构建受信应用与数据安全：面向现代网络威胁的B2B电商蓝图

作者：Oro, Inc创始人兼CEO Yoav Kutner

为实现受信应用与数据安全，B2B电商解决方案必须审视识别运营中潜在脆弱区域。

鲜有B2B电商应用从零构建以支撑大型B2B企业、复杂多层组织架构、数千员工与百万级网站客户。

融合多层增强安全措施，保障应用与数据安全，维持隐私法规合规。

应用安全特性

每日安全漏洞新闻提醒：B2B电商方案须提供无与伦比的控制与按用户可定制访问，支持复杂层级。客户须利用最新加密技术、定制登录协议。

访问控制

使用访问控制列表（ACL）建立规则授予或拒绝对不同数据类型（含敏感数据）的访问。

应用中每用户有角色，每角色配置权限集以执行或限制对实体与系统能力的操作。

不同组织可按个人粒度限制数据访问与权限控制。

所有B2B企业必须控制用户允许操作：仅查看最新销售报表、完全修改客户订单、授权支付等。

销售仅处理线索商机、营销管理营销列表活动、管理员全局访问所有系统——权限分离明确。

直接从UI（用户界面）完全控制数据与记录访问，无需开发人员协助，至关重要。

分层配置

区别于B2C卖家，B2B架构与流程普遍复杂。单一企业可通过多子组织提供商品与服务，各有专属网站服务不同区域/国家。许多应用旨在驾驭B2B企业复杂性。

B2B方案需支持从应用配置UI设置配置以契合公司需求。在全局、组织、网站、用户层级应用配置。

全局设置影响整个应用。

组织设置针对各组织配置选项，配置各网站适配企业各层级所需功能。

用户级配置赋予员工调整特定应用设置以适应个人偏好。

跨国多网站企业可为各站点设置适配货币语言。添加本地仓库、管理库存选项、控制展示产品及排列方式的能力至关重要。

多层配置使B2B业务能适配几乎任何需求，为复杂B2B、B2C、B2B2C多层级、多组织、多网站业务的数据应用安全提供灵活性。

保障应用安全

加密

防安全漏洞，B2B电商应用须加密原始数据。公司持续评估新技术支持最新最强加密方案。

• 数据库列加密：选择加密特定数据片段而非整库文件。
• 用户密码存储为不可逆哈希，非明文或可逆加密文本。
• HTTPS强制重定向保障浏览器与Web服务器链路安全。
• 在线支付流程安全架构与开箱即用支付网关集成保障交易安全。

密码与会话保护

B2B电商产品须融合最佳密码实践，防弱密码、激励强凭证。管理员可为应用用户定制密码登录限制：

• 配置期望密码长度与复杂度
• 强制密码更换策略与历史
• 限制登录尝试次数
• 多次失败锁定账户防暴力破解。

支持多因子认证强化应用安全，增加额外认证因子。

企业必须验证所用企业软件安全性

应用安全流程须含PCI DSS与SOC2合规。处理信用卡信息与敏感数据的软件，这两项徽章为必备。

它们保证应用非仅声称安全，经独立第三方彻底审计，验证其维持最高安全标准能力。合规须定期向审计师确认以维持标准。

数据安全对任何电商公司至关重要。B2B电商应用频存储客户个人数据、信用卡号、支持在线支付。

遵循最新安全流程防潜在威胁，持续精进改进安全措施、程序、策略，保持保障客户数据的前沿地位。

作者简介：Yoav Kutner为Oro, Inc.创始人兼CEO。创立Oro及OroCommerce、OroCRM、OroPlatform前，曾任Magento CTO与联合创始人，主导从诞生至被eBay收购后的所有Magento产品技术开发。业务应用市场公认产品远见者。获UCLA计算机科学学士学位。