信息系统项目管理师教程浓缩 - 图文(17)

项目整体评估是把项目看成一个整体，权衡各种要素之间的关系 霍尔三维结构： ? ? ? ?

逻辑维：三个逻辑工具：逻辑推理、概率和统计推理、模糊数学 时间维：按时间进度划分：项目前评估、项目跟踪平湖和项目后评估 知识维：经济学、技术学、项目实施学、项目环境学、产业学

23.3 整体绩效评估方法

项目风险评估：规模与范围风险、技术能力与经验、数据处理经验水平、管理风险

23.4 财务绩效评估

23.4.1 静态分析法 ? ? ? ? ?

投资收益率法：年净收入与项目总投资额之比 投资回收期法：投资还本期或投资偿还年限 追加投资回收期法：

最小费用法：多个比较方案，选总费用最小的 动态分析法 ? ? ? ?

? ?

净现值法(NPV)

内部收益率法(IRR), MIRR（修正的）：最常使用 投资回收期法

动态分析法虽然是科学计算，但算式中很多数据都是基于对未来预测的基础之上的，而预测的准确性又取决于预测者的经验、态度及对风险的偏好，即存在出多认为因素，可能出现判断的失误。 纠偏办法： ? ? ?

约当系数法：在净现值公式前添加约当系数(0

动态评估法的缺陷、影响因素与纠正办法

同一项目，两次评估结果不一样，再次评估的计算更保守，因而风险相对较小

38 -

24 信息安全知识

24.1 信息系统安全和安全体系

24.1.1 信息安全系统三维空间

? ? ?

X：安全机制（安全操作系统、安全数据库、应用开发运营） Y：OSI网络参考模型

Z：安全服务（认证、权限、完整、加密、不可否认） MIS+S：初级

24.2 信息系统安全风险评估

? 安全风险分类

? 自然事件风险

? 人为事件风险：意外的、有意的（内部破坏、恶意黑客、工商间谍、恶意代码） ? 软件系统风险：兼容风险、维护风险、使用风险 ? 软件过程风险：需求、设计、实施、维护

? 项目管理风险：不可预见性、不存在绝对正确形式、独特性

? 应用风险：安全性、未授权访问、未授权远程访问、不精确信息、错误信息输入、不充分的测试与培训等 ? 用户使用风险：不充分使用资源、不兼容的系统、冗余系统、无效应用、职责不明、侵犯版权、病毒破坏 ? 安全威胁的对象：包括有形资产和无形资产，主要是有形资产

? 资产评估鉴定：目的是区别对待（可忽略、较低、中等、较高、非常高） 24.3 安全策略

? ? ? ? ? ? ? ?

安全策略的主要内容（7定）：定方案、定岗、定位、定员、定目标、定制度、定工作流程 5个安全保护等级：用户自主、系统审计、安全标记保护、结构化保护、访问验证保护

S-MIS：标准

S2-MIS：超安全

24.1.2 信息安全系统架构体系

24.4 密码技术

对称密钥算法：SDBI、IDEA、RC4、DES、3DES 非对称密钥算法：RSA、ECC HASH算法：SDH、SHA、MD5

访问控制的两个重要过程：认证过程（鉴别authentication）、授权管理（授权authorization） 访问控制机制分为两种：强制访问控制（MAC）、自主访问控制（DAC）

基于角色的访问控制RBAC， 用户不能将访问权限授权给别的用户，这是RBAC与DAC的根本区别；MAC是基于多级安全需求的，而RBAC不是。

24.6 用户标识与认证 ? ? ? ? ?

一个网络的PKI包括以下基本构件：数字证书、CA（认证中心）、数字签名、双证书体系

PKI/CA的信任机构：层次信任机构、分布式信任机构、Web模型、以用户为中心的信任模型、交叉认证的信任关系 CA的主要职责：数字证书管理、证书和证书库、密钥备份和恢复、密钥和证书的更新、证书历史档案、客户端软件、交叉认证

CA的服务：认证、数据完整性服务、数据保密性服务、不可否认性服务、公证服务

PMI即权限管理基础设施或授权管理基础设施。PMI授权技术的核心思想是以资源管理为核心，将对资源的访问控制权统一交由授权机构进行管理，既由资源的所有者来访问控制管理。PMI主要进行授权管理，PKI主要进行身份鉴别

24.7 安全审计与入侵检测 ? ?

39 -

安全审计的内容：1. 采用网络监控与入侵方法系统识别网络各种违规操作与攻击行为，即时响应并进行阻断；2。对信息内容和业务流程的审计，可以防止内部机密或敏感信息的非法泄漏和单位资产的流失

安全审计系统建设：利用网络安全入侵监测预警系统实现网络与主机信息监测审计；对重要应用系统进行运行情况审计；基于网络旁路监控方式进行审计

24.5 访问控制