应用系统监理(上)

1、 信息应用系统工程监理信息应用系统工程监理中国软件评测中心中国软件评测中心 20222022年年6 6月月信息应用系统监理信息应用系统监理一、应用系统建设监理的特点一、应用系统建设监理的特点二、监理的目标和内容二、监理的目标和内容三、应用系统建设的质量控制三、应用系统建设的质量控制四、应用系统建设的进度控制四、应用系统建设的进度控制五、应用系统建设的成本控制五、应用系统建设的成本控制六、信息安全管理六、信息安全管理一、一、应用系统建设的特点应用系统建设的特点4比较新颖比较新颖 伴随新技术在各行业的广泛应用而产生。4科技含量高科技含量高 本身就是高技术投入实际应用的具体体现。4从业人员素质高、年

2、轻化从业人员素质高、年轻化4范围广范围广 技术领域涵盖计算机、智能建筑、网络、通信、软件工程等；业务涵盖各行各业。一、应用系统建设监理的特点一、应用系统建设监理的特点4信息量互不对称性信息量互不对称性4信息管理的互不对称性信息管理的互不对称性4企业目的与用户目的的矛盾企业目的与用户目的的矛盾4促使开发行为符合国家有关法律法规、有促使开发行为符合国家有关法律法规、有关政策和相关技术标准的要求关政策和相关技术标准的要求4促进建设单位与承建单位的有效沟通促进建设单位与承建单位的有效沟通 4督促各方协商一致，建立一套明确、合理、督促各方协商一致，建立一套明确、合理、可行的计划或者规程可行的计划或者规程

3、 4及早预测和发现可能影响进度的各种因素及早预测和发现可能影响进度的各种因素4及时纠正可能影响系统功能与性能的缺陷及时纠正可能影响系统功能与性能的缺陷二、监理的目标和内容二、监理的目标和内容“四控三管一协调四控三管一协调”2质量控制质量控制2进度控制进度控制2成本控制成本控制2变更控制变更控制2信息安全信息安全2合同管理及知识产权管理合同管理及知识产权管理2信息管理信息管理2协调协调监里人员不要企图对所有的项目事务进行监管，否则要管的事情实在监里人员不要企图对所有的项目事务进行监管，否则要管的事情实在太多了，最终什么都没有管好。太多了，最终什么都没有管好。二、监理的目标和内容二、监理的目标和内

4、容三、应用系统建设的质量控制三、应用系统建设的质量控制4软件工程质量概述软件工程质量概述4软件工程质量度量软件工程质量度量4监理的质量控制工作监理的质量控制工作软件工程质量概述软件工程质量概述2CMM和ISO9001似乎并不奏效，现实和理想之间的差距太大。2CMM和ISO9001总是理论性很强并且抛开商业目标谈质量管理，或许误导了大量读者。2重要的理念：重要的理念：商业目标和用户目标决定质量目标。提高软件质量的最终目的是为了赢利，而不是创造完美无缺的产品。因此对于普通项目软件而言，并不是“质量越高越好”，而是恰好让广大用户满意，并且将提高质量所付出的代价控制在预算之内。 软件工程质量概述软件工

5、程质量概述 产品的价值取决于产品的质量，软件质量的特性是多方面的。必须包括：2与明确确定的功能和性能需求的一致性。软件需求是质量度量的基础，缺少与需求的一致性就无质量可言。2与明确成文的开发标准的一致性。不遵循专门的开发标准，将导致软件质量低劣。2与所有专业开发软件所期望的隐含特性的一致性。忽视软件隐含的需求，软件质量将不可信。 在著名的McCall模型中，软件质量被描述为： 正确性、可靠性、效率、完整性、可用性、可维护性、灵活性、可测试性、可移植性、复用性、互操作性等11种特性。软件质量的属性和质量要素4 正确性 在特定环境下，软件满足设计规格说明和用户预期目标的程度。问题1 如果软件开发满

6、足需求规格说明书要求是否 就不存在问题和错误？ 不一定。即使一个软件能 100 % 地按需求规格执行，如果需求分析错了，那么对客户而言这个软件也存在错误，可能影响使用。软件质量的属性和质量要素 问题2 “运行正确”的程序就是高质量的程序吗？ 不见得！这个程序也许运行速度很低并且浪费内存，也许代码写得一塌糊涂，除了开发者本人谁也看不懂也不会使用。应该说，正确性只是反映软件质量的一个因素而已。 软件质量的属性和质量要素 4可靠性 可靠性是软件按照设计要求，在规定时间和条件下不出故障、持续运行的程度。 问题3：测试正确的功能正常运行时会出故障么？ 不一定。软件在运行时不会发生物理性质的变化，因此人们

7、常以为软件功能是正确的，那么它一直都会是正确的。由于我们无法对软件进行彻底地测试，无法根除软件中潜在的错误。平时软件运行得好好的，说不准哪一天就不正常了。软件质量的属性和质量要素4效率 为了完成预定功能，软件系统运行所需的计算机资源的多少。4完整性 对未授权人员访问软件或数据的可控制程度。4可用性 学习、操作、准备输入和解释程序输出所需的工作量。软件的可用性要让用户来评价。4可维护性 定位和修复程序中的一个错误所需的工作量。 软件质量的属性和质量要素4灵活性灵活性 修改或改进一个已投入运行的软件所需的工作量4可测试性可测试性 测试软件以确保其能够执行预定功能所需的工作量。4可移植性可移植性 将

8、软件系统从一个计算机系统或环境移植到另一个计算机系统或环境中运行所需的工作量4复用性复用性 一个软件（或部件）可以用于其他应用的程度。4互操作性互操作性 连接一个系统和另一个系统所需的工作量。软件质量的属性和质量要素软件质量的属性和质量要素4项目的质量控制项目的质量控制4督促承建单位制定质量保证计划。督促承建单位制定质量保证计划。4采用技术评审技术采用技术评审技术 技术评审目的是尽早地发现工作成果中的缺技术评审目的是尽早地发现工作成果中的缺陷，并帮助开发人员及时消除。技术评审有两种陷，并帮助开发人员及时消除。技术评审有两种基本类型：基本类型：正式技术评审（正式技术评审（FTRFTR）非正式技术

9、评审（非正式技术评审（ITRITR）监理的质量控制工作监理的质量控制工作4 项目的质量控制项目的质量控制 关于关于“质量保证质量保证”与与“过程检查过程检查” 的术语说的术语说明明CMMCMM和和ISO9001ISO9001所述的软件质量保证，实质就所述的软件质量保证，实质就 是过程检查，即检查软件项目的是过程检查，即检查软件项目的“工作过程和工作工作过程和工作 成果成果”是否符合既定的规范。是否符合既定的规范。 为了避免人们误以为为了避免人们误以为“质量保证质量保证”能够能够“保保证质量证质量”，提议用，提议用“过程检查过程检查”取代质量保证这个取代质量保证这个术语。术语。监理的质量控制工作

10、监理的质量控制工作4过程检查过程检查 符合规范的工作成果不见得就是高质量的，但是明符合规范的工作成果不见得就是高质量的，但是明显、不符合规范的工作成果十有八九是质量不合格的。显、不符合规范的工作成果十有八九是质量不合格的。例如版本控制检查例如版本控制检查再例如，机构制定了重要工作成果的文档模板再例如，机构制定了重要工作成果的文档模板（例如需求规格说明书、设计报告等），要求开（例如需求规格说明书、设计报告等），要求开发人员写的文档尽可能符合模板。如果监理发现发人员写的文档尽可能符合模板。如果监理发现开发人员写的文档与机构的模板差异非常大，那开发人员写的文档与机构的模板差异非常大，那么就要搞清楚究

11、竟是模板不合适？还是开发人员么就要搞清楚究竟是模板不合适？还是开发人员偷工减料？偷工减料？ 监理的质量控制工作监理的质量控制工作4过程检查的要点过程检查的要点 找出明显不符合规范的工作过程和工作成找出明显不符合规范的工作过程和工作成果，及时纠正问题，切勿吹毛求疵或者在无果，及时纠正问题，切勿吹毛求疵或者在无关痛痒的地方查来查去。关痛痒的地方查来查去。监理的质量控制工作监理的质量控制工作四、应用系统建设的进度控制四、应用系统建设的进度控制4进度控制的目标和内容进度控制的目标和内容4进度控制的类型进度控制的类型4进度控制要点及流程进度控制要点及流程4进度控制的方法进度控制的方法进度控制的目标和内容

12、进度控制的目标和内容4监控项目的进展监控项目的进展4比较实际进度与计划的差别比较实际进度与计划的差别4监督修改计划使项目能够返回预定监督修改计划使项目能够返回预定“轨道轨道”进度控制的类型进度控制的类型4项目总进度控制项目总进度控制 总监、总监代表等高层次监理人员对项目里程总监、总监代表等高层次监理人员对项目里程碑事件的进度控制。碑事件的进度控制。4项目主进度控制项目主进度控制 项目监理部对每一主要事件的进度控制，多极项目监理部对每一主要事件的进度控制，多极项目中，这些事件可能就是各个分项目。项目中，这些事件可能就是各个分项目。4项目详细进度控制项目详细进度控制 监理工程师对具体作业进度的控制

13、，是最基础监理工程师对具体作业进度的控制，是最基础的工作。的工作。4 督促承建单位作出可行的进度安排进度控制的要点及流程进度控制的要点及流程进度控制的要点及流程进度控制的要点及流程4进度评估的基础进度评估的基础4定期信息收集、记录发生的特定事件定期信息收集、记录发生的特定事件4这些信息必须是客观的和可度量的这些信息必须是客观的和可度量的4但是并非每一次都能够得到符合要求的信息，因但是并非每一次都能够得到符合要求的信息，因而通常需要进行主观判断而通常需要进行主观判断进度控制的要点及流程进度控制的要点及流程4检查点和监测频率4检查点(Checkpoints)包括：定期的（如一星期一次，一月一次）与

14、特定的事件绑定的，如生成一份报告或者交付部分产品的时候。4监测频率2监测的频率依赖于项目的大小和风险情况具体负责人，可能需要每天都了解一下进度项目经理需要每星期或每月了解情况4管理层次越高，频率越低，信息越抽象进度控制的方法进度控制的方法4项目进度监理项目进度监理2任务进度监理的要点是任务进度监理的要点是：记录某任务实际开始时间和实际结束时间；记录某任务实际开始时间和实际结束时间；在检查的那一天，判断该任务的状态是在检查的那一天，判断该任务的状态是“提前、提前、延迟还是正常延迟还是正常”；记录实际产生的工作成果。记录实际产生的工作成果。进度控制的方法进度控制的方法进度控制的方法进度控制的方法2

15、监理人员使用合适的软件工具，绘制出“Gantt对比图” ，网络图等，直观反映进度状况。2对于那些进度被延迟的任务，监理人员应当和责任方交流，帮助分析原因。2通常情况进度控制采用甘特图法和网络图法配合使用。五、应用系统建设的成本控制五、应用系统建设的成本控制4 软件项目成本控制概念软件项目成本控制概念4 成本估算与预算成本估算与预算4 软件项目成本控制软件项目成本控制4 成本控制主要内容归纳总结成本控制主要内容归纳总结项目成本控制概念项目成本控制概念4项目成本管理 为了确保项目在核准的预算内按时、保质、经济高效地完成项目各项目标而开展的 一种必要的项目控制过程。4项目的成本控制主要包括： 成本估

16、算 成本预算 成本控制4估算级别：估算级别： 在项目的生命周期中，成本估算也在项目的生命周期中，成本估算也 有级别的不同。例如：有级别的不同。例如： 项目级成本估算（项目启动阶段），项目级成本估算（项目启动阶段），WBSWBS 级成本估算（任务分解完成）。级成本估算（任务分解完成）。软件项目成本估算与预算软件项目成本估算与预算造成成本失控的原因造成成本失控的原因4成本估算、预算工作不够准确精细4软件项目的特点使得开发成本难以精确估算（数据统计，成本误差在20%以内，时间估算在50%以内就相当不错了）4项目在成本估算和预算以及项目投资扩展方法上没有统一的标准和规范可行。4思想认识上存在误区，把工

17、程当项目做，随意性大。软件项目成本估算与预算软件项目成本估算与预算软件项目工作量估算软件项目工作量估算4常用的项目估算方法常用的项目估算方法2简单直观的简单直观的“分解累计分解累计”方法方法2专家判断专家判断2对比法对比法2赢利价格：赢得合同的价格赢利价格：赢得合同的价格2自顶向下：首先定义整个项目的工作量，然后分自顶向下：首先定义整个项目的工作量，然后分解到各个部分解到各个部分2自下而上：各个部分的工作量先估算出来，然后自下而上：各个部分的工作量先估算出来，然后进行合成进行合成2数学模型数学模型软件项目成本控制软件项目成本控制2信息工程项目成本控制的目的，在于降低项目成本，提高经济效益2成本

18、控制: 在项目成本形成的过程中，对所消耗的人力资源、物质资源和费用开支，进行监督、调节和限制。及时纠正将要发生和已经发生的偏差，把各项费用控制在计划成本的范围之内。软件项目成本控制软件项目成本控制4项目成本控制的内容2监控成本执行的情况，确定实际成本与计划成本之间的偏差；2确保成本的修改和变更是适当的；2向项目的有关方面，准确的传递成本变化信息。4项目成本控制的依据2成本基准计划（基准线）；2费用执行报告；2变更请求。4信息安全定义信息安全定义: : 保持信息的保密性、完整性和可用性，保持信息的保密性、完整性和可用性，以及真实性、抗抵赖性和可靠性。以及真实性、抗抵赖性和可靠性。4信息安全包含信

19、息安全包含: : 信息安全技术、信息系统建设及应用安信息安全技术、信息系统建设及应用安全管理。全管理。六、信息安全管理六、信息安全管理4信息系统安全信息系统安全: : 信息系统中的所有硬件、软件及其数据信息系统中的所有硬件、软件及其数据的保存、处理及交换等都受到有效的保护，的保存、处理及交换等都受到有效的保护，不受偶然或者恶意的原因而遭到破坏、更改不受偶然或者恶意的原因而遭到破坏、更改及泄露，从而使得信息系统可以连续、可靠，及泄露，从而使得信息系统可以连续、可靠，并正确地运行，服务不中断。并正确地运行，服务不中断。六、信息安全管理六、信息安全管理4信息系统安全管理原则信息系统安全管理原则4规范

20、原则：信息系统的规划、设计、实现及规范原则：信息系统的规划、设计、实现及运行要遵循安全规范的要求。运行要遵循安全规范的要求。4立足国内的原则：在未经过许可并未经过消立足国内的原则：在未经过许可并未经过消化改造之前，不能直接应用国外的安全保密化改造之前，不能直接应用国外的安全保密技术设备。技术设备。六、信息安全管理六、信息安全管理4信息系统安全管理原则信息系统安全管理原则4价值匹配原则：被保护的数据对于拥有者来说价值匹配原则：被保护的数据对于拥有者来说具有多大的价值和面临的威胁，决定了信息需具有多大的价值和面临的威胁，决定了信息需要保护到何种程度。要保护到何种程度。六、信息安全管理六、信息安全管

21、理4信息系统安全管理原则信息系统安全管理原则4分权制衡原则：重要环节的安全管理要采取分权制衡原则：重要环节的安全管理要采取分权制衡，要害部位的管理权限应有多人管分权制衡，要害部位的管理权限应有多人管理，以提高安全性。理，以提高安全性。六、信息安全管理六、信息安全管理4信息系统安全管理原则信息系统安全管理原则4应急原则：要有安全管理的应急预案，并且应急原则：要有安全管理的应急预案，并且进行必要的演练。进行必要的演练。4灾难恢复原则：越重要的信息系统，应当越灾难恢复原则：越重要的信息系统，应当越重视灾难恢复。重视灾难恢复。六、信息安全管理六、信息安全管理六、信息安全管理六、信息安全管理4信息安全系统体系构成信息安全系统体系构成4实体安全实体安全 ：机房安全、设施安全、灾难预防：机房安全、设施安全、灾难预防与恢复与恢复 4平台安全：操作系统和通用基础服务平台平台安全：操作系统和通用基础服务平台4数据安全：防止数据丢失、崩溃和非法访问数据安全：防止数据丢失、崩溃和非法访问4通讯安全：防止系统之间通讯的安全脆弱性通讯安全：防止系统之间通讯的安全脆弱性威胁威胁4应用安全、运行安全、管理安全等等应用安全、运行安全、管理安全等等 六、信息安全管理六、信息安全管理4应用安全应用安全 与业务紧密相关的安全管理系统与业务紧密相关的安全管理系统 （系统安全架构是