信息安全管理體系ISMS真題-案例分析及參考答案

1、ISMS信息安全技術(shù)真題案例分析參考答案試題一（25分）閱讀下列說明，回答問題1至問題3,將解答填入答題紙的對應(yīng)欄內(nèi)?！菊f明】某市電力公司準(zhǔn)備在其市區(qū)及各縣實施遠程無線抄表系統(tǒng)，代替人工抄表。經(jīng)過考察，電力公司指定了國外的S公司作為遠程無線抄表系統(tǒng)的無線模塊提供商，并選定本市F智能電氣公司作為項目總包單位，負責(zé)購買相應(yīng)的無線模塊，開發(fā)與目前電力運營系統(tǒng)的接口，進行全面的項目管理和系統(tǒng)集成工作。F公司的楊經(jīng)理是該項目的項目經(jīng)理。在初步了解用戶的需求后，F(xiàn)公司立即著手系統(tǒng)的開發(fā)與集成工作。5個月后，整套系統(tǒng)安裝完成，通過初步調(diào)試后就交付用戶使用。但從系統(tǒng)運行之日起，不斷有問題暴露，電力公司要求F公

2、司負責(zé)解決?？善渲泻芏鄦栴}，比如數(shù)據(jù)實時采集時間過長、無線傳輸時數(shù)據(jù)丟失，甚至有關(guān)技術(shù)指標(biāo)不符合國家電表標(biāo)準(zhǔn)等等，均涉及到無線模塊。于是楊經(jīng)理同S公司聯(lián)系并要求解決相關(guān)技術(shù)問題，而此時S公司因內(nèi)部原因退出中國大陸市場。因此，系統(tǒng)不得不面臨改造?！締栴}1】（6分）請用300字以內(nèi)文字指出F公司在項目執(zhí)行過程中有何不妥?！締栴}2】（9分）風(fēng)險識別是風(fēng)險管理的重要活動。請簡要說明風(fēng)險識別的主要內(nèi)容并指出選用S公司無線模塊產(chǎn)品存在哪些風(fēng)險？【問題3】（10分）請用400字以內(nèi)文字說明項目經(jīng)理應(yīng)采取哪些辦法解決上述案例中的問題。參考答案：問題一請用300字以內(nèi)文字指出F公司項目執(zhí)行過程中有何不妥。答案：

3、1 .沒有建立完善的項目管理體系或制定合理的項目管理計劃并遵照執(zhí)行。2 .需求開發(fā)與需求管理不規(guī)范，沒有嚴格進行需求定義與驗證，也沒有形成書面的系統(tǒng)需求規(guī)格說明書。3 .缺乏全面的質(zhì)量管理，缺少完整的測試計劃和測試活動，沒有系統(tǒng)的驗收標(biāo)準(zhǔn)或驗收流程不規(guī)范。4 .整個開發(fā)過程缺乏用戶參與，比如進行階段式的驗收，階段性成果的簽字確認。5 .缺乏對分包商（S公司）的監(jiān)督管理，尤其是對S公司無線模塊產(chǎn)品的質(zhì)量管理6 .沒有了解或咨詢國家或行業(yè)的相關(guān)標(biāo)準(zhǔn)、技術(shù)規(guī)范。7 .沒有對項目進行可行性分析。問題二風(fēng)險識別是風(fēng)險管理的重要活動。請簡要說明風(fēng)險識別的主要內(nèi)容并指出選用S公司無線模塊存在哪些風(fēng)險？答案：

4、風(fēng)險識別是確定何種風(fēng)險可能會對項目產(chǎn)生影響，并將這些風(fēng)險的特征形成文件。風(fēng)險識別的內(nèi)容：1、識別并確定項目有哪些潛在風(fēng)險；2、識別引起這些風(fēng)險的主要因素；3、識別項目風(fēng)險可能的后果；存在的風(fēng)險：1 .質(zhì)量風(fēng)險；（無線模塊的性能、技術(shù)指標(biāo)是否滿足系統(tǒng)需求，符合行業(yè)規(guī)范標(biāo)準(zhǔn)）2 .采購風(fēng)險（供應(yīng)商的資信、供貨能力等）3 .合同風(fēng)險（合同條款是否明確了雙方的權(quán)利責(zé)任與義務(wù)等）4 .人員風(fēng)險（項目中的各崗位人員是否勝任）5 .方案與技術(shù)風(fēng)險（方案是否合理，采用的技術(shù)是否先進、成熟）6 .政策、法律法規(guī)風(fēng)險（國外S公司無線模塊的性能技術(shù)指標(biāo)是否與國家行業(yè)標(biāo)準(zhǔn)相符）問題三請用400字以內(nèi)文字說明項目經(jīng)理應(yīng)

5、采取哪些辦法解決上述案例中的問題。1 .建立組織級的項目管理體系2 .對項目進行可行分析3 .加強需求開發(fā)與需求管理。完整、準(zhǔn)確獲取用戶需求并進行需求驗證。4 .加強質(zhì)量管理，編制質(zhì)量管理規(guī)劃進行階段式的質(zhì)量評審與質(zhì)量審計，加強系統(tǒng)測試、與用戶協(xié)商并確定驗收標(biāo)準(zhǔn)、驗收規(guī)范。5 .加強對分包商（S公司）的監(jiān)督管理6 .了解或咨詢國家或行業(yè)的相關(guān)標(biāo)準(zhǔn)、技術(shù)規(guī)范。7 .加強風(fēng)險管理8 .加強合同管理試題二（25分）閱讀下列說明，回答問題1至問題3,將解答填入答題紙的對應(yīng)欄內(nèi)。【說明】某系統(tǒng)集成商A公司承擔(dān)了某科研機構(gòu)的信息系統(tǒng)集成項目，建設(shè)內(nèi)容包括應(yīng)用軟件開發(fā)、軟硬件系統(tǒng)的集成等工作。在項目建設(shè)過程

6、中，由于項目建設(shè)單位欲中報科技先進單位，需將此項目成果作為申報的重要內(nèi)容之一，在合同簽訂后30天內(nèi)，建設(shè)單位向A公司要求總工期由10個月壓縮到6個月，同時增加部分功能點。由于此客戶為A公司的重要客戶，為維護客戶關(guān)系，A公司同意了建設(shè)單位的要求。為了完成項目建設(shè)任務(wù)，A公司將應(yīng)用軟件分成了多個子系統(tǒng)，并分別組織開發(fā)團隊突擊開發(fā)，為提高效率，盡量采用并行的工作方式，在沒有全面完成初步設(shè)計的情況下，有些開發(fā)組同時開始詳細設(shè)計與部分編碼工作；同時新招聘了6名應(yīng)屆畢業(yè)生加入開發(fā)團隊。在項目建設(shè)過程中，由于客戶面對多個開發(fā)小組，覺得溝通很麻煩，產(chǎn)生了很多抱怨，雖然A公司采取了多種措施來滿足項目工期和新增功

7、能的要求，但項目還是頻繁出現(xiàn)設(shè)計的調(diào)整和編碼工作的返工，導(dǎo)致項目建設(shè)沒有在約定的6個月工期內(nèi)完成，同時在試運行期間系統(tǒng)出現(xiàn)運行不穩(wěn)定情況和數(shù)據(jù)不一致的情況，直接影響到建設(shè)單位科技先進單位的申報工作；并且項目建設(shè)單位對A公司按合同規(guī)定提出的階段驗收申請不予回應(yīng)?！締栴}1】（10分）請簡要分析A公司沒有按期保質(zhì)保量完成本項目的原因。【問題2】（5分）結(jié)合本試題所述項目工期的調(diào)整，請簡述A公司應(yīng)按照何種程序進行變更管理?！締栴}3】（10分）公司重新任命王工為該項目的項目經(jīng)理，負責(zé)項目的后續(xù)工作。請指出王工應(yīng)采取哪些措施使項目能夠進入驗收階段。參考答案：問題一請簡要分析A公司沒有按期保質(zhì)保量完成本項目

8、的原因。1、 工期壓縮過短（由10個月壓縮至6個月）2、 項目工作范圍增大（增加部分功能點）3、 忽視了質(zhì)量管理或沒有制定質(zhì)量管理計劃，沒有嚴格遵循軟件開發(fā)過程管理規(guī)范CMM進行開發(fā)活動4、 雙方?jīng)]建立統(tǒng)一的溝通渠道5、 沒有進行階段式評審和審計，缺乏有效的質(zhì)量保證與質(zhì)量控制措施6、 沒有進行多個子系統(tǒng)接口的集成測試與確認測試，沒有進行版本控制、配置審核進度方面：7、 人力資源管理方面中團隊組建與建設(shè)欠缺，新聘畢業(yè)生缺乏開發(fā)經(jīng)驗8、 有可能工作量過大、所需資源不足，超負荷9、 制定的進度計劃不科學(xué)不合理或采取的進度控制措施不得力、效果不好10、沒有建立有效的變更控制管理機制、流程。問題二結(jié)合本

9、試題所述項目工期的調(diào)整，請簡述A公司應(yīng)按照何種程序進行變更管理。1、 由建設(shè)方書面提出并遞交工期變更的申請2、 A公司相關(guān)人員分析變更對項目范圍、質(zhì)量、成本等方面的影響3、 審核并批準(zhǔn)變更4、 執(zhí)行變更，調(diào)整并修改項目進度計劃，并采取措施保證變更受控5、 變更確認、驗證6、 通知受變更影響的相關(guān)項目干系人問題三公司重新任命王工為該項目的項目經(jīng)理，負責(zé)項目的后續(xù)工作。請指出王工應(yīng)采取哪些措施使項目能夠進入驗收階段。1、 與建設(shè)方協(xié)商縮減項目范圍或分期完成，先期完成關(guān)鍵主體功能部分并提出交換條件。2、 增加或重新調(diào)配資源3、 設(shè)里程碑、在保證質(zhì)量盡量不加大成本的條件下注重對關(guān)鍵路徑上的任務(wù)工期進行

10、壓縮，4、 采取措施加強對進度的控制與管理，同時注意對進度計劃進行動態(tài)調(diào)整，。5、 加強團隊建設(shè)與管理加強對新聘員工的培訓(xùn)，提高個人與團隊的工作效率。6、 加強質(zhì)量管理嚴格遵循軟件開發(fā)過程規(guī)范，并進行階段式評審和審計，加強多個子系統(tǒng)接口的集成測試與確認測試，7、 加強配置管理進行有效的版本控制等8、 加強溝通管理多個小組間的內(nèi)部溝通；外部溝通：建立統(tǒng)一的溝通渠道，定期向建設(shè)方（客戶）出具項目進展報告，對項目進行階段性驗收并要求客戶簽字確認，并注意與客戶方的非正式溝通方式（以利促進感情方便驗收）9、 與客戶協(xié)商并確立驗收標(biāo)準(zhǔn)、驗收流程；售后服務(wù)承諾，如合同條款沒有明確應(yīng)與客戶協(xié)商簽訂補充協(xié)議。1

11、0、建立組織級的項目管理體系，建立并完善項目的變更控制管理機制與流程并遵照執(zhí)行。試題三（25分）閱讀下列說明，回答問題1至問題3,將解答填入答題紙的對應(yīng)欄內(nèi)?！菊f明】M公司是由3個大學(xué)同學(xué)共同出資創(chuàng)建的一家信息系統(tǒng)開發(fā)公司，經(jīng)過近2年時間的磨礪，公司的業(yè)務(wù)逐步達到了一定規(guī)模。公司成員也從最初的3人發(fā)展為近30人，公司的組織機構(gòu)也逐漸完善。為了適應(yīng)業(yè)務(wù)發(fā)展需要，逐漸擺脫作坊式開發(fā)狀態(tài)，公司決定實施項目管理制度。隨后公司成立了項目管理部，并聘請了計算機專業(yè)博士生小王作為項目管理部經(jīng)理。小王上任后，首先用了半天的時間對公司成員介紹項目管理相關(guān)理念，然后參考項目管理教材和國外一些大型項目管理經(jīng)驗制定了

12、一系列相關(guān)規(guī)定以及獎懲措施，針對正在開發(fā)的頂目分別指定了技術(shù)骨干作為項目的項目經(jīng)理。但是由于公司承擔(dān)的業(yè)務(wù)大多是時間緊任務(wù)重的項目，每個人可能同時承擔(dān)著多個項目，開發(fā)人員對項目管理不是很熱心，認為公司規(guī)模小沒有必要進行項目管理”，與其花費了大量時間開會、寫文檔，不如幾個人碰碰頭說說就可以了。實際開發(fā)工作中總是以開發(fā)任務(wù)重等原因不按照規(guī)定履行項目管理程序。小王根據(jù)自己制定的規(guī)定，對公司一些員工進行了處罰。公司員工對此有不滿情緒，使得某些項目沒有按期完成，公司也因此受到了一定的損失?！締栴}1】（10分）請用200字以內(nèi)的文字指出M公司在實行項目管理制度的過程中存在的問題?！締栴}2】（6分）針對公司

13、規(guī)模小沒有必要進行項目管理”的說法，請用200字以內(nèi)的文字談?wù)勀愕目捶??！締栴}3】（9分）請用300字以內(nèi)的文字說明小王應(yīng)該采取哪些措施來擺脫目前面臨的困境。參考答案：問題一請用200字以內(nèi)的文字指出M公司在實行項目管理制度的過程中存在的問題。1、缺乏公司高層領(lǐng)導(dǎo)的充分參與和必要的技持2、項目管理制度的制定缺乏公司員工的充分參與。3、項目管理制度的制定因根據(jù)企業(yè)的自身特點量體裁衣”，因地制宜。4、制定的規(guī)定與獎懲措施沒有征求員工建議也沒有報請相關(guān)高層領(lǐng)導(dǎo)或相關(guān)部門批準(zhǔn)實施，缺乏公正性、權(quán)威性。5、 培訓(xùn)不充分或培訓(xùn)效果不好，項目管理的相關(guān)知識理念沒有引起足夠的重視或沒有深入人心。6、 缺乏對技

14、術(shù)骨干就關(guān)于項目管理知識方面的充分培訓(xùn)與指導(dǎo)。問題二針對公司規(guī)模小沒有必要進行項目管理”的說法，請用200字以內(nèi)的文字談?wù)勀愕目捶?。不論公司大小，進行項目管理都是非常有必要要在公司內(nèi)推行項目管理，首先建立或完善組織級的項目管理體系，在公司內(nèi)普及項目管理知識，并建立相應(yīng)的軟硬件環(huán)境，制定制度、定崗定員并明確相應(yīng)的責(zé)任，全體參與等。項目管理體系健立健全了，公司的壯大與發(fā)展便有了堅實的基礎(chǔ)。項目管理意義：1、提高公司實現(xiàn)組織戰(zhàn)略的能力。2、提高公司市場競爭力，有效控制成本、提高生產(chǎn)效率的能力。3、 提高公司組織級項目管理水平，增加風(fēng)險管理的能力。問題三請用300字以內(nèi)的文字說明小王應(yīng)該采取哪些措施來

15、擺脫目前面臨的困境。1、爭取公司高層領(lǐng)導(dǎo)的參與和有力支持（以便提供資金、相關(guān)資源的支持）。2、加強培訓(xùn)，在公司內(nèi)部普及項目管理知識，尤其是對作為技術(shù)骨干的項目經(jīng)理的指導(dǎo)、培訓(xùn)，（以便發(fā)揮其應(yīng)有的領(lǐng)頭羊作用）3、加強溝通、采取多種溝通方式（比如座談、召開會議等形式），爭取員工的理解、參與與支持4、廣泛調(diào)研、高層決策合理制定相應(yīng)的項目管理制度和建立和完善項目管理體系、管理流程。5、 優(yōu)化調(diào)整目前的組級結(jié)構(gòu)，轉(zhuǎn)化為矩陣型或項目型結(jié)構(gòu)，發(fā)揮項目管理部應(yīng)用的作用，加強對公司項目的指導(dǎo)與咨詢、加強對多項目的管理與監(jiān)控。6、 重視項目知識管理，加強項目經(jīng)驗教訓(xùn)的交流總結(jié)。二、案例分析1、查某公司設(shè)備資產(chǎn)，負

16、責(zé)人說臺式機放在辦公室，辦公室做了來自環(huán)境的威脅的預(yù)防；筆記本經(jīng)常帶入帶出，有時在家工作，領(lǐng)導(dǎo)同意了，在家也沒什么不安全的。A9.2.5組織場所外的設(shè)備安全應(yīng)對組織場所的設(shè)備采取安全措施，要考慮工作在組織場所以外的不同風(fēng)險2、某公司操作系統(tǒng)升級都直接設(shè)置為系統(tǒng)自動升級，沒出過什么事，因為買的都是正版。A12.5.2操作系統(tǒng)變更后應(yīng)用的技術(shù)評審當(dāng)操作系統(tǒng)發(fā)生變更時，應(yīng)對業(yè)務(wù)的關(guān)鍵應(yīng)用進行評審和測試，以確保對組織的運行和安全沒有負面影響。3、創(chuàng)新公司委托專業(yè)互聯(lián)網(wǎng)運營商提供網(wǎng)絡(luò)運營，供應(yīng)商為了提升服務(wù)級別，采用了新技術(shù)，也通知了創(chuàng)新公司，但創(chuàng)新認為新技術(shù)肯定更好，就沒采取任何措施，后來因為軟件不兼容造成斷網(wǎng)了。A10.2.3第三方服務(wù)的變更管理應(yīng)管