論信息系統(tǒng)應(yīng)用與運維管理風(fēng)險

大連工業(yè)大學(xué)藝術(shù)與信息工程學(xué)院 王澤宇

中國的信息化建設(shè)的迅猛發(fā)展，政府機關(guān)、企事業(yè)單位、學(xué)校等，幾乎都全部依托于信息系統(tǒng)進行日常辦公管理和業(yè)務(wù)管理，因此信息系統(tǒng)運行的穩(wěn)定性和信息的安全對于這些單位來說就顯得特別重要。特別是對于一些大中型單位，信息設(shè)備和信息系統(tǒng)復(fù)雜多樣，單靠人工管理他們的運行和維護情況已不可能，這樣就需要一套切合實際的信息運維系統(tǒng)來輔助單位信息中心進行自動化管理。

信息系統(tǒng)應(yīng)用是以人為主導(dǎo)利用數(shù)據(jù)中心環(huán)境、IT硬件設(shè)備、網(wǎng)絡(luò)線路、網(wǎng)絡(luò) 安全設(shè)施、基礎(chǔ)軟件、云平臺及其服務(wù)、終端設(shè)備及其他辦公設(shè)備進行的信息收集、傳輸、加工、儲存、更新、維護的系統(tǒng)。完善的信息管理系統(tǒng)與運維管理的過程是企業(yè)管理重要組成部分。

1 信息系統(tǒng)應(yīng)用管理內(nèi)容、具體措施

信息系統(tǒng)應(yīng)用管理是指為保證信息系統(tǒng)應(yīng)用效果和順利運行而采取的管理措施，主要包括：模塊化信息建設(shè)、規(guī)范應(yīng)用管理、深化應(yīng)用管理。

（1）模塊化信息建設(shè)：信息系統(tǒng)上線前，模塊化信息建設(shè)是對各個業(yè)務(wù)口需要的信息資源進行統(tǒng)一管理、各系統(tǒng)設(shè)計，保持標(biāo)準(zhǔn)和口徑一致、信息共享。涉及到客戶生產(chǎn)經(jīng)營的方方面面。從企業(yè)運營的最基層開始制定培訓(xùn)計劃、培訓(xùn)方案，編寫培訓(xùn)手冊并組織培訓(xùn)；培訓(xùn)完成后，對培訓(xùn)質(zhì)量和效果進行評估，這樣才能將信息化系統(tǒng)發(fā)揮出最大效能。

（2）規(guī)范應(yīng)用管理：信息系統(tǒng)上線運行，開始相關(guān)業(yè)務(wù)環(huán)節(jié)納入信息系統(tǒng)中執(zhí)行，業(yè)務(wù)數(shù)據(jù)納入信息系統(tǒng)管理，并保證系根據(jù)業(yè)務(wù)主管部門組織做好日常應(yīng)用管理工作。主要包括系統(tǒng)賬號權(quán)限配置、系統(tǒng)版本發(fā)布、審核賬號權(quán)限，檢查業(yè)務(wù)數(shù)據(jù)有效性，組織應(yīng)用培訓(xùn)、交流和應(yīng)急演練，保證業(yè)務(wù)的連續(xù)性。

（3）深化應(yīng)用管理：通過深化應(yīng)用的管理提升，來保證業(yè)務(wù)需要。協(xié)調(diào)好內(nèi)部各部門的運作，降低管理風(fēng)險。做好數(shù)據(jù)的維護記錄。IT部檢查信息系統(tǒng)培訓(xùn)記錄。根據(jù)業(yè)務(wù)實際需要提出需求，IT部從流程、人員、技術(shù)等對應(yīng)用的合理性、合規(guī)性、相關(guān)風(fēng)險、影響范圍等方面對需求進行評估。通過規(guī)范的應(yīng)用管理達(dá)到用戶的運行目標(biāo)和管理需求。

2 信息系統(tǒng)應(yīng)用與運維管理的現(xiàn)狀

建數(shù)據(jù)庫，到系統(tǒng)上線，上線之后還有運維，是一些緊急的工作。如果不及時處理則無法保證系統(tǒng)安全性、可靠性、穩(wěn)定性，存在系統(tǒng)安全及應(yīng)用風(fēng)險。

信息系統(tǒng)應(yīng)用與運維管理過程中主要會出現(xiàn)的問題：信息系統(tǒng)應(yīng)用、運行維護機制不健全，系統(tǒng)功能不能充分利用，造成資源浪費，系統(tǒng)故障或問題處理不及時，影響正常生產(chǎn)經(jīng)營。主要原因是，系統(tǒng)上線前運維保證體系不健全，運維責(zé)任不落實，系統(tǒng)安全及應(yīng)用問題無法得到及時解決，導(dǎo)致信息系統(tǒng)運行及業(yè)務(wù)風(fēng)險。措施：按規(guī)定對信息系統(tǒng)進行安全測試、確保安全測試材料齊全，信息系統(tǒng)安全保護功能和措施有效性要驗證、杜絕存在安全漏洞，上線后引發(fā)系統(tǒng)安全事件。

運維規(guī)范缺失及執(zhí)行問題。未建立健全信息系統(tǒng)日常運行維護管理規(guī)范，運維工作內(nèi)容不明確、崗位職責(zé)不落實，或執(zhí)行不到位，系統(tǒng)發(fā)生故障時無法及時發(fā)現(xiàn)問題和處理問題，影響正常業(yè)務(wù)。措施：信息化管理部門須分別設(shè)置網(wǎng)絡(luò)管理員、安全管理員，明確網(wǎng)絡(luò)管理員、安全管理員崗位職責(zé)及系統(tǒng)權(quán)限。網(wǎng)絡(luò)管理員及安全管理員應(yīng)由不同人員擔(dān)任，確保不相容崗位有效分離。建立一套科學(xué)考核獎管理制度如運維法、應(yīng)急處預(yù)案、以保障運維體系切實發(fā)揮其高效性。運維管理人員有序地進行維護，減少運維中人為因素，更有效地提高工作管理水平。

運維合同問題。未與運維商簽訂運維外包協(xié)議或協(xié)議簽訂條款不當(dāng)，導(dǎo)致服務(wù)質(zhì)量不能持續(xù)滿足公司的業(yè)務(wù)需要，影響業(yè)務(wù)處理的效率和有效性，甚至損害公司的利益。措施：站在公司管理角度上考慮，再與運維服務(wù)商簽訂服務(wù)水平協(xié)議（SLA），必須明確 服務(wù)內(nèi)容、服務(wù)水平；每年進行服務(wù)水平協(xié)議（SLA）評價；簽訂保密協(xié)議和網(wǎng)絡(luò)安全責(zé)任書，明確安全保密要求，確保敏感信息不外泄。應(yīng)組織運維服務(wù)商做好日常技術(shù)維管理工作。主要包括服務(wù)受理、事件處、問題跟蹤處優(yōu)，數(shù)據(jù)備份與復(fù)、系統(tǒng)升級、元余切換與恢復(fù)性則試、現(xiàn)場術(shù)支持、重點時期分級保障和配套值班等。組織信息作倒會，協(xié)調(diào)解決重大運維事項。

運維資料管理風(fēng)險問題。信息系統(tǒng)、網(wǎng)絡(luò)、服務(wù)器等基礎(chǔ)設(shè)施運維及技術(shù)資料缺失，導(dǎo)致信息系統(tǒng)或基礎(chǔ)設(shè)施的維護缺乏配置參數(shù)、技術(shù)資料等重要依據(jù)。措施：匯總系統(tǒng)運行總體情況、故障次數(shù)、重大事件處置情況、運維隊伍情況、留存年度運維報告報信息和數(shù)字化管理報告、典型做法以及用戶滿意度等。

所以在這么多年，運維管理比較辛苦。運維的過程，更加貼近客戶的需求。日常IT部應(yīng)組織運維服務(wù)商做好技術(shù)運維管理工作。主要包括服務(wù)受理、事件處置、問題跟蹤處理、系統(tǒng)檢 維修、系統(tǒng)性能監(jiān)控與分析調(diào)優(yōu)、數(shù)據(jù)備份與恢復(fù)、系統(tǒng)升級、冗余切換與恢復(fù)性測試、現(xiàn)場技術(shù)支持、重點時期分級保證和配套值班等。組織信息系統(tǒng)風(fēng)險隱患排查和治理，定期召開運維工作例會，協(xié)調(diào)解決重大運維事項。措施：加強運行管理，及時采取糾正措施，改進運行中發(fā)現(xiàn)的問題。應(yīng)定期組織評估服務(wù)流程的執(zhí)行情況，分析存在的問題，確定服務(wù)改進的流程和內(nèi)容。持續(xù)進行缺陷改進和系統(tǒng)優(yōu)化，提出系統(tǒng)升級或改擴建的需求，確保系統(tǒng)可用性、業(yè)務(wù)連續(xù)性及用戶體驗。

3 信息系統(tǒng)應(yīng)用與運維管理問題

信息系統(tǒng)應(yīng)用與運維中發(fā)生變更，是最容易出現(xiàn)問題的時候。如果說一個系統(tǒng)沒有變化的話，一般來說跑上幾年其實都是沒有問題的，除非要繼續(xù)掛掉了。這個大環(huán)境下其實變化會很多，變更也是無可避免的，因為不斷的變更，不斷的上線，不斷的迭代，所以導(dǎo)致信息系統(tǒng)應(yīng)用與運維管理中的問題經(jīng)常出現(xiàn)，這個故障是防不勝防。用現(xiàn)有的一些監(jiān)控，一些固定運維的手段，很多時候并不是萬無一失。信息系統(tǒng)應(yīng)用與運維管理更是一個不斷持續(xù)和改進的過程。在過程中需要有風(fēng)險意識。

3.1 信息系統(tǒng)變更風(fēng)險管理

3.1.1 系統(tǒng)變更審批風(fēng)險

信息系統(tǒng)變更內(nèi)容及方案未經(jīng)嚴(yán)格審批及論證，隨意進行信息系統(tǒng)變更，導(dǎo)致變更方案及內(nèi)容不能滿足客戶業(yè)務(wù)需求，導(dǎo)致系統(tǒng)出現(xiàn)變更失敗、信息系統(tǒng)癱瘓、業(yè)務(wù)數(shù)據(jù)處理錯誤、業(yè)務(wù)中斷風(fēng)險。

3.1.2 系統(tǒng)緊急變更風(fēng)險

對于不能按照正常申請程序辦理的突發(fā)事件、未經(jīng)業(yè)務(wù)及IT系統(tǒng)管理部門相關(guān)確認(rèn)，私自執(zhí)行，導(dǎo)致信息系統(tǒng)變更不受控或系統(tǒng)錯誤。

3.1.3 變更實施風(fēng)險

沒有嚴(yán)格執(zhí)行開發(fā)、測試、生產(chǎn)環(huán)境隔離控制，直接在生產(chǎn)系統(tǒng)實施變更開發(fā)、測試，變更失敗導(dǎo)致信息系統(tǒng)癱瘓、業(yè)務(wù)處理錯誤、業(yè)務(wù)中斷。

3.2 現(xiàn)實環(huán)境下的防范信息系統(tǒng)變更風(fēng)險管理和災(zāi)難雙備份十分重要

如果缺乏有效的備份管理機制，未及時進行信息系統(tǒng)數(shù)據(jù)備份，或者未對備份介質(zhì)進行妥善保管，或未對備份數(shù)據(jù)定期執(zhí)行恢復(fù)性測試，最終會導(dǎo)致業(yè)務(wù)數(shù)據(jù)丟失或損壞后無法恢復(fù)，從而造成重大損失。

（1）建立信息系統(tǒng)備份管理機制，備份工作流程、標(biāo)準(zhǔn)、規(guī)范，備份要求明確、數(shù)據(jù)備份滿足數(shù)據(jù)安全要求。

（2）制訂信息系統(tǒng)備份策略，備份能及時進行。

（3）安全保存?zhèn)浞萁橘|(zhì)。

（4）定期檢查備份介質(zhì)的可用性，對備份介質(zhì)進行恢復(fù)性測試并留檔保存。

開展本地數(shù)據(jù)備份與恢復(fù)性測試工作。等級保護二級系統(tǒng)要利用網(wǎng)絡(luò)將重要數(shù)據(jù)定時批量傳送至異地（非同城）場地；等級保護三級系統(tǒng)要利用網(wǎng)絡(luò)將重要數(shù)據(jù)實時備份至異地（非同城）場地，并做好備份數(shù)據(jù)的恢復(fù)性測試工作。

4 信息系統(tǒng)深化應(yīng)用情況與監(jiān)督

為了加強和規(guī)范企業(yè)內(nèi)部控制，提高企業(yè)經(jīng)營管理水平和風(fēng)險防范能力，自2009年7月1日起在上市公司范圍內(nèi)施行《企業(yè)內(nèi)部控制基本規(guī)范》，并鼓勵非上市的大中型企業(yè)執(zhí)行。其中總則的第七條明確規(guī)定： 企業(yè)應(yīng)當(dāng)運用信息技術(shù)加強內(nèi)部控制，建立與經(jīng)營管理相適應(yīng)的信息系統(tǒng)，促進內(nèi)部控制流程與信息系統(tǒng)的有機結(jié)合，實現(xiàn)對業(yè)務(wù)和事項的自動控制，減少或消除人為操縱因素。并且規(guī)定：執(zhí)行該規(guī)范的上市公司，應(yīng)當(dāng)對本公司內(nèi)部控制的有效性進行自我評價，披露年度自我評價報告，并可聘請具有證券、期貨業(yè)務(wù)資格的會計師事務(wù)所對內(nèi)部控制的有效性進行審計。

在精細(xì)化管理的大環(huán)境下，實際工作中，IT信息運維系統(tǒng)運維的IT工作人員已經(jīng)不能局限于信息運維而跟著自動化管理大環(huán)境下走在各種業(yè)務(wù)的前端。但是IT技術(shù)人員不可能對所有業(yè)務(wù)都很精通，特別是與財務(wù)、審計等直接相關(guān)、專業(yè)性強的問題，在維護處理時必須考慮相關(guān)崗位的職責(zé)及分工，落實并嚴(yán)格執(zhí)行內(nèi)部牽制及不相容分離控制。系統(tǒng)管理員設(shè)置風(fēng)險、按照職責(zé)分離原則設(shè)置，我們IT部門同樣有設(shè)置應(yīng)用管理員、數(shù)據(jù)庫管理員、安全管理員等賬號及權(quán)限管理來明確各管理員職責(zé)。在實際工作中業(yè)務(wù)與技術(shù)有機地結(jié)合在一起，各業(yè)務(wù)部門充分發(fā)揮在專業(yè)指導(dǎo)、培訓(xùn)、工作流程制定等方面優(yōu)勢，IT部充分發(fā)揮在技術(shù)支持、設(shè)備保障、數(shù)據(jù)處理、系統(tǒng)配置等方面優(yōu)勢，業(yè)務(wù)和IT相互協(xié)作、緊密配合共同開究，協(xié)同解決，形成合力。如：和人力資源部門一起，不僅是識別相關(guān)的門禁卡的數(shù)據(jù)維護更是加入系統(tǒng)權(quán)限變更權(quán)限，客戶發(fā)生崗位變動或離職時，相關(guān)系統(tǒng)用戶權(quán)限及時清理調(diào)整，避免系統(tǒng)因非授權(quán)訪問造成系統(tǒng)被破壞、業(yè)務(wù)被篡改、信息被竊取。在關(guān)鍵業(yè)務(wù)權(quán)限設(shè)置按照權(quán)限最小、職責(zé)分離原則定義、設(shè)計、分配應(yīng)用系統(tǒng)關(guān)鍵業(yè)務(wù)權(quán)限，不會導(dǎo)致系統(tǒng)中關(guān)鍵業(yè)務(wù)控制失效，造成舞弊或非法業(yè)務(wù)處理，客戶利益受損。

數(shù)據(jù)庫中的數(shù)據(jù)是把每個業(yè)務(wù)循環(huán)做一個管控來反映企業(yè)經(jīng)營活動的整個過程，職業(yè)判定力的高低直接影響數(shù)據(jù)輸出展示的結(jié)果。提高運維師的風(fēng)險意識和底線思維，強化責(zé)任擔(dān)當(dāng)，切實把經(jīng)營風(fēng)險識別好、防控好、化解好。要利用信息化手段建立運維問題提交、處理，實現(xiàn)暢通。便捷、規(guī)范的問題咨詢、提高工作效率，較好解決信息傳遞不及時、不規(guī)范等問題的同時，實現(xiàn)信息的共享和增值利用。

5 結(jié)語

進一步探討：

通過計算機技術(shù)和管理學(xué)競爭情報學(xué)等學(xué)科的知識，利用計算機對海量的信息和數(shù)據(jù)進行收集和信息處理使這些成為有用的信息，用科學(xué)和統(tǒng)計學(xué)的原理對數(shù)據(jù)進行過濾和分析，從而形成的一種管理手段，利用這種管理手段做出正確的決策。

最近幾年科學(xué)的發(fā)展讓我們看到了曙光，大數(shù)據(jù)、人工智能、機器學(xué)習(xí)等算法使整個行業(yè)很多東西逐漸變得成熟，特別是云技術(shù)已經(jīng)廣泛運用于各個行業(yè)，比如一個業(yè)務(wù)系統(tǒng)上線，原來先想到的是傳統(tǒng)的建設(shè)機房，買服務(wù)器，現(xiàn)在直接可以去找廠商，直接上云服務(wù)。隨著自動化云平臺的一個一個爆發(fā)，大家想用一臺機器，都是秒級實行，比買若干服務(wù)器相比，成本降低了很多。但是信息系統(tǒng)應(yīng)用之間的關(guān)系變得非常復(fù)雜，過去的一些應(yīng)用系統(tǒng)簡單，現(xiàn)在很多這種集群不同的業(yè)務(wù)系統(tǒng)之間有像蜘蛛網(wǎng)一樣的聯(lián)系，必須通過一些文檔，把這個結(jié)構(gòu)畫下來，進行備案。在運維過程中要進行分析管理和記錄。現(xiàn)在變化頻率很高，業(yè)務(wù)變化得快，特別是移動互聯(lián)網(wǎng)的應(yīng)用更是日新月異，所以反映到IT上，就是一個敏捷開發(fā)，業(yè)務(wù)上有需求，就需要信息系統(tǒng)的應(yīng)用，而且要迅速上線，通過上線進行可行性測試，發(fā)現(xiàn)問題再做調(diào)整，導(dǎo)致信息系統(tǒng)應(yīng)用與運維管理風(fēng)險增加。

現(xiàn)在AI應(yīng)用的越來越多，發(fā)展到某一個垂直領(lǐng)域里面可以去解決一些特定的問題。在AI運維里面也會有這個細(xì)分的領(lǐng)域，去幫助人去做一些事情。AI能夠模擬運維的工程師去做運維，這樣的話能夠節(jié)約大量的人力成本，還可以把運營維護的工程師解放出來，去做更加有價值的事情。所以更需要加強信息系統(tǒng)應(yīng)用與運維管理，明確管理職責(zé)，確保系統(tǒng)安全、穩(wěn)定、高效運行，充分發(fā)揮信息系統(tǒng)應(yīng)用效果和價值。