1.企业信息化管理概述

当前信息化迅猛普及，信息化水平巨幅提升，企业数据日益膨胀，信息化为企业带来了丰厚利润。同时，信息化程度不高，信息化管理不规范，缺少专业IT人才，跟不上市场和客户不断变化的需求等状况的企业，越来越不适应现代企业发展的形势和要求。

为满足企业信息化需求，加强信息化管理，企业有必要制定信息化管理规划。企业信息化管理规划是指在企业发展战略目标的指导下，结合企业管理需求、业务流程和信息化基础，对信息化管理目标和内容进行整体规划，系统地指导企业信息化建设和管理。

2.企业信息化管理机制

建立企业信息化管理机制可大幅提升企业管理，企业信息化管理包括安全管理机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理等。

2.1安全管理机构

安全管理机构包括设置岗位、配备人员、授权和审批、审核与检查等。

成立指导和管理信息化工作的委员会或领导小组；设立信息化管理主管、系统管理员、网络管理员、安全管理员等岗位并配备相应人员，并定义各负责人的职责；明确信息系统操作的授权审批程序，建立逐级审批制度；加强内部人员及与专业IT公司、业界专家等沟通和合作，共同协作处理信息化问题；定期进行信息系统全面安全检查，制定检查表格，汇总安全检查数据，形成安全检查报告，并对安全检查结果进行通报。

2.2安全管理制度

企业安全管理制度包括制度制定、修改、发布、评审等。

应明确信息化工作的总体方针和策略，说明信息化工作的总体目标、范围、原则和框架等。指定或授权专门的部门或人员负责安全管理制度的制定、发布、评审和修改；对管理活动中的各类管理内容建立管理制度；形成由安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系；对要求管理人员或操作人员执行的日常管理操作建立操作规程等。

2.3人员安全管理

制定人员录用、人员离岗、人员考核、安全意识教育和培训和外部人员访问管理制度并严格执行。

2.4系统建设管理

系统建设管理包括系统方案设计、产品采购、自行或外包软件开发、服务商选择、工程实施、测试验收、系统交付等。

应组织相关部门和有关安全技术专家对信息系统进行论证和审定，明确信息系统的边界和安全保护等级；统一考虑信息系统总体安全策略、技术框架、管理策略对信息系统建设进行总体规划，制定近期和远期的安全建设工作计划，并形成配套文件；指定或授权专门的部门负责产品的采购，使用符合国家的有关规定的产品并定期审定和更新候选产品名单；自行或外包软件开发应确保开发环境与实际运行环境物理分开，开发人员和测试人员分离，测试数据和测试结果受到控制，根据开发需求检测软件质量，专人负责保管软件设计的相关文档和使用指南及软件源代码；应确保安全服务商的选择符合国家的有关规定，与其签订与相关签订服务合同，明确约定相关责任；指定或授权专门的部门或人员负责工程实施过程的管理，明确实施方案和实施过程的控制方法和人员行为准则；应根据设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，形成测试验收报告，并对系统测试验收报告进行审定签认；应制定详细的系统交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点；对负责系统运行维护的技术人员进行相应的技能培训，并按照管理规定的要求完成系统交付工作。

2.5系统运维管理

系统运维管理包括环境管理、资产管理、介质管理、设备管理、监控安全管理、网络管理、系统管理、恶意代码防范、变更管理、备份与恢复管理、安全事件处理、应急预案管理等。

定期对机房供配电、空调、温湿度控制等设施进行维护管理，对机房的出入、服务器的开机或关机等工作进行管理，对办公环境的保密性管理；应编制并保存与信息系统相关的资产清单，应根据资产的重要程度对资产进行标识管理，根据资产的价值选择相应的管理措施；应建立介质安全管理制度，对介质的存放环境、使用、维护和销毁等方面作出规定；应对信息系统相关的各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理，明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等；应对通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等进行监测、分析和报警，形成记录并妥善保存，建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理；应指定专人对网络进行管理，负责运行日志、网络监控记录、漏洞扫描、服务配置、离线备份、网络安全策略等日常维护和报警信息分析和处理工作；应指定专人对系统进行管理，划分系统管理员角色，明确各个角色的权限、责任和风险，权限设定应当遵循最小授权原则；应定期检查信息系统内各种产品的恶意代码库的升级情况并进行记录，对主机防病毒产品、防病毒网关和邮件防病毒网关上截获的危险病毒或恶意代码进行及时分析处理，并形成书面的报表和总结汇报；制定变更方案，建立变更控制的申报和审批文件化程序，对变更影响进行分析并文档化，记录变更实施过程，建立中止变更并从失败变更中恢复的文件化程序，并妥善保存所有文档和记录；制定安全事件报告和响应处理程序，确定事件的报告流程，响应和处置的范围、程度，以及处理方法，分析和鉴定事件产生的原因，收集证据，记录处理过程，对造成系统中断和造成信息泄密的安全事件应采用不同的处理程序和报告程序；应在统一的应急预案框架下制定不同事件的应急预案，应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训演练等内容。

3.企业信息化建设内容

广义的企业信息化建设内容包括三方面的内容：第一是标准体系建设，这是信息系统持续、深入发展的支撑；第二是标准化组织机构建设，这是标准体系能够完善和贯彻的保障；第三是企业信息系统，这是企业信息化建设最直观的成果。

以下针对企业信息化具体要建设什么，包括哪些内容。示意图如下：

企业信息化建设内容示意图

3.1物理环境建设

物理环境主要涉及信息化建设中各种信息处理终端设备、信息存储介质及各类外设资源。如机房建设、设备采购等。

3.2网络基础设施建设

网络基础设施向各类信息化应用系统提供必要的网络基础环境和可靠、有效的信息传输服务通道。如综合布线、网络工程等。

3.3安全支撑环境建设

安全应用支撑环境由各类安全技术和防护措施构成，包括防火墙、防毒墙、加密传输、身份认证、访问控制、数字签名等技术手段，为各类应用提供安全保障和服务。如远程办公、防攻击等。

3.4应用支撑平台建设

应用支撑平台构建在网络基础设施和安全支撑环境之上，为最终应用系统提供承载服务，包括Web服务、信息交换、数据库、工作流等，通过安全支撑接口，上层应用系统可以根据业务逻辑进行各种安全服务调用，实现整个信息系统的整体安全。如信息交换、流程处理控制等系统。

3.5信息资源服务建设

建设信息资源服务，为信息资源共享提供数据库管理、目录服务、多媒体服务等，管理各种信息资源库。如资源管理系统、目录服务系统。

3.6业务应用建设

企业业务应用由面向员工的应用系统、面向公众的应用系统、面向合作伙伴的应用系统等组成，形成企业业务模型、信息模型、数据结构及信息格式等。如ERP系统、OA系统等。

4.企业信息系统建设要点

4.1机房建设

机房是各类信息的中枢，分为A、B、C三级，机房建设必须保证网络和计算机等高级设备能长期而可靠地运行的工作环境，机房建设内容如下。

机房装饰：抗静电地板铺设、微孔天花和机房墙板装修、天棚及地面防尘处理、防火门窗等；供配电系统：供电系统、配电系统、照明、应急照明、UPS电源；空调新风系统：机房精密空调、新风换气系统；消防报警系统：消防报警、手提式灭火器；防盗报警系统：红外报警系统；防雷接地系统：电源防雷击抗浪涌保护、等电位连接、静电泄放、接地系统；安防系统：门禁、视频；机房动力环境监控系统：机房环境监控系统。

建设时应预留相应机房空间，选用机房专用配电柜，实时监测温湿度， 注意UPS蓄量支撑时间以及机房防火防水防雷击等。

4.2网络工程

网络工程分为网络规划和综合布线。网络规划是指计算机网络所使用的交换机、路由器等网络设备选择，网络拓扑结构的设计，施工技术要求等。综合布线包括线缆的选择、桥架设计、线缆及接插件的布放等。

建设时应考虑所选设备符合国家相关要求，网络性能满足用户扩容需求，线缆走向合理，线缆标识清晰，防护措施和设备配置信息明确等。

4.3安全防护系统

安全防护系统是指使用安全防护产品，实现视频监控、网络防护、安全审计、容灾备份等功能。

建设时应注意监控或审计日志保存期限，视频监控线缆采用独立线槽布放，审计权限清晰，备份机制合理等。

4.4应用系统开发

应用系统是指企业根据自身办公需要而开发研制的各类业务应用系统。

系统开发应注意用户需求确认，开发周期合理，系统性能满足用户要求，系统管理员、操作员、审计员权限清晰，系统基础信息可再用，事项流程可自定义，还应考虑开发工具和技术的先进性和连贯性。

4.5数据中心

数据中心是对企业所有数据资源进行统一采集、存储、处理、对象化、关联与服务的重要设施，解决数据的分布式、零散化的问题，提供数据搜索和数据共享服务，为企业决策提供数据支撑。

数据中心建设应考虑数据库选型，数据原料库利用，数据存储容量，数据提交响应时间，数据安全备份机制等。

4.6 IT运行维护

企业IT运行维护是指企业建立相应信息化部门或选择专业IT外包公司，执行企业信息系统运维工作。IT运维涉及企业终端电脑、服务器、网络、应用系统等，内容繁杂、日常故障多样。

IT运维应合理选择专业IT外包公司，注意建立运维体系及日常记录相关表格，做好巡检工作，有序规避风险，还应配合企业信息化项目建设工作。