第二章 電子商務安全 本投影片（下稱教用資源）僅授權給採用教用資源相關之旗標書籍為教科書之授課老師（下稱老師）專用，老師為教學使用之目的，得摘錄、編輯、重製教用資源（但使用量不得超過各該教用資源內容之80%）以製作為輔助教學之教學投影片，並於授課時搭配旗標書籍公開播放，但不得為網際網路公開傳輸之遠距教學、網路教學等之使用；除此之外，老師不得再授權予任何第三人使用，並不得將依此授權所製作之教學投影片之相關著作物移作他用。

Presentation on theme: "第二章 電子商務安全 本投影片（下稱教用資源）僅授權給採用教用資源相關之旗標書籍為教科書之授課老師（下稱老師）專用，老師為教學使用之目的，得摘錄、編輯、重製教用資源（但使用量不得超過各該教用資源內容之80%）以製作為輔助教學之教學投影片，並於授課時搭配旗標書籍公開播放，但不得為網際網路公開傳輸之遠距教學、網路教學等之使用；除此之外，老師不得再授權予任何第三人使用，並不得將依此授權所製作之教學投影片之相關著作物移作他用。"— Presentation transcript:

1 第二章 電子商務安全 本投影片（下稱教用資源）僅授權給採用教用資源相關之旗標書籍為教科書之授課老師（下稱老師）專用，老師為教學使用之目的，得摘錄、編輯、重製教用資源（但使用量不得超過各該教用資源內容之80%）以製作為輔助教學之教學投影片，並於授課時搭配旗標書籍公開播放，但不得為網際網路公開傳輸之遠距教學、網路教學等之使用；除此之外，老師不得再授權予任何第三人使用，並不得將依此授權所製作之教學投影片之相關著作物移作他用。

2 第二章 電子商務安全 電子商務安全日益受到重視，電子商務依賴網路進行交易，網路一但受到安全威脅，電字商務將遭受到嚴重的損失。買賣雙方皆有可能受到安全威脅，買方怕個人資料外洩；賣方可能的安全威脅，例如：系統遭受駭客攻擊、竊取資料，無法提供服務，造成客戶抱怨等。本章介紹的內容包含： 電子商務簡介 電子商務特性 電子商務種類 電子商務安全 電子交易付款機制

3 2.1 電子商務簡介 透過電腦與網路而達成的商業經營與交易行為，就稱為電子商務 (Electronic Commerce)。
電子商務的本質是結合資訊科技與商業模式，更進一步，電子商務可以創造新的商業模式 。 圖2- 1電子商務的本質

4 2.1 電子商務簡介 電子商務具備的特性與傳統商務明顯不同，傳統商務受到時間與空間的限制，必須要有店面及營業時間；電子商務則不受時間的限制，24小時皆可以上網購物，也不受空間的影響，在任何地方只要可以上網，都可以進行交易。 電子商務安全日益受到重視，電子商務依賴網路進行交易，網路一但受到安全威脅，電字商務將遭受到嚴重的損失。網路交易的買賣雙方皆有可能受到安全威脅。

5 2.2 電子商務特性 電子商務的經營模式有別於傳統商業模式，它是一種新的經濟模式，在管理、政策、銷售、獲利等模式皆需要新的觀念與新的作為，經營者需要重新檢視與制定其經營策略。 電子商務不受時間與空間的限制，一年365日，每日24小時，皆可開張營業，營業對象不會侷限在一個特定區域，不需實體商店以展示商品，然而它需要商業組織與資訊科技之結合，整合科技與管理以營運商務活動。

6 2.2 電子商務特性 圖2-2 電子商務虛擬商場

7 2.2 電子商務特性 電子商務需要具有下列特性： 普遍性：電子商務是透過網路交易的商務活動，凡是能上網的地方皆有電子商務的存在，打破實體商店的時間限制與地區限制，即使三更半夜也可以上網購物，或進行線上交易，只要有網路即可購物。 方便性：電子商務具有方便性，它減少了實體文書的往還，曠日廢時，電子商務之交易具有立即性。例如，在傳統商務，從國外購買商品，需要先取得目錄，以了解商品，再利用郵件或傳真下訂單並到銀行匯款，回函確認，然後廠商出貨，完成交易。使用電子商務的網站進行購物，只要瀏覽國外網站產品型錄，依流程點選購物，就可以完成交易與付款，廠商即可出貨，完成交易，具有很高的時效性與方便性。

8 2.2 電子商務特性 電子商務需要具有下列特性： 信賴性：電子商務的商業模式，買方與賣方雖然距離千里之外，仍可以進行交易，買方與賣方對於信任關係的需求比傳統商務更強。因為各地的各戶，可以即時透過網路對廠家做評論，所以賣方的商譽是很重要的，商譽不良之廠家，業績會受到很大的影響。另外，電子商務也不像傳統商店有店員利用口才推銷產品，讓客戶心動因而購買商品，客戶更需要選擇可信賴的商家去購物。 安全性：透過網路購物，需要安全的交易，在交易確認以後需要付款，金流的安全性也是非常重要的一環。商家對於客戶資料是否能安全保存，供應商是否能安全地將貨品送達客戶手上，資訊流、金流、物流的安全，都是電子商務重要的議題。例如，『詐騙購物網站或個資外洩』，時有所聞，已成為目前主要的詐騙手法，近七成的報案案件都與此有關。由於歹徒事先已取得部分的購物資料，讓民眾核對資料內容正確，再加上歹徒以竄改來電顯示手法，讓被害人相信是郵局或銀行人員的來電，因此相信並依照歹徒電話指示操作自動提款機。

9 2.2 電子商務特性 電子商務需要具有下列特性： 協調性：不論買方、商家或供應商都需要有很好之協調性，以確保商務流程之順利進行。例如，買方購買商品，使用信用卡付款，若銀行延遲未將付款完成訊息告知供應商，供應商無法確認交易成功而未出貨，延遲交貨時間，以致買方無法及時取得貨品，因協調性不足，而降低了電子商務的利基。 虛擬化：電子商務之商品不需要實體擺設，如圖2-2，僅有虛擬商場及虛擬產品，不像傳統賣場，需要投入許多成本，擺設實體產品。 標準化：因電子商務的發達，購物網站及拍賣網站迅速興起，買方有許多的選擇性，供應商需要供應的商家也快速增加，為了簡化流程，各種商務網站漸漸趨向於一致化的商務流程，並且有趨向標準化的趨勢。 專業化：電子商務的商機不斷擴大，客戶逐漸增加，資訊流、物流與金流數量也逐漸龐大，已形成許多專業分工的行業。例如，網站管理廠商負責規劃、設計與管理網站，系統維護廠商負責維護系統正常運作，供應商供應商品，物流業者負責遞送商品，銀行負責金流，各個領域皆有專業分工。

10 2.3 電子商務種類 電子商務為資訊網路發達以後新興的商業模式，它結合了網路科技與商業技術，創造出廣大的商機，並已逐漸取代與更新傳統的商業活動。電子商務，以交易對象來分類，簡要可分為： (1) B2C電子商務：企業對一般消費者的電子商務，例如，入口網站、線上遊戲、線上購物等。 (2) B2B電子商務：企業對企業的電子商務，例如，企業間的整合運作、客戶服務等。 (3) C2C電子商務：消費者對消費者的商務，例如：拍賣網站。

11 2.3.1 B2C電子商務 B2C (Business to Customer) 電子商務，提供企業對一般消費者的交易平台，例如，入口網站等。 入口網站是提供網路資訊服務的入口，例如：雅虎奇摩網站、PChome網站、Google 網站等，為爭取顧客重複瀏覽入口網站，整合各項服務，例如，雅虎奇摩網站，提供，新聞、運動、股市、理財、購物、旅遊、部落格等，以吸引上網人潮並創造商機。

12 2.3.1 B2C電子商務 圖2-3 入口網站

13 2.3.1 B2C電子商務 成功的入口網站，需要具備下列特質： 優良的連結性，廣泛對外聯結，提供完整的服務。
適當的目錄歸類，簡易的資料搜尋功能。 充實的內容，提供網友使用。 便利的商業服務，提供購物商場服務。 完整的通訊服務，提供電子郵件與及時訊息( Instant Messaging )服務。 創造社群環境，凝聚網友向心力。

14 2.3.2 B2B電子商務 B2B (Business to Business) 電子商務，主要是應用於企業上下游間、與企業協力廠商間之資訊整合與交易。 B2B電子商務可以為企業減少採購成本與資訊處理成本，根據統計：一家公司的採購成本，約有一半是花費在內部採購流程上，例如，公文處理、採購訪價等，而採用電子商務可以減少採購流程之成本。 B2B電子商務可以提升採購速度，監控採購進度，因此可以減少庫存量。 B2B電子商務也可以改進公司採購部門與供應商所提供的如採購名稱不一致等問題，更進一步可選擇較良好的供應商，並取得較好的價格。

15 2.3.2 B2B電子商務 圖2-4 台灣產業交易市集網站

16 2.3.2 B2B電子商務 例如上圖2-4，是由經濟部工業局主導的台灣產業交易市集 ( Taiwan Industrial Marketplace；TIM )，主要目標是： 輔導資訊服務及創新營運模式 全面提升資訊服務人才質量 協助海外共同行銷 優化資訊服務發展環境。 經濟部透過資訊服務，以輔導農林漁牧業、製造業、金融保險業、營造業等，改變服務與銷售模式，促進物流、商流、金流的資訊化整合，降低各產業的作業成本，並產生各種新的服務型態。

17 2.3.3 C2C電子商務 C2C (Customer to Customer) 電子商務是消費者與消費者間的商業模式，其經營模式是將買方與賣方作商業連結，以進行商品交易。 網路興起之後，透過C2C的虛擬交易平台，買方可以快速且方便地取得購買資訊，縮短交易時間，降低成本。

18 2.3.3 C2C電子商務 傳統的C2C商業行為，依照銷售方式，主要可分為以下幾種模式：
報紙廣告：報紙是很方便的交易模式，只要付費將廣告文件送交報社，即可將產品資訊廣泛傳遞。 圖2-5 報紙分類廣告

19 2.3.3 C2C電子商務 張貼佈告或宣傳單 傳統的交易由賣方製作廣告文宣，將之張貼或分送，此方法具有特定的效果，但具有較小的區域範圍。
圖2-6 張貼佈告

20 2.3.3 C2C電子商務 仲介交易 透過委託仲介商進行交易，交易時間較久，仲介商需要收取費用，適用於交易商品價位高或交易過程複雜的商品，例如，汽車或房屋的買賣。 親友告知 宣傳範圍與人數較少，但透過實際體驗與信賴的人際關係，提升交易成功機會。例如，產品直銷，利用親友人脈關係，以銷售產品。 陳列與兜售 最傳統之C2C商業行為，將商品陳列販售或者兜售，買方可以檢視實體貨品，直接與賣方進行交易。例如，傳統市場的商業交易模式。

21 2.3.3 C2C電子商務 網路發以後，C2C電子商業交易模式興起，以更快的速度將賣方訊息傳遞給買方，並把更完整的商品訊息提供給買方。較具特色之C2C電子商業模式如下： 電子公佈欄 早期的電子商務以電子公佈欄 (BBS) 最具有特色。電子公佈欄提供一個交易平台，建立了買方與賣方的商業連結。 網路拍賣 網路拍賣是將傳統之拍賣市場轉移至電子作業的方式，並且可提供競標的方式進行交易。 P2P 資源分享 P2P (Peer to Peer) 就是點對點的意思，透過P2P 網路分享，也可以建立個人與個人連結之商業模式，以進行各種商業交易行為。 P2P (Peer to Peer) 就是點對點的意思，透過P2P 網路分享，也可以建立個人與個人連結之商業模式，以進行各種商業交易行為。

22 2.3.3 C2C電子商務 ( 圖2-7 拍賣網站

23 2.4 電子商務安全 由於網路是開放的環境，在電子商務交易的過程中，買賣雙方透過網路來連結，難以建立安全的信賴關係，電子商務交易的買賣雙方都面臨資訊安全的威脅。主要的資訊安全威脅如下： 對於買方的安全威脅： 假冒的商家，騙取買方的資料與金錢。 付款後無法取得貨品或收到瑕疵品。 買方資料外洩，或遭到賣方濫用。 歹徒利用竊取的資料，對買方進行詐騙。

24 2.4 電子商務安全 由於網路是開放的環境，在電子商務交易的過程中，買賣雙方透過網路來連結，難以建立安全的信賴關係，電子商務交易的買賣雙方都面臨資訊安全的威脅。主要的資訊安全威脅如下： 對於買方的安全威脅： 假冒的商家，騙取買方的資料與金錢。 付款後無法取得貨品或收到瑕疵品。 買方資料外洩，或遭到賣方濫用。 歹徒利用竊取的資料，對買方進行詐騙。

25 2.4 電子商務安全 當買方的資料外洩或被竊取，歹徒常利用 ATM 轉帳來詐騙財物。在買方轉帳以後，謊稱沒有收到貨款，或買方帳號已被凍結，導致轉帳失敗，誘使買方重複轉帳。歹徒也會利用轉帳失敗，讓買方因著急而亂了手腳，然後提供『金融中心』的電話，該金融中心電話也是詐騙電話，歹徒假裝是行員，指示買方到 ATM 前依步驟進行操作。歹徒並以確認身分或確認帳戶為由，要求買方輸入身分證號碼、或當天日期等數字，以便透過ATM 轉帳從買方帳戶轉到歹徒帳戶。

26 2.4 電子商務安全 對於賣方的安全威脅： 系統安全遭到破壞。 假冒的買方，擾亂電子商務之交易。 買方對於賣方網站信賴度低。
系統設計有瑕疵或漏洞。 客戶資料庫遭到駭客盜取。

27 2.4 電子商務安全 客戶資料被盜用，通常引發重大的商譽損失與財物損失。例如，某電子商場的伺服器管理員─張某─認識銀行信用卡業務員，因信用卡業務員有業績的壓力，張某利用客戶資料，申請了50張信用卡，交付給信用卡業務員。因銀行審查嚴格，張某自認申請通過的機會不高，但卻因信用卡業務員的協助，意外得到許可發卡，張某非常得意並開始瘋狂刷卡，短短數個月，刷卡數百萬元，最後，張某終於因詐騙被判徒刑。

28 2.4 電子商務安全 電子商務安全是一個複雜的問題，其中牽涉到幾項安全需求。除了資訊安全的三要素 機密性、完整性與可用性之外，還需要具有可靠性與不可否認性。 不可否認性是指交易雙方無法否認自己已經訂購或已經確認過之資料。透過電子交易系統，因為買方或賣方無法以實體方式簽名，在法律上要證明由買方或賣方所發出，在舉證上比較困難，因此需要使用電子簽章技術以取代傳統簽名。為使電子簽章具有法律效力，必須制定電子簽章法，透過法律的協助以解決此問題。

29 2.4 電子商務安全 電子商務整體的安全防護，需要從三個層面探討 管理層面 技術層面
需要落實資訊安全管理機制，並依照相關標準實施資訊安全管理，例如遵守ISO 資訊安全管理規範，並通過相關認證。 技術層面 包含安裝防火牆、防毒軟體、 過濾軟體、入侵偵測系統、滲透測試、交易簽章、身分識別、SSL加密連線等

30 2.4 電子商務安全 實體層面 包含實體建築以及實體設施之保護，如建築物材料選擇、隔間配置、機房位置選擇、警衛、照明、網路設備、防火防災支援設備等。

31 2.4 電子商務安全 SSL ( Socket Secure Layer) 是常用的網路安全協定標準，在客戶端與伺服器之間建立安全的連線，資料傳輸受到加密的保護，以防買方輸入的信用卡號碼與客戶資料在網路傳輸時遭到竊取。 透過SSL保護的連線，在瀏覽網頁時是使用安全超連結『

32 2.4 電子商務安全 使用SSL安全協定，商家之網站需要取得合法憑證，網站憑證的查核包含三項檢查
憑證是由受信賴的憑證機構所發出的 憑證需要在有效期限之內 憑證所登錄的與買家所檢視的網頁名稱，必須一致相符。 如果其中有一項不符合要求，連線時會出現安全性警告視窗，客戶可以從視窗中檢視網站憑證的狀況。

33 2.4 電子商務安全 圖2- 10 使用SSL 連線， IE流覽器的標示 圖2- 9 安全連線 流覽器出現的警告畫面

34 2.5 電子交易付款機制 金流為電子商務最重要的機制之一，在B2C 與 C2C電子商務模式的金流，大部分是由傳統付款機制演進而來。本節介紹傳統付款機制、電子商務付款機制、以及電子商務安全措施。

35 2.5.1 傳統付款機制 電子商務交易，透過網路訂購貨品，買家可以採用傳統之付款機制來付款，包含： 郵政劃撥 ATM提款機轉帳 傳真刷卡
宅配貨到付款 超商貨到付款

36 2.5.1 傳統付款機制 郵政劃撥付款 宅配貨到付款機制
在以前郵購或直銷時就已經建立的機制，買方透過郵政劃撥來支付貨款。電子商店也可採用郵政劃撥付款，只要向郵局申請一個劃撥帳戶，並在網頁上告知賣方的戶名與帳號即可。 宅配貨到付款機制 是利用郵局或宅配業者與廠家合作之宅配收款機制。買方收到貨品並確認所購買商品無誤後再付款，此付款機制是郵購或電視購物頻道廣為使用之付款機制。

37 2.5.1 傳統付款機制 圖2-11 郵局轉帳與貨到付款機制

38 圖2-12 使用信用卡付款機制在網頁上填入信用卡資料
2.5.2 電子商務付款機制 由於網路電子商務的興起，近年來發展出多項的線上付款機制。例如，圖2-12，線上信用卡刷卡、虛擬帳號、電信帳單、電子錢包、WebATM等機制。 圖2-12 使用信用卡付款機制在網頁上填入信用卡資料

39 2.5.2 電子商務付款機制 線上信用卡刷卡機制是方便又有效率的付款方式，購物完成後，填入信用卡資料，由信用卡銀行支付貨款，信用卡銀行每個月定期寄帳單給買家付款。 虛擬帳號付款機制，是在交易付款時產生一組臨時帳號，如圖2-13，包含銀行代碼與轉帳帳戶。再將貨款利用實體 ATM 或劃撥轉入此帳號，完成付款程序。採用本機制可以避免銀行或商家洩漏客戶的信用卡資料。

40 2.5.2 電子商務付款機制 圖2-13 虛擬帳號付款畫面

41 2.5.2 電子商務付款機制 WebATM 是網路櫃員機，提供網路版的櫃員機服務，方便客戶在電腦前使用，需要配備讀卡機，使用時將金融卡插入讀卡機，就像在實體的櫃員機操作轉帳一般，唯一不同的是不能提供提款服務。 圖2- 14 郵局的WebATM 服務

42 2.5.3 電子商務安全措施 在電子商務交易的各個階段都需要有安全措施，包含購買前瀏覽階段、交易與付款階段、售後服務階段、以及平時需要有強化網站安全的各項措施。 線上刷卡是目前普遍使用的付款方式，雖然安全保障尚不夠完整，因為它是網路上最廣泛使用的付款機制，所以，業者不斷在思考如何強化其安全性，並提出相關的配套措施。

43 2.5.3 電子商務安全措施 台北市消費者電子商務協會 ( Secure Online Shopping Association )，推動『信賴電子商店』認證，以及『資訊透明化電子商店』標章，鼓勵電子商店提供充份透明的資訊，使消費者能更安心上網消費，通過此認證的網站，頒發SOSA標章 (如圖2-15)，表示該電子商店在這幾項的實施政策、制度與資訊是公開透明的，消費者當然更可以放心購買。

44 2.5.3 電子商務安全措施 圖2-15 SOSA『資訊透明化電子商店』標章

45 2.5.3 電子商務安全措施 透過交易履約保障機制，更提供網路刷卡的消費者多一層可信賴的安全機制。例如，如圖2-16，透過台灣里OpenPay、藍新科技 ezPay 這兩個支付系統商家，在一定期間內消費者若無收到貨品或提出退貨要求，則所支付的款項不會轉到賣家的手上，以確保消費者在付款後可取得約定的商品或服務。

46 2.5.3 電子商務安全措施 圖2-15 SOSA『資訊透明化電子商店』標章

47 2.5.3 電子商務安全措施 商家若加入網路消費協會，可以提供消費者更確實的購物保障，讓消費者能在網路購物後，獲得具體的賠償保障。加入網路消費協會的購物網站會先提撥一筆保證金，該協會則為此購物網站提供購物糾紛相關的補償認證，因此，將對加入此協會的購物網站之消費者提供更好的購物保障 (如圖 2-17)。

48 2.5.3 電子商務安全措施 http://www.nca.org.tw/chhtml/newpage.asp?cid=130
圖2-17 網路消費協會網站

49 2.5.3 電子商務安全措施 網站業者還可以考慮申請網站安全測試認證標章，如ScanAlert這類的測試，如圖2-18，通過測試的網站，發給『HACKER SAFE』認證標章並顯示於網站上，可進一步取得消費者的信任。 圖2-18 『HACKER SAFE』認證標章

50 2.5.3 電子商務安全措施 為推動電子商務發展的認證，德勤會計師事務所 (Deloitte & Touche) 全球企業風險事業部推廣日益興起的一種被稱為CPA WebTrust 的網譽認證。德勤會計師事務所，在台灣稱為勤業眾信，在香港稱為德勤華永，是全球四大國際會計師事務所之一。 就像ISO 9001的認證一樣 (圖 2- 19)，CPA WebTrust認證 (圖2-20) 也是一種國際標準化的認證。

51 2.5.3 電子商務安全措施 CPA WebTrust認證，主要包含三個方面
對交易過程的披露。 網站設立者本身有足夠的內部控制程序。 交易的安全性。 簡單地說，CPA WebTrust認證所要確認的，就是從事電子商務的網站設立者需要遵循有關的標準。認證所提供的是一種公允性與安全感。

52 2.5.3 電子商務安全措施 圖2- 19 ISO 9001 認證標章 圖2-20 WebTrust 認證標