系统集成信息化管理师 (中国信息系统管理师)

软考职称-考前冲刺-第 5 讲 第 3 章 信息系统治理 一、IT 治理的内涵 信息系统治理（IT 治理）是组织开展信息技术及其应用活动的重要管控手段。

 IT 治理由 组织治理层或高级管理层 负责  IT 治理强调 数字目标 与 组织战略 目标保持一致  IT 治理是一种 制度和机制  IT 治理的组成部分包括 管理层、组织结构、制度、流程、人员、技术 等多个方面  IT 治理主要目标： 与业务目标一致、有效利用信息与数据资源、风险管理  IT 治理的管理层次： 最高管理层、执行管理层、业务与服务执行层  IT 治理任务 ：全局统筹、价值导向、机制保障、创新发展、文化助推 二、IT 治理体系的具体构成

三、IT 治理核心内容 （1）组织职责：明确组织信息部门和业务部门之间的关系和责任，正确划分信息系统的所有者、建设者、管理者和监控者。

（2）战略匹配：是使组织的 IT 建设与 组织战略 相匹配。

（3）资源管理：主要功能是确保用户对组织的应用系统和基础设施都有良好的理解和应用。

（4）价值交付：通过对 IT 项目全生命周期的管理，确保 IT 能够按照组织战略实现预期的业务价值。 价值交付即是创造业务价值。

（5）风险管理：是确保 IT 资产的安全和灾难的恢复、组织信息资源的安全以及人员的隐私安全。 风险管理即是保护业务价值。

（6）绩效管理：主要是追踪和监视 IT 战略、IT 项目的实施、信息资源的使用、IT 服务的提供以及业务流程的绩效。

四、IT 审计基础 IT 审计是根据 IT 审计标准的要求，对信息系统及相关的 IT 内部控制和流程进行检查、评价，并发表审计意见。

1.IT 审计风险 （1）固有风险 IT 活动 不存在相关控制的情况下 ，易于导致重大错误的风险。

可从 IT 组织 层面控制 、 一般控制 及 应用控制 三个方面分析固有风险。

 固有风险是 IT 活动本身所具有的，审计人员只能评估，却无法控制或影响它；固有风险的衡量是主 观的、复杂的，不同的 IT 活动其固有风险水平不同 （2）控制风险

指与 IT 活动相关的 内部控制体系 不能及时预防或检查出存在的重大错误的风险。

可从 IT 组织层面控制、一般控制及应用控制三个方面分析控制风险。

 与内部控制制度执行的有效性有关，与审计无关，属于内部控制的范畴，审计人员只能评估其风险水 平而不能对其实施控制和影响 （3）检查风险 检查风险是指通过预定的审计程序 未能发现重大 、单个或与其他错误相结合的风险。

影响检查风险的因素： 由于 IT 审计规范不完善、审计人员自身或者技术原因等造成影响审计测试正确性的各种因素。

（4）总体审计风险 针对单个控制目标所产生的各类审计风险总和。

2.IT 审计方法 （1）访谈法 通过访谈人和受访人面对面地交谈来了解被审计对象的信息。根据访谈进程的结构化程度：  结构型访谈、非结构型访谈 （2）调查法 为了达到预期目的，在制订调研计划的基础上，通过书面或口头回答问题的方式收集研究对象的相关资料，并做出分析、综合，得到某一结论的研究方法。

（3）检查法 审计人员对被审计单位内部或外部生成的记录和文件（如纸质、电子或其他介质形式存在的资料）进行审查，或对资产进行实物审查。

从技术层面分为： 审阅法、核对法、复算法和分析法 （4）观察法 审计人员到被审计单位的经营场所及其他有关场所进行实地察看，来证实审计事项的一种方法。可以比较准确地获得审计项目如何运行的信息，适用于正在进行中的审计事项。

（5）测试法 通过测试来评估程序的质量是一项常用的审计技术。

 黑盒法测试 程序看成黑盒子，完全不考虑其内部结构和处理过程，只检查程序的功能是否符合它的需求规格说明。

 白盒法测试 通过测试来检测产品内部动作是否按照规格说明书的规定正常进行，按照程序内部的结构测试程序，检验程序中的每条通路是否都能按预定要求正确工作，主要用于软件验证。

（6）程序代码检查法 对被审程序的指令逐条加以审查，以验证程序的合法性、完整性和程序逻辑的正确性，审计人员可使用代码静态扫描工具进行程序代码的检查。

3.IT 审计技术 （1）风险评估技术  风险 识别 技术 用以识别可能影响一个或多个目标的不确定性，包括德尔菲法、头脑风暴法、检查表法、SWOT 技术及图解技术等。

 风险 分析 技术 是对风险影响和后果进行评价和估量，包括定性分析和定量分析。

 风险 评价 技术

在风险分析的基础上，通过相应的指标体系和评价标准，对风险程度进行划分，以揭示影响成败的关键风险因素，包括单因素风险评价和总体风险评价。

 风险 应对 技术 IT 技术体系中为特定风险制定的应对技术方案，包括云计算、冗余链路、冗余资源、系统弹性伸缩、两地三中心灾备、业务熔断限流等。

（2）审计抽样技术  统计抽样 ①属性抽样 固定样本量属性抽样或频率估计抽样——用于估计总体中某种特性（属性）的发生比率（百分率）的抽样方法，属性抽样回答“有多少？”的问题。可被测试的属性的一个例子是计算机访问申请表上的批准签字。

②变量抽样 变量抽样也称为金额估计抽样或平均值估计抽样，是一种由样本估计总体的货币金额或其他度量单位（如重量）的抽样技术，变量抽样的一个例子是检查组织重要交易的余额表及对生成余额表的程序实施的应用系统审计。

 非统计抽样 非统计抽样常指判断抽样：采用审计人员判断来确定抽样方法、样本量（从总体中抽取的一定数量的事项以执行测试）及抽样标准（选择哪一些事项用于测试）。

（3）计算机辅助审计技术 计算机辅助审计（CAAT），也称为利用计算机审计。CAAT 包括多种工具和技术，如通用审计软件（GAS）、测试数据、实用工具软件、专家系统等。

（4）大数据审计技术  大数据智能分析技术  大数据可视化分析技术  大数据多数据源综合分析技术 4.IT 审计证据 审计证据是指由审计机构和审计人员获取，用于确定所审计实体或数据是否遵循既定标准或目标，形成审计结论的证明材料。

5.IT 审计底稿 审计工作底稿是审计证据的 载体 ，是审计人员在审计过程中形成的审计工作记录和获取的资料。它形成于审计过程，也反映整个审计过程。

五、审计流程 审计流程是指审计人员在具体审计过程中采取的行动和步骤。科学、规范的审计流程不但是分配审计工作的具体依据，还是控制审计工作的有效工具。

 一般分为 审计准备、审计实施、审计终结 及 后续审计 四个阶段 第 4 章 信息系统管理 【管理方法】 信息系统包括四个要素：  人员、技术、流程、数据 信息系统管理覆盖四大领域：  规划和组织、设计和实施、运维和服务、优化和持续改进一、规划和组织 1.规划模型  信息系*战统**略三角图

2.组织模型 （1）业务战略  总成本领先战略 组织的目标是成为市场上成本最低的生产者。通常，一个行业中只存在一个成本引领者； 差异性战略 组织通过差异化，以一种在市场上显得独特的方式，定义其产品或服务；  专注化战略 组织将其范围限制在更狭窄的细分市场，并为该组客户对象量身定制其产品。

（2）组织机制战略 组织机制战略本质上需要回答“组织将如何构建以实现其目标并实施其业务战略”这一问题。

莱维特钻石模型图 （3）信息系*战统**略  信息系统 战略 是组织用来提供信息服务的 计划 。  信息系统 支撑 组织实施其业务 战略。

 信息系统帮助确定组织的能力。

二、设计和实施 1.设计方法

2.架构模式 （1）集中式架构（主机架构） 大型中央计算机系统处理系统的所有功能，计算机位于数据中心，并由 IT 部门直接管理。

 业务本身高度集中、系统易于管理、所有功能都同在同一个地方 （2）分布式架构（基于服务器的架构） 运行业务所需的计算能力分散在许多设备中。设备具有足够的处理能力来执行所需的许多服务，并根据数据和专用服务的需要连接中央服务器。

 业务主要是非集中化的时候、当担心可伸缩性时 （3）面向服务的架构（基于 Web 的架构） 在被称为编排的过程中，将较大的软件程序分解为 相互连接的服务 。这些服务可从互联网上的一系列供应商处获得，而应用程序则是这些服务链接在一起形成的组合。

 当希望系统成为敏捷架构、可重用性和组件化利于创造新应用、当业务对新应用和快速设计迭代要求 较高时 三、运维和服务 信息系统的运维和服务包括：运行管理和控制、IT 服务管理、运行与监控、终端侧管理、程序库管理、安全管理、介质控制和数据管理等。

（1）运行管理和控制 管理层 最终负责信息系统运行团队发生的所有活动。

信息系统运行的管理控制包括：  过程开发、过程管理、标准制定、资源分配 （2）IT 服务管理

四、优化和持续改进

四阶段（戴明环）  计划（Plan）  执行（Do）  检查（Check）  处理（Act） 五阶段（DMAIC）  定义（Define）  度量（Measure）  分析（Analysis）  改进/设计（Improve/Design）  控制/验证（Control/Verify）

【数据管理能力成熟度模型】

一、理论框架与成熟度

二、数据管理能力成熟度模型（DCMM）

1.数据管理能力模型级别

2.数据管理能力模型

【运维管理】 一、运维能力模型 1.人员能力（选人做事） 运维人员类型：  管理类：负责运维的组织管理  技术类：负责运维技术建设以及运维活动中的技术决策等  操作类：负责运维活动的执行等 2.资源能力（保障做事） 3.技术能力（高效做事）  “早发现，早解决”一直是 IT 运维的一个重要原则 4.过程（正确做事）  组织通过过程的制定，把人员、技术和资源要素以过程为主线串接在一起，用于指导 IT 运维人员按 约定的方式和方法 【信息安全管理】 一、系统安全设计的目标（CIA）  保密性（Confidentiality）  完整性（Integrity）  可用性（Availability） 二、信息安全保护等级 信息系统受到破坏后： 第一级，对 公民、法人和其他组织 的合法权益造成损害； 第二级，对公民、法人和其他组织的合法权益造成严重损害，对 社会秩序和公共利益 造成损害； 第三级，对社会秩序和公共利益造成严重损害，对 国家安全 造成损害； 第四级，对社会秩序和公共利益造成特别严重损害，对国家安全造成 严重损害 ； 第五级，对国家安全造成 特别严重损害 。

三、安全保护能力等级 第一级，应能够防护免受来自 个人 的、拥有很少资源的威胁源发起的恶意攻击，造成的 关键 资源损害，能恢复； 第二级，应能够防护免受来自 外部小型组织 的、拥有少量资源的威胁源发起的恶意攻击，造成的 重要 资源损害，能恢复； 第三级，应能够在统一安全策略下防护免受来自 外部有组织的团队 、拥有 较为丰富 资源的威胁源发起的恶意攻击，造成 主要 资源损害，能恢复； 第四级，应能够在统一安全策略下防护免受来自 国家级别的 、敌对组织、拥有丰富资源的威胁源发起的恶意攻击，造成 资源 损害，能恢复。