第四版_信息系统项目管理

信息系统治理与管理，如 IT治理体系的核心是关注IT定位和信息化建设与数据化转型的责权利划分，本图适用于高项、信息系统项目管理师考试。

4.信息系统治理与管理

• 4.1信息系统治理
  • 1.IT治理
    • 1. IT治理基础
      • 1. IT治理的驱动因素
        • 1.信息孤岛
        • 2.目标空泛，无整合措施，缺少数据标准化建设规划
      • 2.主要目标
        • 1.与业务目标一致
        • 2.有效利用信息与数据资源（投资的回收，支持决策）
        • 3.风险管理（对关键的信息与数据资源，有效监控和事件处理
      • 3.3个层次
        • 1.最高管理层：证实IT战略与业务战略是否一致
        • 2.执行管理层：制定IT目标、分配责任
        • 3.业务及服务执行层：IT基础设施的建设和维护；IT需求的提出和响应
    • IT治理体系
      • 1.核心：关注IT定位和信息化建设与数据化转型的责权利划分
      • 2.IT治理
        • IT治理的目标是什么？
          • 业务目标与IT目标一致
        • IT治理由谁来做？
          • IT组织架构
        • IT治理做什么？
          • 决策、投资、风险、绩效、管理
        • IT治理怎么做？
          • 统筹、评估、指导、监督
        • IT治理做的效果如何？
          • 内外评价
      • 3. IT治理体系架构
      • 4. IT治理核心内容
        • 1.战略匹配
        • 2.组织职责
        • 3.资源管理
        • 4.价值交付
        • 5.风险管理
        • 6.绩效管理
    • IT治理任务
      • 1.活动定义：统筹、指导、监督和改进
      • 2.主要任务
        • 1.全局统筹
        • 2.价值导向
        • 3.机制保障
        • 4.创新发展
        • 5.文化主推
    • IT治理方法与标准
      • 1.我国信息技术服务标准库ITSS中的IT治理系列标准
        • 1.三大治理域
          • 1.顶层设计
          • 2.管理体系
          • 3.资源
        • 2.ITSS适用于
          • 1.建立组织的IT治理体系
          • 2.开展信息技术审计
          • 3.研发选择和评价IT治理相关的软件或解决方案
          • 4.第三方对组织的IT治理能力进行评价
        • 3.IT治理的驱动力
          • 1.组织章程
          • 2.监管职责
          • 3.利益相关方期望
          • 4.业务要求
          • 5.业务压力
        • 4.治理主体任务
          • 1.指导
          • 2.评估
          • 3.监督
      • 2.信息和技术治理框架COBIT (美国信息系统审计与控制协会(SACA) 编制)
        • 1.对治理和管理进行了明确的区分
        • 2.治理
          • 确保对利益干系人的需求、条件和选择方案进行评估，以确定全面均衡、达成共识的组织目标；通过确定优先等级和指定决策来设定方向；根据议定的方向和目标监控绩效与合规性。
        • 3.管理
          • 是指按治理设定的方向计划、构建、运行和监控活动，以实现组织目标。
      • 3.IT治理国际标准ISO/IEC38500
        • 1.评估
        • 2.指导
        • 3.监督
  • 2.IT审计
    • IT审计基础
      • 1.IT审计的目的
        • 1.了解组织的IT系统与IT活动的总体状况
        • 2.对组织是否实现IT目标进行审查和评价
        • 3.充分识别与评估相关IT风险
        • 4.提出评价意见及改进建议
        • 5.促进组织实现IT目标
      • 2.IT审计的范围
        • 1.总体范围
          • 需要根据审计目的和投入的审计成本来确定
        • 2.组织范围
          • 明确审计涉及的组织机构、主要流程、活动及人员等
        • 3.物理范围
          • 具体的物理地点与边界
        • 4.逻辑范围
          • 涉及的信息系统和逻辑边界
        • 5.其他相关内容
          • ...
      • 3.IT审计风险
        • 1.固有风险
          • IT活动不存在相关控制的情况下，易于导致重大错误的风险 如:突然的硬件故障
        • 2.控制风险
          • 与IT活动相关的内部控制体系不能及时预防或检查出存在的重大错误的控制风险。 如:人员对计算机病毒的安全防范意识不足，防范网络远程侵害的措施不足
          • 主要与程序制度相关
        • 3.检查风险
          • 通过预定的审计程序未能发现重大、单个或与其他错误相结合的风险 如:审计人员计算机知识不足
          • 主要与审计人员相关
        • 4.总体风险
    • 审计方法与技术
      • 1.审计方法
        • 访谈法、调查法、检查法、观察法、测试法、程序代码检查法。
      • 2.IT审计技术
      • 3.审计工作底稿
        • 1.综合类工作底稿
          • 审计人员在审计计划阶段和审计报告阶段，为规划、控制和总结整个审计工作并发表审计意见所形成的审计工作底稿，如:审计业务约定书、审计计划、审计总结、审计报告等
        • 2.业务类工作底稿
          • 审计人员在审计实施阶段为执行具体审计程序所形成的审计工作底稿 如:问题调查表和流程图等。
        • 3.备查类工作底稿
          • 审计人员在审计过程中形成对审计工作仅具有备查作用的审计工作底稿。通常，备查类审计工作底稿是由被审计单位或第三者根据实际情况提供或代为编制
    • 审计流程
      • 1.狭义
        • 取得审计证据--完成审计目标--得出审计结论
      • 2.广义
        • 审计准备阶段--审计实施阶段--审计终结阶段--后续审计阶段
    • 审计内容
      • 1.IT内部控制审计
        • 1.组织层面IT 控制审计
        • 2.IT一般控制审计
        • 3.应用控制审计
      • 2.IT专项审计
        • 1.信息系统生命周期审计
        • 2.信息系统开发过程审计
        • 3.信息系统运行维护审计
        • 4.网络与信息安全审计
        • 5.信息系统项目审计(组织管理、项目启动与计划、项目实施与控制、项目收尾管理、工程方法审计)
        • 6.数据审计
        • 7.....
• 4.1信息系统管理
  • 1.管理方法
    • 管理基础
      • 信息系统管理覆盖的四大领域
        • 1.规划和组织
        • 2.设计和实施
        • 3.运维和服务
        • 4.优化和持续改进
    • 规划与组织
      • 1.业务战略
        • 想做到的战略目标
      • 2.组织机制
        • 组织协调过程
      • 3.信息系统
        • 工具、方法、途径
        • 信息系统战略矩阵
    • 设计与实施
      • 1.系统架构
        • 1.集中式架构（主机架构）
        • 2.分布式架构（基于服务器的架构）
        • 3.面向服务的架构（基于Web的架构)
      • 2.架构说明
    • 运维和服务
      • 1.运行控制和管理
      • 2.IT服务管理
      • 3.运行与监控
      • 4.终端侧管理
      • 5.程序库管理
      • 6.安全管理
      • 7.介质控制
      • 8.数据管理
    • 优化与持续改进
      • 1.PDCA戴明环
        • Plan（计划）
        • Do（执行）
        • Check（检查）
        • Act（处理）
      • 2.六西格玛五阶段方法DMACI/DMADV
        • 定义（Define）
        • 度量（Measure）
        • 分析（Analysis）
        • 改进/设计（Improve/Design）
        • 控制/验证（Control/Verify)
  • 2.管理要点
    • 数据管理
      • 1.数据管理能力模型
        • 1.组织
          • 1.数据战略
          • 2.数据生存周期
        • 2.制度
          • 1.数据治理
          • 2.数据架构
        • 3.流程
          • 1.数据标准
          • 2.数据质量
        • 4.技术
          • 1.数据安全
          • 2.数据应用
      • 2.DCMM管理能力成熟等级
        • 1.初始级
          • 数据需求的管理主要是在项目级体现，没有统一的管理流程
        • 2.受管理级
          • 组织意识到数据是资产，根据管理策略的要求制定了管理流程
        • 3.稳健级
          • 数据已被当做实现组织绩效目标的重要资产，在组织层面制定了系列的标准化管理流程，促进数据管理的规范化。
        • 4.量化管理级
          • 数据被认为是获取竞争优势的重要资源，数据管理的效率能量化分析和监控。
        • 5.优化级
          • 数据被认为是组织生存和发展的基础，相关管理流程能实时优化能在行业内进行最佳实践分享。
    • 运维管理
      • 1.关键要素/指标
        • 1.人员
        • 2.过程
        • 3.技术
        • 4.资源
      • 2.IT运维能力模型图

5.信息系统工程

• 信息系统概述
  • 信息系统基础概念
    • 系统
      • 系统是由相互联系、相互依赖、相互作用的事物或过程组成的具有整 体功能和综合行为的统一体。
    • 信息系统
      • 信息系统就是输入数据，经过加工处理，产生信息的系统。
      • 面向管理和支持生产是信息系统的显著特点
    • 信息系统的组成
      • 信息系统的组成部件包括硬件、软件、数据库、网络、存储设备、感 知设备、外设、人员以及把数据处理成信息的规程等。
  • 信息系统生命周期
    • 1.系统规划阶段
    • 2.系统分析阶段
    • 3.系统设计阶段
    • 4.系统实施阶段
    • 5.系统运行和维护阶段
  • 信息系统开发方法
    • 1.原型法
      • 需求阶段使用
      • 针对需求不明确
    • 2.结构化方法
      • 自顶向下，逐步分解求精严格分阶段，阶段产出标准化
      • 面向过程方法
      • 应变能力差
    • 3.面向对象方法
      • 阶段界限不明
      • 更好应变、更好复用
      • 符合人们的思维习惯
    • 4.面向服务的方法
      • 粗粒度、松耦合
      • 标准化和构件化、复用性强以业务驱动技术，强调IT与业务的对齐，以开放标准封装业务流程和已有的应用系统，实现应用系统之间的相互访问
    • 5.各方法的关系
• 软件工程
  • 架构设计
    • 五大架构风格
      • 1.数据流风格
      • 2.调用/返回风格
      • 3.独立构件风格
      • 4.虚拟机风格
      • 5.仓库风格
      • 说明
  • 需求分析
    • 1.需求的特性
      • 好需求应该具体无二性、完整怀、一致性、可测试性、确定性、可跟踪性、正确性、必须性等特性。
    • 2.需求过程
      • 1.需求获取
      • 2.需求分析
      • 3.需求规格说明书编制
      • 4.需求验证与确认
    • 3.软件需求
      • 1.获取方法
        • 收集资料
        • 联合讨论会
        • 用户访谈
        • 书面调查
        • 现场观摩
        • 参加业务实践
        • 阅读历史文档
        • 抽样调查
      • 2.分类
        • 1.业务需求（整体全局）
        • 2.用户需求(用户视角)
        • 3.系统需求（计算机化）
          • 功能需求
          • 性能需求
          • 设计约束
      • 3.QFD分类
        • 基本需求（明示，常规需求）
        • 期望需求（隐含）
        • 兴奋需求（多余，意外需求）
    • 4.需求分析工具方法
  • 软件设计
    • 1.软件设计的方法
      • 结构化设计（SD）
        • 设计阶段
          • 概要设计
            • 将系统的功能需求分配给软件模块
          • 详细设计
            • 每个具体任务选择适当的技术手段和处理方法
        • 原则:高内聚、低耦合
          • 内聚:模块内部各成分之间的联系程度
          • 耦合:表示模块之间联系的程度
      • 2.面向对象设计（OOD）
    • 2.设计模式
      • 1创建型模式
        • 用于描述如何创建对象，包括工厂方法模式、抽象工厂模式、原型模式、单例模式、构建器模式。
      • 2.结构型模式
        • 用于描述如何实现类或对象的组合，适配器模式、桥接模式、组合模式、装饰模式、外观模式、享元模式、代理模式。
      • 3.行为型模式
        • 描述类或对象怎样交互以及怎样分配职责，职责链模式、命令模式、解释器模式、迭代器模式、中介者模式、备忘录模式、观察者模式、状态模式策略模式、模板方法模式、访问者模式。
    • 3.UML (统一建模语言)
      • 平台无关、语言无关。
      • 14种类图
    • 4.UML-用例之间的关系
      • 1.包含关系
      • 2.扩展关系
      • 3.泛化关系
      • 详细说明
  • 软件测试
    • 1.测试方法
      • 1.动态测试（机器运行）
        • 黑盒测试法(功能测试)
          • 说明：不知道如何实现，只看结果，比如接口调用
          • 等价类划分
          • 边界值分析
          • 错误推测
          • 因果图
        • 白盒测试法(结构测试)
          • 说明：需要知道如何实现
          • 语句覆盖
          • 判定覆盖
          • 条件覆盖
          • 判定/条件覆盖
          • 条件组合覆盖
          • 路径覆盖
        • 灰盒测试法
          • 说明：综合黑盒测试与白盒测试之间的思想
      • 2.静态测试（人工检测)
        • 针对文档：检查单
        • 针对代码：桌前检查、代码审查、代码走查
          • 桌前检查：程序员自己检查
          • 代码审查：评审小组，正式的评审活动
          • 代码检查：代码检查小组，非正式的检查
    • 2.测试类型
      • 单元测试：模块测试，模块功能、性能、接口等。
      • 集成测试：模块间的接口。
      • 确认测试：验证软件与需求的一致性
        • 内部确认测试
        • Alpha测试（用户在开发环境)
        • Beta测试（用户在实际环境
        • 验收测试
      • 系统测试：真实环境下，验证完整的软件配置项能否和系统正确连接。
      • 配置项测试：检验软件配置项与SRS的一致性。
      • 回归测试：测试软件变更之后，变更部分的正确性对变更需求的符合性。
  • 部署交付
  • 过程管理
  • CSMM
    • CSMM认证，软件能力成熟度评估标准，CSMM也被很多企业称之为“中国版CMMI认证”
    • CSMM模型5个等级
• 数据工程
  • 数据建模
    • 1.类型
      • 1.概念模型
      • 2.逻辑模型
      • 3.物理模型
    • 2.详细说明
  • 数据标准化
    • 1.主要内容
      • 元数据标准化
      • 数据元标准化
      • 数据模式标准化
      • 数据分类与编码标准化
      • 数据标准化管理
    • 2.元数据与数据元的区别
      • 元数据
        • 元数据是关于数据的数据(Data About Data)。
      • 数据元
        • 是数据库、文件和数据交换的基本数据单元。
  • 数据运维
    • 数据备份
      • 将整个应用系统的数据或一部分关键数据复制到其他存储介质上的过程。
    • 数据容灾
      • 一切引起系统非正常停机的事件都可以称为灾难。容灾系统分为应用容灾和数据容灾。
      • 应用容灾：保证应用服务的完整、可靠和安全等一系列要求，用户在任何情况下都能得到正常的服务；
      • 数据容灾：关注于保证用户数据的高可用性，在灾难发生时能够保证应用系统中的数据尽量少丢失或不丢失。
  • 数据开发和利用
    • 1.数据清洗
      • 数据清洗从名字上也看得出就是把“脏”的“洗掉”，对数据进行重新审查和校验的过程，目的在于删除重复信息、纠正存在的错误。
    • 2.数据集成
      • 将驻留在不同数据源中的数据进行整合，向用户提供统一的数据视图。
    • 3.数据挖掘
      • 发现隐藏于数据之后的规律或数据间的关系，从而服务于决策。
    • 4.数据变换
      • 将原始数据转换成为适合数据挖掘的形式。包括对数据的汇总、聚集、概化、规范化，还可能需要进行属性的重构。
    • 5.数据归约
      • 在尽可能保持数据原貌的前提下，最大限度地精简数据量。
  • 数据库安全
    • 数据库威胁分类
      • 安全后果
        • 非授权的信息泄露
          • 未获授权的用户有意或无意得到信息。通过对授权访问的数据进行推导分析获取非授权的信息也属于这一类
        • 非授权的数据修改
          • 包括所有通过数据处理和修改而违反信息完整性的行为非授权修改不一定会涉及非授权信息泄露，因为即使不读取数据也可以进行破坏
        • 拒绝服务
          • 包括会影响用户访问数据或使用资源的行为
      • 威胁方式
        • 无意
          • 自然或意外灾害
            • 如地震、水灾、火灾等。这些事故可能会破坏系统的软硬件，导致完整性破坏和拒绝服务
          • 系统软硬件中的错误
            • 这会导致应用实施错误的策略，从而导致非授权的信息泄露、数据修改或拒绝服务
          • 人为错误
            • 导致无意地违反安全策略，导致的后果与软硬件错误类似
        • 有意
          • 授权用户
            • 他们滥用自己的特权造成威胁
          • 恶意代理
            • 病毒、特洛伊木马和后门是这类威胁中的典型代表
      • 应对策略
        • 防止非法的数据访问
          • 这是数据库安全关键的需求之一。数据库管理系统必须根据用户或应用的授权来检查访问请求，以保证仅允许授权的用户访问数据库
        • 防止推导
          • 推导指的是用户通过授权访问的数据，经过推导得出机密信息，而按照安全策略，该用户是无权访问此机密信息的。
        • 保证数据库的完整性
          • 该需求指的是保护数据库不受非授权的修改，备份/恢复以及一些专用的安全机制共同实现。
        • 保证数据的操作完整性
          • 定位于在并发事务中保证数据库中数据的逻辑一致性
        • 保证数据的语义完整性
          • 在修改数据时，保证新值在一定范围内符合逻辑上的完整性
        • 审计和日志
          • 审计和日志是有效的威慑和事后追查、分析工具。
        • 标识和认证
          • 与其他系统一样，标识和认证也是数据库的第一道安全防线。标识和认证是授权、审计等的前提条件。
        • 机密数据管理
          • 对于同时保存机密和公开数据的数据库而言，访问控制主要保证机密数据的保密性，仅允许授权用户的访问。这些用户被赋予对机密数据进行一系列操作的权限，并且禁止传播这些权限。
        • 多级保护
          • 多级保护表示一个安全需求的集合。现实世界中很多应用要求将数据划分不同保密级别。用户只能访问拥有的权限所对应级别的数据。
        • 限界
          • 限界的意义在于防止程序之间出现非授权的信息传递。
• 系统集成
  • 集成基础
    • 互操作性
      • 指的是能在对等层次上进行有效的信息交换。如果一个开放系统提供在系统各构件之间交换信息的机制，也称该系统支持互操作性。
    • 可移植性
      • 如果一个子系统(构件或部分) 可以从一个环境移植到另一个环境称它是可移植的。因此，可移植性是由系统及其所处环境两方面的特征决定的。
    • 系统集成栈
      • 网络集成(互联)
        • 网络集成解决语法的问题
      • 数据集成(互通)
        • 数据集成解决语义的问题
      • 应用集成(互操作性)
        • 应用集成解决语用的问题
  • 网络集成
    • 技术角度
      • 网络集成不仅涉及不同厂家的网络设备和管理软件，也会涉及异构和异质网络系统的互联问题。
    • 管理角度
      • 每个组织的管理方式和管理思想千差万别，实现向网络化管理的转变会面临许多人为的因素。
  • 数据集成
    • 数据仓库技术是数据集成的关键
    • 数据集成的层次：基本数据集成、多级视图集成、模式集成和多粒度数据集成
    • 异构数据集成方法：过程式方法、声明式方法、中间件集成异构数据库。
    • 开放数据库互联标准
    • 基于XML的数据交换标准
    • 基于JSON的数据交换格式
  • 应用集成
    • 应用集成或组织应用集成(EAI)是指将独立的软件应用连接起来，实现协同工作。
    • 技术要求：具有应用间的互操作性;具有分布式环境中应用的可移植性:具有系统中应用分布的透明性。
    • 实现上述目标的关键：在独立应用 (包括本地应用和云应用) 之间实现实时双向通信和业务数据流。
    • 协调连接各种应用的组件：应用编程接口 (API)、事件驱动型操作、数据映射。

6.信息系统安全管理

• 信息技术发展
  • 信息安全基础
    • 1.信息安全有关的概念
      • 保密性(Confidentiality): 信息不被未授权者知晓的属性。
      • 完整性 (integrity): 信息是正确的、真实的、未被篡改的、完整无缺的属性。
      • 可用性 (Availability) :信息可以随时正常使用的属性。
      • CIA
    • 2.信息安全层次
      • 1.设备安全
        • 1. 设备的稳定性
          • 设备在一定时间内不出故障的概率。
        • 2.设备的可靠性
          • 设备能在一定时间内正常执行任务的概率。
        • 3.设备的可用性
          • 设备随时可以正常使用的概率
      • 2.数据安全
        • 保密性
        • 完整性
        • 可用性
        • CIA
      • 3.内容安全
        • 信息安全在政治、法律、道德层次上的要求
      • 4.行为安全
        • 数据安全本质上是一种静态的安全，而行为安全是一种动态安全。
    • 3.信息系统安全
      • 1.计算机设备安全。
      • 2.网络的安全性。
      • 3.操作系统的安全性。
      • 4.数据库系统安全。
      • 5.应用的安全性。
    • 网络安全技术
      • 防火墙：隔离内网与外网，阻挡对网络的非法访问和不安全数据传递。
      • 入侵检测系统(IDS)：监视网络或系统资源，寻找违反安全策略的行为与攻击，发出报警，被动防御。
      • 入侵防护系统(IPS)：对入侵活动和攻击网络流量进行拦截，主动防御。
      • VPN(虚拟专用网)：在公网上利用安全协议打造“专用网络”。
      • 安全扫描：用于检测安全弱点（开放端口、弱密码）与系统漏洞。
      • 网络蜜罐：“诱捕”攻击者的陷阱，延缓攻击者对真正目标的攻击，主动防御。
      • 用户和实体行为分析技术：通过监视用户和实体（包括路由器）来检测内部威胁。
  • 信息安全技术
    • 1.加密技术
      • 1.对称加密技术
        • 1.对称加密就是加密解密都用同一个秘钥，比如DES、3DES和AES等（后缀包含ES的）
        • 2.对称加密效率高，但因为加密密钥与解密密钥相同，如何传输密钥是个难题
      • 2.非对称加密技术
        • 1.非对称加密:加密和解密不是用的同一种秘钥，比如RSA算法（后缀包含SA的）。
        • 2.非对称加密安全性好，但效率低
        • 3.非对称加密技术公钥加密，私钥解密；如果使用私钥加密，使用公钥就可以解密（ 在数字签名中使用）
      • 总结
        • 1.一般大量明文采用对称加密，少量明文采用非对称加密
        • 2.也可以明文采用对称加密，密钥采用非对称加密
      • 3.非对称技术中，公私钥的应用
        • 1.公钥: 加密和认证;私钥: 解密和签名
        • 2.上面都是成对使用的，加密与解密；签名与认证
    • 2.真实性/完整性
      • 1.数字签名
        • 使用非对称加密技术的私钥加密，因为私钥只有自己知道，就保证了签名无法伪造；也因为私钥只有自己知道，所以经过签名的内容，也不能抵赖！
      • 2.认证
        • 数字签名与认证是成对使用，正常由第三方共同参与
    • 5.其他信息安全技术
      • 1.安全行为分析技术
      • 2.网络安全态势感知
• 信息系统管理
  • 信息安全管理
    • 1.信息系统安全管理的内容
      • 1.落实安全管理机构及安全管理人员，明确角色与职责，制定安全规划；
      • 2.开发安全策略；
      • 3.实施风险管理；
      • 4.制定业务持续性计划和灾难恢复计划；
      • 5.选择与实施安全措施；
      • 6.保证配置、变更的正确与安全；
      • 7.进行安全审计；
      • 8.保证维护支持；
      • 9.进行监控、检查，处理安全事件；
      • 10.安全意识与安全教育；
      • 11.人员安全管理等
    • 2.网络安全保护等级
      • 记忆
        • 1.只要涉及到国家的，从三级起步
        • 2.社会秩序比国家低一级
        • 3.使用范围是地方、中央、国家分别是三至五级
    • 3.安全保护能力等级
      • 1级
        • 能够防护免受来自个人的、拥有很少资源的威胁源发起的恶意攻击
      • 2级
        • 能够防护免受来自外部小型组织的、拥有少量资源的威胁源发起的恶意攻击
      • 3级
        • 防护免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击
      • 4级
        • 防护免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击
• 信息系统工程
  • 工程概述
    • 工程概述
    • 安全系统
  • 安全系统
    • 信息安全系统工程过程的组成
      • 1.工程过程
        • 产品或服务
      • 2.风险过程
        • 风险信息
      • 3.保证论据
        • 保证论据
  • 工程体系架构
    • 信息安全系统工程能力成熟度模型 (SSE-CMM)
      • 一级（非正规实施级）
        • 执行基本实施
      • 二级（规划和跟踪级）
        • 规划执行、规范化执行、验证执行、跟踪执行
      • 三级（充分定义级）
        • 定义标准化过程、执行已定义的过程、协调安全实施
      • 四级（量化控制级）
        • 建立可测度的质量目标、对执行情况实施客观管理
      • 五级（持续改进级）
        • 改进组织能力、改进过程的效能

7.项目管理概论

• PMBOK的发展
  • 1.项管第四版中，在10大知识领域，5大过程组上面，首次融入了“敏捷”（PMBOK第六版强化了敏捷）；
  • 2.PMBOK第七版已经不存在10大知识领域，5大过程组，而是分为12原则、8大绩效域，重视绩效。
  • 3.在第四版中，PMBOK第七版只是少量的内容，所以学习以PMBOK第六版为主，第七版为辅助。
• 项目的基础要素
  • 项目
    • 概念
      • 项目是为达到特定的目的，使用一定资源、在确定的期间内、为特定发起人而提供独特的产品、服务或成果而进行的一次努力
    • 项目的特点
      • 临时性（一次性）
      • 独特性（独特的产品、服务或成果）
      • 逐步完善（渐进明细性）
    • 项目的目标
      • 成果性目标（项目目标）
        • 指通过项目开发出的满足客户要求的产品、服务或成果。
      • 约束性目标（管理性目标）
        • 指完成项目成果性目标所需求的时间、成本以及要满足的质量、范围等。
      • SMART原则：
        • Specific（具体）、Measurable（可测量）、Attainable（可达到的）、Relevant（与战略目标相关联的）、Time-bound（有一定的时限）。
      • 项目的制约因素
  • 项目、项目集与项目组合
  • 事业环境因素、组织过程资产
    • 事业环境因素
      • 1.组织文化、结构与治理
      • 2.设施和资源的地理分布
      • 3.政府或行业标准
      • 4.基础设施
      • 5.现有人力资源状况
      • 6.人事管理制度
      • 7.公司的工作授权系统
      • 8.市场条件
      • 9.干系人风险承受力
      • 10.政治氛围
      • 11.组织已有的沟通渠道
      • 12.商业数据库
      • 13.项目管理信息系统
      • 能够影响到项目，但项目很少能影响到它的因素称为事业环境因素
        • 影响你，但你改变不了它
        • 做项目时必须严格按要求进行的，如行业标准
    • 组织过程资产
      • 流程与程序
        • 1.指南和标准
        • 2.特定的组织标准
        • 3.模板
        • 4.变更控制程序
        • 5.财务控制程序
        • 6.问题与缺陷管理程序
        • 7.组织对沟通的要求
        • 8.确定工作优化顺序、批准工作与签发工作授权的程序
        • 9.风险控制程序
        • 10.标准化的指南、工作指示、建议书、评价准则和绩效测量准则
        • 11.项目收尾指南或要求
      • 共享知识库
        • 1.配置管理知识库
        • 2.财务数据库
        • 3.历史信息与经验教训知识库
        • 4.问题与缺陷管理数据库
        • 5.过程测量数据库
        • 6.以往项目的项目档案
      • 通过做项目积累下来的经验
        • 能够持续影响并且可以更新他
        • 在做项目时，可以参考，也可以不参考，如项目指南，有特殊项目中可以不参考
    • 表格说明
  • 项目组织结构类型
    • 通常把企业组织类型分为职能型、项目型和矩阵型三大类。不管是在职能型组织还是在项目型组织亦或是矩阵型组织中，具体项目运作方式都有很多相同之处，而且职能型组织中也是通过项目组织（即项目部）来运作项目的，只不过此时的项目通常是在某个职能部门内部运作（基本上不会跨部门运作）。
    • 职能型组织
    • 项目型组织
    • 矩阵型组织
      • 弱矩阵组织
      • 强矩阵组织
      • 平衡矩阵组织
      • 复合型组织
    • 组织结构对项目的影响
  • 项目管理办公室（PMO）
    • 识别结构图、特点、优点、缺点、项目协调关系
    • 项目管理办公室（PMO）组成
      • 1.组织高层主管
      • 2.项目经理
      • 3.各类专项专家
      • 4.项目协调人员
    • 项目管理办公室（PMO）基本职责
      • 日常性职能
        • 1.建立组织内项目管理的支撑环境
        • 2.培养项目管理人员
        • 3.提供项目管理的指导和咨询
        • 4.组织内的多项目管理和监控
      • 战略性职能
        • 1.项目组合管理
        • 2.提高组织级项目管理能力
    • 项目经理与PMO的区别
      • 1.项目经理关注特定的项目目标，PMO的工作目标包含组织级观点。
      • 2.项目经理控制资源以实现项目目标，PMO对所有项目的共享资源进行优化使用。
      • 3.项目经理管理单个项目的制约因素，如进度、成本与质量等，PMO从企业层面管理整体的风险、机会等。
    • PMO类型
      • 支持型：担当顾问的角色，向项目提供模板、最佳实践，以及来自其他项目的信息和经验教训。（资源库）
      • 控制型：不仅给项目提供支持，而且通过各种手段要求项目服从。(控制度：中)
      • 指令型：直接管理和控制项目。项目经理由PMO指定并向其报告。(控制度：高)
  • 项目经理的 角色
    • 经理的类型
      • 项目经理：由执行组织委派，领导团队实现项目目标和干系人的期望。
      • 职能经理：专注于对某个职能领域或业务部门的管理监督。
      • 运营经理：负责保证业务运营的高效。
    • 项目经理的能力
      • 项目管理技能：与项目、项目集和项目组合管理特定领域相关的知识、技能和行为，即角色履行的技术方面。
      • 领导力技能：指导、激励和带领团队所需的知识、技能和行为，可帮助组织达成业务目标。
        • ◆人际交往
        • ◆领导者品质和技能
        • ◆政策和权力
      • 战略和商务管理技能：纵览组织概括并有效协商和执行有利于战略调整和创新的决策和行动。
      • 领导力与管理：领导力风格、个性。
    • 项目经理的影响力范围
• 价值驱动的项目管理知识体系
  • 生命周期结构特征
    • 项目开始阶段，干系人影响力较大，风险较大；项目越往后，变更代价越大，干系人影响力越小，风险越小。
  • 项目生命周期
    • 1.预测型生命周期
    • 迭代型生命周期
    • 敏捷型生命周期
      • 增量：是指先做其中一部分再做另外一部分
      • 迭代：是指先做概要再逐步完善
  • 项目管理过程组
    • 五个过程组
    • 项目阶段与项目管理过程组的关系
    • 五大过程组的时间关系
• 十五至尊图

8.立项管理

• 项目建议书
  • 概念
    • 项目建议书是项目发展周期的初始阶段产物，是国家或上级主管部门选择项目的依据，也是可行性研究的依据，涉及利用外资的项目，在项目建议书批准后，方可开展对外工作。有些企业单位根据自身发展需要自行决定建设的项目，也参照这一模式首先编制项目建议书。
    • 普通民营企业可以不做项目建议书
  • 核心内容
    • 1.项目的必要性
    • 2.项目的市场预测
    • 3.产品方案或服务的市场预测
    • 4.项目建设必需的条件
    • 记忆方法：必要性+2个预测+必需条件
    • 因为项目建议书是上级部门选择项目的依据，核心内容必须要让上级部门看到项目价值
• 可行性研究
  • 可行性研究的两个阶段
    • 1.初步可行性研究（可省略）
    • 2.详细可行性研究（必不可少）
    • 备注：小项目一般只进行详细可行性分析
  • 可行性研究的内容
    • 1.技术可行性分析
      • 技术能力，产品功能，人力资源。
    • 2.经济可行性分析
      • 支出/收益分析，收益投资比，投资回收期，敏感性分析。
    • 3.社会效益可行性分析
      • 对内 (品牌效益、竞争力等) ，对外 (公共效益)
    • 4.运行环境可行性分析
      • 考虑软件交付后，是否能顺利运行。
      • 注：这涉及到用户单位的硬件平台，管理体制，人员素质，工作习惯等。
    • 5.其他可行性研究
      • 法律可行性分析、政策可行性分析等。
  • 成本与效益分析
    • 是否一次性支出
      • 一次性成本：开发费、培训费、差旅费、初始数据录入、设备购置费等
      • 非一次性成本：软、硬件租金、人员资福利、水电等公用设施使用费其他消耗品支出等。
    • 直接间接支出
      • 直接成本:直接用于项目组，项目经理可控
      • 间接成本:分摊性质的成本。如房租。
    • 开发总成本
      • 经营成本(研发成本+行政管理费+销售与分销费用)
      • 财务费用和折日
    • 收益分析
      • 直接收益:如销售项目产品的收入。
      • 间接收益:如成本的降低。
  • 静态分析与动态分析
    • 动态投资回收期
    • 投资回收期计算示例
• 项目评估与决策
  • 项目评估报告
    • 在项目可行性研究的基础上，由第三方 (不能是: 项目建设单位) 对拟建项目进行评价、分析和论证，进而判断其是否可行(重点评估必要性)
    • 审查项目可行性研究的可靠性、真实性和客观性
    • 为银行的贷款决策或行政主管部门的审批决策提供科学依据
  • 项目评估的依据
    • 项目建议书及其批准文件
    • 项目可行性研究报告
    • 报送组织的申请报告及主管部门的初审意见
    • 项目关键建设条件和工程等的协议文件
    • 必需的其他文件和资料等

25.法律法规和标准规范

• 项目建议书
• 可行性研究
• 项目评估与决策

系统需求（计算机化）