信息系统 变更控制.pptVIP

6 、风险管理 （ 1 ）什么是风险 ? A risk is whatever may stand in the way to success or in the way of achieving major milestones – Success is meeting the entire set of all requirements and constraints, and satisfying stakeholder expectations. 6 、风险管理 （ 1 ）什么是风险 ? 风险来源 : –经济（融资、成本、地区 GDP 水平等） –政治（法律法规、审批程序、社区压力等） –市场（客户的成熟度、客户需求变化、市场规范度 等） –技术（行业技术更新速度、技术领先程度、技术复杂 程度） –管理（管理者素质、员工素质、项目管理程序等） –契约（合同漏洞、违约行为等） –环境（交通运输、物质处理、施工方法等） –自然灾害 6 、风险管理 （ 1 ）什么是风险 风 险 因 素 风 险 事 故 图：风险发生机理图 风 险 损 失 6 、风险管理 （ 2 ）风险类别 ? 财务风险 (Financial Risk) ：超预算风险。 ? 时间风险 (Time Risk) ：超出进度安排限度的风险。 这种风险比财务风险具有更严重的后果。 ? 设计风险 (Design Risk) ：是指由于不能满足项目的技 术要求而导致的风险。由于额外的资源将被使用以 满足项目的技术性要求，成本溢出将非常巨大。设 计风险是三种风险中最大的一种。 ? 人员风险：人员、技能、态度….. 6 、风险管理 （ 3 ）风险的特性 ? 三种类别的风险： –估计本身的困难带来的风险 ? 以前没有进行过的任务更难估计，因而有效的积累过 去完成任务的信息将有助于降低风险 –在计划阶段的假设 ? 在每一个计划步骤中，都有所假设，因而对列出每一 假设以及假设不成立后带来的后果，有助于降低风险 –无法预计的事件 ? 需求的变化 ? 高级程序员怀孕离开 ? 所需的硬件可能没有被及时交付…… 6 、风险管理 （ 4 ）管理风险 ? 风险管理的内容： 风险应对 计划 项目风险管理的内容 风险定性、 定量分析 风险 识别 风险 控制 风险管理 计划 例：安全风险评估的过程 资产识别与估价 已有安全控制的确认 脆弱性识别与评价 风 险评估 ( 测量与等级划分 ) 风险控制 威胁识别与评价 风险评价的原则 系统风险控制： 4( 最新的操作系统， 打了所有补丁 ) 网络风险控制： 1( 防火墙的保护功能 较少，甚至没有 ) 例：安全风险评估举例 重要性： 5( 一台核心的 DNS 服务器 ) Internet 威 胁： 2( 只能获得一些网络信息 ) 核心的 DNS 服务器 Red hat 8.1+all hotfix 允许区域传输 风险级别 =(5+2)-(4+1)=2 风险级别 =2+1=3 存在 bind 缓冲区溢出 风险级别 =3+2=5 6 、风险管理 （ 4 ）管理风险 ? 风险管理的内容 ： 风险识别的内容 识别有哪些潜在的风险？ 识别引起风险的主要因 素？ 识别风险可能引起的后 果？ 风险识别的方法 系统分解法 流程图法 头脑风暴法 情景分析法 6 、风险管理 （ 4 ）管理风险