第3章 信息技术服务知识

大家好，欢迎来到IT知识分享网。

第3章 信息技术服务知识

本章介绍一些信息技术服务相关的基本知识和概念，包括产品、服务、信息技术服务、运维、运营和经营、IT治理、IT服务管理、项目管理、质量管理、信息安全管理、信息技术服务财务管理等。希望读者通过了解和掌握这些基本概念，为今后更深入地学习相关知识打下必要的基础。

3.1 产品、服务和信息技术服务

3.1.1 产品

产品的广义概念是指可以满足人们需求的载体，狭义概念是指被生产出的物品。产品是一组将输入转化为输出的相互关联或相互作用的活动的结果。在经济领域中，通常也可理解为企业或组织制造的任何制品或制品的组合。总体而言，我们通常将产品定义为：人们向市场提供的能满足消费者或用户某种需求的任何有形物品或无形服务。

一种产品可由两个或多个不同类别的产品构成，产品类别（服务、软件、硬件或流程性材料）的区分取决于其主导成分，例如流程性材料（如燃料、冷却液）、软件（如发动机控制软件、驾驶员手册）和服务（如销售人员所做的操作说明）所组成。

3.1.2 服务

服务是一个社会学名词，但在经济学和管理学中被广泛应用。在《辞海》中服务的解释是“为集体或为别人工作，或不以实物形式而以提供劳动的形式满足他人某种需要的活动”；在《服务标准编写通则》(GB/T 28222-2011)中，定义服务是“服务提供者与顾客接触过程中所产生的一系列活动的过程及其结果，其结果通常是无形的＂。在ITIL V3中，服务是“为客户提供价值的一种手段，使客户不用承担特定的成本和风险就可方便获得希望的结果＂。尽管各方学者对服务概念的表述不同，但对服务本质的认识基本是一致的：服务是一种或多或少具有无形性特征的活动或过程，它是在服务提供者与服务接受者互动过程中完成的。服务行为主体是为了另一个主体对象获得利益，同时，服务也是一个企业或组织实行差异化战略的重要手段。通过服务的差异化，企业可以创造自己长期的竞争优势。

3.1.3 信息技术服务

信息技术服务，因信息技术(Information Technology, IT)的特指性，信息技术服务广泛被业界人士称为IT服务。IT服务是服务的一种，因此继承了服务独有的特性。通常而言，IT服务是指IT服务提供商为其客户提供信息咨询、软件升级、硬件维修等全方位的服务，具体包括产品维护服务、IT专业服务、集成和开发服务、IT管理外包服务等。

在《信息技术服务分类与代码》(GB/T 29264-2012)中，对信息技术服务 (Information Technology Service,即IT服务）的定义是“供方为需方提供开发、应用信息技术的服务，以及供方以信息技术为手段提供支持需方业务活动的服务＂。常见服务内容包括软件服务、硬件服务及其他相关的服务。常见IT服务形态有信息技术咨询服务、设计与开发服务、信息系统集成实施服务、运行维护服务、数据处理和存储服务、运营服务、数据内容服务、呼叫中心服务和其他信息技术服务。

3.2 运维、运营和经营

3.2.1 运维

运维是运行维护的简称，是一种IT服务形态。在《信息技术服务分类与代码》(GB/T 29264-2012)中，对运行维护服务(operation maintenance service)给出的定义是“采用信息技术手段及方法，依据需方提出的服务级别要求，对其信息系统的基础环境、硬件、软件及安全等提供的各种技术支持和管理服务”。

运维是信息系统全生命周期中的重要阶段，也是内容最多、最繁杂的部分，是对信息系统提供维护和技术支持以及其他相关的支持和服务。运维服务的主要对象包括基础设施、硬件平台、基础软件、应用软件以及依赖于IT基础设施的数据中心、业务应用等信息系统，其范围可以是单个IT基础设施的运维，也可以是整体IT基础设施和业务应用的总体运维。运维服务交付内容主要包括咨询评估、例行操作、响应支持和优化改善。

任何组织和个人提供运维服务需要依据需方提出的服务级别要求，并确保提供的运行维护服务符合与需方约定的质量要求。因此，具备相应运维服务能力是服务组织提供服务的必要条件，比如规范和明确运维人员的岗位职责和工作安排、提供绩效考核量化依据、提供解决事故和问题经验、提供知识的积累和共享手段、实现完善的IT运维管理、提高组织经营水平和服务水平等等。在《信息技术服务运行维护第1部分：通用要求》 (GB/T 28827.1-2012)中给出了供方运维服务的能力模型，该模型定义了运行维护服务能力的四个关键要素：人员、资源、技术和过程，每个要素通过关键指标反映应具备的条件和能力。模型也给出了供方为持续提升运维能力的管理方法。

3.2.2 运营

运营是对组织经营过程的计划、组织、实施和控制，是与产品生产和服务创造等密切相关的各项管理工作的总称。运营的目的是保证正常的业务开展。现代汉语词典对运营的解释为运行和营业，从其解释可以看出运营一词带有商业色彩。

在当今社会，不断发展的生产力使得大量生产要素转移到商业、交通运输、房地产、通信、公共事业、保险、金融、互联网以及其他服务性行业和领域，现代运营的范围也从传统的制造业企业扩大到非制造业。运营管理已不局限于生产过程的计划、组织与控制，而是扩大到包括运营战略的制定、运营系统设计以及运营系统运行等多个层次的内容。它把运营战略、新产品开发、产品设计、采购供应、生产制造、产品配送直至售后服务看作一个完整的“价值链“，对其进行集成管理。特别是近二三十年来，随着现代企业的生产经营规模不断扩大，产品本身的技术和知识密集程度不断提高，产品的生产和服务过程日趋复杂，市场需求日益多样化、多变化，这些因素使运营管理本身也在不断发生变化。

3.2.3 经营

经营需要有经营者、经营对象、经营权和经营载体，经营者是经营活动的主体，没有经营者就不可能有经营活动。经营对象是经营的客体，经营对象是经营者把自己的经营活动加于其上的东西。经营权是实现经营的手段，是经营者对经营对象的占有、支配、使用和处理或强制、规范并承担经营责任的权力。经营载体是经营活动得以进行的组织。经济的载体被称为经济组织，一般是家庭、企业；政治的载体被称为政治组织，一般是政府。

我们这里谈论的经营是物质资料的经营，泛指企业经营。企业是一个独立的、具有自负盈亏能力、能够开展经营活动的组织。企业经营是根据一个组织的资源状况和所处的市场竞争环境，对组织长期发展进行战略性规划、部署，制定组织的愿景、目标和方针的战略层次活动。它解决的是组织的发展方向、发展战略问题，具有全局性和长远性。它的核心目标是利润，并涉及费用、财务等各个方面的管理。

1. 经营思想
2. 经营目标
   企业的经营目标，是在一定时期企业生产经营活动预期要达到的成果，是企业生产经营活动目的性的反映与体现，是在分析企业外部环境和企业内部环境的基础上确定的企业各项经济活动的发展方向和奋斗目标，是企业经营思想的具体化。
   企业经营目标不止一个，其中既有经济目标，又有非经济目标；既有主要目标，又有从属目标，它们之间相互联系，形成一个目标体系。企业经营目标反映了一个组织所追求的价值，为企业各方面活动提供基本方向。它使企业能在一定的时期、一定的范围内适应环境趋势，能使企业的经营活动保持连续性和稳定性。
   企业的经营目标包括三个层次：第一层是决定企业长期发展方向、规模、速度的总目标或基本目标。第二层是中间目标，分为对外与对内目标。对外目标包括产品、服务及其对象的选择、定量化，如产品结构、新产品比例、产品市场占有率等；对内目标就是改善企业素质的目标，如设备目标、人员数量、比例目标，材料利用、成本目标等。第三层是具体目标，即生产和市场销售的合理化与效率目标。如劳动生产率、合理库存、费用预算以及质量指标等。
   
   
   
   • 实现的时间较长，一般能够分阶段实行。
   • 对企业的生存和发展影响大，战略目标的实现，往往标志着企业经营达到了某一个新的境界，与过去比有明显的变化。
   • 实现这一目标有较大的难度和风险。
   • 对各级经营管理层有很大的激励作用。
   • 实现这一目标需要大量的费用开支。

​ 根据企业所处发展的不同时期，通常有三个方面的战略目标：

• 成长性目标。它是表明企业进步和发展水平的目标。这种目标的实现，标志着企业的经营能力有了明显的提高。成长性指标包括销售额及其增长率、利润额及其增长率、资产总额、设备能力、品种、生产量。其中销售额与利润额是最重要的成长性指标。销售额是企业实力地位的象征，而利润额不仅反映了企业的现实经营能力，同时也表明了它的未来发展的潜力。
• 稳定性目标。它表明企业经营状况是否安全，有没有亏损甚至倒闭的危险。
  稳定性指标包括经营安全率、利润率、支付能力等。
  
• 竞争性目标。它表明企业的竞争能力和企业形象。竞争性目标包括市场占有率、产品质量名次等。

• 实现的期限较短，反映企业的眼前利益。
• 具有渐进性。
• 目标数量较多。
• 其实现有一定的紧追性。

​ 2)制定经营目标的作用与原则

• 目标的关键性原则。这一原则要求企业确定的总体目标必须突出企业经营成败的重要问题和关键性问题，关系到企业全局的问题，切不可把企业的次要目标或小目标列为企业的总体目标，以免滥用资源而因小失大。
• 目标的可行性原则。总体目标的确定必须保证如期能够实现。因此在制定目标时必须全面分析企业各种资源条件和主观努力能够达到的程度，既不能脱离实际凭主观愿望把目标定得过高，也不可妄自菲薄不求进取把目标定得过低。
• 目标的定量化原则。订立目标是为了实现它。因此，目标必须具有可行性，以便检查和评价其实现程度。所以，总体经营目标必须用数量或质量指标来表示，而且最好具有可比性。
• 目标的一致性原则。就是总体目标要与中间目标和具体目标协调一致，形成系统，而不能相互矛盾，相互脱节，以免部门之间各行其是，互相掣肘。
• 目标的激励性原则。经营目标要有激发全体职工积极性的强大力量。因此，目标要非常明确，非常明显，非常突出，具有鼓舞的作用，使每个人对目标的实现都寄予很大的希望，从而愿意把自己的全部力量贡献出来。
• 目标的灵活性原则。经营目标要有刚性。但是，企业经营的外部环境和内部条件是不断变化的，因此，企业的经营目标也不应该是一成不变的，而应根据客观条件的变化，改变不切时宜的目标，根据新形势的要求，及时调整与修正企业的经营目标。

3. 经营计划
   企业的经营计划，是指在经营决策基础上，根据经营目标对企业的生产经营活动和所需要的各项资源，从时间和空间上进行具体统筹安排所形成的计划体系。事实上，经营计划是企业围绕市场，为实现自身经营目标而进行的具体规划、安排和组织实施的一系列管理活动。企业经营计划是企业经营活动的先导，并始终贯穿于企业经营活动的全过程。
   1)经营计划的特点
   (1)经营计划具有决策性。它是以企业作为相对独立的商品生产者和经营者为前提，根据企业外部环境和内部实力制定和编制的，它直接关系到企业的生存与发展。
   (2)经营计划具有外向性。它与社会、市场和用户有着密切的联系，其基本目的就是实现企业与外部环境的动态平衡。并获得良好的经济效益和社会效益。
   (3)经营计划具有综合性。它的基本内容既包括市场调查、预测、生产、销售，也包括技术、财务和后勤，是指导企业全部生产经营活动的纲领。
   (4)经营计划具有激励性。它把国家利益、企业利益和职工个人利益有机结合起来，形成一股强大的动力，能激励企业全体职工为之而奋斗。
   2)经营计划的任务
   (1)把经营目标具体化。
   (2)分配各种资源。
   (3)协调生产经营活动。
   (4)提高经济效益。
   
   
   
   
   
   
   
   
   
   
   
4. 经营管理
   企业的经营管理，是指对企业整个生产经营活动进行决策，计划、组织、控制、协调，并对企业员工进行激励，以实现其任务和目标一系列工作的总称。
   经营管理的主要任务是合理地组织生产力，使供、产、销各个环节相互衔接，密切配合；人、财、物各种要素合理结合，充分利用，以尽量少的劳动消耗和物质消耗，生产出更多的符合社会需要的产品。
   经营管理的主要内容包括：需要合理确定企业的经营形式和管理体制，设置管理机构，配备管理人员；搞好市场调查，掌握经济信息，进行经营预测和经营决策，确定经营方针、经营目标和生产结构；编制经营计划，签订经济合同；建立、健全经济责任制和各种管理制度；搞好劳动力资源的利用和管理，做好思想政治工作；加强土地与其他自然资源的开发、利用和管理；搞好机器设备管理、物资管理、生产管理、技术管理和质量管理；合理组织产品销售，搞好销售管理；加强财务管理和成本管理，处理好收益和利润的分配；全面分析评价企业生产经营的经济效益，开展企业经营诊断等。
   
   
   

3.3 IT治理

关于IT治理，中外学者给出了很多的定义。国际信息系统审计与控制协会(ISACA)的定义是：IT治理是一个由关系和流程所构成的体制，用于指导和控制企业，通过平衡IT与IT流程的风险与收益来增加企业价值，以确保实现企业的目标。同时ISACA指出，IT治理是最高管理层（董事会）和执行管理层的责任，是企业治理的一个有机组成部分，它由领导阶层、组织结构和流程组成，确保组织内部的IT系统持续支持和拓展组织的战略和目标。这一定义主要是从IT治理的应用角度，对治理过程中的要素、方式、目标进行描述，认为IT治理是流程的集合，由一系列方法、关系控制要素组成。由此构建IT治理的架构，通过这种机制和架构，将信息化的决策、实施、服务、监督等流程以及IT相关的资源与企业战略和目标紧密关联，从而最大化提升企业价值，抓住企业信息化赋予的机遇和竞争优势。

美国麻省理工学院的学者彼得·维尔和珍妮·罗斯在其所撰写的《IT治理》一书中指出，IT治理就是为鼓励IT应用的期望行为，而明确的决策权归属和责任担当框架。他们认为是行为而不是战略创造价值，任何战略的实施都要落实到具体的行为上。

中国IT治理研究中心给IT治理的定义是，IT治理是指设计并实施信息化过程中各方利益最大化的制度安排，包括业务与信息化战略融合的机制、权责对等的责任担当框架和问责机制、资源配置的决策机制、组织保障机制、核心IT能力发展机制、绩效管理机制以及覆盖信息化全生命周期的风险管控机制。该制度安排的目的是实现组织的业务战略，促进管理创新，合理管控信息化过程的风险，建立信息化可持续发展的长效机制，最终实现IT商业价值。

如果用一句话来概括，IT治理就是在信息化过程中关于各方利益最大化的制度安排。

与IT管理相比，IT治理规定了整个组织IT规划与组织、获得与实施、交付与支持、监控与评价的基本框架，以此监控IT的战略制定、机构建立以及组织实施，保证企业信息和信息系统的运营始终处于正确的轨道上。而IT管理是企业IT部门在IT系统运营阶段中在管理方面采用的方法论、手段、技术、制度、流程、文档的统称，是在既定的IT治理模式下，管理层为实现企业目标而采取的行动。所以IT管理和IT治理是相辅相成、缺一不可的。这与企业管理类似，如果没有好的治理（约束和激励）机制，企业管理的好是偶然的，管理不好是必然的；同样，对于IT,如果存在好的IT治理机制，IT管理的好就是必然的、管理不好是偶然的。因此，IT治理是IT管理的基石，某种意义上可以认为IT治理比IT管理更重要。

IT治理的一个关键性问题是，企业的IT投资是否与战略目标相一致，从而形成必要的核心竞争力。因为企业目标变化太快，很难保证IT与商业目标始终保持一致，因此需要多方面的协调，保证IT治理继续沿着正确的方向实施，这也是IT投资者真正关心的问题。

对IT治理而言，要能体现未来IT与企业未来战略的集成。既要尽可能地保持开放性和长远性，以确保系统的稳定性和延续性，同时也要适时调整规划以保证跟上企业环境的变化。IT治理中一个相对有效的做法是，在信息化规划时，认真分析企业的战略与 IT支撑之间的影响度，并合理预测环境变化可能给企业战略带来的偏移，在规划时留有适当的余地，从业务战略到信息战略，脚踏实地，不追求大而全。

3.4 IT服务管理

3.4.1 传统管理方式

IT服务管理的产生背景与IT技术的发展、企业或组织对IT的认识和应用密不可分。一方面，信息技术从最初的神秘走向平民化，社会对信息技术从逐步认知到有效利用，另一方面，企业从试图跟上技术的发展，利用IT促进业务的技术驱动阶段，走到将IT与组织的业务相结合，利用IT提高效率、降低成本的业务驱动阶段，最终目标将走向根据企业战略目标制定业务流程，确定业务流程所需要的IT服务的战略驱动阶段。企业对 IT的要求已经与业务和战略绑在了一起，IT服务管理就是在这种背景下应运而生的。

应该说，早期的IT服务管理主要针对于企业内部的IT部门，传统的IT服务管理都是由企业内部的IT部门提供服务，即内部提供服务。它们和其他部门如人事、财务、物流、行政等部门同属于支撑部门，通常作为成本中心存在于企业中，被动地服务于业务。 IT部门是以专业技术为核心来组织服务的，根据专业领域划分为应用系统、系统软硬件平台、网络系统、机房配套等多个专业化服务团队，以专业技术为中心，由专业的服务团队提供专业的服务。传统的IT服务管理采用技术专业化分工的模式，能够为用户提供专业的服务，但是当涉及到跨技术方向时，存在由于划分过于清晰而存在各专业都未覆盖到的灰色地带，影响服务的整体质量。

3.4.2 体系化管理方式

由此说明，IT服务过程方面的问题，更多的不是来自技术，而是来自管理方面。世界上许多组织和政府部门进行了长期的探索和实践。以这些组织的经验和成果为基础，逐渐形成了一种新的IT服务管理方法论，那就是ITSM。

Gartner认为，ITSM是一套通过服务级别协议（SLA)来保证IT服务质量的协同流程，它融合了系统管理、网络管理、系统开发管理等管理活动和变更管理、资产管理、问题管理等许多流程的理论和实践。

而ITSM领域的国际权威组织itSMF（国际IT服务管理论坛）则认为ITSM是一种以流程为导向、以客户为中心的方法，它通过整合IT服务与组织业务，提高组织IT服务提供和服务支持的能力及其水平。

ITSM的核心思想是，IT组织不管是组织内部的还是外部的，都是IT服务提供者，其主要工作就是提供低成本、高质量的IT服务。而IT服务的质量和成本则需从IT服务的客户（购买IT服务）方和用户（使用IT服务）方加以判断。

ITSM是一种IT管理，与传统的IT管理不同，它是一种以服务为中心的IT管理。我们将传统的IT管理和ITSM比较如图3.1所示。

实施ITSM的根本目标有3个：

(1)以客户为中心提供IT服务。

(2)提供高质量、低成本的服务。

(3)提供的服务是可准确计价的。

ITSM的基本原理可简单地用“二次转换”来概括，第一次是“梳理”，第二次是“打包＂，如图3.2所示。

首先，将纵向的各种技术管理工作（即传统IT管理的重点），如服务器管理、网络管理和系统软件管理等，进行“梳理”，形成典型的流程，比如ITIL V2中的10个流程，这是第一次转换。然后，将流程进行“打包”，流程主要是IT服务提供方内部使用的，客户对他们并不感兴趣，仅有这些流程并不能保证服务质量或客户满意。还需将这些流程按需“打包”成特定的IT服务，然后提供给客户，这是第二次转换。

第一次转换将技术管理转化为流程管理，第二次转换将流程管理转化为服务管理。之所以要进行这样的转换，有多方面的原因。从用户的角度说，IT只是其运营业务流程的一种手段而不是目的。用户需要的是IT所实现的功能，他没有必要也不可能对 IT有太多的了解。他和IT组织之间的交流，应该使用“业务语言“，而不是“技术语言“, IT技术对客户应该是透明的。为此，我们需要提供IT服务。为了灵活、及时和有效地提供这些IT服务，并保证服务质量、准确计算有关成本，IT组织就必须事先对服务进行一定程度上的“分类”和“固化”。流程管理是满足这些要求的一种比较理想的方式。

ITSM适用于IT管理而不是组织的业务管理，清楚这点非常重要，因为它明确划分了ITSM与ERP、CRM和SCM等管理方法和软件之间的界限。这个界限是：前者面向 IT管理，后者面向业务管理。

ITSM不是通用的IT规划方法。ITSM的重点是IT的运营和管理，而不仅仅是IT的战略规划。如果把组织的业务过程比作安排一辆汽车去完成一趟运输任务，那么IT规划的任务相当于为这次旅行选定正确的路线、合适的汽车和司机；而ITSM的主要任务则是确保汽车行驶过程中司机遵循操作规程和交通规则，对汽车进行必要的维修和保养，尽量避免其出现故障，一旦出现故障也能很快修复，并且当汽车到达目的地时，整个行驶过程中的所有费用都可以准确地计算出来。这便于衡量成本效益，为做出有关调整提供决策依据。简单地说，IT规划关注的是组织的IT方面的战略问题，而ITSM是确保IT战略得到有效执行的战术性和运营性活动。

虽然技术管理是ITSM的重要组成部分，但ITSM的主要目标不是管理技术。有关IT的技术管理是系统管理和网络管理的任务，ITSM的主要任务是管理客户和用户的IT需求。这有点像营销管理，营销管理的本质是需求管理，其目标在于如何让组织生产的最终产品或提供的服务满足市场（客户）的需求。同样，在ITSM中，IT部门或组织是 IT服务的提供者，业务部门是IT部门或IT组织的客户，如何有效地利用IT资源，有效地满足业务部门的需求就成了ITSM的最终使命。

换个角度说，对客户而言，业务部门只需关心IT服务有没有满足其要求，至于IT服务本身能不能或者怎样满足要求，业务部门作为客户，不用也没有必要对其关心。

3.5 项目管理

项目是“一组有起止时间的、相互协调的受控活动所组成的特定过程，该过程要达到符合规定要求的目标，包括时间、成本和资源等各方面的要求与约束。”

项目的目标就是平衡和满足供需双方在时间、费用和性能（质量）上的不同要求。项目管理是将知识、技能、工具与技术应用与项目活动，以满足项目的要求。

每个项目的规模和复杂性各不相同，但不论其大小繁简，所有项目都呈现生命周期结构，即：项目启动、项目规划、项目执行与监控、项目收尾。项目生命周期是按顺序排列的，但有时又是互相交叉的各项目阶段的集合。项目阶段的名称和数量取决于参与项目的一个或多个组织的管理与控制需要、项目本身的特征及其所在的应用领域。项目管理是通过合理运用和整合项目管理各过程来实现的，是基于被广泛接受的管理原则的一套技术方法，这些技术方法用于计划、评估、控制工作活动，以按时、按预算、依据规范达到理想的最终效果。

中国项目管理研究委员会把项目管理总结为：”项目管理”一词具有两种不同的含义，其一是指一种管理活动，即一种有意识的按照项目的特点和规律，对项目进行组织管理的活动；其二是指一种管理科学，即以项目管理活动为研究对象的一门学科，探求项目活动科学组织管理的理论与方法。前者是一种客观的实践活动，后者是前者的理论总结；前者以后者为指导，后者以前者为基础。

项目管理就是在项目活动中运用专门的知识、技能、工具和方法，使项目达到预期目标的过程；是以项目作为管理对象，通过一个临时性的、专门的组织对项目进行计划、组织、执行和控制，并在时间、费用、性能、质量等方面达到预期目标的一种系统管理方法。项目管理贯穿整个项目的生命周期，是对项目的全过程管理。

不同的项目也许千差万别，但是它们至少都必须具备以下特性：

(1)临时性。所有的项目都是临时的，有明确的开始和结尾，并以实现特定的目标为宗旨，而这个目标也构成了衡量项目成败的客观标准。无论成功还是失败，项目都不应该也不可能无限持续下去。成功的项目会在目标实现之时终止，而失败的项目则在实现目标的必要性和可行性不复存在是终止。临时性并不一定意味着持续时间短。项目所创造的产品、服务或成果一般不具有临时性。项目所产生的社会、经济和环境影响，也往往比项目本身长久得多。

(2)独特性。指项目的可交付成果（产品或服务）具有非重复性的特点。尽管某些项目可交付成果中可能存在重复的元素，但这种重复并不会改变项目工作本质上的独特性。例如每年央视的春节联欢晚会、历届奥运会、客户服务合同续约等等，其内容也不可能完全重复，实施的团队，设计的方案，项目的规模都可能存在差异。

(3)渐进性。项目的实施过程体现为一个向目标推进的逐步完善的过程。这个过程不但涉及到项目可交付成果的逐步完善，同时也涉及到项目组织的经验积累和学习曲线，形成组织的技术资产。

(4)不确定性。导致项目非重复性的主要原因是其外部条件以及实施过程的不确定性，这说明人类对世间事物的认识和控制具有局限性。因此，任何项目都不可避免的具有风险。

综其所述，项目是指一系列独特的、复杂的并相互关联的活动，这些活动有着一个明确的目标或目的，必须在特定的时间、预算、资源限定内，依据规范完成。项目以实现特定的目标为宗旨，但是实现目标的过程中又始终受到时间期限、成本预算和质量标准的约束。达到目标并非难事，难的是在不突破约束的情况下实现目标。

PMBOK (Project Management Body Of Knowledge,项目管理知识体系）是一套公认的项目管理专业知识宝典，其中给出了单个项目管理的9大知识领域和5个项目管理过程组，构成项目管理最核心的重要内容。

3.5.1 单项目管理

单项目管理就是通常意义的项目管理，主要包括如下管理内容。

(1)项目范围管理：为了实现项目的目标，对项目的工作内容进行控制的管理过程。它包括范围的界定、范围的规划、范围的调整等。

(2)项目时间管理：为了确保项目最终的按时完成一系列管理过程。它包括具体活动界定，活动排序，时间估计，进度安排及时间控制等各项工作。把时间管理引入其中，大幅提高工作效率。

(3)项目成本管理：为了保证完成项目的实际成本、费用不超过预算，对项目成本和费用的管理过程。它包括资源的配置，成本、费用的预算以及费用的控制等各项工作。

(4)项目质量管理：为了确保项目达到客户所规定的质量要求，所实施的一系列管理过程。它包括质量规划、质量控制和质量保证等。

(5)人力资源管理：为了保证所有项目人员的能力和积极性都得到最有效地发挥和利用，所做的一系列管理措施。它包括组织的规划、人员的选聘、团队的建设和项目团队管理等一系列工作。

(6)项目沟通管理：为了确保项目的信息合理的收集和传输，所需要实施的一系列管理措施。它包括沟通规划、信息传输和进度报告等。

(7)项目风险管理：涉及项目可能遇到各种不确定因素，所需要实施的一系列管理措施。它包括风险识别、风险量化、制订对策和风险控制等。

(8)项目采购管理：为了从项目实施组织之外获得所需资源或服务，所采取的一系列管理措施。它包括采购计划、采购与征购、资源的选择以及合同的管理等项目工作。

(9)项目集成管理：这是指为确保项目各项工作能够有机地协调和配合，所展开的综合性和全局性的项目管理工作和过程。它包括项目集成计划的制订、项目集成计划的实施、项目变动的总体控制等。

在传统的项目管理方法中，项目被分成5个阶段：

3.5.2 项目群管理

表3.2 项目群分类

1. 单类项目群
   (1)单客户项目群管理架构。单客户项目群是指以实现客户目标为导向，对应单独的客户，每个客户有多个IT服务业务的项目。
   单客户项目往往根据客户的行业进行考虑，因为同行业的往往具有相似性，同时考虑单个子项目大小，进行合并管理。例如，电信行业的多个中小应用运维项目由一位项目经理管理，教育行业的多个中小网络运维服务项目由一位项目经理管理。举例如下。 IT服务商给某客户提供了研发、咨询和运维3种IT服务，3个子项目。因3种子项目规模都较小，合并按一项目群进行管理，如图3.3所示。
   
   

   此类项目群典型的组织架构是设置一名项目经理，下面根据服务业务设置不同的小组；由项目经理统一协调，作为与客户统一的沟通接口，如图3.4所示。

   

   

   此类项目群的典型结构是设置一名项目经理，3家客户都有驻现场运维小组，建立统一的二线专家团队；由项目经理统一协调，作为与客户统一的沟通接口，如图3.6所示。

   

2. 多类项目群

   多类项目群与单类项目群最大的区别在于项目规模较大，一名项目经理已经难以协调，需要设置PMO或者IT服务总监在上层进行统一协调管理。比如很多公司或组织按行政地区进行划分，在一个地区设置一位项目总监进行管理，再根据业务或者客户设置多位项目经理进行下层管理。

   (1)多客户项目群管理框架。指按客户目标管理，设置有PMO或IT服务总监，管理多个客户项目，每个客户项目设有项目经理，每个客户都有不同的IT服务业务子项目，如图3.7所示。

   

   (2)多业务项目群管理框架。指按业务目标管理，设置有PMO或者IT服务总监，分别管理多个IT服务业务，每个业务设置有项目经理，每个项目经理分管多个客户，如图3.8所示。

   

3. 复合项目群

   复合项目群是指单类项目群和多类项目群的组合，往往区分大客户和中小客户。大客户以客户目标管理，每个客户下有多个业务；中小客户以业务目标管理，每个业务下面有多个客户，如图3.9所示。

   

   例如，银行的运维外包项目往往都是大客户，基础设施、网络运维分设一位IT服务项目经理，主机、数据库运维分设一位IT服务项目经理、业务应用系统根据重要程度和大小设多位IT服务项目经理，安全管理分设一位IT服务项目经理等等，整个银行设一位IT服务总监进行项目群管理。如图3.10所示。

   

   项目群管理是IT服务组织发展到一定阶段之后必然会来用的管理方法和手段。作为系统规划与管理师，了解这些内容对其更好地与上级沟通、配合，包括争取相关资源，非常重要和必要。

3.6 质量管理理论

3.6.1 质量管理发展历史

质量管理的产生和发展过程走过了漫长的道路，可以说是源远流长。人类历史上自有商品生产以来，就开始了以商品的成品检验为主的质量管理方法。按照质量管理所依据的手段和方式，质量管理的发展历史大致划分为以下几个阶段。

1. 质量检验阶段
   19世纪末，美国工程师泰勒根据大工业生产的管理与实践创立了泰勒制度，提倡“科学管理“，以生产时间和数量为标准，主张计划和执行必须分开，因而需要“专职检验”这一环节，专职检验以及在此以前的工人检验、工长检验都是生产后检验，成品抽查都是事后检验，挑出不合格品，起事后把关作用。我国的质量管理专家称此阶段为“死后验尸“，本阶段的作用是剔除不合格品，防止不合格品流向社会，但此阶段无任何预防作用。
   
2. 统计的质量控制阶段
   1924年美国贝尔研究所休哈特运用数理统计的原理，提出了控制生产过程中产品质量的概念，把数理统计方法引入了质量管理，即后来发展完善的“质量控制图”和“预防缺陷＂的理论。但是由于19世纪30年代资本主义经济危机频起，统计管理没有发挥应有的作用。
   直到第二次世界大战初期，当时军需品生产面临严重的问题，因为军需品大多数属于破坏性检验，事后全检是不可能的，所以导致不合格品无法控制，进而面临不能满足交货期的要求。美国国防部为了解决这一难题，特邀请休哈特道奇、罗未格、华尔特以及美国材料与试验协会，美国标准协会，美国机械工程协会等有关人员对此问题进行研究，并于1941—1942年先后制定和公布《美国战时质量标准》，强制要求生产军需品的各公司，企业实行统计质量管理。此方法优点是可以起预防作用，但是要求数理水平较高。
   
   
3. 全面质量管理阶段
   最早提出全面质量管理概念(Total Quality Management)的是美国通用电器公司质量管理部的部长菲根堡姆(A.V.Feigenbaum)博士。1961年，他出版了一本著作，该书强调执行质量只能是公司全体人员的责任，应该使全体人员都具有质量的概念和承担质量的责任。因此，全面质量管理的核心思想是在一个企业内各部门中做出质量发展、质量保持、质量改进计划，从面以最为经济的水平进行生产与服务，使用户或消费者获得最大的满意。
   

   1950年，戴明博士在日本开展质量管理讲座，日本人从中学习到了这种全新的质量管理的思想和方法。当时，全面质量管理的思路和概念并没有像如今一样被完整地提出来，但是它对日本经济的发展起到了极大的促进作用。到1970年，质量管理已经逐步渗透到了全日本企业的基层。

   从20世纪70年代开始，日本企业从质量管理中获得巨大的收益，充分认识到了全面质量管理的好处。日本人开始将质量管理当作一门科学来对待，并广泛采用统计技术和计算机技术进行推广和应用，全面质量管理在这一阶段获得了新的发展。

   随着全面质量管理理念的普及，越来越多的企业开始采用这种管理方法。1986年，国际标准化组织ISO把全面质量管理的内容和要求进行了标准化，并于1987年3月正式颁布了ISO 9000系列标准，因此，我们通常所熟悉的ISO 9000系列标准实际上是对原来全面质量管理研究成果的标准化。

   随着质量管理思想和方法往更高层次发展，企业的生产管理和质量管理被提升到经营管理的层次。无论是学术界还是企业界，很多知名学者如朱兰、石川馨、久米均等人，都提出了很多有关这个方面的观念和理论，“质量管理是企业经营的生命线”这种观念逐渐被企业所接受。

3.6.2 质量管理常见则论方法

1. 戴明环
   戴明博士最早提出了PDCA循环的概念，所以又称其为“戴明环“,PDCA循环对全面质量管理的发展有着十分重要的意义。
   PDCA循环，又是能使任何一项活动有效进行的一种合乎逻辑的工作程序，特别是在企业的质量管理中得到了广泛的应用。在PDCA循环中，“策划§-实施(D)-检查©-处理(A)”的管理循环是现场质量保证体系运行的基本方式，它反映了不断提高质量应遵循的科学程序。
   
   
2. 质量三部曲
   在全面质量管理的发展过程中，除了戴明博士，另一个不可忽视的人物是约瑟夫·M·朱兰博士，朱兰博士出生于1904年，在工作实践中逐步成长为一位著名的质量大师，他所提出的质量三部曲和质量螺旋是对全面质量管理的最大贡献。
   质量三部曲指的是质量策划、质量改进和质量控制，通过识别顾客的要求，开发出让顾客满意的产品，并使产品的特征最优化，同时优化产品的生产过程。这样不但能够满足客户的需求，也能满足企业的需求。
   质量螺旋就是要求我们首先去识别顾客的需求，开发出适合顾客需求的产品，然后生产和销售这样的产品，使顾客获得满意。顾客得到满意之后又会产生新的需求，企业可以根据顾客的新需求进行新一轮的循环。
   
   
   
3. 零缺陷
   20世纪70年代曾参加美国马丁导弹计划的克劳斯比(1926—2002),在工作的需求下提出“零缺陷(ZD)”的概念，他的名言是：“第一次就把事情做对（即差错不一定必须发生）“，“质量是免费的（即提高质量之效益可以大于其花费）”等。如果质量仅仅被当作是一个控制系统，那么它永远不会得到实质性的改进，质量不仅是一个控制系统，它更是一个管理功能（克劳斯比《质量无泪》1984)。克劳斯比的质量改进过程是以下列4项质量管理原理为基础的：
   

• 质量应定义成符合要求，而不是好或优秀。
• 质量保证体系的原则是预防不合格，而不是对不合格进行评估。
• 工作标准应该是零缺陷，而不是差不多就行。
• 以不合格付出的代价来衡最质量，而不是用不合格的百分比来衡量质量。

4. 六西格玛管理
   六西格玛（6σ）是一种改善企业质量流程管理的技术，以“零缺陷＂的完美商业追求，带动质量成本的大幅度降低，最终实现财务成效的提升与企业竞争力的突破。
   6σ管理既着眼于产品、服务质量，又关注过程的改进。”σ”是希腊文的一个字母，在统计学上用来表示标准偏差值，用以描述总体中的个体离均值的偏离程度，测量出的σ表征着诸如单位缺陷、百万缺陷或错误的概率性，σ值越大，缺陷或错误就越少。6σ是一个目标，这个质量水平意味的是所有的过程和结果中，99.99966％是无缺陷的，也就是说，做100万件事情，其中只有3.4件是有缺陷的，这几乎趋近到人类能够达到的最为完美的境界。如管理关注过程，特别是企业为市场和顾客提供价值的核心过程。因为过程能力用σ来度量后，σ越大，过程的波动越小，过程以最低的成本损失、最短的时间周期、满足顾客要求的能力就越强。6σ理论认为，大多数企业在3σ～4σ间运转，也就是说每百万次操作失误在6210~66800之间，这些缺陷要求经营者以销售额在 15%~30％的资金进行事后的弥补或修正，而如果做到6σ,事后弥补的资金将降低到约为销售额的5%。
   为了达到6σ,首先要制定标准，在管理中随时跟踪考核操作与标准的偏差，不断改进，最终达到6σ。如改进遵循五步循环改进法，即DMAIC模式（定义Define、测量 Measure、分析Analyze、改进Improve、控制Control)。
   
   
   

• 定义：确定需要改进的目标及其进度，企业高层领导就是确定企业的策略目标，中层营运目标可能是提高制造部门的生产量，项目层的目标可能是减少次品和提高效率。界定前，需要辨析并绘制出流程。
• 测量：以灵活有效的衡量标准测量和权衡现存的系统与数据，了解现有质量水平。
• 分析：利用统计学工具对整个系统进行分析，找到影响质量的少数几个关键因素。
• 改进：运用项目管理和其他管理工具，针对关键因素确立最佳改进方案。
• 控制：监控新的系统流程，采取措施以维持改进的结果，以期整个流程充分发挥功效。

​ 6σ人员包括绿带、黑带和黑带大师。绿带(Green Belt)的工作是兼职的，他们经过培训后，将负责一些难度较小项目小组，或成为其他项目小组的成员。黑带(Black Belt)来源于军事术语，指那些具有精湛技艺和本领的人。黑带是如变革的中坚力量。对黑带的认证通常由外部咨询公司配合公司内部有关部门来完成。黑带由企业内部选拔出来，全职实施的管理，在接受培训取得认证之后，被授予黑带称号，担任项目小组负责人，领导项目小组实施流程变革，同时负责培训绿带。黑带大师是如管理专家的最高级别，其一般是统计方面的专家，负责在如管理中提供技术指导。他们必须熟悉所有黑带所掌握的知识，深刻理解那些以统计学方法为基础的管理理论和数学计算方法，能够确保黑带在实施应用过程中的正确性。

3.6.3 质量管理过程

1. 质量策划
   质量策划是根据质量目标确定工作内容（措施）、职责和权限，然后确定程序和要求，最后才付诸实施的一系列过程。质量管理是指导和控制与质量有关的活动，质量策划是质量管理的一部分，致力于制定质量目标并规定必要的运行过程和相关资源以实现质量目标。
   质量策划属于”指导”与质量有关的活动，也就是”指导“质量控制、质量保证和质量改进的活动。质量控制、质量保证和质量改进只有经过质量策划，才可能有明确的对象和目标，才可能有切实的措施和方法。因此，质量策划是质量管理诸多活动中不可或缺的中间环节，是连接质量方针（可能是“虚＂的或“软＂的质量管理活动）和具体的质量管理活动（常被看作是“实”的或“硬＂的工作）之间的桥梁和纽带。
   （1)质量策划的输入。质量策划是针对具体的质量管理活动进行的。在进行质量策划时，力求将涉及该项活动的信息全部搜集起来，作为质量策划的输入。其内容包括但不仅限于以下几方面：
   
   
   
   • 质量方针或上级质量目标的要求。
   • 顾客和其他相关方的需求和期望。
   • 与策划内容有关的业绩或成功经历。
   • 存在的问题点或难点。
   • 过去的经验教训。
   • 质量管理体系已明确规定的相关的要求或程序。

   在进行质量策划时，必须尽力搜集与策划内容有关的输入，最好能有形成文件的材料。这些材料应尽早交与参与策划的所有人员。

   (2)质量策划的内容。

   • 设定质量目标。任何一种质量策划，都应根据其输入的质量方针或上一级质量目标的要求，以及顾客和其他相关方的需求和期望，来设定具体的质量目标。
   • 确定达到目标的途径。也就是说，确定达到目标所需要的过程。这些过程可能是链式的，从一个过程到另一个过程，直到目标的实现。也可能是并列的，各个过程的结果共同指向目标的实现。还可能是上述两种方式的结合，既有链式的过程，义有并列的过程。事实上，任何一个质量目标的实现，都需要多种过程。因此，在质量策划时，要充分考虑所需要的过程。
   • 确定相关的职责和权限。质量策划是对相关的过程进行的一种事先的安排和部署，而任何过程必须由人员来完成。质量策划的难点和重点就是落实质量职责和权限。如果某一个过程所涉及的质量职能未能明确，没有文件给予具体规定（这种情况事实上是常见的），会出现推诿扯皮现象。
   • 确定所需的其他资源，包括人员、设施、材料、信息、经费、环境等等。注意，并不是所有的质量策划都需要确定的这些资源。只有那些新增的、特殊的、必不可少的资源，才需要纳入到质量策划中来。
   • 确定实现目标的方法和工具。这并不是说所有的质量策划都需要的。一般情况下，具体的方法和工具可以由承担该项质量职能的部门或人员去选择。但如果某项质量职能或某个过程是一种新的工作，或者是一种需要改进的工作，那就需要确定其使用的方法和工具。
   • 确定其他的策划需求。包括质量目标和具体措施（也就是已确定的过程）完成的时间，检查或考核的方法，评价其业绩成果的指标，完成后的奖励方法，所需的文件和记录等。一般来说，完成时间是必不可少的，应当确定下来。而其他策划要求则可以根据具体情况来确定。
   • 为什么要进行质量策划或为什么要制定该项质量计划（将质量策划的输入进行简单表述），适当分析现状（问题点）与质量方针或上一级质量目标要求，以及顾客和相关方的需求和期望之间的差距。
   • 通过质量策划设定质量目标。
   • 确定下来的各项目具体工作或措施（也即各种过程）以及负责部门或人员（也即职责和权限）。
   • 确定下来的资源、方法和工具。
   • 确定下来的其他内容（其中质量目标和各项措施的完成时间是必不可少的）。

   如果质量计划草案是预先准备好草案，应根据质量策划会议的决定对其进行必要的修改。如果未预先准备好草案，则应委托或指令相关人员根据会议的决定起草。质量计划应经负责该项质量策划的管理者（组织一级综合性的或重大的质量计划应是最高管理者）批准后下发实施。

2. 质量控制

   质量控制是保证产品和服务质量、并使产品和服务质量不断提高的一种质量管理方法。它通过研究、分析产品和服务质量数据的分布，揭示质量差异的规律，找出影响质量差异的原因，采取技术组织措施，消除或控制产生不符合现象的因素，使产品在生产的全过程中以及在服务的每一个环节都能正常的、理想的进行，最终使产品和服务能够达到人们需要所具备的自然属性和特性。

   在企业内部，质量控制是指为达到和保持质量而进行控制的技术措施和管理措施方面的活动。质量检验、测试等从属于质量控制，是质量控制的重要活动。

3. 质量保证
   • 质量保证的目的
   • 质量保证的检查范围
   • 质量保证检查的时间或周期
   • 质量保证检查的依据
   • 质量保证人员的职责和分工
   • 过程与产品质量检查
4. 质量改进
   • 市场上质量竞争最敏感的项目。企业应了解用户对产品或者服务的质量项目中最关切的是哪一项，因为它往往会决定产品或服务在市场竞争中的成败。
   • 质量指标达不到规定“标准”的项目。所谓规定“标准”是指在产品销售或服务交付过程中，合同中所提出的标准。在国内市场，如果产品质量或服务质量指标达不到这种标准，产品或服务就没有竞争力、很难立足。
   • 产品或服务质量低于行业先进水平的项目。有竞争力的企业都执行内部控制的标准，内部标准的质量指标高于公开颁布标准的指标。因此选择改进项目应在立足于与先进企业产品或服务质量对比的基础上，将本企业产品或服务质量项目低于行业先进水平者，均应列入计划，订出改进措施，否则难以占领国内外市场。
   • 其他。诸如质量成本高的项目，用户意见集中的项目，索赔与诉讼项目，影响产品信誉的项目等等。
5. 质量改进实施方法
   (1)PDCA实施方法。质量改进是一个变革和突破的过程，该过程也必然遵循PDCA
   循环的规律，具体实施质量改进PDCA循环的过程，可以从以下7个步骤来实施：
   
   
   • 明确问题
   • 掌握现状
   • 分析问题产生的原因
   • 拟订对策并实施
   • 确认效果
   • 防止问题再发生并标准化
   • 总结
   • 定义：辨认需改进的产品或过程，确定项目所需的资源。
   • 测量：定义缺陷，收集此产品或过程的表现作底线，建立改进目标。
   • 分析：分析在测量阶段所收集的数据，以确定一组按重要程度排列的影响质量的变量。
   • 改进：优化解决方案，并确认该方案能够满足或超过项目质量改进目标。
   • 控制：确保过程改进一旦完成能继续保持下去，而不会返回到先前的状态。

3.6.4 质量管理工具

1. 质量管理旧七工具
   (1)统计分析表。统计分析表是利用统计表对数据进行整理和初步原因分析的一种工具，其格式可多种多样，这种方法虽然较简单，但实用有效。
   (2)数据分层法。数据分层法就是将性质相同的，在同一条件下收集的数据归纳在一起，以便进行比较分析。因为在实际生产中，影响质量变动的因素很多，如果不把这些因素区别开来，则难以得出变化的规律。数据分层可根据实际情况按多种方式进行，数据分层法经常与上述的统计分析表结合使用。
   数据分层法的应用，主要是一种系统概念，即在于要处理相当复杂的资料，就得懂得如何把这些资料有系统、有目的地加以分门别类的归纳及统计。
   
   
   

   以上概要介绍了七种常用初级统计质量管理七大手法即所谓的“QC七工具“，这些方法集中体现了质量管理的“以事实和数据为基础进行判断和管理”的特点。最后还需指出的是，这些方法看起来都比较简单，但能够在实际工作中正确灵活地应用并不是一件简单的事。

2. 质量管理新七工具
   (1)系统图。系统图法，是指系统地分析、探求实现目标的最好手段的方法。
   在质量管理中，为了达到某种目的，就需要选择和考虑某一种手段；而为了采取这一手段，又需考虑它下一级的相应的手段。这样，上一级手段就成为下一级手段的行动目的。如此地把要达到的目的和所需要的手段，按照系统来展开，按照顺序来分解，作出图形，就能对问题有一个全貌的认识。然后，从图形中找出问题的重点，提出实现预定目的最理想途径。它是系统工程理论在质量管理中的一种具体运用。
   系统图法主要用于以下儿方面：
   
   
   
   • 在新产品研制开发中，应用于设计方案的展开。
   • 在质量保证活动中，应用于质量保证事项和工序质量分析事项的展开。
   • 应用于目标、实施项目的展开。
   • 应用于价值工程的功能分析的展开。
   • 结合因果分析图，使之进一步系统化。
   • 制定质量管理的目标、方针和计划。
   • 产生不合格品的原因分析。
   • 制定质量故障的对策。
   • 规划质量管理小组活动的展开。
   • 用户索赔对象的分析。

   	统计方法	KJ法
   1	验证假设型	发现问题型
   2	现象数量化，收集数值性资料（数据）	不需数量化、收集语言、文字类的资料（现象、意见、思想）
   3	侧重于分析	侧重于综合
   4	用理论分析（即数理统计理论分析）	凭“灵感“归纳问题

   KJ法一般用于以下情况：

   • 认识新事物（新问题、新办法）。
   • 整理归纳思想。
   • 从现实出发，采取措施，打破现状。
   • 提出新理论，进行根本改造，“脱胎换骨“。
   • 促进协调，统一思想。
   • 贯彻上级方针，使上级的方针变成下属的主动行为。

   这种方法，先把要分析问题的因素，分为两大群（如R群和L群），把属于因素群R的因素($R_1,R_2,\dots ,R_m$)和属于因素群L的因素($L_1,L_2,\dots ,L_n$)分别排列成行和列。在行和列的交点上表示着R和L的各因素之间的关系，这种关系可用不同的记号予以表示（如用”○”表示有关系等）。矩阵图法示意图如图3.11所示(◎密切关系○有关系△像有关系）。

   

3.7 信息安全管理

3.7.1 信息安全管理体系、知识和活动

1. 信息安全管理体系
   信息安全管理体系(ISMS):是整个管理体系的一部分。它是基于业务风险的方法，来建立、实施、运行、监视、评审、保持和改进信息安全的（注：管理体系包括：组织结构、方针政策、规划活动、职责、实践、程序、过程和资源）。
   
2. 信息安全管理知识
   (1)信息安全的属性。信息安全的基本属性有以下几个方面：
   
   • 完整性：完整性是指信息在存储或传输的过程中保持不被修改、不被破坏、不被插入、不延迟、不乱序和不丢失的特性。
   • 可用性：可用性是指信息可被合法用户访问并能按要求顺序使用的特性。即在需要时就可以取用所需的信息。
   • 保密性：保密性是指信息不被泄露给非授权的个人和实体，或供其使用的特性。
   • 可控性：可控性是指授权机构可以随时控制信息的机密性。
   • 可靠性：可靠性是指信息以用户认可的质量连续服务于用户的特性。
3. 信息安全管理活动

   (5)准备信息安全适用性申明。信息安全适用性申明记录了组织内相关的风险管制目标和针对每种风险所采取的各种控制措施。信息安全适用性申明的准备，一方面是为了向组织内的员工申明对信息安全风险的态度，在更大程度上则是为了向外界表面机构的态度和作为，以表明机构已经全面、系统地审视了信息安全系统，并将所有有必要管制的风险控制在能够被接受的范围内。

3.7.2 信息安全等级保护知识

1. 信息安全等级保护基本概念
   信息安全等级保护是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。
   这里所说的信息系统是指由计算机及其相关和配套的设备、设施构成的，按照一定的应用目标和规则对信息进行存储、传输、处理的系统或者网络；信息是指在信息系统中存储、传输、处理的数字化信息。
   信息安全等级保护（以下简称”等级保护”)是我国在信息化推进进程中实施的对信息系统安全保护的基本制度、方法和策略。2004年，由公安部、国家保密局、国家密码委及国务院信息办联合下发了《关于信息安全等级保护工作的实施意见》（公通字 2004第66号），标志着信息安全等级保护工作在全国全面启动。
   
   
   
2. 信息系统安全保护等级的划分
   信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。信息系统的安全保护等级共分为五级：
   第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
   第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
   第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
   第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
   第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
   
   
   
   
   
   
3. 等级保护工作的主要环节
   等级保护的主要环节：定级、备案、安全建设整改、等级评测和安全检查。
   一是信息系统定级。信息系统定级按照自主定级、专家评审、主管部门审批、公安机关审核的流程进行。信息系统运营使用单位按照《信息安全等级保护管理办法》（共通字【2007】43号，以下简称“管理办法”)和《信息安全等级保护定级指南》(GB/T22240-2008),自主确定信息系统的安全保护等级。为保证信息系统定级准确，可以组织专家进行评审。有上级主管部门的，应当经上级主管部门审批，跨省或全国统一联网运行的信息系统可以有其主管部门统一确定安全保护等级。最后经公安机关审核把关，合理确定信息系统安全保护等级。
   二是信息系统备案。第二级以上信息系统，由信息系统运营使用单位到所在地设区的市级以上公安机关网络安全保卫部门办理备案手续。公安机关按照《信息安全等级保护备案实施细则》（公信安【2007】1360号）要求，对备案材料进行审核，定级准确、材料符合要求的颁发由公安部统一监制的备案证明。
   三是信息系统安全建设整改。信息系统安全保护等级确定后，运营使用单位按照《管理办法》、《关于开展信息系统等级保护安全建设整改工作的指导意见》（公信安【2009】 1429号）等有关管理规范和技术标准，选择《管理办法》要求的信息安全产品，制定并落实安全管理制度。落实安全责任，建设安全设施，落实安全技术措施。
   四是等级测评。信息系统建设整改完成后，运营使用单位选择符合要求的测评机构，依据《管理办法》、《信息系统安全等级保护测评要求》和《信息系统安全等级保护测评过程指南》标准，对信息系统安全保护状况开展等级测评，按照《信息系统安全等级测评报告模板（试行）》（公信安【2009】1487号）编写等级测评报告。
   五是监督检查。公安机关依据《管理办法》和《公安机关信息安全等级保护检查工作规范（试行）》（公信安【2008】736号），监督检查运营使用单位开展等级保护工作，定期对第三级以上的信息系统进行安全检查。运营使用单位应当接受公安机关的安全监督、检查、指导，如实向公安机关提供有关材料。
   
   
   
   
   
   

【练习题】

1. 产品的广义概念是指可以满足人们需求的载体，狭义概念是指被生产出的物品。产品是一组将输入转化为输出的相互关联或相互作用的活动的结果。通常有四种类别的产品，它们分别是（ ）。

   A.软件、硬件、服务、管理过程产出物

2. 以下关于运维、经营和运营的概念描述，不正确的是（ ）。

   A.运维是运行维护的简称，是一种IT服务形态。在《信息技术服务分类与代码》(GB/T 29264-2012)中，对运行维护服务(operation maintenance service)给出的定义是“采用信息技术手段及方法，依据需方提出的服务级别要求，对其信息系统的基础环境、硬件、软件及安全等提供的各种技术支持和管理服务”

   B.运营是对组织经营过程的计划、组织、实施和控制，是与产品生产和服务创造等密切相关的各项管理工作的总称。它的目的是保证正常的业务开展。《现代汉语词典》对运营的解释为运行和营业，从其解释可以看出运营一词带有商业色彩

   C.在《现代汉语词典》中，经营的解释包含两个层面：一是筹划并管理（如企业等）；二是泛指计划和组织。经营是随着交换的发展而产生的，是商品经济发展的产物

   D.运维、运营和经营是三个完全独立的概念，彼此之间不会发生任何关联性和交叉

3. IT服务管理（IT Service Management, ITSM)是一套帮助组织对IT系统的规划、
   研发、实施和运营进行有效管理的方法，是一套（ ）。
   
4. 项目是“一组有启止时间的、相互协调的受控活动所组成的特定过程，该过程要达到符合规定要求的目标，包括（ ）等各方面的要求与约束。”
5. 质量管理常见理论方法包括：戴明环、质量三部曲、零缺陷、（ ）。
6. 信息安全的基本属性有以下几个方面：完整性、可用性、（ ）。
7. 信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。信息系统的安全保护等级共分为（ ）。

【参考答案】：B D B D A B C