第八章- IT服务监督管理必背知识

概述
监督管理基于国家IT服务标准，全面评估IT服务，监督服务过程与交付结果，并实施绩效评估，贯穿服务全生命周期。此过程中，关键涵盖质量管理、风险管理和信息安全管理三大独立领域。质量管理通过制定方针、目标和计划，结合控制、保证与改进活动，确保服务达标并赢得用户满意。风险管理则聚焦于识别、分析风险并采取措施防范，以减少风险，提升服务成功率。而信息安全管理保障组织资产、信息及服务的保密性、完整性、可用性等关键属性，是组织安全架构的基石。三者协同，共同支撑高效、安全的IT服务运行。

IT服务安全管理
体系
信息安全管理体系(ISMS):是整个管理体系的一部分。
它是基于业务风险的方法，来建立、实施、运行、监视、评审、保持和改进信息安全的。
(注:管理体系包括:组织结构、方针政策、规划活动、职责、实践、程序、过程和资源)。
知识
信息安全的属性
- 完整性

• 可用性
• 保密性
• 可控性
• 可靠性
  信息安全管理
  1、信息安全政策制定
  2、风险评估
  3、控制目标与方式的选择
  4、制定规范的操作流程
  5、信息安全培训等。

涉及安全方针策略、组织安全、资产分类与控制、人员安全、物理与环境安全、通信与运营安全、访问控制、系统开发与维护、业务连续性、法律符合性等领域
活动（吃饭凭官绅）
1、定义信息安全策略
2、定义信息安全管理体系的范围
3、进行信息安全风险评估
4、确定管理目标和选择管理措施
5、准备信息安全适用性申明
信息系统安全保护等级
1、用户自主保护级
2、系统审计保护级
3、安全标记保护级
4、结构化保护级
5、访问验证保护级
等级保护工作的主要环节
1、信息系统定级
2、信息系统备案
3、信息系统安全建设整改
4、等级测评
5、监督检查

IT服务质量管理
IT服务质量评价模型/服务质量特性（全靠有相好）
安全性（可用性、完整性、保密性）
可用性评价指标
1、供方访问权限的控制率（1-A/B）
2、需方访问权限的满足率（1-A/B）
完整性评价指标
1、信息的完整状态比率（1-A/B）
保密性评价指标
1、保密机制的运行情况（A/5，1级没有制度，实施不到位）
2、泄密事故发生情况（只要发生就为0）
可靠性（完备性、连续性、稳定性、有效性、可追溯性）
完备性评价指标
1、服务项实现的完整度（A/B）
连续性评价指标
1、重大事故发生情况（只要发生就为0）
2、事故（不包括重大事故）发生情况（1-A/B）
3、服务按时恢复的事件比例（1-A/B）
4、服务的可用程度（1-A/B）
5、关键业务应急就绪度（A/5，1级没有制度，实施不到位）
稳定性评价指标
1、服务人员的稳定性（1-A/B）
有效性评价指标
1、接通率（A/B）
2、服务报告及时提交率（A/B）
3、首问解决率（A/B）
4、解决率（A/B）
可追溯性评价指标
1、服务记录的可追溯性（A/5，1级没有机制，实施不到位）
响应性（及时性、互动性）
及时性评价指标
1、及时响应率（1-A/B）
2、及时解决率（1-A/B）
互动性评价指标
1、互动沟通机制（A/5，1级没有机制，实施不到位）
2、服务报告提交率（A/B）
3、投诉处理率（A/B）
有形性（可视性、专业性、合规性）
可视性评价指标
1、服务交付物的呈现规范性（A/5，1级没有模板，实施不到位）
专业性评价指标
1、工具的专业性（A/5，1级没有工具）
2、服务流程的专业性（A/5，1级没有流程，也没有实施）
3、人员的专业性（X170%+X230%,X1资格认证，X2本科）
合规性评价指标
1、服务的依从性（A/5，1级没有标准）
友好性（主动性、灵活性、礼貌性）
主动性评价指标
1、主动进行服务监控（A/5，1级没有规范，实施不到位）
2、主动进行服务趋势分析（A/5，1级没有规范，实施不到位）
3、主动介绍服务的相关内容（A/5，1级没有规范，实施不到位）
灵活性评价指标
1、需求响应灵活性（A/5，1级没有机制，没有响应）
礼貌性评价指标
1、服务语言、行为和态度规范（A/5，1级没有规范，实施不到位）
常见的运维服务质量管理活动
运维服务质量策划
质量管理策划内容（木货只是问）：

• 目标：确定运维服务质量的目标，结合运维业务实际情况、运维服务客户的需要以及当前运维能力水平，设定合理的运维服务质量目标。
• 活动：确定运维服务质量管理的活动，为了达到运维服务质量目标，必须事先策划所要采取的质量保证和质量控制活动。
• 职责：确定运维服务质量管理相关的职责和权限。
• 时间：时间安排，在策划阶段需要对确定的各类质量活动时间做出大致安排，或者确定频率周期。
• 文件：运维服务质量策划最终要形成质量策划文件，在最终确定后，应该以正式的形式发送给相关方。
  常见的运维服务质量活动活动形式：（头肩饱满，馆内教化）
• 项目质量保证
• 用户满意度管理
• 客户投诉管理
• 日常检查
• 质量文化和质量教育
• 体系内审及管审
  运维服务质量检查（饱满婶婶陪茶）
  常见的质量实施和检查活动包括：
• 进行满意度调查
• 运维各项目质量保证工作实施
• 内审
• 管理评审
• 日常检查
• 质量文化培训等
  运维质量负责人和业务负责人关注方式：
• 定期召开质量会议
• 定期质量报告
• 不定期的邮件质量问题沟通
  运维服务质量改进
  PDCA：

1. 明确问题
2. 掌握现状
3. 分析问题产生的原因
4. 拟定对策并实施
5. 确认效果
6. 防止问题再发生并标准化
7. 总结
   质量管理旧七种工具：

• 统计分析表
• 数据分层法
• 排列图
• 因果分析图
• 直方图
• 散布图
• 控制图
  质量管理新七种工具：
• 系统图
• 关联图
• 亲和图
• 矩阵图
• 矩阵数据分析法
• 过程决策程序图法（PDPC）
• 箭条图法

IT服务风险管理
风险管理计划
输入（凡夫预购足金环）
- 服务范围说明书

• 服务预算
• 沟通管理计划
• 组织过程资产
• 事业环境因素
• 进度管理计划（必要时）
  输出（房角玉石焚，应该歌剧跟）
  风险管理计划，包含以下内容：
• 方法：IT服务中实施风险管理的办法和使用的工具等
• 角色和职责：定义IT服务风险管理团队的成员，并且为这些成员分配具体任务与职责
• 预算：分配资源并估计成本
• 制订时间表：定义在IT服务整个生命周期中风险管理过程的执行时间进度计划
• 风险类别：事先准备的常用风险类别，用一个简单的列表标识IT服务不同方面的风险
• 风险概率：定义一个根据风险类别确定风险概率的客观标准
• 风险影响力：反映的是风险影响的严重程度
• 概率及影响矩阵：根据风险对目标的影响程度，用一种查询表格即影响矩阵对风险排序。根据风险概率和影响程度的组合，决定该风险的高、中、低程度
• 报告的格式：如何对风险管理过程的结果进行归档、分析及沟通
• 跟踪：记录风险行为的方方面面，并将这些内容进行归档
  风险识别
  输入（死鸡患猪饭）
  - SLA
• 范围说明书
• 风险管理计划
• 组织过程资产
• 环境及组织因素
  输出（鸡心）
  - 风险记录
• 更新管理计划
  方法（凭信件分解）
  - 文档评审
• 信息收集技术（头脑风暴法、德尔菲法、访谈法、优劣势分析法）
• 检查表
• 分析假设
• 图解技术
  风险定性分析
  输入
  - 风险管理计划
• 风险记录
• 组织过程资产
• 工作绩效信息
• 范围说明
  输出
  - 按优先级或相对等级排列的风险
• 按种类的风险分组
• 要近期做出响应的风险列表
• 需要进一步分析和应对的风险列表
• 低优先级风险的监视表
• 风险定性分析结果中反映的趋势
  风险定量分析
  输入
  - 管理计划
• 风险管理计划
• 经过更新的风险记录
• 包含活动的逻辑关系及活动历时估算的进度管理计划
• 包含成本估算的成本管理计划
• 范围说明和范围管理计划
• 工作分解结构
• 组织过程资产
  输出
  - 可能性分析
• 实现成本和进度目标的可能性
• 已量化风险的优先级列表
• 定量风险分析结果中的趋势
  风险处置计划
  输入
  - 风险管理计划
• 风险记录
  输出（疯人动车接餐，跳出新鱼回河）
  - 已识别的风险及描述
• 风险责任人及其职责
• 定性和定量风险分析过程的结果
• 一致认同的应对策略
• 执行选定的应对策略所需的具体行动
• 在应对策略执行后，期望的残留风险水平
• 风险发生时的预警和信号
• 风险应对策略所需的预算和时间
• 时间和成本的应急储备，目的是为干系人提供一定的风险承受能力
• 启动应急计划的触发条件
• 风险一旦发生后采用的回退计划
• 残留风险
• 二级风险：执行某一风险应对措施而直接引发的风险
• 需要的应急储备量
• 风险相关的合同协议
  方法
  负面应对策略（避免、转移、减轻）
  机遇应对策略（开拓、分享、强大）
  同时适用威胁和机遇的应对策略
  应急响应策略
  风险监控
  输入
  - 风险管理计划
• 风险记录
• 工作绩效信息
• 批准的变更请求
  输出
  - 建议的纠正措施
• 变更申请
• 风险记录
• 组织过程资产
  方法
  - 风险评估
• 风险审计和定期的风险评审
• 差异和趋势分析
• 技术的绩效评估
• 预留管理
  风险跟踪
  方法
  - 风险审计
• 偏差分析
• 技术指标分析
  风险清单
  风险清单是一种主要的风险管理工具，指明了服务在任何时候面临的最大风险。风险管理负责人应经常维护这张清单，直到结束前不断更新这张清单，并给这些风险排列优先顺序，更新风险解决情况，对这些风险的严重程度的变化保持警。