本制度体系框架所包含的制度模板，基本覆盖了各类合规和监管要求，并参考了主流行业的最佳管理实践，对企业的信息科技管理建设有极大的参考价值。
《信息科技管理制度体系框架》
总框架图：
细分图：
1. 信息科技治理
2. 信息科技风险管理
3. 信息安全
4. 信息系统开发
5. 信息科技运行
6. 业务连续性
7. 外包
8. 信息科技审计
框架的落地与咨询服务
为确保企业信息科技管理制度和流程能够有效落实，切实提高信息科技风险管理的实施水平，安全牛特别推出信息科技管理制度咨询服务。
1. 协助制定企业自身的管理制度体系架构
每个企业的管理制度体系会根据自身情况有所不同，整个体系由管理办法、实施细则、操作手册等多个层级构成，最终达到层次清晰、结构合理、体系明确。
安全牛将安排顾问远程协助您完善适合企业自身的制度框架。
2. 提供一整套信息科技管理制度模板
每个制度的编写都是一项耗费人力物力的工作，不但要包括自身对信息科技管理的规范要求，还应体现外部监管机构的要求，并充分借鉴国际相关领域标准和行业领先实践，保证体系的科学性和先进性。
安全牛将提供给您整套信息科技管理制度模板。
3. 提供制度编写指导和策略落地远程支持服务
管理制度体系需要不断进行补充和完善，才能确保制度与流程能切实的执行。企业在制度编写和具体实施中会遇到各种各样的问题，需要得到专业性的指导。


转自安全牛：http://www.aqniu.com/learn/12188.html

				
转载于:https://blog.51cto.com/7492110/1720147

　　中国信息化推进联盟副秘书长 郝亚斌 

　　中国信息化推进联盟IT治理专业委员会副主任 孙 强 



　　近年来，"信息化带动工业化、工业化促进信息化"的战略国策日益深入人心，信息化应用取得了世人瞩目的成就。与此同时，信息化建设和推进中深层次机制上的矛盾和问题，也受到了越来越广泛的关注。这些问题包括：如何将IT战略与业务战略相融合？如何从公司治理的高度，对企业信息化做出制度安排？如何从战略投资、企业管理变革的角度，降低信息化的风险？信息中心如何转制与发展？哪一种CIO的治理机制更好？如何进行信息系统的绩效评估？如何对IT服务进行管理？如何利用发达国家和本国信息化的最佳实践，指导行业和企业的信息化推进等工作？ 

　　目前，发达国家的IT产业发展有了一些新的、值得关注的动向，这些战略层面的动向，将对IT产业和信息化的理论与实践产生重大的影响。概括起来讲，这种动向就是--从制度、战略、规范和标准的高度，重新看待IT的定位、作用和价值。以"IT治理"为核心，涵盖信息系统审计、信息安全管理、IT服务管理及IT项目管理，着重研究IT发展与企业发展在治理结构、企业战略、企业运营管理、风险与价值、成本与控制、审计与监管、服务标准和规范等方面的新问题、新知识和新方法，势必会对未来IT产业的发展，以及推进我国信息化建设有着十分重大的意义。 

　　国际和国内背景 

　　1999年6月，世界银行与经济合作与发展组织为推动世界范围内公司治理理论的发展签署了理解性备忘录。随着美国的安然、世通、施乐、Tyco、Adelphia、ImClone及我国银广夏和蓝田股份等一些公司丑闻的爆发，公司治理逐渐为大多数人所关注。突然间人们意识到一个企业的治理机制是多么重要。一旦公司治理链条有一个环节出现问题，就会引发一系列失败，如陷入困境、破产等等。在这种情况下，全球股价走低并且几乎没有反弹的迹象就不足为奇了。2002年发布的美国萨班斯-奥克斯利法案，新增了许多加强公众公司治理的规定，包括要求公司报告其内部控制体系。然而这个要求公司报告其内部控制体系法案，没有详述在确保公司治理效率方面IT的地位。 

　　在国内，IT产业和信息化应用已经步入了深化、整合、转型和创新的关键时期，信息技术与信息系统对企业组织形态、治理结构、管理体制、运作流程和商业模式的影响日益深化；政府机构、企业组织对信息技术和信息系统的依赖性在日益加强；信息系统的安全、管理、风险与控制日益成为突出的问题；IT与业务应用的融合，是未来发展的核心；信息化应用的关键词是：持续性、创造价值、风险与控制、整合、绩效管理。在这样的共识下，我们看到：越来越多的目光，聚焦在治理、审计、服务管理、风险与控制、安全等关键词上。越来越多的最佳实践，汇聚成日益丰富的新兴知识体系和方法框架。这些领域正在为IT产业和信息化开辟新的领域，成为IT产业和信息化在健康规范的轨道上运行的制度保障。 

　　国际上IT治理的发展历程 

　　国际组织和各国普遍认为公司治理机制对世界金融市场的稳定及经济发展发挥了至关重要的作用，这直接促进了IT治理机制的形成与发展。在1999年，BIS发布了Internal Control: Guidance for Directors on the Combined Code( Turnbull Report, 1999)报告。该报告认为：企业风险来自于许多活动，不只是财务风险，因为事实说明，在金融界所有过去的风险问题都是由内部控制疏忽、信息技术失败引起的，而且所有企业最终依靠对信息技术基础设施的依赖和新技术风险的脆弱性，并呼吁高层领导树立风险意识。从此，公司治理和风险管理成为企业所有者与管理者日益重要的问题。该报告引入了内部控制的要求，对许多组织而言，信息与其支持技术代表该组织最有价值的资产，而且，竞争和不断变化的商业环境也要求企业能够充分利用信息技术实现更快的交付和更低的成本。因此，有效的公司治理和风险管理必然需要有效的IT治理和IT风险管理。与此同时，BIS还简单陈述了关键的信息系统，如何确保治理应该有效、透明，这也意味管理IT相关风险，实现IT价值的交付成为公司治理中重要的组成部分。 

　　1999年下半年，ISACA成立了IT治理研究院，专门研究IT治理的概念，并提出COBIT模型和最佳实务，帮助企业领导层认识有效实施IT治理的必要性与益处，从而保证长期的可持续的成功，并且增强利益相关者的价值。目前，该体系已在世界100多个国家的重要组织与企业中成功运用，指导这些组织有效利用信息资源，有效地管理信息相关的风险。 

　　对IT本质的新认识 

　　我们长期以来致力于信息化建设中深层次机制问题的研究，研究表明：推动信息化同样是"制度重于一切"，例如，建造一个信息系统是容易的，让这个系统有效地运转起来则是现实的难题。决定信息系统是否有效运转的因素不是信息技术，而是制度、组织结构、规则与标准，最终是人。因此，在这些因素之上，需要合理有效的制度安排。由此，我们认识到良好的公司治理对信息化建设成功的重要性，也可以说建立现代企业制度及良好的公司治理是信息化建设成功的必要条件，反过来，我们也非常清楚地看到在公司治理过程中IT的重要作用。在此基础上，中国信息化推进联盟在今年10月成立了IT治理专业委员会，此后，我们对IT的本质及IT治理对政府或企业的重要性有了新的认识，这些认识可以总结归结为以下三点： 

　　1. IT可以增加利益相关者价值。 

　　信息是有价值的，和其他无形资产（如人力资本、品牌与管理质量等）一样，是企业核心竞争力的一部分，这些资产的运转都离不开IT的应用。目前，越来越多的企业管理层认识到一个组织的信息资产及其利用信息资产能力的战略重要性。这些无形资产的重要性的增加，必然要求人们在如何为利益相关者创造价值方面重新定位信息技术。 

　　但是，IT并不是改善管理、业务流程、工作实践的万能工具，任何IT项目如果无法协助公司达成业务战略目标，那么对这个公司而言就没有任何价值。事实上，国外的研究表明，公司收益率与其在IT方面的花费完全没有关系，IT就像其他工具一样，必须通过有效的应用才能体现价值，因此，关于IT投资战略与业务战略的一致性就是一个非常值得探讨的课题。 

　　2. IT是实现业务目标的基本要素。 

　　没有持续、有效的IT应用，没有业务应用与IT的一致融合，业务目标是无法实现的，甚至一些企业将无法生存，如银行、航空公司、通讯和媒体等，他们依赖于建立在IT基础上的各种商业模型，诸如供应链管理等，没有IT支持，他们难以实现业务流程自动处理，实现现金流，同样，没有IT他们也难以达到合同服务水平等。 

　　3. IT占用大量的投资，并给企业带来风险。 

　　IT占用大量投资，具有很大的风险，这要求管理高层要特别重视IT投资。如努力使IT战略与公司业务目标一致，采用新技术，采用广泛且有效的流程变革等。 

　　结论和建议 

　　从以上的分析可见，在信息时代，信息资产和知识资产是企业最具价值的核心资产要素；信息化是一个需要从治理层面予以关注的战略问题；信息化需要监管、制衡和审计；信息化管理需要规范和标准。 

　　以信息安全管理为例，已有国际标准ISO17799，我国的国家标准应如何与ISO17799接轨？又如IT服务管理，凝聚着全球众多企业最佳实务的结晶，已经成为事实上的国际IT管理标准，我们应当如何看待、吸纳、消化这个对于国内尚是新兴的领域知识，并形成对国内信息化建设管理指导性、监督性和服务性的制度框架和知识体系？我们如何培养自己的信息主管（CIO）、信息系统审计师或信息安全管理顾问？他们具有什么样的职能、职责和工作规范？这些问题都是亟待从国家战略的高度，综合政策、法规、行业规范、知识传播、应用推广、学术交流等各个层面的工作，有序推进的一件大事。 

　　我们的建议可以归纳为建立完善信息化监管与服务制度框架。这是一项系统的工程，任何从技术、业务、管理和战略单一层面解决问题的努力都是无效和失败的，因此，应该建立完善的信息化监管与服务制度框架体系，这一完善的体系里应该有四方面： 

　　￠ IT项目管理； 

　　￠ 面向集成商的资质管理； 

　　￠ 第三方的监理与审计服务； 

　　￠ 面向用户的管理标准规范，包括IT服务管理和信息安全管理。 

　　在这四个方面，IT项目管理是后三者共同需要的管理手段，面向集成商的资质管理已经为我国信息化市场的规范发展发挥了良好的促进作用，第三方的监理服务正在有序推进，现在急需加强的是对信息系统运营阶段的审计和面向用户的管理标准规范，这些领域都已有相应的国际标准，我们可以在借鉴消化的基础上，建立符合国情的对应标准。具体标准规范如下： 

　　一、 IT项目管理、信息系统审计、IT服务管理及信息安全管理标准规范。 

　　二、 IT项目管理、信息系统监理和信息系统审计软件。 

　　三、 监理工程师和信息系统审计师职业规范体系的建立。 

　　四、 监理、审计行业管理体制研究。 

　　五、 监理、审计公司内部管理机制研究。 

　　六、 监理、审计职业规范指南--质量控制。 

　　设计该体系应考虑以下方面：　　 

　　￠ 经营理念； 

　　￠ 组织结构； 

　　￠ 建立、健全质量控制系统的政策与程序； 

　　￠ 沟通质量控制程序的方式； 

　　￠ 监理、审计公司的规模； 

　　￠ 现行质量控制系统； 

　　￠ 所提供专业服务的性质； 

　　￠ 负责人及监理、审计人员执业的自主性程度； 

　　￠ 监理公司的区域分布等。 

　　总之，在市场经济条件下，政府的作用是加强"引导、规范、监管、服务"，而信息系统工程的突出特点是投资和风险都很巨大，因此对其进行合理规范、监管与服务显得尤为重要。目前信息产业部已经或正准备出台信息系统工程监管与服务的一系列办法，如信息系统工程集成资质、监理资质、咨询资质、绩效评估等，对信息系统工程的质量起到了很好的制度保障作用。然而，各方也普遍认识到这些制度需要与时俱进。因此，研究与探讨国际上IT治理与管理的先进经验，走有中国特色的IT治理之路，建立有中国特色的相对完善的信息系统工程监审制度、IT服务管理标准以及信息安全管理标准，规范信息化建设市场的秩序，保证信息系统工程的质量，降低风险，提高信息系统工程的效率与效益，培育高素质的中介服务机构和从业人员，是加快推进我国信息化建设步伐的一项重要工作。 

　　最后，我们衷心希望，通过赛迪顾问优势的资源平台，借鉴国内外信息化最佳实践，使先进的IT管理方法、成果和应用经验能够广为传播；充分交流信息化建设及应用中面临的热点、难点和疑点问题；从标准化、制度化和体系化的高度，推动建立完善的信息化监管与服务制度框架体系，走有中国特色的IT治理之路！
来源：赛迪网

法治框架下的人治
吴旻
泰岩网络工作室
 
         没办法，我还得拿美国举例子，因为这样比较容易让人明白我在说什么。
         通常意义上讲，美国是比较好的法治国家，有相对完美的法律体系，或者说法律框架。在我们理解中，法治和人治一般是对立的：法治就是按章办事，管你谁是谁，管你冤不冤；人治就是人大于法，掌权的想怎么来就怎么来，管你有没有理，有权就有理。
         当把事物的对立面拿出来做比较时，确实有利于理解；但如果做二选一的决定，便一定会走极端。其实美国是个充满人治的社会，但我们只看到了法治。比如美国的大法官制度，当一件事情到了最后裁定是否违宪的时候，9个大法官投票决定，所以也就能出现让我们无法理解的“国旗烧得，十字架烧不得”的裁定来。
         我们看着有点可笑，可美国人却裁定得很认真！法律条款是原则，理解原则的却是实实在在的人。很显然，不同的人对相同的条款有着不同的理解。
         法治的本意是确定性，就是说，谁来裁定都应该是相同的结果。客观事实是，法律天生就有堵不完的漏洞，就会生产歧义和当初未能设想到的情况。所以有歧义，就一定会有司法解释这件事，也就一定会有人感觉不公正：如果法治的结果还是人说了算，法律的意义又何在呢？
         显然上面的诘问是在期待法律来完成它无法完成的事情。法治一定需要人治来补充，人治一定需要法治的框定。“对立统一”这个哲学原理在此处可理解为适用范围的不同：骨架是法治，血肉是人治。
 
         其实我想说的另一件事是开发语言规范。我和我的团队最近在琢磨《Google C++ Style Guide》，这里面不断的在讲Google开源团队对C++语法规则的理解，并阐明这样理解的原因。比如说异常处理机制，这份指南是不建议使用的，但在像JAVA这样的语言中，try{} catch{}是再正常不过的用法了。还有一个让我印象深刻的例子是const int *p 还是 int const *p，指南中说，有些人的理解是：const 是修饰 *p 的，所以应该在 *p 前；但 Google开源团队说，C++的语言规范其实是英语模式，int 是名词，const 是形容词，所以const 应该放在 int 前面。
 
         回过头来说，如果我们纠缠于为什么“国旗烧得，十字架烧不得”时，我们就变得太迂腐了。如果再为此上纲上线，一定要认定大法官们不通时，那就错得更离谱了。
         Google开源团队的解释是这样的：C++并未规定const一定放在哪里，因此统一就好。因而我的理解也就是，大法官们的裁定，更多的应该是统一规则，而未必是哪一方真的罪不可恕。
         对于异常处理机制，我相信也不是绝对禁止。只要你用得统一，用得恰到好处，使用try{} catch{} 未必不是好事。
 
         人才之所以如此被重视，就是因为框架解决不了那些细微的差别与判断。法治是好的，但如果离开了能体察入微的人治，一样不得民心。

1.库和框架的区别
框架具有较强约束性质，是一套完整的解决方案，在语法上有他自己的规则，在团队合作中使用框架能体现出严谨；库相对自由许多，除了接口外没有其他约束。

打个比喻：框架是个面包房，门口上贴着各种规章制度，不遵循制度的人要被踢出。库则是面包房里面的某一个碗或者碟子，用了之后你会感到方便，但即便不去用它，也不影响烤出面包。
2.框架
框架基于语言，却有着自己的规则，在框架的世界里，需要遵循这些规则。

框架是一种经过校验、具有一定功能的半成品软件，

经过校验：

指框架本身经过测试，且框架自身所具有的功能已经实现

具有一定功能：

指框架可以完成特定的功能，不同的框架功能不同

半成品软件：

指框架自身是一个软件，但是该软件无法直接运行，需要配合其他的程序才可以完成指定的工作

框架的工作模式：

开发工程师建立在框架的基础之上完成开发者完成部分加框架自身完成部分组成一个完整的产品
4.ui库
翻译过来就是 user interface ，也就是用户界面，主要功能就是建立用于与系统后台之间的联系。它主要负责“交互”和“视觉”，两大功能。

交互体现在产品功能的完善度和用户的流程操作体验。

视觉就是字面上的外表，良好的视觉能提高用户的体验，也是不可忽视的一大部分。
https://blog.csdn.net/itcodeschool/article/details/80468315