论信息系统应用与运维管理风险

大连工业大学艺术与信息工程学院 王泽宇

中国的信息化建设的迅猛发展，政府机关、企事业单位、学校等，几乎都全部依托于信息系统进行日常办公管理和业务管理，因此信息系统运行的稳定性和信息的安全对于这些单位来说就显得特别重要。特别是对于一些大中型单位，信息设备和信息系统复杂多样，单靠人工管理他们的运行和维护情况已不可能，这样就需要一套切合实际的信息运维系统来辅助单位信息中心进行自动化管理。

信息系统应用是以人为主导利用数据中心环境、IT硬件设备、网络线路、网络 安全设施、基础软件、云平台及其服务、终端设备及其他办公设备进行的信息收集、传输、加工、储存、更新、维护的系统。完善的信息管理系统与运维管理的过程是企业管理重要组成部分。

1 信息系统应用管理内容、具体措施

信息系统应用管理是指为保证信息系统应用效果和顺利运行而采取的管理措施，主要包括：模块化信息建设、规范应用管理、深化应用管理。

（1）模块化信息建设：信息系统上线前，模块化信息建设是对各个业务口需要的信息资源进行统一管理、各系统设计，保持标准和口径一致、信息共享。涉及到客户生产经营的方方面面。从企业运营的最基层开始制定培训计划、培训方案，编写培训手册并组织培训；培训完成后，对培训质量和效果进行评估，这样才能将信息化系统发挥出最大效能。

（2）规范应用管理：信息系统上线运行，开始相关业务环节纳入信息系统中执行，业务数据纳入信息系统管理，并保证系根据业务主管部门组织做好日常应用管理工作。主要包括系统账号权限配置、系统版本发布、审核账号权限，检查业务数据有效性，组织应用培训、交流和应急演练，保证业务的连续性。

（3）深化应用管理：通过深化应用的管理提升，来保证业务需要。协调好内部各部门的运作，降低管理风险。做好数据的维护记录。IT部检查信息系统培训记录。根据业务实际需要提出需求，IT部从流程、人员、技术等对应用的合理性、合规性、相关风险、影响范围等方面对需求进行评估。通过规范的应用管理达到用户的运行目标和管理需求。

2 信息系统应用与运维管理的现状

建数据库，到系统上线，上线之后还有运维，是一些紧急的工作。如果不及时处理则无法保证系统安全性、可靠性、稳定性，存在系统安全及应用风险。

信息系统应用与运维管理过程中主要会出现的问题：信息系统应用、运行维护机制不健全，系统功能不能充分利用，造成资源浪费，系统故障或问题处理不及时，影响正常生产经营。主要原因是，系统上线前运维保证体系不健全，运维责任不落实，系统安全及应用问题无法得到及时解决，导致信息系统运行及业务风险。措施：按规定对信息系统进行安全测试、确保安全测试材料齐全，信息系统安全保护功能和措施有效性要验证、杜绝存在安全漏洞，上线后引发系统安全事件。

运维规范缺失及执行问题。未建立健全信息系统日常运行维护管理规范，运维工作内容不明确、岗位职责不落实，或执行不到位，系统发生故障时无法及时发现问题和处理问题，影响正常业务。措施：信息化管理部门须分别设置网络管理员、安全管理员，明确网络管理员、安全管理员岗位职责及系统权限。网络管理员及安全管理员应由不同人员担任，确保不相容岗位有效分离。建立一套科学考核奖管理制度如运维法、应急处预案、以保障运维体系切实发挥其高效性。运维管理人员有序地进行维护，减少运维中人为因素，更有效地提高工作管理水平。

运维合同问题。未与运维商签订运维外包协议或协议签订条款不当，导致服务质量不能持续满足公司的业务需要，影响业务处理的效率和有效性，甚至损害公司的利益。措施：站在公司管理角度上考虑，再与运维服务商签订服务水平协议（SLA），必须明确 服务内容、服务水平；每年进行服务水平协议（SLA）评价；签订保密协议和网络安全责任书，明确安全保密要求，确保敏感信息不外泄。应组织运维服务商做好日常技术维管理工作。主要包括服务受理、事件处、问题跟踪处优，数据备份与复、系统升级、元余切换与恢复性则试、现场术支持、重点时期分级保障和配套值班等。组织信息作倒会，协调解决重大运维事项。

运维资料管理风险问题。信息系统、网络、服务器等基础设施运维及技术资料缺失，导致信息系统或基础设施的维护缺乏配置参数、技术资料等重要依据。措施：汇总系统运行总体情况、故障次数、重大事件处置情况、运维队伍情况、留存年度运维报告报信息和数字化管理报告、典型做法以及用户满意度等。

所以在这么多年，运维管理比较辛苦。运维的过程，更加贴近客户的需求。日常IT部应组织运维服务商做好技术运维管理工作。主要包括服务受理、事件处置、问题跟踪处理、系统检 维修、系统性能监控与分析调优、数据备份与恢复、系统升级、冗余切换与恢复性测试、现场技术支持、重点时期分级保证和配套值班等。组织信息系统风险隐患排查和治理，定期召开运维工作例会，协调解决重大运维事项。措施：加强运行管理，及时采取纠正措施，改进运行中发现的问题。应定期组织评估服务流程的执行情况，分析存在的问题，确定服务改进的流程和内容。持续进行缺陷改进和系统优化，提出系统升级或改扩建的需求，确保系统可用性、业务连续性及用户体验。

3 信息系统应用与运维管理问题

信息系统应用与运维中发生变更，是最容易出现问题的时候。如果说一个系统没有变化的话，一般来说跑上几年其实都是没有问题的，除非要继续挂掉了。这个大环境下其实变化会很多，变更也是无可避免的，因为不断的变更，不断的上线，不断的迭代，所以导致信息系统应用与运维管理中的问题经常出现，这个故障是防不胜防。用现有的一些监控，一些固定运维的手段，很多时候并不是万无一失。信息系统应用与运维管理更是一个不断持续和改进的过程。在过程中需要有风险意识。

3.1 信息系统变更风险管理

3.1.1 系统变更审批风险

信息系统变更内容及方案未经严格审批及论证，随意进行信息系统变更，导致变更方案及内容不能满足客户业务需求，导致系统出现变更失败、信息系统瘫痪、业务数据处理错误、业务中断风险。

3.1.2 系统紧急变更风险

对于不能按照正常申请程序办理的突发事件、未经业务及IT系统管理部门相关确认，私自执行，导致信息系统变更不受控或系统错误。

3.1.3 变更实施风险

没有严格执行开发、测试、生产环境隔离控制，直接在生产系统实施变更开发、测试，变更失败导致信息系统瘫痪、业务处理错误、业务中断。

3.2 现实环境下的防范信息系统变更风险管理和灾难双备份十分重要

如果缺乏有效的备份管理机制，未及时进行信息系统数据备份，或者未对备份介质进行妥善保管，或未对备份数据定期执行恢复性测试，最终会导致业务数据丢失或损坏后无法恢复，从而造成重大损失。

（1）建立信息系统备份管理机制，备份工作流程、标准、规范，备份要求明确、数据备份满足数据安全要求。

（2）制订信息系统备份策略，备份能及时进行。

（3）安全保存备份介质。

（4）定期检查备份介质的可用性，对备份介质进行恢复性测试并留档保存。

开展本地数据备份与恢复性测试工作。等级保护二级系统要利用网络将重要数据定时批量传送至异地（非同城）场地；等级保护三级系统要利用网络将重要数据实时备份至异地（非同城）场地，并做好备份数据的恢复性测试工作。

4 信息系统深化应用情况与监督

为了加强和规范企业内部控制，提高企业经营管理水平和风险防范能力，自2009年7月1日起在上市公司范围内施行《企业内部控制基本规范》，并鼓励非上市的大中型企业执行。其中总则的第七条明确规定： 企业应当运用信息技术加强内部控制，建立与经营管理相适应的信息系统，促进内部控制流程与信息系统的有机结合，实现对业务和事项的自动控制，减少或消除人为操纵因素。并且规定：执行该规范的上市公司，应当对本公司内部控制的有效性进行自我评价，披露年度自我评价报告，并可聘请具有证券、期货业务资格的会计师事务所对内部控制的有效性进行审计。

在精细化管理的大环境下，实际工作中，IT信息运维系统运维的IT工作人员已经不能局限于信息运维而跟着自动化管理大环境下走在各种业务的前端。但是IT技术人员不可能对所有业务都很精通，特别是与财务、审计等直接相关、专业性强的问题，在维护处理时必须考虑相关岗位的职责及分工，落实并严格执行内部牵制及不相容分离控制。系统管理员设置风险、按照职责分离原则设置，我们IT部门同样有设置应用管理员、数据库管理员、安全管理员等账号及权限管理来明确各管理员职责。在实际工作中业务与技术有机地结合在一起，各业务部门充分发挥在专业指导、培训、工作流程制定等方面优势，IT部充分发挥在技术支持、设备保障、数据处理、系统配置等方面优势，业务和IT相互协作、紧密配合共同开究，协同解决，形成合力。如：和人力资源部门一起，不仅是识别相关的门禁卡的数据维护更是加入系统权限变更权限，客户发生岗位变动或离职时，相关系统用户权限及时清理调整，避免系统因非授权访问造成系统被破坏、业务被篡改、信息被窃取。在关键业务权限设置按照权限最小、职责分离原则定义、设计、分配应用系统关键业务权限，不会导致系统中关键业务控制失效，造成舞弊或非法业务处理，客户利益受损。

数据库中的数据是把每个业务循环做一个管控来反映企业经营活动的整个过程，职业判定力的高低直接影响数据输出展示的结果。提高运维师的风险意识和底线思维，强化责任担当，切实把经营风险识别好、防控好、化解好。要利用信息化手段建立运维问题提交、处理，实现畅通。便捷、规范的问题咨询、提高工作效率，较好解决信息传递不及时、不规范等问题的同时，实现信息的共享和增值利用。

5 结语

进一步探讨：

通过计算机技术和管理学竞争情报学等学科的知识，利用计算机对海量的信息和数据进行收集和信息处理使这些成为有用的信息，用科学和统计学的原理对数据进行过滤和分析，从而形成的一种管理手段，利用这种管理手段做出正确的决策。

最近几年科学的发展让我们看到了曙光，大数据、人工智能、机器学习等算法使整个行业很多东西逐渐变得成熟，特别是云技术已经广泛运用于各个行业，比如一个业务系统上线，原来先想到的是传统的建设机房，买服务器，现在直接可以去找厂商，直接上云服务。随着自动化云平台的一个一个爆发，大家想用一台机器，都是秒级实行，比买若干服务器相比，成本降低了很多。但是信息系统应用之间的关系变得非常复杂，过去的一些应用系统简单，现在很多这种集群不同的业务系统之间有像蜘蛛网一样的联系，必须通过一些文档，把这个结构画下来，进行备案。在运维过程中要进行分析管理和记录。现在变化频率很高，业务变化得快，特别是移动互联网的应用更是日新月异，所以反映到IT上，就是一个敏捷开发，业务上有需求，就需要信息系统的应用，而且要迅速上线，通过上线进行可行性测试，发现问题再做调整，导致信息系统应用与运维管理风险增加。

现在AI应用的越来越多，发展到某一个垂直领域里面可以去解决一些特定的问题。在AI运维里面也会有这个细分的领域，去帮助人去做一些事情。AI能够模拟运维的工程师去做运维，这样的话能够节约大量的人力成本，还可以把运营维护的工程师解放出来，去做更加有价值的事情。所以更需要加强信息系统应用与运维管理，明确管理职责，确保系统安全、稳定、高效运行，充分发挥信息系统应用效果和价值。