第六章 管理信息系统开发的风险分析与管理

第六章风险与风险管理一、单项选择题1.在风险理念逐步转变的过程中，人们对风险观念也发生了一系列的变化，下列观点属于现代社会观念的是（）。

A.风险属于一种迷信B.风险是可预测、可度量的负面因素C.风险是可管理、可操纵的机会D.应对风险的反应有接受、责备2.国内一家公司由于业务拓展需要进军国外市场，遂打算在A国投资建厂，但经过市场调查之后，发现A国政局动荡，经常发生街头抗议等暴力事件。

该公司若进军A国面临的风险属于（）。

A.财务风险B.政治风险C.操作风险D.运营风险3.核反应堆是以可控核裂变释放能量来发电的，但是核废弃物处理可能造成一系列环境问题，该风险属于（）。

A.自然环境风险B.技术风险C.政治风险D.操作风险4.下列选项中，说法错误的是（）。

A.风险管理基本流程的第一个步骤是提出和实施风险管理解决方案B.风险评估包括风险辨识、风险分析、风险评价三个步骤C.企业内部审计部门应至少每年一次对开展的风险管理工作及工作效果进行监督评价D.制定风险管理策略的一个关键环节是企业根据不同业务特点统一确定风险偏好和风险承受度5.下列选项中，关于企业进行风险评估说法正确的是（）。

A.风险分析是指查找企业各业务单元、各项重要经营活动及其重要业务流程中有无风险，有哪些风险B.进行风险辨识、分析、评价，应将定性与定量方法相结合C.进行风险定量评估时，不能统一制定各风险的度量单位和风险度量模型D.由于风险可能涉及到企业的机密问题，所以风险评估不能聘请中介机构协助实施6.关于风险管理的监督与改进，下列说法正确的是（）。

A.企业可采用压力测试、返回测试、穿行测试以及风险控制自我评估等方法对风险管理的有效性进行检验B.企业各有关部门定期对各部门和业务单位风险管理工作的检查、检验报告应及时报送企业风险管理委员会C.企业内部审计部门应至少每年三次对包括风险管理职能部门在内的各有关部门和业务单位能否按照有关规定开展风险管理工作及其工作效果进行监督评价D.企业不可以聘请中介机构对企业全面风险管理工作进行评价7.下列关于风险应对措施中，错误的是（）。

风险分析与控制一、引言风险分析与控制是企业管理中至关重要的一环。

通过对潜在风险的识别、评估和控制，企业能够更好地应对不确定性，并保护企业的利益和稳定发展。

本文将详细介绍风险分析与控制的概念、步骤和工具，以及如何有效地实施风险管理。

二、风险分析1. 风险概念风险是指在特定条件下可能发生的不确定事件，可能对企业目标造成负面影响。

风险分为内部风险和外部风险，内部风险指企业内部因素导致的风险，如管理不善、技术故障等；外部风险指外部环境因素导致的风险，如市场变化、政策变动等。

2. 风险识别风险识别是指通过对企业内外部环境进行全面分析，确定可能存在的风险因素。

常用的风险识别工具包括SWOT分析、PESTEL分析、头脑风暴等。

通过这些工具，企业能够较为全面地了解潜在风险，并进行进一步的分析和评估。

3. 风险评估风险评估是指对已经识别的风险进行定量或者定性的评估，以确定其可能性和影响程度。

常用的风险评估方法包括风险矩阵、事件树分析、故障模式与影响分析等。

通过这些方法，企业能够对各项风险进行优先级排序，为后续的控制措施提供依据。

三、风险控制1. 风险控制策略风险控制策略是指针对不同风险采取的控制措施。

常见的风险控制策略包括风险避免、风险转移、风险减轻和风险接受。

企业应根据风险的特点和自身情况，选择适合的控制策略。

2. 风险控制计划风险控制计划是指针对各项风险制定的具体控制措施和时间表。

风险控制计划应包括风险责任人、控制方法、控制目标和控制时限等内容。

通过制定风险控制计划，企业能够有条不紊地实施风险控制措施，并及时跟踪和评估效果。

3. 风险监测与反馈风险监测与反馈是指对已经实施的风险控制措施进行监测和评估，及时发现问题并采取相应的调整措施。

企业可以通过建立风险监测指标和定期进行风险评估，实时了解风险控制的效果，并根据反馈结果进行改进和优化。

四、风险管理实施1. 风险管理团队风险管理团队是负责风险管理工作的核心团队，由各部门的代表组成。

管理信息系统（第五版）第一章信息系统和管理复习思考题参考答案或提示1.1 什么是信息？信息和数据有何区别？[答] 信息是经过加工以后、对客观世界产生影响的数据。

信息的概念不同于数据。

数据（Data，又称资料）是对客观事物记录下来的，可以鉴别的符号。

数据经过处理仍然是数据。

处理数据是为了便于更好的解释。

只有经过解释，数据才有意义，才成为信息。

同一数据，每个人的解释可能不同，其对决策的影响可能不同。

决策者利用经过处理的数据做出决策，可能取得成功，也可能得到相反的结果，这里的关键在于对数据的解释是否正确，因为不同的解释往往来自不同的背景和目的。

1.4 什么是信息技术？信息技术在哪些方面能给管理提供支持?[答] 凡可以扩展人的信息功能的技术都是信息技术，如计算机技术、通信技术、传感技术等。

通常，信息系统技术就是指计算机系统技术、通信系统技术，以及它们组成的系统的技术。

这些技术从以下几方面给管理提供支持：1. 作为工具提高数据处理、事务处理的效率；2. 支持决策过程，如决策支持系统；3. 支持战略管理，提高竞争优势；4. 作为驱动力推进管理变革，如流程重组，组织结构向扁平化发展等。

1.7 试述信息系统对人类生活与工作方式的有利和不利影响。

[答] 信息系统会改变人类的工作性质。

例如，信息系统使中下层管理人员从繁琐的事务性工作中解脱出来，使他们在工作中有更多的精力考虑管理中的重要问题，能更充分地发挥自己的作用。

他们可以在自己的终端上，通过计算机网络来获得更充分的信息，利用微型机解决要处理的问题，甚至就在家中上班；电子商务的发展使人们的消费观念和行为都发生变化，这不仅降低了交易费用和物流成本，而且进一步提高了个性化服务的水平。

另一方面，信息系统正在进一步向家庭、教育和娱乐方面渗透，这些都使人们的生活变得更加方便，更加丰富多彩。

信息系统作为一种信息收集、加工、存储、传递和提供信息的工具，和任何工具一样，有可能带来有利的一面，也可能带来不利的一面，关键在于如何使用。

银行业金融机构信息系统风险管理指引LEKIBM standardization office【IBM5AB- LEKIBMK08- LEKIBM2C】银行业金融机构信息系统风险管理指引第一章总则第一条为有效防范银行业金融机构运用信息系统进行业务处理、经营管理和内部控制过程中产生的风险，促进我国银行业安全、持续、稳健运行，根据《中华人民共和国银行业监督管理法》、国家信息安全相关要求和信息系统管理的有关法律法规，制定本指引。

第二条本指引适用于银行业金融机构。

本指引所称银行业金融机构，是指在中华人民共和国境内设立的商业银行、城市信用合作社、农村合作银行、农村信用合作社等吸收公众存款的金融机构以及政策性银行。

在中华人民共和国境内设立的金融资产管理公司、信托投资公司、财务公司、金融租赁公司、汽车金融公司以及经中国银行业监督管理委员会（以下简称银监会）及其派出机构批准设立的其他金融机构，适用本指引规定。

第三条本指引所称信息系统，是指银行业金融机构运用现代信息、通信技术集成的处理业务、经营管理和内部控制的系统。

第四条本指引所称信息系统风险，是指信息系统在规划、研发、建设、运行、维护、监控及退出过程中由于技术和管理缺陷产生的操作、法律和声誉等风险。

第五条信息系统风险管理的目标是通过建立有效的机制，实现对信息系统风险的识别、计量、评价、预警和控制，推动银行业金融机构业务创新，提高信息化水平，增强核心竞争力和可持续发展能力。

第二章机构职责第六条银行业金融机构应建立有效的信息系统风险管理架构，完善内部组织结构和工作机制，防范和控制信息系统风险。

第七条银行业金融机构应认真履行下列信息系统管理职责：（一）贯彻执行国家有关信息系统管理的法律、法规和技术标准，落实银监会相关监管要求；（二）建立有效的信息安全保障体系和内部控制规程，明确信息系统风险管理岗位责任制度，并监督落实；（三）负责组织对本机构信息系统风险进行检查、评估、分析，及时向本机构专门委员会和银监会及其派出机构报送相关的管理信息；（四）及时向银监会及其派出机构报告本机构发生的重大信息系统事故或突发事件，并按有关预案快速响应；（五）每年经董事会或其他决策机构审查后向银监会及其派出机构报送信息系统风险管理的年度报告；（六）做好本机构信息系统审计工作；（七）配合银监会及其派出机构做好信息系统风险监督检查工作，并按照监管意见进行整改；（八）组织本机构信息系统从业人员进行信息系统有关的业务、技术和安全培训；（九）开展与信息系统风险管理相关的其他工作。

中国铁路总公司网络安全管理办法第一章总则第一条为规范网络安全管理工作，促进网络安全管理规范化、系统化、科学化，全面提高铁路网络安全管理水平，依据国家有关法律法规和网络安全有关要求，制定本办法。

第二条本办法适用于中国铁路总公司（以下简称总公司）及所属各单位、各铁路公司不涉及国家秘密的信息系统及控制系统（以下统称信息系统）网络安全管理工作。

第三条本办法所称网络是指由计算机或其他信息终端及相关设备组成的，按照一定规则和程序对信息进行收集、存储、传输、交换、处理的网络和统本办法所称网络安全是指通过采取必要措施，防范对网络的攻击、入侵、干扰、破坏和非法使用以及意外事故，使网络处于稳定可靠运行的状态，以及保障网络存储、传输、处理信息的完整性、保密性、可用性的能力。

第四条总公司网络安全工作坚持“安全第一、预防为主、主动防御、综合防范、分级保护、管理与技术并重"的原则。

第二章目标和措施第五条总公司网络安全工作目标是通过保障信息系统正常运行，保证业务应用连续性和安全性，保证数据和信息的完整性、保密性、可用性，支撑总公司业务发展。

第六条建立网络安全保障体系，包括管理保障体系、技术保障体系和运维保障体系。

管理保障体系包括信息安全组织、信息安全规章制度、信息安全工作流程等。

技术保障体系包括应用安全架构、安全服务架构、基础设施安全架构等。

运维保障体系包括运行管理、安全监控、事件管理、变更管理等。

第七条全面推行网络安全风险管理。

通过增强安全风险意识、识别安全风险、完善风险管控流程、强化风险应急处置，提高网络安全风险防控能力。

第八条实行网络安全等级保护制度。

按照集中指导、属地管理原则，在总公司统一指导下，各单位分别组织开展信息系统定级、备案、测评、整改工作。

第九条网络安全防护措施应与系统同步规划、同步建设、同步使用。

第三章管理职责第十条总公司信息化领导小组统一领导网络安全工作，负责贯彻落实中央和国家网络安全有关法规与政策，对总公司网络安全重大事项作出决策。

《管理信息系统》名词解释第一章管理信息系统概论1.信息：指加工以后对人们的活动产生影响的数据。

2.数据：是对客观事物的性质、状态以及相互关系等进行记载的符号。

3.物流：物品从供给地向接受地的实体流动过程。

4.资金流：是以货币的形式反映企业经营状况的主要形式。

5.事物流：是指企业在处理内部或外部活动中产生各种经营管理行为，这些行为的过程构成了事物流。

6.信息流：是指除去物流、资金流和事物流的物理内容外的信息的流动过程。

7.管理信息：是对企业生产经营活动中的原始数据经过加工处理、分析解释、明确意义后所产生的对管理决策产生影响的信息。

8.企业外部信息：又称外源信息，是从企业外部环境传输到企业的各种信息。

9.企业内部信息：又称内源信息，是企业生产经营活动中产生的各种信息。

10.常规性信息：又称固定信息，指反映企业正常的生产经营活动状况，在一定时期内按统一程序或格式重复出现和使用，而不发生根本性变化的信息。

11.偶然性信息：又称突发性信息，是反映企业非正常事件的无统一规定或格式的非定期信息。

12.信息化：是指国民经济各部门和社会活动各领域普遍采用信息技术，利用信息资源，使得人们能在任何时间、任何地点，通过各种媒体，使用和传递所需信息，以提高工作效率、促进现代化的发展、提高人民生活质量、增强国力的过程。

13.企业信息化：是指企业利用现代的信息技术，通过对信息资源的深度开发和广泛利用，不断提高生产、经营、管理、决策的效率和水平，提高企业经济效益和企业竞争力的过程。

14.系统：是由相互作用和相互依赖的若干组成部分，为了某些目标结合而成的有机整体。

15.分解方法：把被研究的对象和问题分解成许多人们可以容易处理和理解的细小部分，并通过对这些被分解的部分进行研究来获得对整体的了解和把握，这种处理方法就是分解方法。

16.系统方法：考虑系统的整体性，考虑系统组成部分的内部关系和协同关系，这样的方法叫系统方法。

17.信息系统：是以计算机、网络及其它信息技术为核心，为实现某些系统目标，对信息资源进行处理的信息。

广东省高等教育自学考试现代企业管理信息系统（课程代码：08816）考试大纲(新版)目录Ⅰ课程性质与设置目的的要求Ⅱ课程内容与考核目标第一章管理信息系统导论一、学习目的与要求二、考试内容三、考核知识点四、考核要求第二章管理信息系统与信息技术一、学习目的与要求二、考试内容三、考核知识点四、考核要求第三章管理信息系统与组织、管理和战略一、学习目的与要求二、考试内容三、考核知识点四、考核要求第四章管理信息系统的开发方法一、学习目的与要求二、考试内容三、考核知识点四、考核要求第五章管理信息系统的系统规划一、学习目的与要求二、考试内容三、考核知识点四、考核要求第六章管理信息系统的系统分析一、学习目的与要求二、考试内容三、考核知识点四、考核要求第七章管理信息系统的系统设计一、学习目的与要求二、考试内容三、考核知识点四、考核要求第八章管理信息系统的系统实施一、学习目的与要求二、考试内容三、考核知识点四、考核要求第九章管理信息系统运行、维护与管理一、学习目的与要求二、考试内容三、考核知识点四、考核要求第十章管理信息系统的应用与发展一、学习目的与要求二、考试内容三、考核知识点四、考核要求第十一章案例分析一、学习目的与要求二、考试内容三、考核知识点四、考核要求Ⅲ有关说明与实施要求一、本课程的性质及其在专业考试计中的地位二、本课程考试的总体要求三、关于自学教材四、自学方法指导五、关于命题考试的若干要求附录：题型举例(选择其中的五种题型)Ⅰ课程性质与设置目的的要求管理信息系统是广东省高等教育自学考试现代企业管理（独立本科段）的专业必考的专业课，是为了培养和检验自学应考者有关现代企业管理信息系统的基本原理、基本知识与基本技能而设置的一门专业课。

管理信息系统是以企业、事业单位的管理信息系统为主要研究对象的课程，它具有综合性、科学性、实践性、系统性与指导性的特点，是培养现代企业管理人才的基础性课程。

设置本课程的目的是：使自学应考者能够较全面、系统地学习管理信息系统的基本知识、基本原理和基本技能，掌握现代企业管理信息系统的基本技能和方法，培养和提高自学应考者正确分析和解决目前企业管理信息系统的问题的能力，提高企业管理信息系统的效率，以适应企业提高竞争力的需要。

信息系统项目的风险管理探讨摘要：信息系统项目风险管理是信息系统管理中的重要内容，是企业运营管理的有效手段，可以为企业提供决策支持。

信息系统项目风险具有多样性、隐蔽性、复杂性等特征，这要求我们积极的对风险进行定性和定量分析，通过动态的监控，保证风险管理顺利进行。

本文主要分析了信息系统的项目风险管理的相关定义内容，并对信息系统项目的风险管理操作步骤进行了简要的叙述。

关键词：信息系统项目；风险管理；探讨中图分类号：tp393.07信息系统项目的风险管理是当今企业关注的一个重点、难点问题，与此同时，信息系统项目风险管理给信息系统项目管理工作提供了一条新的思路和一个新的方法。

项目风险管理工作重心是对项目目标的主动控制，将项目在实现过程中的风险和相关的干扰因素进行监控、管理，降低风险作用范围，降低和避免损失，保证项目的效率和效益最大化。

企业信息系统项目在建设和运营是一个多变、动态、复杂、开放的过程，其面临的风险也日益突出，加强对信息系统项目风险管理迫在眉睫。

1 企业信息系统和风险管理的定义所谓的企业信息系统是指企业中由人、计算机等组成的能够对信息进行收集、存贮、加工、传递、使用以及维护的系统[1]。

项目风险管理，是项目管理层及相关工作人员在整个项目工程的生命周期内，对项目存在风险进行识别、评价并且采取相关的管理措施进行有效控制的活动。

信息系统是一个多变、动态、复杂、开放的系统，其面临的风险也较为的复杂和多变，例如，出现项目实现时间多于计划时间，费用高于计划费用，相关系统的运行性能低于计划性能等等。

这些问题的存在，必然要求对其进行风险管理。

信息系统项目的风险管理是降低信息系统项目失误或者失败可能性的主要手段，企业的风险管理工作对项目的成本降低也有重要作用。

2 信息系统项目风险管理的相关操作步骤信息系统项目因其开发存在的开放性和复杂性等特点，其风险管理即便进行了详细的计划、科学的分析，也依然会存在难以避免的突发情况。

关于印发《中央企业全面风险管理指引》的通知国资发改革[2006]108号颁布日期：20060606 实施日期：20060606 颁布单位：国务院国有资产监督管理委员会第一章总则第二章风险管理初始信息第三章风险评估第四章风险管理策略第五章风险管理解决方案第六章风险管理的监督与改进第七章风险管理组织体系第八章风险管理信息系统第九章风险管理文化第十章附则各中央企业：企业全面风险管理是一项十分重要的工作，关系到国有资产保值增值和企业持续、健康、稳定发展。

为了指导企业开展全面风险管理工作，进一步提高企业管理水平，增强企业竞争力，促进企业稳步发展，我们制定了《中央企业全面风险管理指引》，现印发你们，请结合本企业实际执行。

企业在实施过程中的经验、做法及遇到的问题，请及时反馈我委。

国务院国有资产监督管理委员会二○○六年六月六日中央企业全面风险管理指引第一章总则第一条为指导国务院国有资产监督管理委员会（以下简称国资委）履行出资人职责的企业（以下简称中央企业）开展全面风险管理工作，增强企业竞争力，提高投资回报，促进企业持续、健康、稳定发展，根据《中华人民共和国公司法》、《企业国有资产监督管理暂行条例》等法律法规，制定本指引。

第二条中央企业根据自身实际情况贯彻执行本指引。

中央企业中的国有独资公司董事会负责督导本指引的实施；国有控股企业由国资委和国资委提名的董事通过股东（大）会和董事会按照法定程序负责督导本指引的实施。

第三条本指引所称企业风险，指未来的不确定性对企业实现其经营目标的影响。

企业风险一般可分为战略风险、财务风险、市场风险、运营风险、法律风险等；也可以能否为企业带来盈利等机会为标志，将风险分为纯粹风险（只有带来损失一种可能性）和机会风险（带来损失和盈利的可能性并存）。

第四条本指引所称全面风险管理，指企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。

信息系统风险管理与控制随着信息技术的不断发展，企业的信息系统已经成为其运营的核心。

然而，随之带来的是信息系统风险的不断增加。

今天我们将探讨信息系统风险管理与控制，以及实施信息系统风险管理与控制的实际用例。

一、信息系统风险管理信息系统风险管理是指通过对信息系统进行全面评估和分析，确定信息系统可能存在的风险类型、风险指标、风险评估等，以及采取相应的措施来减轻或消除风险。

信息系统风险管理目的在于提供资源和方法来防止、检测和响应信息系统风险的发生。

为了更好地管理信息系统风险，可按以下步骤进行：1.确定信息系统风险和控制目标：在做风险管理之前，需要先了解信息系统的具体运作和风险点。

2.评估风险和实施控制措施：评估系统中的风险程度以及其影响因素，制定相应的防控措施。

3.监测和审核：监测和记录系统的动态情况，保证防控措施有效并及时发现问题。

4.更新和改进控制措施：及时对信息系统风险控制措施进行适当的更新和改进，以便更好地适应不断变化的风险环境。

二、信息系统风险控制信息系统风险控制是控制因信息系统的不合理或不稳定的运行而可能带来的各种风险。

其重点任务是监督信息系统运行，及时发现和解决可能导致影响信息安全的因素，保障系统运行的稳定性和安全性。

信息系统的风险控制措施可从以下几个方面考虑：1.系统设计：合理的系统设计能有效降低信息系统的风险。

2.物理环境：建设安全的服务器机房、选择合适的设备以及监控等都可以减轻风险。

3.网络安全：通过网络安全技术和工具来防御网络攻击，提升系统安全防范能力。

4.数据备份与恢复：采用数据备份和恢复技术，确保在数据遗失或出现故障情况下能够快速恢复系统。

5.培训和督促：加强信息系统管理者的安全意识和知识，且保证从事本领域的人员都按照规定行事。

三、实际用例分析小明公司是一家科技型公司，其信息系统已经成为公司运营的核心组成部分。

由于未能有效实施信息系统风险管理与控制措施，该公司面临了许多风险问题。

第六章操作风险管理第一节操作风险识别考点1操作风险特征和分类（一）操作风险特征操作风险与信用风险、市场风险相比，具有以下特点。

1.具体性2.分散性3.差异性4.复杂性5.内生性6.转化性（二）操作风险分类1.基于损失发生原因的分类从操作风险的定义来看，操作风险的产生可分为人员因素、内部流程、系统缺陷和外部事件四大原因，表现形式主要有:员工方面表现为职员欺诈、失职违规、违反用工法律等;内部流程方面表现为流程不健全、流程执行失败、控制和报告不力、文件或合同缺陷、担保品管理不当、产品服务缺陷、泄密、与客户纠纷等;系统方面表现为信息科技系统和一般配套设备不完善;外部事件方面表现为外部欺诈、自然灾害、交通事故、外包商不履责等。

2.基于损失事件类型的分类（1）内部欺诈事件。

指故意骗取、盗用财产或违反监管规章、法律或公司政策导致的损失事件、此类事件至少涉及内部一方，但不包括歧视及差别待遇事件。

（2）外部欺诈事件。

指第三方故意骗取、盗用、抢劫财产、伪造要件、攻击商业银行信息科技系统或逃避法律监管导致的损失事件。

（3）就业制度和工作场所安全事件。

指违反就业、健康或安全方面的法律或协议，个人工伤赔付或者因歧视及差别待遇导致的损失事件。

（4）客户、产品和业务活动事件。

指因未按有关规定造成未对特定客户履行分内义务（如诚信责任和适当性要求）或产品性质或设计缺陷导致的损失事件。

（5）实物资产的损坏。

指因自然灾害或其他事件（如恐怖袭击）导致实物资产丢失或毁坏的损失事件。

（6）信息科技系统事件。

指因信息科技系统生产运行、应用开发、安全管理以及由于软件产品、硬件设备、服务提供商等第三方因素，造成系统无法正常办理业务或系统速度异常所导致的损失事件。

（7）执行、交割和流程管理事件。

指因交易处理或流程管理失败，以及与交易对手方、外部供应商及销售商发生纠纷导致的损失事件。

需要注意的是，一起操作风险损失事件，可能涉及多个损失事件类型，如内外勾结作案形成的操作风险损失就涉及内部欺诈事件、外部欺诈事件两个事件类型。

第28卷第3期2008年6月惠州学院学报(自然科学版)JOURNAL OF HU I Z HOU UN I V ERSI TY Vol 1281No 13Jun 12008收稿日期:2008-01-08作者简介:林群霞(1982-),女,广东紫金人,助教,情报学硕士,研究方向为竞争情报、数字图书馆、信息分析。

信息系统开发过程中的风险控制林群霞1,黎小平2(11惠州学院　数学系,广东　惠州　516007;21江西财经职业学院,江西　九江　332000) 摘　要:文章首先对现在的信息系统的安全性进行整体分析,指出信息系统存在的各类风险。

进而论证在信息系统的风险控制要实施于系统的整个生命周期,并详细分析在不同的信息系统开发阶段中,采取不同的风险分析与控制,目的是提高信息系统开发的效率与质量,节省人力物力,促进软件开发的发展。

关键词:信息系统;信息安全;风险控制中图分类号:TP14 文献标识码:A 文章编号:1671-5934(2007)03-0076-04在网络时代,信息系统就像现在的房子一样,随时可能受到攻击,同样需要各种措施以防止非法入侵。

然而有个重要的问题就是,如果是等房子建好了,装修好,再加入预防措施,那最后房子已经不是你想的那样了,可能毁了它的美感,它的方便性,使你无法舒适的住进去。

信息系统是为帮助人们处理、储存信息的工具。

如果是先把系统设计好了,再去考虑它的安全性问题,这将会破坏整个系统的完整性,很可能因为时常需要修修补补给用户带来极大的麻烦。

所以在整个系统的开发过程中,在经过规划、设计、维护等阶段组成的信息系统生命周期,都要有很强的安全意识和进行一定的风险控制。

1　安全意识与风险控制信息系统项目的开发,其成败很多时候不在与技术问题,而是在与管理问题。

在许多的信息系统开发失败的教训中我们经常看到,其失败的主要原因、关键原因、最终原因都是在管理上出的问题。

其中风险管理是管理上的一个重要环节。

商业银行信息科技风险管理指引第一章总则 (2)第二章信息科技治理 (3)第三章信息科技风险管理 (7)第四章信息安全 (10)第五章信息系统开发、测试和维护 (16)第六章信息科技运行 (19)第七章业务连续性管理 (21)第八章外包 (23)第九章内部审计 (27)第十章外部审计 (28)第十一章附则 (29)第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。

第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。

政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。

第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。

第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。

第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引的贯彻落实。

第七条商业银行的董事会应履行以下信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。

（二）审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。

论信息系统的风险管理近年来随着人们对生活环境要求的不断提升，国家不断加大对治理和保护水环境的要求和力度。

2019年6月，公司中标了某市水文局发布的《某某河流水环境智能检测模拟预警平台》项目（以下简称智能水环境系统），我参与该项目的前期调研分析、可行性研究、前景论证工作以及项目投标，在项目管理办公室发布的项目章程汇总我被任命为项目经理。

该项目作为本市五年计划的重点项目，作为智慧城市建设的组成部分，投资金额为800万元，建设工期为18个月。

该项目通过对河流流域和水体的水环境进行实时监控和指标采集，利用建立的人工智能模型对重大污染和洪水等自然灾害进行提前预警，生成评估报告和专家建议等。

其主要原理是通过物联网的传感器获取数据，由4G/5G无线网络传输数据至云端，利用数据仓库技术进行计算和存储；然后经过大数据技术和智能模拟仿真平台进行模拟和分析，得出事物的现状和发展的规律并及时预测未来重大问题和灾害，可以为政府管理部门提供河流的实时水质水文指标数据和预测模拟情景，为社会的生产生活提供更加有效的服务。

该项目主要采用java和Python语言，运用了SpringCloud,HBase,Spark,Kafka,百度Paddle等技术，应政府国产化要求要求，承载部分采用金蝶中间件，综合管理功能部分数据库采用人大金仓数据库KingBaseESV8，采用集群分布式技术部署在政务云服务器Linux操作系统上。

该项目作为某市重点项目公开招标，受到社会多方面关注，时间紧任务重社会影响打的特点，经公司同意，我组建了项目型团队，经过和专家团队讨论，预计该项目需要人力资源约为18人，其中需求分析3人，开发小组7人，测试小组3人，质量控制小组2人，实施小2人，配置管理1人，每个小组组长直接向我汇报。

之后我们共同制定了责任分配表格，将任务分配到具体成员。

该河流总长度约90公里，流域面积约2500平方公里，涉及干系人众多。

需求、沟通、技术等制约因素较多，且根据物联网项目的建设经验，涉及到的相关部门和人员较多，风险因素较多。