网络环境的安全管理制度，这些制度应当包括以下几个方面。
①人员管理制度。保障计算机系统的安全，首先要从体制和管理上下工夫，要建立完善的安全管理的体制和制度，建立一套行之有效的安全管理措施和手段。
②保密制度。建立完善的保密体系，提出相应的保密措施，加强对密钥的管理。
③跟踪审计制度。跟踪是指企业建立网络交易系统日志机制，记录系统运行的全过程。审计包括对系统日志的检查、审核，以便及时发现故意入侵系统行为的记录和违反系统安全要求的记录等。
④系统维护制度。它包括软硬件的日常维护工作，做好数据备份工作。
⑤病毒防范制度。要有较强的病毒防范意识，要安装防病毒软件，注意不打开来自陌生地址的电子邮件，建立病毒清理制度等。
⑥应急措施。在紧急事故发生时，利用各项应急措施来保障计算机信息系统继续运行或紧急恢复，如采用瞬时复制技术、远程磁盘镜像技术和数据库恢复技术等。
(3)对人员的控制与管理
在安全管理中，最活跃的因素是人，对人的管理包括法律、法规与政策的约束，安全指南的帮助，安全意识的提高，安全技能的培训，人力资源管理措施，以及企业文化的熏陶等。
电子商务安全管理在行政上应遵循以下4条原则。
①多人负责原则。
②任期有限原则。
③职责有限、责任分离原则。
④最小权限原则。
(4)运行控制
运行控制是对系统运行时的相关规定，具体包括以下4个方面。
①计算机使用规定。
②网络访问规定。
③用户口令的规则。
④安全设备使用规则。
3.电子商务安全管理策略
(1)需求、风险和代价平衡原则
任何一个网络，很难达到绝对没有安全威胁。对一个网络要进行实际分析，考虑用户的需求，并且对网络面临的威胁，以及可能遇到的风险要进行定量与定性的综合分析，制定规范的措施，并确定本系统的安全范畴，使花费在网络安全上的成本与在安全保护下的信息的价值平衡。
(2)系统性和整体性原则
一个好的安全策略在设计时往往采用多种方法综合应用，并以系统工程的观点、方法分析网络安全问题，这样才可能获得有效可行的措施。
(3)易操作性原则
安全策略的实施最终需要由人工完成，如果实施过程过于复杂，对于人的要求过高，对本身的安全性也是一种降低。
(4)适应性和灵活性原则
安全策略要能随着网络性能及安全威胁的变化而变化，具有一定的适应性和灵活性，能及时适应系统环境的变化而进行修改。
(5)多重保护的原则
任何单一的安全保护措施都不是绝对安全的，应该建立一个多重的互补系统，那么当一重被攻破时，其他保护层仍然可以安全的保护信息。
1.平台概述
随着信息化的发展，各企业或组织都搭建了网络平台，并在其平台上建设适应本企业或组织需要的各种业务系统，以方便工作，提高工作效率。人们建设业务系统的同时，大部分只注重其满足什么样的功能和业务流程，而忽视了其本身的安全性。由于黑客技术的迅速发展，单靠一台防火墙来保护业务系统已不能保护其中重要的信息。UTrust安全保护平台可以提供多种身份认证机制，从静态口令、数字证书到USBKey，并为不同级别的用户定义了不同安全等级，分配不同身份认证方式。
2.安全机制
业务系统的建设应具备如下的安全机制。
①身份认证机制：传统的账号和静态密码的方式容易盗取，并且常有多人共用一个账号和密码的现象，这样存在极大的安全隐患。业务系统中用户的身份标识应该具备唯一性和安全性，并对于不同人员确定不同的安全等级，对于重要业务人员应具有抗抵赖的机制。
②通信安全机制：业务数据传输过程中要保证业务数据的保密性、完整性和抗抵赖性。还要保证用户身份信息及其所属属性的机密性，保证通信过程这些机密信息不被盗取和篡改。
③访问安全机制：业务系统需要具有控制用户访问和会话的功能，对于非授权的用户禁止其访问业务系统，对于非法的访问尝试应进行阻断和记录。对于用户的闲置会话要采取措施，以免给他人造成访问机会。
④安全审计机制：安全审计包括识别、记录、存储和分析那些与安全相关活动有关的信息。检查审计记录结果可用来判断发生了哪些安全相关活动，以及哪个用户要对这些活动负责。
⑤安全管理机制：应用系统需要安全管理用户的身份，用户的权限及其他安全数据，并可在单位内部统一实施安全策略。如图532所示为UTrust安全保护平台的保护机制。
图532UTrust安全保护平台的保护机制
3.平台解决方案
根据上述业务系统应具备的安全机制，我们提供了一个业务系统安全管理平台，作为业务系统实现用户身份安全、访问安全、审计安全、通信安全的基础。并可以对已建系统不做改造的实现上述功能，对新建系统提供一个标准的框架，使得新建系统都遵循这种标准，利用现成的接口实现这些安全机制。
实施这个平台后，无论是原有业务系统还是新开发的应用系统都可以很方便地借助这个平台来实现上述安全机制，降低新的应用系统的开发成本和管理成本。为企业或组织对外开发的网络资源提供一个安全的保护机制。
