【正文】 組成?！傲鬓D”業(yè)務流程管理ＢＰＭ，是規(guī)范化，以持續(xù)的提高組織業(yè)務績效為目的。業(yè)務流程重組ＢＰＲ。ＢＰＭ不一定是徹底的重新設計業(yè)務流程，而是規(guī)范對流程進行設計，需要重新就重新，不需要就進行改進。流程管理的本質，是構造卓越的業(yè)務流程。首先保證流程是面向客戶的流程。流程管理與原有的ＢＰＲ管理思想最要本的不同，就在于流程管理并不要求對所有的流程進行再造，而是根據(jù)現(xiàn)有流程的具體情況，對流程進行規(guī)范化設計。三個層面：規(guī)范、優(yōu)化、再造流程。業(yè)務流程管理中最為重要的一個環(huán)節(jié)：業(yè)務流程設計流程三大類：戰(zhàn)略類、營運類、支持性。流程設計原則：至少讓6個元素同步流動——工作任務、責任、目標與績效、時間、資源、信息。目前，很多企業(yè)通常關注的要素，集中在工作任力的流動上，忽視其它，導致：授權不明確、責任不到位、目標不清晰、流程的流通時間拖沓、資源不充分、信息不完整。在進行ＢＰＭ時，要對流程進行描述，有文本、表格、圖形。圖形有流程圖法（Flow Charts）業(yè)務流程執(zhí)行和關注的是執(zhí)行的效率（所耗資源）、效果（完成情況）業(yè)務流程評估：應建立起內(nèi)部與外部相結合的方式價值活動有兩類基本活動：內(nèi)部后勤、生產(chǎn)經(jīng)營、外部后勤、服務輔助活動：采購、技術開發(fā)、人力資源管理、企業(yè)基礎設施活動有三種類型直接活動、間接活動、質量保證ＡＢＣ成本法：基于活動的成本計算法，用于對現(xiàn)有流程的描述和成本分析，緊密跟蹤每個作業(yè)的成本，記錄為支持這些必要的活動所消耗的組織資源。ＡＢＣ成本法與傳統(tǒng)的成本核算方法的相似之處，在于收集成本信息，并將成本分配到成本中心。不同之處在于關注導致成本發(fā)生的原因，而不是對消耗的資源進行簡單分配。三個基本原則：關注昂貴資源、尋找多樣性（產(chǎn)品變化其消耗量也顯著變化）、關注需求模式與傳統(tǒng)分配方式差異很大的資源ＡＢＣ誤差在5%10%，傳統(tǒng)在200%。ＡＢＣ始于與部門負責人的面談。流程重組ＢＰＲ是革命性變革；連續(xù)流程改進ＣＰＩ更穩(wěn)妥。重組與改進并沒有不兼容的根本區(qū)別，改進只是要考慮更多的方方面面，更好地實現(xiàn)平滑過渡。實施流程重組ＢＰＲ的指導原則有：虛擬資源系統(tǒng)設計是ＢＰＲ的核心。ＢＰＲ實施，涉及到技術、人文。廣義的ＢＰＲ——多層ＢＰＲ實施體系結構三個層次：觀念重建、流程重建、組織重建（將面向功能，轉為面向流程）。選擇變革項目三標準：有嚴重缺陷的流程、對經(jīng)營成功至關重要的流程、容易處理的流程。項目團隊中，工人和經(jīng)理都有代表，項目組把主要精力放在變革項目上。第22章 　知識管理（20140208）信息只有當經(jīng)由帶語境的思維模型解釋和評價之后，才能稱之為知識。知識管理要求項目管理模式由層次式的監(jiān)督與控制，轉變?yōu)楸馄绞焦芾?。顯性知識與隱性知識。隱性知識，以經(jīng)驗、印象、技術訣竅、組織文化、風俗等形式存在。顯性知識可以通過閱讀、視聽、檢索獲得；隱性知識主要靠在實踐中“邊干邊學”獲得。隱性知識常常是高度個人化的，局限在非常具體的范圍內(nèi)，是形成競爭優(yōu)勢的基礎，大部分的創(chuàng)造性設計開發(fā)成果為隱性知識。知識管理是指，為了增強組織的績效而創(chuàng)造、獲取、使用知識的過程。有外部化、內(nèi)部化、中介化、認知化四種功能。認知化是將由以上三種功能獲得的知識加以應用的過程。知識管理應起到輔助工具的作用。內(nèi)部網(wǎng)（intranet）是知識管理最有力的工具之一。顯性知識可以內(nèi)部，也可以外部采集，如標桿管理和組織間協(xié)作。項目知識管理第一步，就是達到知識學習與共享。三個方面加強員工交流機會：公司物理環(huán)境的改造、組織結構的扁平化、設立網(wǎng)絡虛擬社區(qū)。顯性知識的索引三種：文本、持有人、所在過程導向。組織隱性知識劃分為三個層次：員工個體、群體（團隊、部門）、組織。隱性知識的共享方法：編碼化、面對面交流、人員輪換、網(wǎng)絡（內(nèi)部網(wǎng)絡是共享知識的橋梁）知識倉庫——以知識需求為導向，源于公司事務系統(tǒng)和外部知識源的數(shù)據(jù)庫。版權，有形或無形的作品的個人的權利，也可以轉換為一個組織所擁有的權利，包括建筑設計、電腦軟件、動畫設計等。任何一種作品，只要它是原創(chuàng)，或者是通過某一物質媒介表達出來，都可以獲得版權。知識產(chǎn)權三性：專有性、地域性、時間性企業(yè)的智力資本可以分為五個層次：防御、成本控制、利潤中心、整合、遠見?，F(xiàn)階段我國絕大多數(shù)企業(yè)所處的價值層次，為防御和成本控制。層次三到五就屬于進攻性戰(zhàn)略了。數(shù)據(jù)庫可以作為匯編作品受到版權保護。域名也應屬于一種商業(yè)標記。突破了地域性?！半娮由虅铡笔侵敢浴皵?shù)據(jù)信息”形式，即以電子、光或類似手段，也包括使用替代物替代以紙為基礎的信息交換與存儲方法，所進行的商業(yè)活動。電子商務分支付型、非支付型（信息查詢、發(fā)布、商務談判、合同簽署）信息流、資金流、物流、商流，把商流分解于前三者之中，從這一點上，電子商務與傳統(tǒng)商務并無根本區(qū)別。知識產(chǎn)權貿(mào)易已成為電子商務活動。以電子申請形式獨得的專利權、商標權，是獲得知識產(chǎn)權的一種新途徑，也可以看做是一種電子商務，一種特殊的電子商務。第23章 　項目整體績效評估（20140208）項目整體績效指的是，項目的范時成質信息，有的項目也包含風險和采購信息。項目績效評估，一般是指通過項目組之外的組織或者個人對項目進行的評估，通常是指在項目的前期和項目完工之后的評估。前期評估，主要是可行性評估?？冃徲嫞?Ｅ審計）：經(jīng)濟、效率、效果，由獨立的審計機構或人員，對合理性、經(jīng)濟性、有效性作監(jiān)督、評價和鑒證。按時間分為事前、事中、事后績效審計。事中審計是一種動態(tài)審計?？冃гu估以授權或委托的形式讓獨立的機構或個人來進行，就是績效審計。項目評估工作，可以在可行性研究的同時進行調查研究，在拿到報告后，提出評估意見。由獨立機構完成。項目評估原則：投資方案盡可能適應技術發(fā)展趨勢、盡可能采用世界上先進的工藝技術和設備。但當技術的先進性和經(jīng)濟性發(fā)生矛盾時，最終判別的標準，是經(jīng)濟效益與社會效益，是否有利于可持續(xù)發(fā)展。信息系統(tǒng)績效評估原則：應用效果評估——有預期的經(jīng)濟收益、管理效益。霍爾三維結構：邏輯、時間、知識。項目風險：項目在其外部環(huán)境、內(nèi)部運行條件、生命周期內(nèi)自然存在的導致項目績效損失的變化程度。模糊數(shù)學，是用精確數(shù)學的方法處理具有模糊性問題的數(shù)學。典型的項目生命周期圖形為“Ｓ”型“慢－快－慢”項目風險評估，40%以下為低風險，70%以上為高風險。項目財務績效評估內(nèi)部收益率法（ＩＲＲ法），修正的內(nèi)部收益率法（ＭＩＲＲ法）對項目的投資效果進行經(jīng)濟評價的方法，有靜態(tài)分析法、動態(tài)分析法。動態(tài)分析法也叫貼現(xiàn)法，有凈現(xiàn)值法ＮＰＶ、內(nèi)部收益率法ＩＲＲ　　一般來說，同一項目的修正內(nèi)部收益率ＭＩＲＲ會比不修正的內(nèi)部收益率ＩＲＲ要小，從而使項目評估更為貼近實際。第24章 　信息安全系統(tǒng)和安全體系（20140208）安全空間的五大屬性：認證、權限、完整、加密、不可否認信息安全系統(tǒng)架構體系：１、 ＭＩＳ+Ｓ系統(tǒng)架構“初級”，業(yè)務應用系統(tǒng)基本不變、硬件與系統(tǒng)軟件通用、安全設備基本不帶密碼。安全設備是指在“應用系統(tǒng)”之外的信息安全設備，如防火墻、安全路由、網(wǎng)絡隔離、動態(tài)口令卡、病毒防治、漏洞掃描系統(tǒng)、入侵檢測系統(tǒng)等。不使用ＰＫＩ/ＣＡ的ＶＰＮ設備也屬于這個范疇。２、 ＳＭＩＳ系統(tǒng)架構“標準”，建立在ＰＫＩ/ＣＡ標準上，業(yè)務應用系統(tǒng)必須根本改變，硬件與軟件通用，ＰＫＩ/ＣＡ安全保障系統(tǒng)必須帶密碼。３、 Ｓ2ＭＩＳ系統(tǒng)架構“超安全”，業(yè)務應用系統(tǒng)必須根本改變，硬件與軟件專用，ＰＫＩ/ＣＡ安全保障系統(tǒng)必須帶密碼。第25章 　信息系統(tǒng)安全風險評估（20140208）無形資產(chǎn)：誠信、可靠的信譽、產(chǎn)品的商標、商家的專利、知識產(chǎn)權等。生產(chǎn)廠家的產(chǎn)品和工藝流程、參數(shù)等，為有形資產(chǎn)。從業(yè)務應用信息系統(tǒng)安全威脅的分析來看，單位的“無形資產(chǎn)”是在“有形資產(chǎn)”破壞之后才引發(fā)的結果。信息安全保障系統(tǒng)首先要考慮“有形資產(chǎn)”的保護。風險的性質分：靜態(tài)與動態(tài)；風險的結果分：純粹與投機。自然事件風險，是不以人的意志為轉移的不可抗拒的天災人禍，如911事件等恐怖事件都是自然事件風險。人為事件風險，１、 意外的人為事件風險：內(nèi)部涉密人員有意或無意泄密、無意更改重要記錄信息、非授權人員無意查看或存取保密信息，隨意的一切操作……２、 有意的人為事件風險：欺詐、偷竊、內(nèi)部員工的有意破壞、侵犯他人個人隱私、惡意代碼、黑客。惡意的黑客行為，是指那些沒有被授權的人非法侵入一個機構的計算機系統(tǒng)進行破壞的行為，包括內(nèi)部和外部。軟件過程風險軟件需求階段的風險最大！設計本身的風險主要來自于系統(tǒng)分析人員，這一階段另一種風險來自于設計文檔。大型軟件系統(tǒng)的最大風險：對系統(tǒng)可維護性的輕視。控制避免信息應用管理風險的唯一辦法：制定監(jiān)督制度，完善項目管理機制。未授權訪問數(shù)據(jù)的風險：包括允許外界訪問和了解目前組織狀態(tài)與特征的信息泄露。安全威脅的對象就是一個單位的有形、無形資產(chǎn)，主要是有形資產(chǎn)。在鑒定資產(chǎn)時要注意在信息系統(tǒng)中的資產(chǎn)不只是軟件和硬件，還包括了很多其他內(nèi)容，如工作人員、單位形象、企業(yè)的字號、文檔資料、各種服務等。資產(chǎn)評估鑒定的理由是：要區(qū)別對待。所以資產(chǎn)評估一定要結合單位的實際需要和實際環(huán)境進行。在一個劃定的評估范圍內(nèi)的所有資產(chǎn)都必須進行鑒定，而對所有被排除在這個范圍內(nèi)的資產(chǎn)不論什么原因，也有必要進行額外的評估鑒定以確定它們沒有被遺漏或忽略。某單位資產(chǎn)被評估鑒定的細致程度要和該單位資產(chǎn)的價值相適應。有必要對其價值或重要性做出一個非經(jīng)濟方面的評估，如用資產(chǎn)的質量作為其價值或重要性的量度。針對特定的單位來說，可以特定低、中、高三種情況等符合其特定情況的評估鑒定標準。資產(chǎn)之間的相關性在進行評估鑒定時是必須考慮的一個問題。資產(chǎn)評估鑒定的最后一步，就是列出一個所有被評估鑒定的資產(chǎn)清單。威脅、脆弱性、影響之間存在著一定的對應關系。威脅是系統(tǒng)外部產(chǎn)生的，脆弱性是客觀存在的，假設威脅不存在，系統(tǒng)本身的脆弱性仍然帶來一定的風險。影響是威脅與脆弱性的特殊組合。安全薄弱環(huán)節(jié)還可能與資產(chǎn)的性質或屬性有關。如果只有安全薄弱環(huán)節(jié)而沒有與之相對應的安全威脅；或只有安全威脅而沒有與之相對應的安全薄弱環(huán)節(jié)，就不能看作一項風險。第26章 　安全策略（20140210）這里指計算機業(yè)務應用系統(tǒng)為保護采用的措施、手段，以及各種管理制度、法規(guī)等。一個單位一定要建立安全策略，安全策略來源于單位的“安全風險（威脅）”。安全策略的核心內(nèi)容是“七定”：定方案、崗、位、員、目標、制度、工作流程。首先是定方案，其次是定崗。安全策略要經(jīng)過單位的全員討論修訂。各個安全要素是同等重要的。安全等級一共5級。第1級為用戶自主保護級，普通內(nèi)聯(lián)用戶；第3級為安全標記保護級，適用于國家機關、金融單位、重點工程建設等；第4級為結構化保護級，適用于中央級國家機關、國防建設等部門；第5級為訪問驗證保護級，適用于國防關鍵部門等。安全策略設計原則中，有職責分離原則。管理和執(zhí)行功能實施分離。擬定業(yè)務應用信息系統(tǒng)的功能，是建設信息安全系統(tǒng)的最關鍵、最基本的、又是最首要的一環(huán)。第27章 　信息安全技術基礎（20140210）密碼技術是信息安全的根本。是建立“安全空間”“認證、權限、完整、加密、不可否認”5大要素的“基石”。明文為Ｍ，密文為Ｃ，加密就是從Ｍ到Ｃ。對稱密鑰：加密與解密函數(shù)都使用同一個密鑰Ｋ１。有ＩＤＥＡ,ＤＥＳ,3ＤＥＳ,ＲＣ4.ＤＥＳ56，ＩＤＥＡ128密鑰長度。對稱密鑰優(yōu)點：快、簡單、適合一對一的信息加密傳輸過程。對稱密鑰缺點：加密強度不高，不適宜一對多。非對稱密鑰：加密用公鑰，解密用私鑰。有ＲＳＡ,ＥＣＣ。優(yōu)點：加密復雜，適合一對多，尤其是互聯(lián)網(wǎng)。缺點：慢、復雜、明文攻擊很脆弱，不適用于數(shù)據(jù)的加密傳輸。數(shù)據(jù)簽名：先計算ＨＡＳＨ值，用私鑰加密，用公鑰解密。與非對稱密鑰相反。記憶方法：簽名都是私人，所以是私鑰加密。數(shù)字時間戳服務ＤＴＳ，由專門的單位機構提供電子文件，是一個經(jīng)加密后的憑證文檔，有三部分：摘要ＭＤ，日期時間，數(shù)字簽名。事實上，不對稱密鑰加密算法更多的時候是用于對稱加密密鑰的傳送。ＶＰＮ虛擬個人網(wǎng)；ＶＬＡＮ虛擬本地網(wǎng)。有兩種ＶＰＮ，IPSec VPN和MPLS　VPN。IPSec VPN并不需要基于ＰＫＩ技術，它可用共享密鑰在網(wǎng)絡端點進行加密。使用兩個協(xié)議來保障ＩＰ上的安全傳輸：ＡＨ認證頭協(xié)議和ＥＳＰ封裝安全載荷協(xié)議。采用傳輸模式和隧道模式來傳輸加密的數(shù)據(jù)。MPLS是在ＡＴＭ基礎上發(fā)展起來的。比IPSec VPN更強安全性等，可以簡化ＶＰＮ的配置和管理，提高ＶＰＮ的可擴展性。無線網(wǎng)絡有兩個主要的部件：基站ＳＴＡ，網(wǎng)絡橋接器ＡＰ.ＡＰ的作用就好比是網(wǎng)橋。無線安全網(wǎng)絡ＷＬＡＮ的安全機制ＷＥＰ：不像IPSec協(xié)議一樣用于提供網(wǎng)絡安全，而是用于提供無線網(wǎng)的對等的保密級別。用流碼ＲＣ4.ＷＥＰ２：ＷＰＡ：替代ＷＥＰ的加密系統(tǒng)ＴＫＩＰ。中國標準WAPI。第28章 ?。校耍晒_密鑰基礎設施（20140210）ＰＫＩ是解決５要素目前唯一可行的技術，以不對稱密鑰加密技術為基礎。數(shù)字證書提供了ＰＫＩ的基礎。認證中心ＣＡ是ＰＫＩ的核心。ＰＫＩ的體系架構：信任服務體系與密鑰管理中心ＫＭＣ。公鑰兩大類用途：用于驗證數(shù)字簽名；用于加密信息。簽名私鑰絕對不能夠作備份和存檔。解密私鑰應該進行備份。ＰＫＩ/ＣＡ對數(shù)字證書的管理是按照數(shù)字證書的生命周期實施的。用戶向一個企業(yè)Ｃ提交證書請求時，請求會立即得到處理，因為企業(yè)ＣＡ使用活動目錄來驗證用戶。證書請求被立即拒絕或批準。如撤回證書時，不會撤回客戶機上所有的證書，而僅僅撤回ＣＲＬ中指定的證書。所有的證書都有一個有限