确保网络交易安全的五要决

ZDNet安全频道原创翻译 转载请注明作者以及出处

作为IT安全顾问，你不应该将安全的范围仅仅限定在客户的服务器上。需要注意的是，不要忽视了客户交易信息的安全。
--------------------------------------------------------------------------------------------

　　需要注意的是，对于客户来说，交易和其它方面财政信息的交流是所有信息中最重要的。即使其它的所有方面都被忽视，也不应该忘掉这个方面。人们必须进一切可能保证财政信息交流的安全。下面给出的五种方法可以保证交易过程和相关信息交流过程的安全性，每种方法都存在优缺点，你可以根据自己的实际情况选择符合要求的。

　　1. 对电子邮件附件进行加密并使用数字签名

　　对于客户来说，在可以保证发送过程的安全性时，将交易信息作为文件附件添加到电子邮件中，或者将其作为文本信息内嵌到电子邮件中，可能是一种安全的方法。根据客户端类型的不同，以及客户工作环境的差别，信息(和附件)的重要程度可能差别很大。在默认情况下，我们应该对和财务状况有关的所有数字信息进行加密，因为，如果财务信息被错误的人获取，很容易导致出现滥用的情况。

　　如果选择的是功能强大没有被破解的算法的话，采用了加密签名的电子邮件和附件是不可能被伪造的，因此，交流的双方应该认识到，所有的邮件都是有效信息。

　　2. 采用认证/加密下载

　　如果不能选择包含了加密工具的电子邮件客户端的话，你还有另一种选择，这就是安全下载。为了确保安全性，你需要确认它受到身份验证措施的保护，并且采用了经过加密的下载方式，而且对于客户端来说，需要设置了用户名和密码。需要注意的是：不管会话的加密技术是多么强大，加密下载也不能保证交易信息不会被偶然发现这个页面的未经授权并进行下载的人所截取。

　　3. 建立认证/加密交易页面

　　在某些时间，如果你只提供了客户信用卡在线支付这样一种交易方式，可能会让交易过程变得更方便。在交易过程中接受信用卡在线支付，可能带来一定的风险，当然，在美国使用信用卡在线支付的时间，需要兼容支付卡数据安全工业标准，但也不要让这个标准限制了你的交易过程。最重要的是确保整个过程的安全，而不是符合标准;毕竟如果不小心行事的话，带来的法律责任将不会是潜在的唯一问题。如果你不能保证按照正确的方法进行操作，请不要试图采用这种方式。

　　4. 选择挂号信

　　对于客户来说，邮寄信件传送财务信息是必要的选择，采用挂号信，就可以对整个投递过程进行跟踪，确保出现变化的时间能更快更有效的进行处理。与经过加密的电子邮件相比，它在安全性方面没有什么优势，但和普通信件相比，它是最好的选择。

　　5. 使用第三方安全交易商提供的服务

　　有时间，确保交易过程安全的简单方法就是选择第三方的安全交易商，你可以让它来为你处理所有的问题。对于信用卡网上支付来说，大部分独立顾问选择的都是通过贝宝之类的商业帐户进行处理。这样的服务可以对交易的细节进行处理，作为合同的一部分，客户财务信息的安全性也可以获得保障。

　　对于大型公司来说，坚持安全交易策略是很困难的事情，公司的官僚们会在接收和支付帐单执行新的安全操作时带来干扰。因此，在这种情况下，为了保证财务信息交流的安全性，你需要作出妥协，决定应该忽略的部分以保证安全，毕竟，满足所有需求十全十美可以保证完全有效合理的交易策略是不存在的。

　　在任何情况下，都要尽力确保禁止未经授权的对财务信息的访问。请记住。客户和你都是时刻处于危险当中的，永远不能放松警惕性。