資訊部門(mén)之管理與經(jīng)營(yíng)

1、資訊部門(mén)之管理與經(jīng)營(yíng)資訊部門(mén)之營(yíng)運(yùn)管理資訊部門(mén)之營(yíng)運(yùn)管理q 資訊部門(mén)營(yíng)運(yùn)管理策略考量l資訊科技架構(gòu) l系統(tǒng)設(shè)計(jì)與操作 l考慮外部服務(wù)來(lái)源之壓力與挑戰(zhàn) l資訊服務(wù)供應(yīng)來(lái)源之決策權(quán) q 資訊科技之規(guī)劃 q 電腦中心之作業(yè) l電腦操作的管理 電腦操作的管理應(yīng)注意以下二點(diǎn)： 明文規(guī)定電腦操作員應(yīng)執(zhí)行的功能 訓(xùn)練操作員如何使用及維護(hù)硬體軟體 資訊部門(mén)之營(yíng)運(yùn)管理資訊部門(mén)之營(yíng)運(yùn)管理 (續(xù)）續(xù)） q 電腦中心之作業(yè) l網(wǎng)路通訊管理 網(wǎng)路系統(tǒng)管理功能範(fàn)疇?wèi)?yīng)涵蓋五部分： 組態(tài)管理(Configuration management) 障礙管理(Fault management) 效能管理(Performance m

2、anagement) 安全管理(Security management) 帳務(wù)管理(Accounting management)l生產(chǎn)工作流程管理與資料準(zhǔn)備 l媒體管理 l監(jiān)控電腦執(zhí)行績(jī)效 圖圖17-1 管制組工作管制組工作使用者組織準(zhǔn)備資料電腦中心電腦房管制組外部資料服務(wù)中心資訊部門(mén)之營(yíng)運(yùn)管理資訊部門(mén)之營(yíng)運(yùn)管理(續(xù)1) q系統(tǒng)容量之衡量與管理q資訊人員之管理 l資訊專(zhuān)業(yè)晉升路線 l利基專(zhuān)業(yè)能力 l考量資訊人員的人性因素 圖圖17-2 資訊技能需求調(diào)查資訊技能需求調(diào)查排名2002年對(duì)該技能需求的公司排名2002年對(duì)該技能需求的公司W(wǎng)eb技能技能網(wǎng)路網(wǎng)路1.Java39%1.TCP/IP35%2

3、.XML37%2.SNA6%3.HTML37%3.IPX6%4.Active Server Pages37%5.Visual Basic33%語(yǔ)言語(yǔ)言資料庫(kù)管理系統(tǒng)資料庫(kù)管理系統(tǒng)1.Java36%1.Oracle34%2.C+26%2.Microsoft SQL Server25%3.C20%3.Microsoft Access12%4.Cobol10%4.DB210%5.Sybase Adaptive Server6%開(kāi)發(fā)工具開(kāi)發(fā)工具作業(yè)系統(tǒng)作業(yè)系統(tǒng)1.Visual Basic26%1.Windows NT37%2.Oracle Developer 200020%2.Solaris18%3.

4、Visual C+17%3.Linux11%4.PowerBuilder10%4.HP-UX11%5.Other Unix9%圖圖17-2 資訊技能需求調(diào)查資訊技能需求調(diào)查(續(xù)續(xù))排名2002年對(duì)該技能需求的公司排名2002年對(duì)該技能需求的公司網(wǎng)路連結(jié)網(wǎng)路連結(jié)企業(yè)應(yīng)用系統(tǒng)企業(yè)應(yīng)用系統(tǒng)1.Routing12%1.Oracle19%2.Gigabit Ethernet10%2.SAP8%3.Ethernet switching8%3.Peoplesoft7%4.10Base-T Switching6%4.Siebel5%5.J. D. Edwards3%區(qū)域網(wǎng)路管理區(qū)域網(wǎng)路管理系統(tǒng)軟體及支援系統(tǒng)軟

5、體及支援1.Microsoft NT Server22%1.Internet application development30%2.Ethernet10%3.HTTP10%2.EC application development28%4.Novell NetWare6%3.Web server administration23%辦公室自動(dòng)化辦公室自動(dòng)化/群組軟體群組軟體1.Microsoft Exchange21%4.Project management20%2.Lotus Notes7%5.Data warehousing/mining18%3.CC:Mail2%4.Novell Grou

6、pWise2%電腦安全管理電腦安全管理 q網(wǎng)路分散環(huán)境之威脅與挑戰(zhàn)q現(xiàn)存電腦安全管理問(wèn)題q電腦病毒的種類(lèi)與防範(fàn) q電腦安全管理與稽核q防範(fàn)企業(yè)經(jīng)營(yíng)中斷網(wǎng)路分散環(huán)境之網(wǎng)路分散環(huán)境之威脅與挑戰(zhàn)威脅與挑戰(zhàn)q 現(xiàn)今整個(gè)電腦環(huán)境因?yàn)榫W(wǎng)際網(wǎng)路的蓬勃發(fā)展，對(duì)安全產(chǎn)生無(wú)比的挑戰(zhàn)，因?yàn)椋簂有更多破解功能強(qiáng)大的網(wǎng)路入侵工具l電腦病毒橫行l(wèi)大量連接點(diǎn)需要監(jiān)測(cè)l跨平臺(tái)管理l系統(tǒng)及網(wǎng)路的複雜度l管理人員對(duì)於安全概念參差不齊l市面上企業(yè)安全管理方案太多圖圖17-3 電腦安全管理範(fàn)圍電腦安全管理範(fàn)圍網(wǎng)路通訊安全系統(tǒng)軟體安全人事安全實(shí)體安全電腦作業(yè)安全應(yīng)用軟體與資料安全現(xiàn)存電腦安全管理問(wèn)題現(xiàn)存電腦安全管理問(wèn)題q 電腦安全政策

7、的執(zhí)行與管理由個(gè)人或由一個(gè)部門(mén)單獨(dú)承擔(dān)。q 一般資訊單位人員與管理當(dāng)局常從技術(shù)面來(lái)看電腦安全問(wèn)題，並以為加強(qiáng)軟硬體設(shè)備即可解決安全弱點(diǎn)與缺失。殊不知電腦安全是有關(guān)人的問(wèn)題，並且需要全員參與，而非僅是資訊部門(mén)人員之參與。q 主管電腦安全的人員不易說(shuō)服高階主管瞭解電腦安全對(duì)日常營(yíng)運(yùn)的重大影響，以爭(zhēng)取電腦安全管理所需之資源。 現(xiàn)存電腦安全管理問(wèn)題現(xiàn)存電腦安全管理問(wèn)題(續(xù)續(xù)) q 電腦安全問(wèn)題常被列為次要的考慮。q 高階主管未激勵(lì)其員工遵守並執(zhí)行電腦安全措施與規(guī)定。q 員工不瞭解組織有關(guān)電腦安全之政策、程序、準(zhǔn)則與懲戒措施。q 員工並沒(méi)有定期接受有關(guān)電腦安全之訓(xùn)練與課程。q 高階主管不瞭解員工有了良好

8、安全觀念與態(tài)度對(duì)公司所可能產(chǎn)生之價(jià)值。現(xiàn)存電腦安全管理問(wèn)題現(xiàn)存電腦安全管理問(wèn)題（續(xù)（續(xù)1） q 管理系統(tǒng)與資料之權(quán)利與義務(wù)沒(méi)有清楚之界定。諸如到底是哪個(gè)部門(mén)或哪個(gè)人擁有資料檔案所有權(quán)、誰(shuí)有權(quán)使用、誰(shuí)應(yīng)負(fù)擔(dān)電腦處理費(fèi)用、由誰(shuí)操作、誰(shuí)負(fù)責(zé)安全措施、由誰(shuí)負(fù)責(zé)控制事宜，以及由誰(shuí)負(fù)責(zé)維修等。q 未適當(dāng)?shù)卦谄腹蛦T工前徵信員工過(guò)去記錄。q 員工離職程序之管理不完備，一般組織在員工離職前不僅應(yīng)要求繳回名牌與鑰匙，並撤銷(xiāo)通行證與密碼，且應(yīng)詢問(wèn)員工對(duì)於重要事項(xiàng)之看法，例如系統(tǒng)安全上之弱點(diǎn)，可能被誤用或?yàn)E用之情況，或任何應(yīng)改進(jìn)之建議等?，F(xiàn)存電腦安全管理問(wèn)題現(xiàn)存電腦安全管理問(wèn)題（續(xù)（續(xù)2） q 有關(guān)電腦犯罪、舞弊或偷

9、竊等事件通常沒(méi)有向有關(guān)主管單位報(bào)告。q 在應(yīng)用系統(tǒng)發(fā)展與維護(hù)階段，系統(tǒng)之可控制性、適用性、可稽核性、可維修性等問(wèn)題，常沒(méi)有考慮週詳。因此，發(fā)展出來(lái)的系統(tǒng)難以使用、維修、稽核、測(cè)試、轉(zhuǎn)換及不具彈性等。q 使用部門(mén)與高階主管人員對(duì)於資訊人員在發(fā)展應(yīng)用系統(tǒng)方面，常有不切實(shí)際之期待，因此常以外行領(lǐng)導(dǎo)內(nèi)行的方式，造成資訊部門(mén)相當(dāng)大的壓力，由於沒(méi)有充分的配合與支援，使得發(fā)展出的應(yīng)用系統(tǒng)為急就章之產(chǎn)品，而沒(méi)有適當(dāng)之文書(shū)手冊(cè)、安全控制等。電腦病毒的種類(lèi)與防範(fàn)電腦病毒的種類(lèi)與防範(fàn)q開(kāi)機(jī)型病毒(Boot Sector Virus)q程式型病毒(Program Virus)q隱藏型病毒(Stealth Virus)

10、q巨集型病毒q網(wǎng)際網(wǎng)路電腦病毒電腦安全管理與稽核電腦安全管理與稽核q資產(chǎn)之確認(rèn)與評(píng)價(jià) q威脅來(lái)源之確認(rèn)與發(fā)生機(jī)率之估計(jì) q損失分析 q重新調(diào)整電腦安全控制 q電腦安全控制方法資產(chǎn)之確認(rèn)與評(píng)價(jià)資產(chǎn)之確認(rèn)與評(píng)價(jià) q 負(fù)責(zé)電腦安全之主管人員應(yīng)調(diào)查以下六種主要之資產(chǎn)類(lèi)別： l人員 包括如分析師、程式設(shè)計(jì)師、操作員、文書(shū)人員、警衛(wèi)等。l網(wǎng)路及硬體設(shè)備 CPU、磁碟機(jī)、印表機(jī)、終端機(jī)、通訊設(shè)備。l應(yīng)用軟體 ERP系統(tǒng)、應(yīng)付帳款、應(yīng)收帳款、總帳系統(tǒng)、薪工系統(tǒng)等。資產(chǎn)之確認(rèn)與評(píng)價(jià)（續(xù)）資產(chǎn)之確認(rèn)與評(píng)價(jià)（續(xù)） l系統(tǒng)軟體 網(wǎng)路管理通訊軟體、編譯軟體、公用程式，DBMS、直譯軟體、作業(yè)系統(tǒng)。l資料 主檔、交易檔、

11、歷史檔、備份檔案。l耗材 磁碟片、磁帶、空白帳單、憑證、影印紙、報(bào)表紙等。 威脅來(lái)源之確認(rèn)與發(fā)生機(jī)威脅來(lái)源之確認(rèn)與發(fā)生機(jī)率之估計(jì)率之估計(jì) q 威脅乃指因某些事件或行動(dòng)而導(dǎo)致?lián)p失之發(fā)生，如： l天然災(zāi)害 火災(zāi)、水災(zāi)、風(fēng)災(zāi)、雷擊、地震等。l不可靠的系統(tǒng) 不可靠的系統(tǒng)威脅來(lái)源例如硬體經(jīng)常當(dāng)機(jī)，或操作不良，常常必須由工程師隨時(shí)搶修。又如軟體必須常常重新執(zhí)行，而使得人員產(chǎn)生挫折，這種情況易使得控制鬆懈威脅有機(jī)可乘。l人為因素 如電腦犯罪、洩密、蓄意破壞。威脅來(lái)源之確認(rèn)與發(fā)生機(jī)威脅來(lái)源之確認(rèn)與發(fā)生機(jī)率之估計(jì)（續(xù)）率之估計(jì)（續(xù)） l操作失誤 如對(duì)設(shè)備、資料、應(yīng)用軟體、系統(tǒng)軟體等之操作錯(cuò)誤。l資源中斷 如因停

12、電、停水、通訊中斷、電源干擾等。l電波及輻射 如電磁干擾、非離子輻射等。 圖圖17-4 預(yù)期損失之情境預(yù)期損失之情境威脅 ： 操作員惡意損壞伺服器 已有之控制 ： 1.永遠(yuǎn)有二個(gè)操作員同時(shí)在場(chǎng) 2.在聘雇操作員之前皆先作過(guò)背景調(diào)查 控制之弱點(diǎn) ： 沒(méi)有正式且定期地評(píng)估操作員的心理狀況 可能發(fā)生之情況 ： 當(dāng)另一個(gè)操作員暫離電腦室時(shí)，精神狀況不太穩(wěn)定的操作員可能會(huì)破壞伺服器?；蛘撸@個(gè)精神不太穩(wěn)定的操作員會(huì)強(qiáng)迫另一個(gè)操作員破壞電腦。 發(fā)生之機(jī)率 ： 一年小於萬(wàn)分之一。 所導(dǎo)致之損失 ： $400,000重置伺服器之成本。 評(píng)估 ： 當(dāng)調(diào)整控制之成本小於$40 ($400,0001/10,000)

13、，則可以接受。 電腦安全控制方法電腦安全控制方法 q小心任用人選q警覺(jué)到員工之不滿q適切分工 q限制系統(tǒng)使用權(quán)限q用密碼及磁卡保護(hù)資源q將資訊及程式加密q確實(shí)瞭解網(wǎng)路安全所需q監(jiān)控系統(tǒng)交易防範(fàn)企業(yè)經(jīng)營(yíng)中斷防範(fàn)企業(yè)經(jīng)營(yíng)中斷q使用內(nèi)部資源使用內(nèi)部資源l多個(gè)電腦中心多個(gè)電腦中心l分散式處理分散式處理l通訊設(shè)備的備援通訊設(shè)備的備援l區(qū)域網(wǎng)路區(qū)域網(wǎng)路 q使用外部資源使用外部資源 圖圖17-5 資訊系統(tǒng)稽核目標(biāo)資訊系統(tǒng)稽核目標(biāo)處理程式原始資料輸出資料檔6.整體安全4.開(kāi)發(fā)程式5.修改程式2.處理正確完整1.原始資料正確合法3.檔案正確、完整、安全資訊系統(tǒng)稽核資訊系統(tǒng)稽核 q 電腦稽核師應(yīng)具備之知識(shí)如下：

14、l稽核標(biāo)準(zhǔn)、程序及技術(shù)l組織與管理l資訊處理作業(yè)l邏輯安全、實(shí)體安全與環(huán)境控制l電腦作業(yè)之管理控制措施l系統(tǒng)軟體發(fā)展、取得與維護(hù)l應(yīng)用系統(tǒng)開(kāi)發(fā)、取得與維護(hù)l應(yīng)用系統(tǒng)稽核 資訊部門(mén)預(yù)算與持有資訊資訊部門(mén)預(yù)算與持有資訊資源之總成本資源之總成本 q資訊部門(mén)預(yù)算之目的主要為：l資源分配l成本控制l衡量資訊服務(wù)預(yù)算之品質(zhì) l衡量資訊服務(wù)績(jī)效 l協(xié)助長(zhǎng)程策略規(guī)劃資訊部門(mén)績(jī)效衡量資訊部門(mén)績(jī)效衡量 q 資訊功能必須定期地評(píng)估其績(jī)效與價(jià)值。此種評(píng)估通常是由一個(gè)委員會(huì)來(lái)執(zhí)行，同時(shí)此項(xiàng)評(píng)估的主要目的亦是評(píng)估資訊主管之績(jī)效。此項(xiàng)評(píng)估涵括下列幾項(xiàng)：l定期的績(jī)效報(bào)告l使用者調(diào)查報(bào)告l系統(tǒng)績(jī)效l預(yù)警訊息l整體效果衡量資訊科技投資的評(píng)價(jià)資訊科技投資的評(píng)價(jià) q IT投資評(píng)估困難的原因：l通常IT的投資都連結(jié)了一串其他投資決策，其中包含了過(guò)去與未來(lái)的投資，這是IT投資不易評(píng)估的最主要原因。l由擴(kuò)充原有IT 平臺(tái)所伴隨而來(lái)的相關(guān)成本，以及教育訓(xùn)練等其他成本不易估算。lIT基礎(chǔ)建設(shè)(IT infrastructure)的成本可能會(huì)跨越組織的疆界，產(chǎn)生計(jì)算上的困難。l在專(zhuān)案開(kāi)始之際，有太多的不確定因素，導(dǎo)致難以評(píng)估。資訊科