第4章 信息系统管理

4.1管理方法

4.1.1管理基础

1.层次结构

信息系统是对信息进行采集、处理、存储、管理和检索，形成组织中的信息流动和处理，必要时能向有关人员提供有用信息的系统。

信息系统是为组织用来生产和管理信息（数据）的技术（"什么"）、人员（"谁"）和过程（"如何"）的组合。信息系统包括四个要素：人员、技术、流程和数据。

2.系统管理

信息系统管理覆盖四大领域：

• ①规划和组织：针对信息系统的整体组织、战略和支持活动。
• ②设计和实施：针对信息系统解决方案的定义、采购和实施，以及他们与业务流程的整合。
• ③运维和服务：针对信息系统服务的运行交付和支持，包括安全。
• ④优化和持续改进：针对信息系统的性能监控及其于内部性能目标、内部控制目标和外部要求的一致性管理。

4.1.2规划和组织

信息系统的规划和组织需要根据组织的发展目标和其他相关因素规划信息系统的战略、组成、建设、运行和运营等。目标是通过实施具备一致性的管理方法，满足业务对信息系统的管理需求。规划和组织的相关内容涵盖信息系统管理所需的所有组件。

1.规划模型

战略是实现目标、意图和目的的一组协调行动。战略往往始于使命，而使命是对组织的宗旨给出的一个清晰并令人信服的陈述。信息系统战略三角突出了业务战略、信息系统和组织机制之间的必要一致性。

成功的组织压倒一切的业务战略，可以推动组织机制和信息系统的有机融合。信息系统战略本身可以影响并受到组织业务和组织机制战略变化的影响。信息系统战略总是涉及业务和组织机制战略造成的影响。

2.组织模型

实现三种战略的协同，达成三种战略的一致性代表实现了三角之间的平衡，在一致性基础上，可以向同步与融合方向发展。通过同步，技术不仅可以支撑实现当前的业务战略，还可以预测和塑造未来的业务战略。而融合更进一步，业务战略和信息战略交织在一起，管理团队成员甚至可以互换运作。

• （1）业务战略

  阐明了组织寻求的业务目标以及期望如何达成的路径。描述业务战略的经典框架是迈克尔·波特（M/chael E. Porter，1947-）提出的竞争力优势模型。

  • 当组织的目标是成为市场上成本最低的生产者时，总成本领先战略就会产生。采用该战略的组织通过最大限度地降低成本，从而获得高于平均水平的绩效。通常，一个行业中只存在一个成本引领者。

  • 采用差异性战略时，组织通过差异化，以一种在市场上显得独特的方式，定义其产品或服务。

  • 采用专注化战略时，专注化允许组织将其范围限制在更狭窄的细分市场，并为该组客户对象证身定制其产品。该策略有两种变体：①专注成本，在其细分市场内寻求成本优势；②专注差异化，寻求细分市场内的产品或服务的差异化。

• （2）组织机制战略

  包括组织的设计以及为定义、设置、协调和控制其工作流程而做出选择。理解组织设计的经典框架是哈罗德·莱维特提出的钻石模型。

  组织机制战略的成功执行包括组织、控制和文化的变量的最佳组合。组织变量包括决策权、业务流程、正式报告关系和非正式沟通网络。控制变量包括数据的可得性、规划的性质和质量、业绩计量和评价制度的有效性以及做好工作的激励措施。文化变量构成组织的价值观。

• （3）信息系统战略

  是组织用来提供信息服务的计划。信息系统支撑组织实施其业务战略。业务战略是关于竞争（服务对象想要什么，竟争做什么），定位（组织想以什么方式竞争）和能力（公司能做什么）的功能。信息系统帮助确定组织的能力。

  

  矩阵框架的目的是为管理者提供一个信息系统组件与策略间关系的观察视图，整体信息系统的四个基础结构组件与其他资源相联事项之间的关系构成了信息系统战略的关键点。基础结构包括：

  • ①硬件，如桌面单元和服务器；
  • ②软件，如用于开展业务，管理计算机本身以及在系统之间进行通信的程序；
  • ③网络，它是硬件组件之间交换信息的物理手段，例如通过专用数字网络实现信息交换；
  • ④数据，数据包括存储在系统中的位和字节。

4.1.3设计和实施

开展信息系统设计和实施，首先需要将业务需求转换为信息系统架构，信息系统架构为将组织业务战略转换为信息系统的计划提供了蓝图。信息系统是支持组织中信息流动和处理的所有基础，包括硬件、软件、数据和网络组件，并以最适合计划的方式进行选择和组装，因此最体现组织总体业务战略。

1.设计方法

大量的可选信息技术，加上技术快速进步，使得组织完成信息系统的设计似乎成为 "不可完成的任务" 。这就需要组织首先将业务战略转化为信息系统架构，然后将该架构转化为信息系统设计。

• （1）从战略到系统架构。

  组织必须从业务战略开始，使用该战略制定更具体的目标。然后从每个目标派生出详细的业务需求。组织需要与架构设计人员合作，将这些业务需求转换为构成信息系统架构的系统要求、标准和流程的更详细视图。这个更详细的视图，即信息系统架构要求，包括考虑数据和流程需求以及安全目标等事项。

  组织还可以向架构设计人员清楚地了解信息系统必须完成的工作以及确保其顺利开发、实施和使用所需的治理安排。治理安排指定组织中哪个人保留对信息系统的控制权和责任。

• （2）从系统架构到系统设计。

  将信息系统架构转换为系统设计时，需要继承信息系统架构并添加更多细节，包括实际的硬件、数据、网络和软件。进而扩展到数据的位置和访问过程、防火墙的位置、链路规范、互联设计等。信息系统架构被转换为功能规格。功能规格可以分为硬件规格、软件规格、存储规格、接口规格、网络规格等。然后决定如何实现这些规范，并在信息系统基础架构中使用什么硬件、软件、存储、接口、网络等。

  信息系统具有多个级别：

  • ①全局级别可能侧重于整个组织，并构成整个组织的信息环境；
  • ②组织间级别信息系统则为跨组织边界的服务对象、供应商或其他利益干系人的沟通交流奠定基础；
  • ③应用级信息系统是在考虑特定业务应用时，通常重点考虑的数据库和程序组件，以及它们运行的设备和操作环境。

• （3）转换框架

  将业务战略转化为信息系统架构进而转变为信息系统设计，转换框架提出了三类问题：内容、人员和位置。"内容" 相关问题需要回答组件是什么，并确定特定类型的技术等。"人员" 相关问题旨在了解相关组件涉及哪些个人、团体和部门。第三类问题涉及 "何处" ，随着网络的激增，许多信息系统的设计和构建可能跨越多个位置使用组件，了解信息系统意味着需要了解所有内容各自的位置。

2.架构模式

信息系统体系架构三种常见模式：

• ①集中式架构。集中式架构下所有内容采用集中建设、支持和管理的模式，其主体系统通常部署于数据中心，以消除管理物理分离的基础设施带来的困难。
• ②分布式架构。硬件、软件、网络和数据的部署方式是在多台小型计算机、服务器和设备之间分配处理能力和应用功能，这些设施严重依赖于网络将它们连接在一起。
• ③面向服务的系统架构（Service-Oriented Architecture，SOA）。SOA架构中使用的软件通常被引向软件即服务（Software-as-a-Service，SaaS）的相关架构，同时，这些应用程序在通过互联网交付时也被称为Web服务。

组织在考虑架构决策时，必须注意权衡与取舍：

• ①分布式架构比集中式架构更加模块化，允许相对容易地添加其他服务器，并能为特定用户添加具有特定功能的客户端，从而提供更大的灵活性和多中心化的组织治理机制。
• ②集中式体系架构在某些方面更易于管理，因为所有功能都集中在主机或小型机中，而不是分布在所有设备和服务器中。集中式架构往往更适合具有高度集中式治理的组织。
• ③SOA则越来越受欢迎，因为该设计允许几乎完全从现有的软件服务组件构建大型功能单元。它对于快速构建应用程序非常有用，因为它为管理人员提供了模块化和组件化设计，是一种更易于变更的构建应用程序的方法。

4.1.4运维和服务

信息系统的运维和服务应从信息系统运行的视角进行整合性的统筹规划，包括对信息系统、应用程序和基础设施的日常控制进行综合管理，以有效支持组织目标达成和流程实现。信息系统的运维和服务由各类管理活动组成，主要包括：运行管理和控制、IT服务管理、运行与监控、终端侧管理、程序库管理、安全管理、介质控制和数据管理等。

1.运行管理和控制

IT团队发生的所有活动都应受到管理和控制。管理层最终负责信息系统运行团队发生的所有活动。管理信息系统运行的管理控制主要活动包括：

• ①过程开发：操作人员执行的重复性活动应以过程的形式记录了下来，需要开发、审查和批准描述每个过程及其每个步骤的相关文档，并将其提供给运营人员。
• ②标准制定：从运行执行任务的方式到所使用的技术，采用标准化定义和约束，从而有效推动信息系统运行相关工作的一致性。
• ③资源分配：管理层分配支持信息系统运行的各项能力，包括人力、技术和资源。资源分配应与组织的使命、目标和目的保持一致。
• ④过程管理：应测量和管理所有信息系统运行的相关过程，确保过程在时间上和预算目标内被正确和准确地执行。

2.IT服务管理

• （1）服务台。负责对服务干系人遇到的问题和需求进行响应和处理。
• （2）事件管理。流程包括：事件受理、分类和初步支持、调查和和诊断、解决、进展监控与跟踪、关闭等活动。
• （3）问题管理。当确定问题的根本原因时，应制定变更管理和配置管理以进行临时或永久修复。
• （4）变更管理。主要目的是确保对信息技术环境的所有建议更改都经过适用性和风险管控的审查，并确保变更不会相互干扰，也不会干扰其他计划内或计划外的活动。
• （5）配置管理。核心工作是识别、记录、控制、更新配置项信息，主要包含配置管理数据库的建立以及配置管理数据库准确性的维护，以支持信息系统的正常运行。
• （6）发布管理。负责计划和实施信息系统的变更，并且记录该变更的各方面信息。
• （7）服务级别管理。服务级别管理就是对IT服务的级别进行定义、记录和管理，并在可接受的成本之下与干系人达成一致的管理过程。
• （8）财务管理。主要活动包括：预算编制、设备投资、费用管理、项目会计和项目投资回报率管理等。
• （9）容量管理。主要活动包括：定期测量、计划变更、战略优化和技术变化等。容量管理由三个子过程组成：业务容量管理、服务容量管理、资源容量管理。
• （10）服务连续性管理。分为服务连续性管理的治理、业务影响分析、制订和维护服务连续性计划、测试服务连续性计划、响应与恢复五个过程。
• （11）可用性管理。可用性管理是有关设计、实施、监控、评价和报告IT服务的可用性以确保持续地满足服务干系人的可用性需求的服务管理流程。

3.运行与监控

有效的IT运行要求IT人员按照既定流程和过程理解并正确执行任务。IT运行的任务常包括：

• ①按照计划执行作业；
• ②监控作业，并按照优先级为作业分配资源；
• ③重新启动失败的作业和进程；
• ④通过加载或变更备份介质，或通过确保目标的存储系统就绪来优化备份作业；
• ⑤监控信息系统、应用程序和网络的可用性，保证这些系统具备足够的性能；
• ⑥实施空闲期的维护活动，如设备清洁和系统重启等。

（1）运行监控：IT团队应对信息系统、应用程序和基础设施进行监控，以确保它们继续按要求运行。

（2）安全监控：组织可能执行的监控类型包括：防火墙策略规则中的例外情况、入侵防御系统的告警、数据丢失防护系统的告警、云安全访问代理的告警、用户访问管理系统的告警、网络异常的告警、网页内容过滤系统的告警、终端管理系统的告警（含反恶意软件）、供应商发布的安全公告、第三方发布的安全公告、威胁情报咨询、门禁系统的告警和视频监控系统的告警等。

4.终端侧管理

IT团队职能的一个关键环节是它向组织人员提供的服务，以改善他们对IT访问和使用的情况。

一般来说，最终用户计算机是 "锁定" 的，这限制了最终用户可能在其设备上执行的配置更改的数量和类型，包括操作系统配置、补丁安装、软件程序安装、使用外部数据存储设备等。这些限制不仅有助于确保最终用户的设备和整个组织的IT环境具有更高的安全性，而且还促进了更高的一致性，从而降低了支持成本。

5.程序库管理

程序库是组织用来存储和管理应用程序源代码和目标代码的工具。程序库的控制使组织能够对其应用程序的完整性、质量和安全性进行高度控制。程序库主要功能包括：访问控制、程序签出、程序签入、版本控制和代码分析等。

6.安全管理

信息安全管理可确保组织的信息安全计划充分识别和解决风险，并在整个运维和服务过程中正常运行。

7.介质控制

通过物理和逻辑的安全控制充分保护所需的数据，同时有效丢弃和擦除不再需要的数据。处置不再需要的介质相关的程序，包括擦除该介质上的数据或使该介质上的数据无法以其他方式恢复的所有相关步骤。组织应考虑包含在介质管理、销毁策略和程序范围内的介质主要包括：备份介质、虚拟磁带库、光学介质、硬盘驱动器、固态驱动器、闪存、硬拷贝等。

8.数据管理

数据管理是与数据的获取、处理、存储、使用和处置相关的一组活动。

4.1.5优化和持续改进

优化和持续改进是信息系统管理活动中的一个环节，良好的优化和持续改进管理活动能够有效保障信息系统的性能和可用性等，延长整体系统的有效使用周期。传统上，优化和持续改进常用的方法为戴明环，即 PDCA循环。PDCA循环是将持续改进分为四个阶段，即Plan（计划）、Do（执行）、Check（检查）和Act（处理）。

优化和持续改进基于有效的变更管理，使用六西格玛倡导的五阶段方法 DMAIC/DMADV，是对戴明环四阶段周期的延伸，包话：定义（Define）、度量（Measure）、分析（Analysis）、改进/设计（Improve/Design）、控制/验证（Control/Verify）。当第四阶段的 "改进" 替换为 "设计" ，"控制" 替换为 "验证" 时，五阶段法就从DMAIC转变为DMADV。

1.定义阶段

定义阶段的目标包括：待优化信息系统定义、核心流程定义和团队组建。

• （1）待优化信息系统定义。该活动关注定义协同的范围、优化目标和目的、系统团队成员和出资人，以及优化时间表和交付成果。可使用 "延伸目标" 概念来定义待优化的信息系统。延伸目标是那些超出当前组织结构、资源和技术可预见范围的优化目标。
• （2）核心流程定义。该活动关注定义利益干系人、投入和产出以及广泛的功能SIPOC（Supplier、Input、Process、Output Customer）分析是定义核心流程视图的首选工具。
• （3）团队组建。该活动重点关注从关键利益干系人群体中确定人员组建高能力团队，对信息系统的问题和收益达成共识。有效的团队通常限制为5~7名参与者。

2.度量阶段

度量阶段目标包括：

• （1）流程定义。流程定义通常使用流程图工具定义度量阶段的流程，以图形方式实现给定信息系统的输入、操作和输出。
• （2）指标定义。正确选择的指标将为基于数据的决策提供输入，并将成为用于描述信息系统状态的标准化和数据化的语言。
• （3）流程基线。当明确了度量指标之后，必须通过基线确定现有系统的能力，确定当前系统在多大程度上较好地满足了服务对象的要求，并验证定义阶段中确立的信息系统目标达成情况。
• （4）度量系统分析。质量始于度量。只有当质量被量化时，才能开始讨论优化和持续改进度量是根据某些规则将数值分配给被观察到的现象。良好的度量系统具备的特性包括：
  • 准确：应该产生一个 "接近" 被测筑的实际属性的数值。
  • 可重复：如果测量系统反复应用于同一物体，则产生的测量介值应彼此接近。
  • 线性：测量系统应能够在整个关注范围内产生准确和一致的结果。
  • 可重现：当任何经过适当培训的个人使用时，测量系统应产生相同的结果。
  • 稳定：应用于相同的项目时，测量系统将来应产生与过去相同的结果。

3.分析阶段

分析阶段的三个目标包括：

• （1）价值流分析。首先定义信息系统使用者眼中相关产品或服务的价值。价值也可以定义为：
  • ①组织愿意投资的系统组件；
  • ②改变信息系统形式、适合度或功能的活动；
  • ③将业务输入经信息系统转换为输出的活动。
• （2）信息系统异常的源头分析。度量阶段的信息系统异常的来源，提供了信息系统稳定（即控制中）或不稳定（即失控）的证据。对于稳定的信息系统，只有通过对系统进行根本性的更改，才能减少系统内置的常见变异原因。当系统失控时，则必须解决并消除在特定时间段内造成不稳定情况的特殊原因，重新获得稳定的过程，然后可以进行改进。在业务层面，可以分析服务对象数据，以建立服务对象满意度与用于支撑服务对象体验的信息系统组件之间的关系。
• （3）确定优化改进的驱动因素。在确定优化改进的驱动因素时，可以使用一些数学分析方法，计算确定关键驱动因素，这些数学分析方法包括相关性与回归分析、最小二乘拟合和残差分析等。

4.改进/设计阶段

改进/设计的目标包括：

①向发起人提出一个或多个解决方案；②量化每种方法的收益，就解决方案达成共识并实施。③定义新的操作/设计条件。④为向新工艺/设计提供定义和缓解故障模式。

• （1）改进/设计的解决方案推进。改进/设计阶段解决方案的部署可以缩小信息系统当前状态与所需状态之间的差距。实施的方法也必须在此阶段进行验证以确保达到并保证预期的效果。
• （2）定义新的操作/设计条件。定义阶段中引入的核心流程可用于开发新流程，还可以进行其他实验设计，以确定新信息系统或新系统中新的功能和设计所需的基础操作条件，以最大或最小化响应。
• （3）定义和缓解故障模式。了解信息系统的故陷模式使组织能够定义不同故陷的缓解策略，以最大限度地减少故陷的影响或发生。

5.控制/验证阶段

控制/验证阶段的目标包括：

• （1）标准化新程/新系统功能的操作控制要素。当信息系统得到改进，组织需要更好地控制系统，保持进一步改进的能力。管理者必须对改进形成的新方法、新系统运行进行标准化，以维待改进带来的效益。
• （2）持续验证优化的信息系统的可交付成果。组织应当将变更的系统组件信息、信息系统状态趋势等内容，对受影响的人员并展培训。当这些人员不仅了解信息系统如何变化，还应了解其产生的原因，以及可能会在未来找到进一步改进的方法。
• （3）记录经验教训。随着项目小组完成其活动，必须最终确定和保留项目文档。

4.2管理要点

国际数据管理协会（DAMA）指出，数据资源管理致力于发展和处理组织数据全生命周期的适当的构建、策略、实践和程序。数据管理框架是对组织的管理平台或者能够产生业务数据的平台产生的数据进行统一的跟踪、协调、管理的功能模型。

数据管理能力成熟度评估模型（Data Management Capability Maturity Assessment Model，DCMM）是国家标准GB/T 36073《数据管理能力成熟度评估模型》中提出的，旨在帮助组织利用先进的数据管理理念和方法，建立和评价自身数据管理能力，持续完善数据管理组织、程序和制度，充分发挥数据在促进组织向信息化、数字化、智能化发展方面的价值。

DCMM定义了数据战略、数据治理、数据架构、数据应用、数据安全、数据质量、数据标准和数据生存周期8个核心能力域。

• 数据战略：包括数据战略规划、数据战略实施和数据战略评估三个能力项
• 数据治理：包括数据治理组织、数据制度建设和数据治理沟通三个能力项
• 数据架构：包括数据模型、数据分布、数据集成与共享和元数据管理四个能力项
• 数据应用：包括数据分析、数据开放共享和数据服务三个能力项
• 数据安全：包括数据安全策略、数据安全管理和数据安全审计三个能力项
• 数据质量：包括数据质量需求、数据质量检查、数据质量分析和数据质量提升四个能力项
• 数据标准：包括业务术语、参考数据和主数据、数据元和指标数据四个能力项
• 数据生存周期：包括数据需求、数据设计和开发、数据运维和数据退役四个能力项

1.理论框架与成熟度

国内外常用的数据管理模型包括：数据管理能力成熟度模型（DCMM，GB/T36073《数据管理能力成熟度评估模型》）、数据治理框架（DGI，国际数据治理协会）、数据管理能力评价莫型（DCAM，企业数据管理协会）以及数据管理模型（DAMA-DMBOK2（数据管理知识体系指南）第2版，国际数据管理协会（DAMA）定义的模型）等。

• （1）数据管理能力成熟度模型

  DCMM将组织的管理成熟度划分为5个等级，分别是：初始级、受管理级、稳健级、量化管理级和优化级。

  • ①初始级：数据需求的管理主要是在项目级体现，没有统一的管理流程，主要是被动式管理。
  • ②受管理级：组织意识到数据是资产，根据管理策略的要求制定了管理流程，指定了相关人员进行初步管理。
  • ③稳健级：数据已被当做实现组织绩效目标的重要资产，在组织层面制定了系列的标准化管理流程，促进数据管理的规范化。
  • ④量化管理级：数据被认为是获取竞争优势的重要资源，数据管理的效率能量化分析和监控。
  • ⑤优化级：数据被认为是组织生存和发展的基础，相关管理流程能实时优化，能在行业内进行最佳实践分享。

• （2）数据治理框架

  国际数据治理协会发布了DGI数据治理框架，是组织在进行数据治理的操作层面的框架体系，为组织做出决策和采取行动的复杂活动提供的方法，此框架从组织结构、治理规则和治理过程这三个维度提出了关于数掘治理活动的10个关键通用组件，并在这些要素的基础上构建了数据治理框架。

• （3）数据管理能力评价模型

  企业数据管理协会（EDM）是制定和实施数据标准、最佳实践以及全面培训和认证项目的重要倡导者。目前最新DCAM2.2版有44个组件：

  • ①基础组件包含数据战略与业务案例、数据管理流程与资金职能域;
  • ②执行组件包含业务和数据架构、数据和技术架构、数据质链管理、数据治理职能域;
  • ③分析组件包含数据控制环谈职能域；
  • ④应用组件包含分析管理职能域。

• （4）数据管理模型

  国际数据管理协会DAMA（DAMA International）在2018年发行了DAMA-DMBOK（数据管理知识体系指南）第2版，用于指导组织的数据管理职能和数据战略的评估工作，并建议和指导刚起步的组织去实施和提升数据管理。DAMA-DMBOK2理论框架由11个数据管理职能领域和7个基本环境要素共同构成 "DAMA数据管理知识体系" ，每项数据职能领域都在7个基本环境要素约束下开展工作。

4.2.2运维管理

1.能力模型

国家标准GB/T28827.1《信息技术服务运行维护第1部分通用要求》定义了IT运维能力模型，该模型包含治理要求、运行维护服务能力体系和价值实现。

治理要求是为实现运行维护服务绩效、风险控制和服务合规性的组织目标，提出的关于最高管理层领导作用及承诺的能力体系建设要求。

**运行维护服务能力体系（MCS）**是组织依据运行维护服务方针和目标，策划并制定运行维护服务能力方案，确保组织交付的运行维护服务内容符合相关规定，并满足质量要求，对运行维护服务交付过程、结果以及运行维护服务能力体系进行监督、测量、分析和评审，以实现运行维护服务能力的持续提升。

价值实现是组织结合业务对信息系统的网络化、数字化和智能化要求，识别内部和外部用户对服务的需求或期望，定义多样化的服务场景，并通过服务能力、要素、活动的组合完成服务的提供，直接或间接地为服务需求方和利益相关者实现服务价值。

• （1）能力建设：考虑环境的内外部因素，在治理要求的指导下，根据服务场景，识别服务能力需求，围绕人员、过程、技术、资源能力四要素，策划、实施、检查和改进运行维护能力体系，向各种服务场景赋能，通过服务提供实现服务价值；并针对能力建设、人员、过程、技术、资源建立关键指标；还需要定期评价运行维护服务能力成熟度，衡量能力水平差距，以持续提升运行维护服务能力。
  • 在治理层面，最高管理层应依据组织治理目标，提出运行维护服务能力管理治理要求，以确保实现运行维护服务绩效、风险控制和服务合规性。
  • 在能力管理方面，运维能力管理是面向运维全生命周期的总体能力管控机制，分为策划、实施、检查和持续改进四个阶段。
  • 在价值实现方面，组织需要在不同的服务场景中识别服务需求，通过服务提供，满足用户需求，实现服务价值。
• （2）人员能力：组织人员能力建设聚焦在从知识、技能和经验维度选择合适的人，从人员管理和岗位职责维度明确做适合的事，目的是指导IT运维团队根据岗位职责和管理要求 "选人做事" 。
• （3）资源能力：资源能力确保IT运维能 "保障做事" 。IT运维资源是为了保证IT运维的正常交付所依存和产生的有形及无形资产。
• （4）技术能力："早发现，早解决"一直是IT运维的一个重要原则，技术作为提高效率的基本因素，其在该领域中起着至关重要的作用。从分类上来说，运维技术聚焦在发现问题的技术和解决问题的技术两大领域。
• （5）过程：组织通过过程的制定，把人员、技术和资源要素以过程为主线串接在一起，用于指导IT运维人员按约定的方式和方法，确保IT运维能 "正确做事" 。

2.智能运维

中国电子工业标准化技术协会发布的团体标准T/CESA 1172《信息技术服务智能运维通用要求》，给出了智能运维能力框架，包括组织治理、智能特征、智能运维场景实现、能力域和能力要素。组织通过场景分析、场景构建、场景交付和效果评估四个过程，基于数据管理能力域提供的高质量数据，结合分析决策能力域做出合理判断或结论，并根据需要驱动自动控制能力域执行运维操作，使运维场景具备智能特征，提升智能运维水平，实现质量可靠、安全可控、效率提升、成本降低。

• （1）能力要素。智能运维的能力要素主要包括：
  • 人员：运维团队需要熟悉IT运维领域的业务活动与流程，掌握自动化、大数据、人工智能、云计算、算法等技术，具备一定的智能运维研发能力。
  • 技术：技术通常包括统一的标准和规范、开放的基础公共资源与服务、数据与流程及服务的互联互通等。
  • 过程：智能运维定义的过程需要具备清晰界定人机界面，能够充分发挥智能化优势，实现过程优化，并考虑权限控制、风险规避。
  • 数据：运维组织需要加强数据治理，保证数据质量，规范数据接口。运维应用需要围绕数据进行采集、加工、消费，提升运维智能化水平
  • 算法：可以聚焦在异常检测、根因分析、故障预测、知识图谱、健康诊断、决策分析等方面，具备有穷性、确切性、有效性等特点。
  • 资源：组织在数据管理能力域数据服务中，对于资源管理，至少应根据不同场景要求，配置开放共享服务管理所需要的算力、带宽、存储等。
  • 知识：知识通常包括运维技术方案及方法与步骤、运维的经验沉淀、运维对象的多维度描述、运维数据的智能挖掘结果等。
• （2）能力平台。智能运维能力平台通常具备数据管理、分析决策、自动控制等能力。其中，数据管理能力用于采集、处理、存储，展示各种运维数据。
• （3）能力应用。以运维场景为中心，通过场景分析、能力构建、服务交付、迭代调优四个关键环节，可以使运维场景具备智能特征。
  • 场景分析：是指从业务或IT本身接收对新服务或改进服务的需求，场景需求分析从业务需求、用户需求以及系统需求，不同层次阶段进行不同方式、内容以及侧重点的需求调研。
  • 能力构建：是指基于运维场景分析的结果和目标要求，应用赋能平台中适合运维场景数据特点的加工处理能力、系统性设计数据的处理流程，构建符合特定运维场景需求的智能运维解决方案。
  • 服务交付：是指制订详细的交付计划，准备必要的资源，评估可能存在的风险并明确规避方案，完善交付实施过程，通过服务交付检查确保运维场景的智能特征符合策划要求。
  • 迭代调优：是指通过持续的迭代对智能运维场景的优化，确保投入符合智能运维具体场景的规划目标渐进式达成。
• （4）智能运维需具备若干智能特征，智能特征包括：
  • 能感知：指具备灵敏、准确地识别人、活动和对象的状态的特点。
  • 会描述：指具备直观友好地展现和表达运维场景中各类信息的特点。
  • 自学习：指具备积累数据、完善模型、总结规律等主动获取知识的特点。
  • 会诊断：指具备对人、活动和对象进行分析、定位、判断的特点。
  • 可决策：指具备综合分析，给出后续处置依据或解决方案的特点。
  • 自执行：指具备对已知运维场景做出自动化处置的特点。
  • 自适应：指具备自动适应环境变化，动态优化处理的特点。

4.2.3信息安全管理

1.CIA三要素

CIA三要素是保密性（Confdentiality）、完整性（Integrity）和可用性（Availability）三个词的缩写。CIA是系统安全设计的目标。保密性、完整性和可用性是信息安全最为关注的三个属性，因此这三个特性也经常被称为信息安全三元组，这也是信息安全通常所强调的目标。信息安全已经成为一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论和信息论等多种学科的综合性学科。从广义上来说，凡是涉及网络上信息的保密性、完整性、可用性、真实性和可核查性的相关技术和理论都属于信息安全的研究领域。

2.信息安全管理体系

信息系统安全管理是对一个组织机构中信息系统的生存周期全过程实施符合安全等级要求的管理，主要包括：

• ①落实安全管理机构及安全管理人员，明确角色与职责，制定安全规划；
• ②开发安全策略；
• ③实施风险管理；
• ④制订业务持续性计划和灾难恢复计划；
• ⑤选择与实施安全措施；
• ⑥保证配置、变更的正确与安全；
• ⑦进行安全审计；
• ⑧保证维护支持；
• ⑨进行监控、检查，处理安全事件；
• ⑩安全意识与安全教育；
• ⑪人员安全管理等。

3.网络安全等级保护

• （1）安全保护等级划分

  GB/T22240《信息安全技术网络安全等级保护定级指南》定义了等级保护对象，为网络安全等级保护工作直接作用的对象，主要包括信息系统、通信网络设施和数据资源等。根据等级保护对象在国家安全、经济建设、社会生活中的重要程度，以及一旦遭到破坏、丧失功能或数据被篡改、泄露、丢失、损毁后，对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的侵害程度等因素，等级保护对象的安全保护等级分为以下五级：

  • 第一级，等级保护对象受到破坏后，会对相关公民、法人和其他组织的合法权益造成损害，但不危害国家安全、社会秩序和公共利益；
  • 第二级，等级保护对象受到破坏后，会对相关公民、法人和其他组织的合法权益产生严重损害或特别严重损害，或者对社会秩序和公共利益造成危害，但不危害国家安全；
  • 第三级，等级保护对象受到破坏后，会对社会秩序和公共利益造成严重危害，或者对国家安全造成危害；
  • 第四级，等级保护对象受到破坏后，会对社会秩序和公共利益造成特别严重危害，或者对国家安全造成严重危害；
  • 第五级，等级保护对象受到破坏后，会对国家安全造成特别严重危害。

• （2）安全保护能力等级划分

  GB/T22239《信息安全技术网络安全等级保护基本要求》规定了不同级别的等级保护对象应具备的基本安全保护能力。

  • 第一级安全保护能力：应能够防护免受来自个人的、拥有很少资源的威胁源发起的恶意攻击、一般的自然灾难，以及其他相当危害程度的威胁所造成的关键资源损害，在自身遭到损害后，能够恢复部分功能。
  • 第二级安全保护能力：应能够防护免受来自外部小型组织的、拥有少量资源的威胁源发起的恶意攻击、一般的自然灾难，以及其他相当危害程度的威胁所造成的重要资源损害，能够发现重要的安全漏洞和处置安全事件，在自身遭到损害后，能够在一段时间内恢复部分功能。
  • 第三级安全保护能力：应能够在统一安全策略下防护免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难，以及其他相当程度的威胁所造成的主要资源损害，能够及时发现、监测攻击行为和处置安全事件，在自身遭到损害后，能够较快恢复绝大部分功能。
  • 第四级安全保护能力：应能够在统一安全策略下防护免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难，以及其他相当危害程度的威胁所造成的资源损害，能够及时发现、监测发现攻击行为和安全事件，在自身遭到损害后，能够迅速恢复所有功能。
  • 第五级安全保护能力：略。