三、信息技术服务知识 | 重要考点

本章主要是考选择题，可能为9分左右，建议多读原文，能做选择就好。

案例需要背下来

产品的概念

产品狭义概念是指被生产出的物品。产品是一组将输入转化为输出的相互关联或相互作用的活动的结果。我们通常将产品定义为：人们向市场提供的能满足消费者或用户某种需求的任何有形物品或无形服务。通常有下述4种类别的产品：（掌握）17年第37，21年第18，23年第19考题

什么是服务

服务是“服务提供者与顾客接触过程中所产生的一系列活动的过程及其结果，其结果通常是无形的”。（掌握)

ITSM 的目标及原理（案例，背）

实施 ITSM 的根本目标有 3 个：
（1）以客户为中心提供 IT 服务
（2）提供高质量、低成本的服务
（3）提供的服务是可准确计价的

基本原理：

可简单地用“二次转换”来概括，第一次是：“梳理”，第二次是：“打包”。第一次转换将技术管理转流程管理。第二次：流程管理转服务管理。

质量管理过程（案例，背）

（1）质量策划 （2）质量控制 （3）质量保证 （4）质量改进

质量策划的内容（案例，背）

①设定质量目标。
②确定达到目标的途径。
③确定相关的职责和权限。
④确定所需的其他资源。
⑤确定实现目标的方法和工具。
⑥确定其他的策划需求。

质量控制的内容。（案例，背）

（1）质量控制范围包括生产过程和质量管理过程。
（2）质量控制的关键是使所有质量过程和活动始终处于完全受控状态。
（3）质量控制的基础过程是过程控制。

质量保证工作包括哪些？（案例，背）

（1）制定质量保证计划
（2）过程与产品质量检查、编制质量保证工作报告
（3）问题跟踪与持续改进。

质量保证计划的内容。（案例，背）

（1）质量保证的目的
（2）质量保证的检查范围
（3）质量保证检查的时间或周期
（4）质量保证检查的依据
（5）质量保证人员的职责和分工
（6）过程与产品质量检查

质量控制和质量改进的区别。（案例，背）

质量改进与质量控制不一样，但两者是紧密相关的。
（1）质量控制是质量改进的前提，质量改进是质量控制的发展方向，质量控制是面对“今天”的要求，而质量改进是为了“明天”的需要。
（2）质量控制是日常进行的工作，可以纳入“操作规程”中加以贯彻执行。质量改进则是一项阶段性的工作，
达到既定目标之后，该项工作就完成了，通常它不能纳入“操作规程”，只能纳入“质量计划”中加以贯彻执行，
所以质量改进通常以成立专题改进项目的形式进行。

质量改进实施方法。（案例，背）

质量改进方法有两种：一种为 PDCA 方法，一种为 DMAIC 法。
（1）其中 PDCA 法是：明确问题、掌握现状、分析问题产生的原因、拟订对策并实施、确认效果、防止问题再发生并标准化、总结。
（2）DMAIC 法是定义、测量、分析、改进、控制。

信息安全的属性。（案例，背）

完整性、可用性、保密性、可控性、可靠性

信息安全管理的活动内容。（案例，背）

（1）定义信息安全策略
（2）定义信息安全管理体系的范围
（3）进行信息安全风险评估
（）确实管理目标和选择管理措施
（5）准备信息安全适用性申明

等级保护的主要环节（案例，背）

定级、备案、安全建设整改、等级评测和安全检查。

信息系统的安全保护等级共分为五级（案例，背）

服务不同于一般实体性产品的4个特性

         无形性、不可分离性、异质性、与易消失性。因此，与有形产品相比，服务作为产品表现出多方面独有的特性：（掌握）18年第15，19年第15，22年第18考题

IT服务的定义

       是“供方为需方提供开发、应用信息技术的服务，以及供方以信息技术为手段提供支持需方业务活动的服务”。

       常见服务内容包括软件服务、硬件服务及其他相关的服务。

       常见IT服务形态有信息技术咨询服务、设计与开发服务、信息系统集成实施服务、运行维护服务、数据处理和存储服务、运营服务、数据内容服务、呼叫中心服务和其他信息技术服务。（掌握）20年第15考题

运行维护服务的定义

       是“采用信息技术手段及方法，依据需方提出的服务级别要求，对其信息系统的基础环境、硬件、软件及安全等提供的各种技术支持和管理服务”。（掌握）18年第16，23年第19考题

运维服务

       运维是信息系统全生命周期中的重要阶段，也是内容最多、最繁杂的部分，是对信息系统提供维护和技术支持以及其他相关的支持和服务。

       运维服务的主要对象包括基础设施、硬件平台、基础软件、应用软件以及依赖于IT基础设施的数据中心、业务应用等信息系统，其范围可以是单个IT基础设施的运维，也可以是整体IT基础设施和业务应用的总体运维。

       运维服务交付内容主要包括咨询评估、例行操作、响应支持和优化改善。（掌握)19年第16，20年第16考题

       任何组织和个人提供运维服务需要依据需方提出的服务级别要求，并确保提供的运行维护服务符合与需方约定的质量要求。因此，具备相应运维服务能力是服务组织提供服务的必要条件。供方运维服务的能力模型定义了运行维护服务能力的四个关键要素：人员、资源、技术和过程，每个要素通过关键指标反映应具备的条件和能力。模型也给出了供方为持续提升运维能力的管理方法。（掌握）

运行维护服务六类

将运行维护服务分成基础环境运维、硬件运维服务、软件运维服务、安全运维服务、运维管理服务和其他运行维护服务六类，每类运维服务及其说明见表3.1。（掌握）17年第39，19年第16，21年第19，23年第25考题

运营的目的

运营是对组织经营过程的计划、组织、实施和控制，是与产品生产和服务创造等密切相关的各项管理工作的总称。运营的目的是保证正常的业务开展。（掌握)

运营强调以经营为中心

是把投入的资源（生产要素）按照特定要求转换为产出（产品和服务）的过程。（掌握）22年第19考题

运营管理

指对生产和提供公司主要的产品和服务的系统进行设计、运行、评价和改进。其中设计是根据运营目标，根据企业对运营系统的要求，来设计实现目标的手段，也就是运营系统

运行就是要驱动或推动这个系统的执行，让它真正动起来，通过整个系统的运转来完成运营目标。

评价是在执行的过程中，不断地监控和追踪，衡量运营系统，与期望的结果比对分析，其目的是更好地实现运营目标。改进就是要及时纠偏，不断完善和优化系统。(掌握)

经营活动

经营需要有经营者、经营对象、经营权和经营载体，经营者是经营活动的主体，没有经营者就不可能有经营活动。

经营对象是经营的客体，经营对象是经营者把自已的经营活动加于其上的东西。

经营权是实现经营的手段，是经营者对经营对象的占有、支配、使用和处理或强制、规范并承担经营责任的权力。

经营载体是经营活动得以进行的组织。经济的载体被称为经济组织，一般是家庭、企业；政治的载体被称为政治组织，一般是政府。（掌握）22年第19题

企业的经营思想

是指贯穿企业经营活动全过程的指导思想，它是由一系列观念或观点构成的对经营过程中发生的各种关系的认识和态度的总和。具体地表现为六个观念。（掌握)

企业的经营目标

包括三个层次：

第一层是决定企业长期发展方向、规模、速度的总目标或基本目标。

第二层是中间目标，分为对外与对内目标。对外目标包括产品、服务及其对象的选择、定量化，如产品结构、新产品比例、产品市场占有率等；对内目标就是改善企业素质的目标，如设备目标、人员数量、比例目标，材料利用、成本目标等。

第三层是具体目标，即生产和市场销售的合理化与效率目标。如劳动生产率、合理库存、费用预算以及质量指标等。（掌握）

1）经营目标分类

企业的经营目标，按其重要性来说，可分为战略目标和战术目标。22年第19考题

（1）战略目标

战略目标的特点是：
①实现的时间较长，一般能够分阶段实行。
②对企业的生存和发展影响大，战略目标的实现，往往标志着企业经营达到了某一个新的境界，与过去比有明显的变化。
③实现这一目标有较大的难度和风险。
④对各级经营管理层有很大的激励作用。
③实现这一目标需要大量的费用开支。
根据企业所处发展的不同时期，通常有三个方面的战略目标：
①成长性目标。它是表明企业进步和发展水平的目标。这种目标的实现，标志着企业的经营能力有了明显的提高。成长性指标包括销售额及其增长率、利润额及其增长率、资产总额、设备能力、品种、生产量。其中销售额与利润额是最重要的成长性指标。销售额是企业实力地位的象征，而利润额不仅反映了企业的现实经营能力，同时也表明了它的未来发展的潜力。
②稳定性目标。它表明企业经营状况是否安全，有没有亏损甚至倒闭的危险。稳定性指标包括经营安全率、利润率、支付能力等。
③竞争性目标。它表明企业的竞争能力和企业形象。竞争性目标包括市场占有率、产品质量名次等。

（2）战术目标

战术目标是企业的短期目标，是战略目标的具体化。战术目标的特点是：
①实现的期限较短，反映企业的眼前利益。
②具有渐进性。
③目标数量较多。
④其实现有一定的紧迫性。

制定经营目标的原则（掌握）222年第19考题

经营计划的特点（掌握)

IT治理的内容

综合这些定义，可以从IT治理的内涵表述中得到以下内容：（掌握）18年第17，20年第17，21年第21，22年第20考题

（1）IT治理强调信息化目标与企业战略目标保持一致，IT利用其自身特点，为企业战略规划提供技术或控制方面的支持，以保证信息化建设能够真正落实和贯彻组织业务战略和目标。

（2）IT治理是企业利益相关者和经营者共同的责任，由董事会或最高管理层负责，从企业全局的高度对企业信息化做出制度上的安排，体现股东、董事会和最高管理层对信息化建设的关注。

（3）IT治理保护利益相关者的权益，对风险进行有效管理，合理利用IT资源，平衡成本和收益，确保信息化应用有效、及时地满足需求，并获得期望的收益，增强企业的核心竞争力。

（4）IT治理通过构建IT治理架构和机制，将信息化的决策、实施、服务、监督等流程以及IT相关的资源与企业战略和目标紧密关联，从而最大化提升企业价值。

IT治理与IT管理比较

       与IT管理相比，IT治理规定了整个组织IT规划与组织、获得与实施、交付与支持、监控与评价的基本框架，以此监控IT的战略制定、机构建立以及组织实施，保证企业信息和信息系统的运营始终处于正确的轨道上。

        而IT管理是企业IT部门在IT系统运营阶段中在管理方面采用的方法论、手段、技术、制度、流程、文档的统称，是在既定的IT治理模式下，管理层为实现企业目标而采取的行动。

        所以IT管理和IT治理是相辅相成、缺一不可的。这与企业管理类似，如果没有好的治理（约束和激励）机制，企业管理的好是偶然的，管理不好是必然的；同样，对于IT，如果存在好的IT治理机制，IT管理的好就是必然的、管理不好是偶然的。

        因此，IT治理是IT管理的基石，某种意义上可以认为IT治理比IT管理更重要。（掌握）19年第17，23年第21考题

IT治理的一个关键性问题是

       企业的IT投资是否与战略目标相一致，从而形成必要的核心竞争力。（掌握）

IT服务管理（ITSM）

       是一套帮助组织对IT系统的规划、研发、实施和运营进行有效管理的方法，是一套方法论。（掌握）20年第18考题

ITSM的核心思想是

      IT组织不管是组织内部的还是外部的，都是IT服务提供者，其主要工作就是提供低成本、高质量的IT服务。而IT服务的质量和成本则需从IT服务的客户（购买IT服务）方和用户（使用IT服务）方加以判断。（掌握）

传统的IT管理和ITSM比较

      ITSM是一种IT管理，与传统的IT管理不同，它是一种以服务为中心的IT管理。我们将传统的IT管理和ITSM比较如图3.1所示。（掌握）19年第18，20年第18，23年第22考题

实施ITSM的根本目标有3个

（掌握）17年第38，18年第18，21年第20考题
（1）以客户为中心提供IT服务。
（2）提供高质量、低成本的服务。
（3）提供的服务是可准确计价的。

ITSM的基本原理

可简单地用“二次转换”来概括，第一次是“梳理”，第二次是“打包”，如图3.2所示。（掌握）20年第18考题

项目的定义包含3层含义

（掌握）23年第23考题
（1）项目是一项有待完成的任务，且有特定的环境与要求。
（2）在一定的组织机构内，利用有限资源（人力、物力、财力等）在规定的时间内完成任务。
（3）任务要满足一定性能、质量、数量、技术指标等要求。

项目的特性

不同的项目也许千差万别，但是它们至少都必须具备以下特性：（掌握)

（1）临时性。所有的项目都是临时的，有明确的开始和结尾，并以实现特定的目标为宗旨。临时性并不一定意味着持续时间短。项目所创造的产品、服务或成果一般不具有临时性。23年第23考题
（2）独特性。指项目的可交付成果（产品或服务）具有非重复性的特点。
（3）渐进性。项目的实施过程体现为一个向目标推进的逐步完善的过程。
（4）不确定性。导致项目非重复性的主要原因是其外部条件以及实施过程的不确定性，这说明人类对世间事物的认识和控制具有局限性。因此，任何项目都不可避免的具有风险。

单项目管理就是通常意义的项目管理，主要包括如下管理内容。（掌握）17年第41，20年第18考题

在传统的项目管理方法中，项目被分成5个阶段：（掌握)

       不是每个项目都必须经过以上每一个阶段，因为有些项目可能会在达到完成阶段之前被停止，有些项目不需要策划或者监测，有的项目需要重复多次项目规划、项目执行和项目监测。

项目管理,试图获得对5个变量的控制：

       时间、成本、质量、范围、风险。（掌握）18年第19，19年第19考题

项目群管理组织结构

       项目群管理组织结构的基本形式为单类项目群组织结构、多类项目群组织结构、复合式组织结构；

       根据项目群是以业务为导向（职能型），还是以客户为导向（矩阵型），单类项目群可分为单客户项目群和单业务项目群，多类项目群可分为多客户项目群和多业务项目群

       在IT行业，IT服务项目群划分往往以IT服务项目的规模进行合并，按项目群进行管理。（掌握）18年第20考题

项目群分类，如表3.2所示。（掌握)

单类项目群（掌握）23年第24考题

（1）单客户项目群管理架构。

      单客户项目群是指以实现客户目标为导向，对应单独的客户，每个客户有多个IT服务业务的项目。单客户项目往往根据客户的行业进行考虑，因为同行业的往往具有相似性，同时考虑单个子项目大小，进行合并管理。例如，电信行业的多个中小应用运维项目由一位项目经理管理，教育行业的多个中小网络运维服务项目由一位项目经理管理。举例如下。

       IT服务商给某客户提供了研发、咨询和运维3种IT服务，3个子项目。因3种子项目规模都较小，合并按一项目群进行管理，如图3.3所示。

       此类项目群典型的组织架构是设置一名项目经理，下面根据服务业务设置不同的小组；由项目经理统一协调，作为与客户统一的沟通接口，如图3.4所示。

（2）单业务项目群管理架构。

       单业务项目群是指以服务为导向，对应单独的IT服务，每个IT服务有多个客户的项目。

       单业务项目群是根据IT服务项目类型不同，将同类的项目进行合并，同时考虑单个项目的大小，进行合理的组合，然后由一位IT服务项目经理进行管理。例如，多个咨询类的中小项目由一位项目经理管理，多个桌面运维类的中小项目由一位项目经理管理等等。举例如下。

       某IT服务商提供桌面运维服务，现有3家客户都是桌面运维服务，即有3个子项目。现因为3家的规模都不大，将其合并为一个项目群进行管理，如图3.5所示。

          此类项目群的典型结构是设置一名项目经理，3家客户都有驻现场运维小组，建立统一的二线专家团队；由项目经理统一协调，作为与客户统一的沟通接口，如图3.6所示。

多类项目群（掌握）19年第20，21年第22考题

       多类项目群与单类项目群最大的区别在于项目规模较大，一名项目经理已经难以协调，需要设置PMO或者IT服务总监在上层进行统一协调管理。比如很多公司或组织按行政地区进行划分，在一个地区设置一位项目总监进行管理，再根据业务或者客户设置多位项目经理进行下层管理。

（1）多客户项目群管理框架。

指按客户目标管理，设置有PMO或IT服务总监，管理多个客户项目，每个客户项
目设有项目经理，每个客户都有不同的IT服务业务子项目，如图3.7所示。

（2）多业务项目群管理框架。

指按业务目标管理，，设置有PMO或者IT服务总监，分别管理多个IT服务业务，每个业务设置有项目经理，每个项目经理分管多个客户，如图3.8所示。

复合项目群（掌握）20年第20考题

复合项目群是指单类项目群和多类项目群的组合，往往区分大客户和中小客户。大客户以客户目标管理，每个客户下有多个业务；中小客户以业务目标管理，每个业务下面有多个客户，如图3.9所示。

例如，银行的运维外包项目往往都是大客户，基础设施、网络运维分设一位IT服务项目经理，主机、数据库运维分设一位IT服务项目经理、业务应用系统根据重要程度和大小设多位IT服务项目经理，安全管理分设一位IT服务项目经理等等，整个银行设一位IT服务总监进行项目群管理。如图3.10所示。

质量管理发展阶段

质量管理的发展历史大致划分为以下几个阶段。（掌握)

戴明环 PDCA

在PDCA 循环中，“策划（P）--实施（D）--检查（C）--处理（A)。（掌握)

质量三部曲

指的是质量策划、质量改进和质量控制。（掌握)

质量螺旋

质量螺旋就是要求我们首先去识别顾客的需求，开发出适合顾客需求的产品，然后生产和销售这样的产品，使顾客获得满意。顾客得到满意之后又会产生新的需求，企业可以根据顾客的新需求进行新一轮的循环。(掌握)

零缺陷

克劳斯比的质量改进过程是以下列4项质量管理原理为基础的：（掌握）20年第21考题
（1）质量应定义成符合要求，而不是好或优秀。
（2）质量保证体系的原则是预防不合格，而不是对不合格进行评估。
（3）工作标准应该是零缺陷，而不是差不多就行。
（4）以不合格付出的代价来衡量质量，而不是用不合格的百分比来衡量质量。

六西格玛管理

       6σ管理既着眼于产品、服务质量，又关注过程的改进。σ值越大，缺陷或错误就越少。6σ管理关注过程，特别是企业为市场和顾客提供价值的核心过程。因为过程能力用来度量后，越大，过程的波动越小，过程以最低的成本损失、最短的时间周期、满足顾客要求的能力就越强。（掌握）19年第21考题

6σ改进遵循五步循环改进法6σ改进遵循五步循环改进法

       6σ改进遵循五步循环改进法，即 DMAIC 模式（定义Define、测量Measure、分析Analyze、改进Improve、控制Control)。（掌握）19年第21考题

6σ人员等级

6σ人员包括绿带、黑带和黑带大师。（掌握）19年第21，21年第23考题

质量策划的目标

        质量策划是根据质量目标确定工作内容（措施）、职责和权限，然后确定程序和要求，最后才付诸实施的系列过程。(掌握)

质量策划主要内容

       质量策划属于“指导”与质量有关的活动，也就是“指导”质量控制、质量保证和质量改进的活动。质量控制、质量保证和质量改进只有经过质量策划，才可能有明确的对象和目标，才可能有切实的措施和方法。（掌握）23年第27考题

（1）质量策划的输入。质量策划是针对具体的质量管理活动进行的。在进行质量策划时，力求将涉及该项活动的信息全部搜集起来，作为质量策划的输入。其内容包括但不仅限于以下几方面：

①质量方针或上级质量目标的要求。
②顾客和其他相关方的需求和期望。
③与策划内容有关的业绩或成功经历。
④存在的问题点或难点。
③过去的经验教训。
③质量管理体系已明确规定的相关的要求或程序。

（2）质量策划的内容。

①设定质量目标。
②确定达到目标的途径。在质量策划时，要充分考虑所需要的过程。
③确定相关的职责和权限。
④确定所需的其他资源，包括人员、设施、材料、信息、经费、环境等等。注意，并不是所有的质量策划都需要确定的这些资源。只有那些新增的、特殊的、必不可少的资源，才需要纳入到质量策划中来。
③确定实现目标的方法和工具。这并不是说所有的质量策划都需要的。一般情况下，具体的方法和工具可以由承担该项质量职能的部门或人员去选择。但如果某项质量职能或某个过程是一种新的工作，或者是一种需要改进的工作，那就需要确定其使用的方法和工具。
③确定其他的策划需求。包括质量目标和具体措施（也就是已确定的过程）完成的时间，检查或考核的方法，评价其业绩成果的指标，完成后的奖励方法，所需的文件和记录等。

（3）质量策划的输出。

质量策划都应形成文件输出，也就是说，都应形成质量计划文件。22年第24考题

质量控制主要内容

       质量控制是保证产品和服务质量、并使产品和服务质量不断提高的一种质量管理方法。质量控制的要点如下。（掌握）18年第21，22年第24考题

（1）质量控制范围包括生产过程和质量管理过程。质量控制是指为达到质量要求，在质量形成的全过程的每一个环节所进行的一系列生产技术过程和质量管理过程的控制。

（2）质量控制的关键是使所有质量过程和活动始终处于完全受控状态。

（3）质量控制的基础是过程控制。无论生产过程还是管理过程，都需要严格按照程序和规范进行。控制好每个过程，特别是关键过程是达到质量要求的保障。

质量保证活动工作内容

      质量保证活动侧重于为满足质量要求提供使对方信任的证据，而质量控制活动侧重于如何满足质量要求。质量保证工作的主要内容包括制定质量保证计划、过程与产品质量检查、编制质量保证工作报告和问题跟踪与持续改进。（掌握）22年第24考题

（1）制订质量保证计划。质量保证计划是质量保证工作开展的依据，质量保证人员要按照质量保证计划实施质量保证工作。

（2）质量保证工作报告。检查完成后，质量保证人员应对检查结果进行总结分析，根据法律法规、标准和公司管理要求等检查依据提出检查发现，并最终形成质量保证工作报告，质量保证工作报告应以从客户角度陈述事实，不带个人主观想法。

（3）问题跟踪与持续改进。对于检查中发现的问题，质量保证人员还有负责跟踪整改情况，直至问题关闭。

质量改进（掌握)

（1）质量改进和质量控制的区别。

       质量控制是质量改进的前提，质量改进是质量控制的发展方向，控制意味着维持其质量水平，改进的效果则是突破或提高。可见，质量控制是面对“今天”的要求，而质量改进是为了“明天”的需要。

      质量控制是日常进行的工作，可以纳入“操作规程”中加以贯彻执行。质量改进则是一项阶段性的工作，达到既定目标之后，该项工作就完成了，通常它不能纳入“操作规程”，只能纳入“质量计划”中加以贯彻执行，所以质量改进通常以成立专题改进项目的形式进行。22年第 24考题

（2）质量改进对象。质量改进活动涉及到质量管理的全过程，改进的对象既包括产品（或服务）的质量，也包括各部门的工作质量。

（3）如何选择改进项目。作为质量改进的选择对象，一般可以从以下几个方面来考虑选择改进项目：

①市场上质量竞争最敏感的项目。
②质量指标达不到规定“标准”的项目。
③产品或服务质量低于行业先进水平的项目。
④其他。

质量改进实施方法（掌握）23年案例分析

（1）PDCA 实施方法

①明确问题
②掌握现状
③分析问题产生的原因
④拟订对策并实施
③确认效果
③防止问题再发生并标准化
③总结

（2）DMAIC方法。22年第23考题

DMAIC实施步骤如下。
①定义：辨认需改进的产品或过程，确定项目所需的资源。
②测量：定义缺陷，收集此产品或过程的表现作底线，建立改进目标。
③分析：分析在测量阶段所收集的数据，以确定一组按重要程度排列的影响质量的变量。
④改进：优化解决方案，并确认该方案能够满足或超过项目质量改进目标。
③控制：确保过程改进一旦完成能继续保持下去，而不会返回到先前的状态。

质量管理旧七工具

（掌握）22年第23，23年第26考题

质量管理新七工具

（掌握）22年第23、25考题

信息安全管理体系（ISMS)

      是整个管理体系的一部分。它是基于业务风险的方法，来建立、实施、运行、监视、评审、保持和改进信息安全的（注：管理体系包括：组织结构、方针政策、规划活动、职责、实践、程序、过程和资源)。（掌握）21年第24考题，17年案例分析

信息安全的基本属性

信息安全的基本属性有以下几个方面：（掌握）18年第22，19年第22，20年第22，23年第28、36考题

信息安全管理活动主要内容

信息安全管理活动主要包括以下几个方面：（掌握）17年案例分析
（1）定义信息安全策略。信息安全政策是一个机构信息安全的最高方针。
（2）定义信息安全管理体系的范围。即在机构内选定在多大范围内构建信息安全管理体系。
（3）进行信息安全风险评估。具体有三种评估方法可以选择：基本风险评估、详细风险评估、基本风险评估和详细风险评估相结合。
（4）确定管理目标和选择管理措施。管制目标的确定和管制措施的选择原则是费用不超过风险所造成的损失。但应注意有些风险的后果并不能用金钱来衡量。
（5）准备信息安全适用性申明。信息安全适用性申明记录了组织内相关的风险管制目标和针对每种风险所采取的各种控制措施。
 

信息系统的安全保护等级共分为五级

信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。信息系统的安全保护等级共分为五级：（掌握）18年第23，19年第23，20年第23，22年第26考题

等级保护的主要环节

定级、备案、安全建设整改、等级评测和安全检查。（掌握）21年第25，23年第29考题