摘 要：信息系統(tǒng)監(jiān)理服務(wù)與等級保護測評是2個相對獨立的體系。在大部分項目中，二者獨立存在作用于項目實施的不同階段，關(guān)聯(lián)性和協(xié)同性較低，但是二者的結(jié)果均支持項目的驗收及使用。提高一者的協(xié)同性是否會對項目的建設(shè)或者驗收起到正向的收益，文章將結(jié)合二者的特點、工作流程及針對項目建設(shè)的各階段重點工作，對其協(xié)同服務(wù)的重要性進行討論。

關(guān)鍵詞：信息系統(tǒng)監(jiān)理：等級保護;協(xié)同服務(wù)

中圖法分類號：TP311文獻標(biāo)識碼：A

隨著我國信息化建設(shè)的發(fā)展完善，針對信息系統(tǒng)的使用需求也從之前的“可以用”經(jīng)“好用”向“安全用”進行轉(zhuǎn)化，各行業(yè)使用的信息系統(tǒng)對信息安全性、建設(shè)合規(guī)性也更加重視。信息系統(tǒng)監(jiān)理及等級保護測評作為２ 項相對獨立的信息系統(tǒng)服務(wù)，分別可以通過監(jiān)理和測評項目的建設(shè)合規(guī)性及使用安全來保證項目的建設(shè)及后續(xù)運行。但在實際工作中，這２ 項相對獨立的工作也隨著我國對信息系統(tǒng)需求的完善和增加有了更多的聯(lián)系，而二者的協(xié)同工作也變得更加重要。

１ 信息系統(tǒng)監(jiān)理工作

監(jiān)理作為獨立的第三方，承擔(dān)了項目建設(shè)過程中的監(jiān)督管理工作，以保障項目合規(guī)、有序、高效地建設(shè)；以項目驗收及審計留存完整的證據(jù)鏈及標(biāo)準(zhǔn)規(guī)范流程為工作重點，應(yīng)用專業(yè)的業(yè)務(wù)及技術(shù)知識為業(yè)主提供服務(wù)。在項目的各個階段中，監(jiān)理擔(dān)任了有效識別、規(guī)避項目風(fēng)險、確保項目實現(xiàn)目標(biāo)的責(zé)任。信息系統(tǒng)監(jiān)理服務(wù)主要內(nèi)容為“四控、三管、一協(xié)調(diào)”，通過對項目質(zhì)量、進度、投資和變更的科學(xué)控制，保證信息化項目健康執(zhí)行。在項目實施的各個階段，監(jiān)理服務(wù)貫穿始終，并配合項目順利完成驗收。現(xiàn)實中，監(jiān)理服務(wù)主要體現(xiàn)在現(xiàn)場協(xié)調(diào)功能上，在施工進度、變更、質(zhì)量、設(shè)備等方面，監(jiān)理的協(xié)調(diào)能力很大程度上能推進項目進展，并將項目進程、質(zhì)量穩(wěn)定在相對合理的軌道上。其中與協(xié)同服務(wù)相關(guān)的也正是監(jiān)理的協(xié)調(diào)職能。

２ 等級保護測評工作

網(wǎng)絡(luò)安全等級保護是指對國家重要信息、法人和其他組織及公民的專有信息及公開信息和存儲、傳輸、處理這些信息的信息系統(tǒng)分等級實行安全保護，對信息系統(tǒng)中使用的信息安全產(chǎn)品實行按等級管理，對信息系統(tǒng)中發(fā)生的信息安全事件分等級響應(yīng)、處置。網(wǎng)絡(luò)安全等級保護工作包括定級、備案、安全建設(shè)整改、等級測評和安全檢查５ 個主要環(huán)節(jié)，等級測評是其中核心內(nèi)容。根據(jù)《信息安全等級保護管理辦法》第十四條，信息系統(tǒng)建設(shè)完成后，運營、使用單位或者其主管部門應(yīng)當(dāng)選擇符合本辦法規(guī)定條件的測評機構(gòu)，依據(jù)《信息系統(tǒng)安全等級保護測評要求》等技術(shù)標(biāo)準(zhǔn)，定期對信息系統(tǒng)安全等級狀況開展等級測評。通過測評，運營、使用單位或者其主管部門可以對信息系統(tǒng)安全防范管理體系的能力進行剖析與確定，并找出存有的安全風(fēng)險，從而合理提高信息系統(tǒng)的安全防護水準(zhǔn)。

３ 協(xié)同服務(wù)的可行性

隨著國家對信息安全的重視，目前大多數(shù)項目將通過相應(yīng)級別的等級保護測評視為項目驗收通過的基礎(chǔ)，但在實際建設(shè)中，測評工作的準(zhǔn)備仍然獨立于項目建設(shè)之外，沒有合適的聯(lián)動或提前準(zhǔn)備，在項目建設(shè)完成后，測評要求與建設(shè)情況會存在較大差異，導(dǎo)致項目延期或驗收困難。監(jiān)理工作內(nèi)容及手段大多針對項目建設(shè)過程中所發(fā)生或產(chǎn)生的系統(tǒng)、文檔、記錄等產(chǎn)物，而測評往往在項目建設(shè)完成后，根據(jù)測評標(biāo)準(zhǔn)對項目建設(shè)完成部分進行整改，產(chǎn)出的產(chǎn)品也包括相應(yīng)的系統(tǒng)、文檔、記錄等。由此可見，信息系統(tǒng)監(jiān)理和等級保護測評２ 項工作可以具有一定的協(xié)同性，測評工作提前介入?yún)f(xié)調(diào)，可以保證更快地進行最后的測評工作，并在工作上對監(jiān)理服務(wù)進行正向的幫助。

區(qū)別于監(jiān)理服務(wù)，其測評有確定的評判標(biāo)準(zhǔn)，針對系統(tǒng)的安全性、制度的完整性有明確的要求，導(dǎo)致大多數(shù)情況下，測評工作開展時，大部分系統(tǒng)已完成，開發(fā)過程記錄、相關(guān)策略及管理制度已成型，但是部分不符合相關(guān)測評標(biāo)準(zhǔn)。比如，根據(jù)ＧＢ／ Ｔ２２２３９《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護基本要求》和ＧＢ／Ｔ２８４４８《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護測評要求》中對安全管理制度的要求，“應(yīng)制定網(wǎng)絡(luò)安全工作的總體方針和安全策略，闡明機構(gòu)安全工作的總體目標(biāo)、范圍、原則和安全框架等”。該項要求會對系統(tǒng)整體需求產(chǎn)生影響，后期系統(tǒng)建設(shè)進入測試階段，整體框架已完成開發(fā)，若這項基本需求不符合規(guī)定，則影響部分功能，將對系統(tǒng)驗收工作產(chǎn)生影響。相對應(yīng)的，若在項目的設(shè)計階段或前期需求確認(rèn)階段，監(jiān)理在提供監(jiān)理服務(wù)的同時，協(xié)調(diào)測評單位提前對該部分要求進行培訓(xùn)整理，將等保測評要求滲透入相關(guān)的需求中，項目后期的測評驗收工作效率將得到提升，所以協(xié)同服務(wù)可以對測評工作產(chǎn)生積極的影響，更進一步推進項目驗收上線。

從監(jiān)理角度來說，測評工作介入時間靠后，后續(xù)根據(jù)測評要求，會增加項目變更風(fēng)險，會對監(jiān)理變更控制、成本控制、文檔管理等工作帶來更多挑戰(zhàn)，不利于項目的執(zhí)行。例如，根據(jù)測評中對管理制度的要求，對應(yīng)的管理制度應(yīng)在項目試運行時執(zhí)行工作，若由測評工作指出并修改，則試運行期間的信息安全將得不到保障，項目的風(fēng)險會增強。所以，測評的協(xié)同監(jiān)理工作，在項目前期設(shè)計階段或需求確認(rèn)階段開始，將對項目整體開發(fā)中的需求確認(rèn)、制度制定、開發(fā)情況、信息安全等存在正向幫助。在監(jiān)理過程中，可以將測評要求作為監(jiān)理依據(jù)，對項目進行管理，測評部分也可以通過監(jiān)理的協(xié)調(diào)工作對相應(yīng)制度、機構(gòu)、人員、設(shè)備提出相應(yīng)要求，從而簡化安全建設(shè)整改階段的工作，優(yōu)化系統(tǒng)全生命周期的建設(shè)。

４ 協(xié)同服務(wù)的必要性

在項目建設(shè)過程中，信息化監(jiān)理服務(wù)和等級保護測評工作的協(xié)同服務(wù)不僅可以在項目各階段對項目的實施進行優(yōu)化，也可以對項目建設(shè)過程中的信息安全進行保障。

信息化監(jiān)理服務(wù)和等級保護測評工作的協(xié)同服務(wù)在項目前期的方案制定和需求確認(rèn)階段除了制定系統(tǒng)的業(yè)務(wù)需求、流程需求，也將參考后續(xù)測評工作要求，提前對測評工作所需的資料、制度、機構(gòu)、人員、設(shè)備安全等做出反應(yīng)和協(xié)調(diào)，達(dá)到協(xié)同優(yōu)化的目的。項目建設(shè)過程中的前期，項目組的工作重心集中在整體方案設(shè)計和需求確認(rèn)等方向性的工作上，主要的成果為《工程實施方案》《項目需求說明書》等，用于后期監(jiān)理工作依據(jù)的標(biāo)志性文檔，對于后續(xù)的監(jiān)理工作起到?jīng)Q定性的作用。在此階段，信息化監(jiān)理服務(wù)和等級保護測評工作的協(xié)同服務(wù)顯得尤為重要。根據(jù)ＧＢ／ Ｔ２２２３９《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護基本要求》和ＧＢ／ Ｔ２８４４８《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護測評要求》，其中，安全管理制度、安全管理機構(gòu)、安全人員管理、安全建設(shè)管理、安全運維管理的要求均可以作為該階段成果的依據(jù)，根據(jù)系統(tǒng)評級，針對其等級相對應(yīng)的要求對安全策略、管理制度、崗位設(shè)置、人員配備、人員流動等部分進行整體性、宏觀的決策，并以監(jiān)理依據(jù)的方式融入項目開發(fā)實施過程中。這樣，既可以避免后續(xù)因不符合相應(yīng)等級要求而進行系統(tǒng)調(diào)整的情況，也為監(jiān)理提供顆粒度更小，更精準(zhǔn)的標(biāo)準(zhǔn)來保證項目的正常進行。另一方面，從測評的角度來看，在測評的５ 大主要環(huán)節(jié)中，定級決定了系統(tǒng)在等保測評中所需要符合的標(biāo)準(zhǔn)，需要備案項目建設(shè)的實際情況，測評和整改的內(nèi)容涉及項目的整個生命周期，安全檢查是針對項目整體的保障，從這些要求看，協(xié)同監(jiān)理可以從項目過程文檔、變更情況、成本控制等方面，結(jié)合監(jiān)理的協(xié)調(diào)能力，保證對應(yīng)等級的等保要求更好地在項目中執(zhí)行、深化、貫徹落實，提升測評的通過率［１～２］ 。

在項目建設(shè)過程中，除了施工情況，信息安全也是項目開發(fā)實施過程中不可避免的關(guān)鍵性問題，其中業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全則是測評工作中比較重要的評價條目，而監(jiān)理工作中的信息系統(tǒng)信息管理和信息系統(tǒng)安全管理也都在說明信息安全在項目開發(fā)實施中的重要性。系統(tǒng)信息安全是指系統(tǒng)內(nèi)不同賬戶之間的信息安全，主要表現(xiàn)在系統(tǒng)中用戶角色的區(qū)分及權(quán)限的分立，通俗地講就是不同權(quán)限的用戶賬號密碼區(qū)分使用。不同賬號對應(yīng)的用戶不同，其使用權(quán)限也不相同，這中間若混用，其結(jié)果造成對公民、法人、其他組織權(quán)益、社會秩序、公共利益、國家安全損害的嚴(yán)重程度是評定等級保護等級的重要標(biāo)準(zhǔn)之一。針對監(jiān)理而言，這部分主要體現(xiàn)在需求說明階段，需要明確各職級人員權(quán)限，確認(rèn)管理員賬號使用要求及規(guī)范，確定三員權(quán)限保證分立，以保證系統(tǒng)最終呈現(xiàn)情況符合等級保護要求。系統(tǒng)服務(wù)安全是指系統(tǒng)停止服務(wù)或設(shè)備停機對公民、法人、其他組織權(quán)益、社會秩序、公共利益、國家安全的影響，其嚴(yán)重程度是另一個測評標(biāo)準(zhǔn)。監(jiān)理層面，確認(rèn)相關(guān)設(shè)備參數(shù)的合理性是監(jiān)理在方案制定階段和設(shè)備開箱及變更階段的重要工作之一，而該部分所保留的證據(jù)、參考依據(jù)、文檔資料，很大程度上能佐證相關(guān)設(shè)備是否符合用戶使用需求及相關(guān)標(biāo)準(zhǔn)。而在項目開發(fā)實施階段中，各個應(yīng)用的安裝開發(fā)及安裝人員操作時的旁站工作也是確保該部分安全的重要保障手段之一。由此可見，信息系統(tǒng)監(jiān)理服務(wù)和等級保護測評的協(xié)同服務(wù)在很大程度上通過對監(jiān)理過程中標(biāo)準(zhǔn)的確認(rèn)或?qū)τ脩粜枨蟮奶嵘齺韰f(xié)助管理相關(guān)開發(fā)工作，并保證項目開發(fā)實施過程中信息、用戶數(shù)據(jù)的安全。二者的協(xié)同服務(wù)無論針對項目本身，還是監(jiān)理工作順利進行或是測評工作通過率，都存在正向的推進能力。

５ 討論反思

在實際項目建設(shè)過程中，監(jiān)理在設(shè)計階段的職能以可行性審核為主，在確保用戶需求的前提下，對項目方案設(shè)計進行審核并提出建議，雖然目前監(jiān)理工作中涉及的測評知識及測評相關(guān)條例也是監(jiān)理工程師所需要的知識儲備之一，但就服務(wù)對象而言，監(jiān)理以項目成果物順利交付為最終目的，而測評工程師僅考慮項目對應(yīng)條目是否符合測評要求，監(jiān)理相較于測評更加需要考慮全局。對于監(jiān)理而言，測評工作過晚介入項目，會提高項目后期的變更風(fēng)險，導(dǎo)致不必要的人力、成本支出和時間消耗。所以盡早通過監(jiān)理和測評的協(xié)同服務(wù)，對項目開發(fā)實施過程進行全局地把控和推進，是對項目起到正向作用的好方法之一。對于測評而言，工作本身以項目安全性為主體，將測評標(biāo)準(zhǔn)融入項目建設(shè)過程，可以更好地對項目安全性進行評價、測試，并可以通過配合監(jiān)理工作，確保在后續(xù)測評、備案期間對項目信息的了解更加全面，從而更好地掌握系統(tǒng)，方便后續(xù)測評、整改工作。

６ 結(jié)束語

信息系統(tǒng)監(jiān)理服務(wù)和等級保護測評的協(xié)同服務(wù)可以在一定程度上提高項目前期準(zhǔn)備階段、設(shè)計階段的工作精度，幫助用戶及開發(fā)人員更好地確認(rèn)項目需求，明確項目開發(fā)中及項目完成后的使用制度，也可以進一步協(xié)助用戶提高對項目的掌控力。

參考文獻：

［１］ 林揚陽，謝文潔，莊林楷，等．初探信息化維護項目監(jiān)理管理模式［Ｊ］．電子技術(shù)與軟件工程，２０１４（２２）：２４４?２４６＋２６２．

［２］ 楊春，徐瑋．信息化項目中信息系統(tǒng)的監(jiān)理作用研究［Ｊ］，花炮科技與市場，２０１９（４）：１１８?１１９．

作者簡介：

俞晟皓（ １９９４—）， 本科， 工程師， 研究方向： 信息系統(tǒng)監(jiān)理。