第八章 管理信息系统的风险与安全管理
信息系统安全管理制度范文(5篇)
信息系统安全管理制度范文第一章总则第一条为保证本单位信息系统的操作系统和数据库系统的安全，根据《____计算机信息系统安全保护条例》，结合本单位系统建设实际情况，特制定本制度。
第二条本制度适用于本单位____部门及所有系统使用部门和人员。
第三条____部门是本单位系统管理的责任主体，负责____单位系统的维护和管理。
第二章系统安全策略第四条____部门负责单位人员的权限分配，权限设定遵循最小授权原则。
1)管理员权限。
维护系统，对数据库与服务器进行维护。
系统管理员、数据库管理员应权限分离，不能由同一人担任。
2)普通操作权限：对于各个系统的使用人员，针对其工作范围给予操作权限。
3)查询权限：对于单位管理人员可以以此权限查询数据，但不能输入、修改数据。
4)特殊操作权限：严格控制单位管理方面的特殊操作，只将权限赋予相关科室负责人，例如退费操作等。
第五条加强____策略，使得普通用户进行鉴别时，如果输入三次错误口令将被锁定，需要系统管理员对其确认并解锁，此帐号才能够再使用。
用户使用的口令应满足以下要求：-____个字符以上；-使用以下字符的组合。
a-z、a-z、0-9，以及。
@#$%^&____-+；-口令每三个月至少修改一次。
第六条定期____系统的最新补丁程序，在____前进行安全测试，并对重要文件进行备份。
第七条每月对操作系统进行安全漏洞扫描，及时发现最新安全问题，通过升级、打补丁或加固等方式解决。
第八条关闭信息系统不必要的服务。
第九条做好备份策略，保障系统故障时能快速的恢复系统正常并避免数据的丢失。
第三章系统日志管理第十一条对于系统重要数据和服务器配值参数的修改，必须征得____领导批准，并做好相应记录。
第十二条对各项操作均应进行日志管理，记录应包括操作人员、操作时间和操作内容等详细信息。
第十三条审计日志应包括但不局限于以下内容。
包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全事件。
信息化系统安全运行管理制度(3篇)
信息化系统安全运行管理制度第一章：总则第一条为确保公司信息化系统的正常运行，有效地保护信息资源，最大程度地防范风险，保障公司经营管理信息安全。
根据《国家计算机信息系统安全保护条例》等有关法律、法规，结合公司实际，制订本规定。
第二条本规定所称公司信息化系统，是指公司所使用的“集团管理软件”所覆盖的使用单位、使用人、以及计算机及其网络设备所构成的网络系统。
具体有财务管理系统、物资供应管理系统、销售管理系统、地磅系统、资产管理系统、人力资源管理系统、OA办公自动化系统。
第三条本规定适用于公司及所属单位所有使用信息系统的操作员和系统管理员。
第二章职责描述第四条公司企管信息部1、根据国家和行业的发展制定公司信息化工作的发展规划、年度计划和有关规章制度；2、负责组织实施公司信息化建设；3、负责公司信息系统的维护及软件管理；4、负责对各单位信息系统工作的检查、指导和监督。
第五条公司信息化系统负责人1、协调公司各种资源，及时处理对系统运行过程中的出现的各种异常情况及突发事件；2、负责督促检查本制度的执行；第六条公司系统管理员1、负责应用系统及相关数据的正常使用和安全保障；2、负责解答各所属单位人员的问题咨询，处理日常问题；第七条各单位系统管理员1、熟悉掌握系统，能够处理系统应用中的问题；2、要及时建立问题处理情况汇总表，并定期上报给公司系统管理员，由公司系统管理员汇编成册，定期下发给所有操作人员，以做到最大程度的知识共享；3、负责本单位新进员工的信息系统技能培训；监督本单位操作人员进行规范操作；第八条操作员1、严格按照业务流程和系统运行规定进行操作、不越权操作、不做违规业务；2、保证自己的密码不泄密，定期更换密码；第三章内部支持体系管理第九条为了确保操作人员能够熟练掌握信息系统的运行，问题的提交与处理必须按照逐级处理方式，具体如下：1、各单位操作人员发现问题填写“日常操作问题记录单”先提交给各自所属单位的系统管理员归集与处理；2、在各单位系统管理员不能处理的情况下再提交到公司系统管理员处理；3、公司系统管理员不能处理的情况下统一提交用友软件公司，用友技术顾问将制定处理解决方案，和公司系统管理员一起处理；4、问题解决后，将问题解决过程记录清楚，并由公司系统管理员备案，形成全公司系统知识库；第四章系统安全管理第十条系统维护及软件安全管理1、系统管理员，每天定时检查系统运行环境，并将检查结果进行记录；2、使用信息系统的计算机都应安装统一杀毒软件并及时更新病毒库，在计算机需要读取外来数据时应先查杀病毒；3、制定信息系统的灾难恢复计划，并确定实施方案；4、服务器及系统软件涉及的各类用户名称及密码由企管信息部系统管理员严格管理、定期更换和及时存档；5、服务器必须使用不间断电源(UPS)，以避免意外断电造成核算数据丢失或错误影响系统正常运行；6、当信息系统数据紊乱或确需对信息系统数据库进行修改或删除时，必须由软件供应商的技术人员评估后，提出切实可行的解决方案，经公司分管副总经理批准后，方可进行数据库操作；7、在系统运行过程中，应每天对系统及数据进行备份，每月刻录一张数据光盘备份；8、发生计算机系统安全事故和计算机违法犯罪案件时，立即向保卫部及公司企管信息部报告，并保护现场；第十一条计算机管理制度1、使用人员如发现计算机系统运行异常，应及时与信息中心人员联系，非专业管理人员不得擅自调换设备配件；2、不得让无关的人员使用自己的计算机，严禁非专业技术人员修改计算机系统的重要设置；第十二条操作规范1、操作人员必须爱护电脑设备，保持办公室和电脑设备的清洁卫生；2、操作人员应加强计算机知识的学习，并能正确操作公司信息系统和熟练使用计算机；3、工作时间禁止上网浏览任何与工作无关的信息，不得下载与安装与工作无关的软件，以防止计算机感染病毒和木马，影响系统正常运行；第五章系统人员权限管理第十三条系统权限指应用信息系统时，不同角色所需的权限，分为财务核算系统权限、系统报表权限、人力资源系统权限、供应链系统权限、地磅系统权限、资产管理权限、协同办公系统权限；第十四条信息系统中所有用户及所属角色的权限均由各单位系统管理员参照基础角色权限表填写并提交公司系统管理员，由公司系统管理员统一备案；第十五条权限变动1、信息系统中用户及权限的新增、变动、撤消均由各单位业务部门负责人发起，由各单位系统管理员负责具体实施；2、信息系统中用户权限新增、变动、撤销由各单位系统管理员具体实施后，报公司系统管理员备案；第六章系统日常操作管理规范1、财务系统操作手册2、人力系统操作手册3、供应链系统操作手册4、资产管理系统操作手册第七章客户端配置及网络要求电脑配置要求项目最小配置建议配置CPUP4 1.5GP4 2.0G以上内存1G2G网络100M100M硬盘操作系统所在分区需要5G剩余空间打印机操作系统所能适配的打印机显示适配器桌面分辨率能显示1024____768即可操作系统Windows2000、____P、Vista浏览器IE6.0以上网络带宽要求需要安装系统的电脑在____台以内的接入2M以上稳定的带宽，____台接入3M以上的接入带宽，____台以上接入5M以上的带宽。
《中国东方航空股份有限公司信息安全管理规定》
中国东方航空股份有限公司信息安全管理规定第一章总则第一条为了进一步加强中国东方航空股份有限公司（以下简称“公司”）的信息安全管理，完善信息安全体系，保护公司的信息资产，依据中华人民共和国有关信息安全法律以及国际标准，结合行业、公司信息安全建设实际情况，特制定本规定。
第二条本规定适用于公司所有信息资产及涉及信息资产的相关部门。
本规定中所称的信息资产包括但不仅限于：数据库和数据文件、系统文档、用户手册、培训资料、运行程序、存档信息、应用软件、系统软件、开发工具和实用程序、计算机、通讯设备、磁介质（磁盘与磁带）、其它技术基础设备（供电设备、空调设备、防雷设备、消防设备、门禁设备）、人员、计算服务、通讯服务、网络服务等。
第二章基本原则第三条全员参与原则。
公司每位员工都应对维护信息安全负有相应的责任和义务，具体包括：（一）所有接触和使用公司信息资产的人员和机构都有责任保障信息资产的安全。
（二）信息系统的安全由使用信息系统的业务部门、管理部门以及维护系统的技术单位、部门共同承担，其中业务、管理部门作为资产的所有者拥有信息资产的管理责任和授权权利，而维护系统的技术单位、部门通常作为信息资产的维护者，在各管理部门、业务部门的授权下，承担各应用系统的管理、维护责任。
（三）各单位、各部门需对所有员工定期进行信息安全方面的培训，并作为长期进行的制度化工作之一。
第四条职权分离原则。
对角色和责任进行分类时要考虑互相制衡的机制，使一个岗位的员工无法破坏关键的过程，如业务操作权限和系统管理权限的分开；超级账号的操作与系统审计权限的分开；业务申请操作和业务审核操作权限的分开等；公司各单位各部门应在设定岗位、制定岗位职责说明书或是具体安排人员时基于此原则，将信息安全职责落实到具体的岗位中去。
第五条“双人操作原则”。
对于重要计算机系统、网络和通信设备及相关区域的岗位，应安排两个拥有类似知识背景和专业技能的人员共同工作，以降低单个关键人员操作失误或个人蓄意破坏而导致的风险。
会计信息系统的安全与风险管理
会计信息系统的安全与风险管理一、引言会计信息系统在现代企业中扮演着重要的角色，它不仅可以提供精确可靠的财务信息，还能够协助企业管理和决策。
然而，随着信息技术的快速发展和普及，会计信息系统面临着越来越多的安全风险。
因此，合理的安全与风险管理对于保护会计信息系统的完整性、可靠性和保密性至关重要。
二、会计信息系统的安全风险1. 网络攻击风险：黑客入侵、病毒攻击和网络钓鱼等恶意行为可能导致会计信息系统的数据遭到篡改、泄露或破坏。
2. 内部威胁：员工的不当行为或敌对分子的行为可能对会计信息系统造成威胁，例如内部盗窃、数据篡改等。
3. 自然灾害：火灾、水灾、地震等自然灾害可能严重破坏会计信息系统的设备和数据。
4. 技术故障：硬件故障、软件故障或系统崩溃可能导致会计信息系统的数据丢失或不可用。
三、会计信息系统的安全管理措施1. 访问控制：建立严格的用户权限，确保只有经过授权的人员能够访问、修改和处理会计信息系统的数据。
2. 密码策略：制定强密码要求，并定期要求用户更新密码，以防止恶意入侵和未经授权访问。
3. 加密技术：采用加密技术对重要的会计信息进行加密，确保数据在传输和存储过程中的安全性。
4. 定期备份：定期备份会计信息系统的数据，并将备份存储在安全的位置，以防止数据丢失或损坏。
5. 安全审计：定期进行安全审计，检查会计信息系统的漏洞和安全风险，并及时采取相应的补救措施。
6. 培训与教育：对员工进行安全意识培训，教育他们识别和防止安全威胁，提高整体的安全水平。
四、会计信息系统的风险管理1. 风险评估：对会计信息系统中的各项安全风险进行评估，确定各项风险的可能性和影响程度。
2. 风险应对策略：制定合适的风险应对策略，如采取技术手段、设立安全控制措施或购买保险等方式来降低风险的发生和影响。
3. 风险监测与反馈：建立风险监测机制，及时发现和识别新的安全风险，并进行有效的反馈和处理。
4. 应急响应计划：制定完善的应急响应计划，对可能发生的安全事件进行预案，以减少事故带来的损失。
公司信息安全管理制度(3篇)
公司信息安全管理制度第一章总则第一条为了保障公司信息安全，防范各类信息安全风险，确保公司的业务正常运行，根据国家有关法律法规和相关规定，结合公司的实际情况，制定本信息安全管理制度（以下简称“本制度”）。
第二条本制度适用于公司内的所有员工，在公司内外使用公司信息资源、参与信息系统运维、开发、维护等相关人员。
第三条公司信息安全管理的原则是“保密、完整性、可用性”。
公司将积极采取各种技术和管理措施，保障信息的机密性、完整性、可控性。
第二章组织和责任第四条公司设立信息安全管理部门，负责全面监管、组织和协调公司的信息安全工作。
第五条公司内设信息安全管理委员会，由公司高层管理人员和信息安全管理部门的负责人组成，负责决策信息安全相关的重大事项。
第六条公司内部设立信息安全审计部门，负责对公司信息系统和信息安全管理制度的执行情况进行审计，并向信息安全管理委员会提供报告。
第三章信息资源的分类及保护措施第七条公司的信息资源根据其重要性和敏感性进行分类，包括但不限于核心数据、客户数据、员工数据等。
第八条对于各类信息资源，公司将采取以下保护措施：（一）核心数据的存储和使用必须在安全环境中进行，并采取加密、备份等措施，确保数据的安全性和可恢复性。
（二）客户数据的收集、存储和使用必须经过合法授权，且符合法律法规的规定，不得私自泄露或滥用。
（三）员工数据的保护必须符合相关规定和公司的隐私政策，未经员工本人同意，不得向外部泄露或使用。
第四章信息系统的安全管理第九条公司的信息系统必须设置完备的安全控制措施，包括但不限于网络安全、系统安全、应用安全等。
第十条公司将建立信息系统的合理权限管理制度，确保每个员工和系统用户拥有的权限符合其工作需要，且及时更新权限。
第十一条公司将定期对信息系统进行漏洞扫描和安全评估，发现问题及时修补。
第十二条严禁公司内外部人员进行任何未经授权的入侵、攻击和滥用公司信息系统的行为，对于违反者将依法追究责任。
第十三条公司将定期进行信息系统的备份和恢复测试，以确保系统数据的可恢复性。
信息安全保密管理制度（4篇）
信息安全保密管理制度第一章总则第一条为了加强对机构内部信息的保密管理，确保信息的安全性，促进信息资源的合理利用，提升机构的核心竞争力，制定本管理制度。
第二条本制度适用于本机构内部所有人员，包括全体员工、临时工、实习生和外包人员等。
第三条本制度的内容包括信息安全的目标与原则、责任分工与权限、信息资产的分类与评估、信息安全的管理措施、安全事件的监测与响应、信息安全的教育与培训、信息安全评审与监督、违反规定的处理等。
第四条机构应当建立信息安全保密管理制度的组织机构，明确各级负责人和各岗位人员的职责和权力。
第五条机构应当定期进行信息安全风险评估，及时发现和解决存在的风险问题，确保信息安全工作的顺利进行。
第二章信息安全的目标与原则第六条机构的信息安全目标是保护机构的信息资源安全，减少信息泄露和信息恶意篡改风险，提升机构的竞争能力和信誉度。
第七条信息安全管理的原则是保密性、完整性、可用性和责任原则。
第八条保密性原则是指机构要采取措施以确保信息不被未获授权的个人或组织所知悉和使用。
第九条完整性原则是指机构要采取措施以确保信息不被不正确或非授权的修改或篡改。
第十条可用性原则是指机构要采取措施以确保信息在需要时能够得到及时可靠地访问和使用。
第十一条责任原则是指机构要明确信息安全管理的责任分工，将信息安全工作纳入业务和绩效考核体系。
第三章责任分工与权限第十二条本机构设立信息安全保密委员会，由机构领导或其指派的负责人担任主任委员，其他相关部门负责人担任委员。
第十三条信息安全保密委员会的职责包括：（一）制定和修订信息安全保密管理制度；（二）组织实施信息安全风险评估；（三）制定和实施信息安全培训计划；（四）组织安全事件的监测与响应工作；（五）组织信息安全评审与监督；（六）协调相关部门间的信息安全工作。
第十四条本机构设立安全管理员，由机构内部专职人员担任，负责日常的信息安全管理工作，包括：（一）组织信息安全培训活动；（二）制定和实施信息安全管理措施；（三）监控和分析信息安全事件；（四）定期报告信息安全工作进展情况。
自考《管理信息系统》名词解释
《管理信息系统》名词解释第一章管理信息系统概论1.信息：指加工以后对人们的活动产生影响的数据。
2.数据：是对客观事物的性质、状态以及相互关系等进行记载的符号。
3.物流：物品从供给地向接受地的实体流动过程。
4.资金流：是以货币的形式反映企业经营状况的主要形式。
5.事物流：是指企业在处理内部或外部活动中产生各种经营管理行为，这些行为的过程构成了事物流。
6.信息流：是指除去物流、资金流和事物流的物理内容外的信息的流动过程。
7.管理信息：是对企业生产经营活动中的原始数据经过加工处理、分析解释、明确意义后所产生的对管理决策产生影响的信息。
8.企业外部信息：又称外源信息，是从企业外部环境传输到企业的各种信息。
9.企业内部信息：又称内源信息，是企业生产经营活动中产生的各种信息。
10.常规性信息：又称固定信息，指反映企业正常的生产经营活动状况，在一定时期内按统一程序或格式重复出现和使用，而不发生根本性变化的信息。
11.偶然性信息：又称突发性信息，是反映企业非正常事件的无统一规定或格式的非定期信息。
12.信息化：是指国民经济各部门和社会活动各领域普遍采用信息技术，利用信息资源，使得人们能在任何时间、任何地点，通过各种媒体，使用和传递所需信息，以提高工作效率、促进现代化的发展、提高人民生活质量、增强国力的过程。
13.企业信息化：是指企业利用现代的信息技术，通过对信息资源的深度开发和广泛利用，不断提高生产、经营、管理、决策的效率和水平，提高企业经济效益和企业竞争力的过程。
14.系统：是由相互作用和相互依赖的若干组成部分，为了某些目标结合而成的有机整体。
15.分解方法：把被研究的对象和问题分解成许多人们可以容易处理和理解的细小部分，并通过对这些被分解的部分进行研究来获得对整体的了解和把握，这种处理方法就是分解方法。
16.系统方法：考虑系统的整体性，考虑系统组成部分的内部关系和协同关系，这样的方法叫系统方法。
17.信息系统：是以计算机、网络及其它信息技术为核心，为实现某些系统目标，对信息资源进行处理的信息。
信息系统等级保护安全管理规定
某单位信息系统安全等级保护管理规定第一章总则第一条为加强某单位信息系统（以下简称“信息系统”）安全管理，确保某单位信息安全，按照国家信息安全等级保护制度和相关标准要求，结合工作实际，制定本规定。
第二条信息系统安全管理遵循“确保安全、注重防范、分工负责、规范管理”原则，以确保信息安全为中心，以抓好安全防范为重点，分工负责，相互配合，认真遵守有关信息安全的法律法规和制度规定，共同做好信息系统的安全管理工作。
第三条本规定适用于信息系统的安全管理。
第四条本规定所指信息系统是由某单位规划和建设内的计算机信息系统，包括所有非涉密信息系统。
第二章组织领导和工作机制第五条在某单位信息化工作领导小组（以下简称“领导小组”）领导下，某单位信息化工作领导小组办公室负责信息系统的统一规划、建设和管理，按照“谁建设谁管理、谁使用谁负责”的原则，由某单位网络信息中心负责信息系统安全的使用管理和运行维护。
第六条网络信息中心是单位信息化工作安全管理和运行维护的部门，负责指定信息系统的系统管理员、安全管理员和安全审计员。
系统管理员主要负责系统的日常运行维护，安全管理员主要负责系统的日常安全管理工作，安全审计员主要负责对系统管理员和安全管理员的操作进行审计和评估。
安全管理员和安全审计员不得为同一人。
第七条应结合某单位工作具体情况，制定有关信息系统安全管理的相关制度，建立健全保障信息安全的工作机制，采取切实措施落实有关安全要求，确保信息系统与信息的安全。
第三章规划建设和测评审批第八条信息系统按照国家信息安全系统等级保护要求确定保护等级，进行规划、设计、建设和运行维护管理，并采取相应安全保护措施。
第九条信息系统按照其受到破坏时所侵害的客体和对客体造成侵害的程度，分为二级和三级，并分别采取相应的保护措施。
某单位网络信息中心统一负责信息系统的定级工作，并报山东省公安厅备案。
第十条信息系统应根据其等保定级、行政级别、地域分布、连接范围等合理划分安全域，安全域之间应采取有效的隔离措施。
信息系统安全管理
信息系统安全管理随着信息技术的发展，随着各种信息系统的广泛应用，信息安全也成为了我们生活和工作中最为重要的一方面。
而信息系统安全管理则是保障信息系统安全的基础和核心。
什么是信息系统安全管理？信息系统安全管理是指对信息系统及其相关应用进行安全规划、安全设计、安全实现和安全维护的过程。
简单来说，信息系统安全管理就是利用各种技术手段和管理方法，确保信息系统及其相关应用在日常运营中不受到外界攻击和破坏，保障系统内部数据的机密性、完整性和可用性。
为什么需要信息系统安全管理？信息系统被广泛应用于社会各个领域，尤其是政府、金融、电信、医疗等重要行业的信息系统更显重要。
因此，对于信息系统的稳定和安全，保障用户信息和数据安全就尤为重要。
若信息系统存在安全漏洞被别有用心的人利用，可能会给社会带来巨大的损失和不良影响。
例如，2017年全球最大的勒索软件攻击事件WannaCry病毒，就使得全球多个国家数百万台计算机系统被攻击，造成了巨大损失。
那么，如何进行信息系统安全管理呢？一、进行安全评估安全评估是最基本的安全管理工作。
通过对信息系统整体的漏洞扫描、漏洞挖掘，分析漏洞的危害和利用条件，从而制定出合理的安全管理方案。
二、建立信息安全保护体系建立信息安全保护体系，制定详细的管理制度和流程，进行规范化管理和操作。
建立信息安全保护体系需要不断更新和完善安全规范，加强对信息资产和关键数据的保护。
三、完善安全技术措施采用常见的技术手段，如防火墙、反病毒软件、漏洞扫描器等，以增强信息系统的安全防护能力。
加密技术此时也特别重要，因为加密可以防止窃听、窃取信息等恶意行为。
四、加强人员管理对于重要的信息系统管理员和人员要求进行认真的背景审查，并且制定详细的管理规定，加强人员的日常管理和监控，避免发生人为失误，损坏系统的滚动正常运营。
五、加强风险管理和应急预案建立风险管理制度和应急预案，定期进行演练，可以在面临突发事件或事故时，快速有效的应对，将损失减少到最低。
信息系统与信息安全管理
信息系统与信息安全管理信息系统是一个由多种软件和硬件组成的网络结构，用于在企业和组织中管理和存储数据，实现数据共享和交流。
信息系统已经成为现代企业管理中不可或缺的重要工具，然而，在信息快速发展的背景下，如何保护企业的信息资产已经成为管理者们需要面对的一个严峻挑战。
本文将着重讨论信息系统与信息安全管理的关系，并介绍如何通过信息安全管理来确保企业的信息系统得以良好地运转。
一、信息系统的基本组成信息系统的基本组成包括硬件、软件、数据和人员。
硬件指计算机设备、外设设备和网络设备等；软件指各种操作系统、应用软件和安全软件等；数据则是企业和组织中的信息资产，包括存储在计算机中的各种文件数据和数据库数据；人员指使用和管理信息系统的人群，包括IT人员、管理人员和普通员工等。
信息系统的功能通常包括数据的采集、处理、存储、查询和分析等，有效的信息系统可以帮助企业实现资源的合理利用和生产效率的提高。
二、信息安全管理的概念和方法信息安全管理是指对企业或组织内部的信息资产进行保护和管理，防止信息泄露或被黑客攻击，通过信息安全管理可以确保企业平稳的运转和信息资产的安全。
信息安全管理的基本方法包括：1. 信息资产的分级保护：根据数据的重要性和敏感程度，将数据进行分类，分别采取不同的安全措施进行保护，防止信息泄露或被破坏。
2. 风险评估和漏洞管理：定期对信息系统漏洞进行风险评估，并制定有效的漏洞管理方案，及时修复漏洞，防止被黑客利用攻击信息系统。
3. 安全管理控制：建立和完善安全管理制度，采用权限控制、密码管理等措施，防止内部人员滥用权限或泄漏敏感信息。
4. 安全监测和应对：通过安全监测手段，及时发现和防范安全威胁，同时制定合理的安全应急预案，缩小安全漏洞的损失范围，减轻损失。
三、信息系统与信息安全管理的关系信息系统的的基本任务之一是管理和存储数据，然而，在企业和组织日常的信息传输和资产交流中，信息也很容易被黑客攻击和窃取，为了保证信息系统得到良好的运转，信息安全管理必不可少。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
第八章管理信息系统的风险与安全管理
第一节项目管理
1．项目：项目是为完成某一独特的产品、服务或任务所做的一次性努力。
2．项目的特征：1）项目是一次性任务。
2）人类有组织的活动都有其目的性。
3）项目是为了实现目标而展开的任务的集合。
3．项目管理：是以项目为对象的系统管理方法，通过一个临时性专门的柔性组织，对项目进行高效率的计划、组织、指导和控制，以实现项目的动态管理和项目目标的综合协调与优化。
4．项目管理的特征：1）需要通过一个专门的组织实施2）规划资源。
5．项目管理的领域：范围管理、时间管理、成本管理、质量管理、采购管理、人力资源管理、沟通管理、风险管理、综合管理。
6．采购是从系统外部获得货物、土建工程和服务的采办过程。
7．甘特图：又称条线图或横道图，主要用于项目的计划和项目进度的安排。
甘特图是一个二维平面图，横向维表示进度或活动的时间，纵向维表示工作的内容。
8．Microsoft Project包括以下几个基本模块：1）基本数据输入模块2）数据计算处理模块。
3）人机交互调整模块4）项目信息输出模块。
第二节管理信息系统风险管理
1．风险：是由于从事某项特定活动过程中存在的不确定性而产生的经济或财务损失，自然破坏或损伤的可能性。
2．风险分类：1）按风险后果：纯粹风险、投机风险2）按风险来源：自然风险、人为风险3）按风险影响后果：政府风险、项目业主风险、承包风险、投资方风险、监理单位风险、供应商风险等4）按风险可预测性：已知风险、可预测风险、不可预测风险5）按原因角度：商业风险、技术风险、管理风险。
3．按对待风险的态度划分，可以分成风险的规避者、风险中立者、冒险者。
4．风险管理：是指在项目的执行过程中，持续不断地进行风险识别、分析、策略制定、监控风险执行情况的过程。
5．风险管理具体可以分为：风险识别、风险分析、风险规划、风险监控四个步骤
6．风险识别：就是确定哪些风险可能会对事物产生影响，然后将这些风险按特征分类记录为文档，系统地确定对项目的威胁。
7．风险识别需要识别内在风险和外在风险。
内在风险是指项目内部因素造成的，项目工作组能够加以控制和影响的风险。
外在风险是指项目外部因素造成的，超出项目工作组控制能力和影响力之外的风险。
8．风险识别常用的方法是建立“风险条目检查表”，此外还有文档评审、信息收集技术（Delpi法、头脑风暴法、SWOT分析）、图解技术（因果分析图也称鱼刺图）、情景分析法、风险条目检查表等。
9．德尔菲法：又称专家调查法，是由项目小组选定一些与该项目有关领域的专家，通过与他们直接书信往来，收集意见，对风险进行罗列和分析，然后总结整理，在匿名反馈给各位专家，再次征询意见。
如此反复，一般进行三四轮，专家意见趋于一致是即可得出最后结论。
10．头脑风暴法：通过专家会议，在许多专家之间广发言论，激起灵感诱发专家们产生思维共振，以获取更多信息来预测问题。
11．鱼刺图：又称因果分析表，用于确定风险的起因。
每个榆次代表了可能
的差错原因，用于查明问题之所在，此图不仅可用于风险分析，还可以用于质量缺陷问题的分析。
12．风险分析又分为：定性风险分析和定量风险分析。
13．风险规划：是指针对风险分析得出的结果，做出适当的决策来降低风险的负面影响以提高项目目标实现几率的过程，即通过制定一系列的措施和政策来处理、减少以至于消灭危害到项目的风险。
14．风险规划的方法：减轻风险、预防风险、风险转移、风险回避、风险自留。
15．安全风险主要包括：自然事件风险、意外的人为事件风险、有意的人为事件威胁以及用户使用的风险。
第三节管理信息系统的质量管理
1.质量管理包括：质量策划、质量控制、质量保证、质量改进。
2.ISO9000系列的核心内容是质量保证标准，它是质量体系认证的依据。
3.ISO9000由五个部分组成：质量术语标准、质量保证标准、质量管理标准、
质量管理和质量保证标准的选用和实施指南、支持性技术标准。
4.CMM的分级结构及其主要特征：
1）初始级（混沌级）：软件过程的特点是无序的，有时甚至是混乱的。
软件的过程定义几乎处于无章法和步骤可循的状态，软件产品取得的成功往往依赖极个别人的努力和机遇。
2）可重复级：已建立了基本的项目管理过程，可用于对成本、进度和功能特性进行跟踪。
对类似的应用项目有章可循，并能重复以往所取得的成功。
3）已定义级：用于管理的和工程的软件过程均已文档化、标准化，并形成了整个软件组织的彼岸准软件过程。
全部项目均采用与实际情况相吻合的、适当修改后的标准软件过程来进行操作。
4）已管理级：软件过程和产品质量有详细的度量标准。
软件过程和产品质量得到了定量的认识和控制。
5）优化级：通过对来自过程方面、来自新概念方面和来自新技术方面的各种有用信息的定量分析，能够继续持续对过程进行改进。
第四节管理信息系统安全管理
1.安全问题主要包括硬件问题、软件问题、人为问题、使用者渗透问题。
2.bugs在程序设计的开发中意思是指因忽略导致的错误。
3.安全机制主要包括：基础安全设施的安全、信息系统平台的安全、网络
安全层次模型等。
4.信息系统在硬件安全控制、软件安全控制、数据安全控制、计算机操作
安全控制、实施审计安全控制、管理安全控制以及输入输出处理安全控制等方面加强安全控制。