如何做好IT项目管理

据调查，只有37%的IT项目在计划时间内完成，42%的在预算内完成。IT项目成功率不高的根源在于，IT项目管理是项系统工程，不仅需要项目经理个人具备一定的组织、决策、沟通、业务、技术能力，更需要运用多种手段对项目的时间、成本、质量和风险进行严格控制。如何提高IT项目的成功率呢？

关键控制点一项目的时间控制

首先，要明确项目期望值，做好需求调研，围绕企业的核心业务流程，制定切实可行的项目目标，这个目标万不可贪大求全，面面俱到，目的是满足核心业务流程需求，与核心业务流程关系不大或者毫无关系的内容，缓建或根本不建，将业务期望聚焦在更容易把控和量化的目标上来。项目实施完全围绕该期望进行，这也是项目实施中最重要的一点。

其次，信息化项目是需要多部门、多环节充分协作的系统工程，任何部门和环节的时间延误，都会导致整个项目实施周期的延长。因此，对影响项目进度的“短板”环节，进行着力攻坚，促进其与项目的其它环节步调一致，协同共进，能够有效保障项目的实施周期。

再次，信息化项目往往周期较长，因此需要针对项目的实施阶段制定“日清日高（？）”的项目时间保障机制，保证项目每一天都有明确的目标，才能对项目的进度进行有效掌控。

最后，由于信息化项目涉及面较广，参与人数众多，人员的素质参差不齐，对项目的把握也各不相同，因此在项目开始前需对参与项目的人员甚至高层管理人员，进行项目普及性培训，在项目进行中进行相关的项目培训……俗话说，磨刀不误砍柴工，提高每一位参与人员的项目能力才能有效提高项目实施的效率，从而保障项目的实施周期。

关键控制点二项目的成本控制

首先，信息化项目是IT技术在企业业务的应用，其开发和实施都建立在业务部门提出的项目需求之上。然而，由于项目开发和实施的时间较长，常常出现这样的情况，在系统开发完毕后，业务需求却已经改变，致使项目不得不重新进行开发。形成影响项目成本的主要因素。

产生这种情况的原因，一方面是因为项目小组前期调研不够深入，没有全面掌握业务部门的真正需求和需求的发展方向，另一方面是因为随着项目的深入，业务部门对项目在业务中的应用有了更加深刻的认识。想要控制这种来自需求改变的成本增加，项目经理除了在项目前期进行更加深入的项目调研外，还应该加大对业务人员的培训力度，让他们先于项目应用而对项目拥有更加深入的了解。

其次，在项目实施过程中，各种与业务相关的应用需求纷至沓来，不断增加的项目需求，将使项目预算不断增加，从而形成影响项目成本的又一重要因素。对于这种情况，项目经理要区别对待，如果确系有助项目期望的实现并能够帮助提高项目实施效果的需求，哪怕影响到项目的成本和延长项目的实施周期也要采纳这种需求，这是对项目的一种有益补充；如果与项目期望关系不大甚至没有关系的需求，则应坚决摒弃。

因此在项目实施前做好准确的项目期望，划定明确的项目开发任务和范围并严格执行，能够有效控制这类项目成本增加。

最后，信息化项目成本的另一主要来源是人力资源成本，因此在看到项目的硬件、软件等硬性成本同时，也不能忽略人力资源这一软性成本。有效控制项目实施时间、合理配置人力资源、避免人力资源浪费是控制这项成本的关键。

关键控制点三项目的质量控制

信息化项目的质量控制包括两个方面，一方面是IT技术本身（硬件、软件、系统）的质量控制，另一方面也是最重要的一方面，是IT技术应用于企业的质量控制。对于前者，我们可以依照国家的质量标准进行考量，而对于后者，则没有统一的标准，并难以实行量化控制，但无论如何，信息化项目的主体是企业，检验IT技术应用于企业质量好坏的标准则应该是项目在企业中的实施效果。因此做好信息化项目中的质量控制需做到：

对项目技术方案进行适应性评估信息化项目的最终效果体现在企业的应用，因此不适应企业实际情况的方案即使技术再先进、架构再稳定也不是好的方案。这就要求企业的项目经理，在拿到软件公司（实施方）提供的项目方案后，首先要对其进行适应性评估：一方面，评估项目方案与企业其它项目的技术路线是否一致。信息化项目是影响企业多个层面的系统工程，因此它并不是独立的，而是与其它项目紧密相连的。如果信息化各个项目的技术路线不一致，将会导致信息化项目间信息流通不通、数据接口不一致，形成各种信息“孤岛”；另一方面，评估项目方案与企业业务的结合程度。信息化系统最终用户是业务部门，因此项目方案要适应企业的业务需求，并易于与企业的业务流程融合在一起，并在充分满足业务需求的基础上，对业务水平有计划的进行提高。

阶段性评估与项目验收并重信息化项目的建设一般周期较长，且信息化项目建设的效果也需要一定的时间才能显现出来，因此如果项目的验收和评估都集中到项目完成后进行，就会导致项目承担风险过大。信息化项目边实施、边应用、边考量、边改进的阶段性评估，不仅有助于项目经理在项目进行中进行质量控制，而且能够有效降低信息化项目的风险。

对项目实施进行文档跟踪在项目实施过程中，分别根据实施的每个阶段编写建设（使用）手册，进行文档跟踪，并在项目完成后最终汇总成统一的项目建设（使用）文档，能够有助于项目经理对项目质量的把握和监督。

关键控制点四项目的风险控制

对信息化项目进行风险控制能够减少信息化项目实施过程中的不确定因素，有效提高信息化项目实施的成功率。由于信息化项目的核心是通过IT技术为企业的业务提供应用服务，因此信息化项目的风险主要来自以下三个方面：

一是技术风险，技术架构好坏、软件提供方的技术能力以及项目实施方的实施经验等因素形成了信息化项目的技术风险。为了规避项目的技术风险，企业的项目经理，一方面要选择开发能力较强的软件提供方和经验丰富、服务优良的项目实施方；另一方面还要把握项目的技术架构与企业其它信息化项目技术架构之间的一致性；此外，引入第三方的专业咨询、监理和项目评估也是企业规避技术风险的有效手段。

二是应用风险，信息化项目应用于企业，与企业业务之间的适应水平、结合程度以及项目实施带来的影响等因素形成了信息化项目的应用风险。在项目实施前，进行项目适应性评估能够预测项目与企业业务之间的结合程度，并能够有效预期项目应用后所带来的问题，提前研究解决办法；项目实施中，边实施、边应用，随时监控项目的实施情况和应用效果，出现问题及时解决，也能够有效规避项目的应用风险。

风险管理规划是在项目正式启动前或启动初期对项目的一个纵观全局的基于风险角度的考虑、分析、规划，也是项目风险控制中最为关键的内容。一　风险形势评估风险形势评估以项目计划、项目预算、项目进度等基本资讯为依据，着眼于明确项目的目标、战略、战术以及实现项目目标的手段和资源。从而实现：通过风险的角度审查项目计划认清项目形势，并揭示隐藏的一些项目前提和假设，使项目管理者在项目初期就能识别出一些风险。尤其是项目建议书、可行性报告或项目计划一般都是在若干假设、前提、预测的基础上完成的，这些假设、前提、预测在项目实施期间有可能成立，也有可能不成立。而这其中隐藏的风险问题又通常是被忽视的。一旦问题发生，往往造成项目管理方的措手不及和无一应对。例如项目计划中假设用户实施小组全力支援、脱産或几乎脱産投入IT项目的实施，但在实际过程中，用户方人员却不得不抽出大量时间处理塬有的业务，造成IT项目实施进度的拖延和实施效果不尽人意的风险。诸如此类的例子还有很多。为了找出这些隐藏的项目条件和威胁，就需要对与项目相关的各种计划进行详细审查，如人力资源计划、合同管理计划、项目采购计划等等。由此我们可以得出，风险形势评估一般应重视以下内容：项目的起因、目的、项目的范围、组织目标与项目目标的相互关系、项目的贡献、项目条件、制约因素等。二　风险识别在对项目的基础的风险形势评估之上，就需要对各种显露的和潜在的风险进行识别。风险识别实际上是对将来可能发生的风险事件的一种设想和猜测。因此，一般的风险识别结果应包括风险的分类、来源、表现及其后果、以及引发的相关项目管理要求。在具体识别风险时，一方面可利用一些常识、经验和判断，通过以前经历的项目中积累起来的资料、资料、经验和教训，或者请教相关的专家和资深从业人员，采用集体讨论的方式。另一方面，可以通过分解项目的范围、结构来识别风险，理清项目的组成和各个组成部分的性质、之间的关系、与外因的联系等内容，从而减少项目实施过程中的不确定性。除此之外，还可以利用一些技术和工具。比如，结合经验和教训，将项目成功和失败的塬因罗列成一张核对表，或者是项目的实施范围、质量控制、项目进度、采购与合同管理、人力资源与沟通等。以上都是风险识别常用的一些手段和方法，当然还有其他更多的途径，因项目而异，灵活运用。三　风险分析和评价在进行风险识别并整理之后，必须就各项风险对整个项目的影响程度做一些分析和评价，通常这些评价建立在以特性为依据的判断和以资料统计为依据的研究上。风险分析的方法非常多，一般采用统计学范畴内的概率、分布频率、平均数衆数等方法。但无论是哪一种工具，都各有长短，而且不可避免的会受到分析者的主观影响。可以通过多角度多人员的分析或者采取头脑风暴法等尽可能避免。此外，我们应当明确，风险是一种变化着的事物，基于这种易变条件上的预测和分析，是不可能做到十分的精确和可靠的。所有的风险分析都只有一个目的，即尽量避免项目的失控和为具体的项目实施中的突发问题预留足够的后备措施和缓冲空间。风险评价之后，项目面临着两种选择，即面临着不可承受风险和可承受风险。对于前者，或者终止项目，或者采取补救措施，降低风险或改变项目;对于后者，则需要在项目之中进行风险控制。

正所谓知易行难，目标管理并不仅仅是管理目标这么简单，它有一套完备的目标体系。它需要科学的方法，需要一种对时机、风险、分寸的把握和判断的能力。

目标管理是管理大师彼得·德鲁克在其名著《管理实践》中最先提出的，他提出目标管理与自我控制的相互结合使用。德鲁克认为，并不是有了工作才有目标，而是相反，有了目标才能确定每个人的工作。MBO（ManagementByObjectives，目标管理）是为了实现项目的任务与目的，给各层级人员从上至下制定切实可行的目标，并且各层人员必须在规定时间内完成指定任务的一种管理方法。

去掉繁复的理论体系的包裹，目标管理其实很朴素，手段其实很简单。它需要做好三件事--目标设定、制定计划并控制、度量目标达成度。也就是说，项目启动前要有目标和计划，项目进行当中要有控制，项目结束之后要对目标进行度量。目标管理的关键点在一头一尾，头是分层级设定目标，尾就是考核、评价和奖惩。

因此，目标管理是一种程序或过程，

项目管理者通过目标对下级进行管理，当确定了项目总体目标后，必须对其进行有效分解，转变成各个部门/团队以及各个员工的分目标，管理者根据分目标的完成情况对下级进行考核、评价和奖惩。所以，目标管理量化了目标，从而使目标具体化、可视化。

（2）目标分解与考核量度

目标管理是通过目标的设置和分解、目标的实施及完成情况的检查、奖惩为手段，通过员工的自我管理来实现目的的一种管理方法。过程不重要，结果重要。可能管理过程是松散的，但结果却是受到控制的。在目标分解过程中，权、责、利三者明确，只有每个员工完成了自己的分目标，整个项目的总目标才有完成的希望。

总的来说，目标管理加大了对员工的绩效考核力度。目标管理以制定目标为起点，以目标完成情况的考核为终结。至于完成目标的具体过程、途径和方法，上级并不过多干预。所以，在目标管理制度下，监督的成分很少，而控制目标实现的能力却很强。

（3）目标管理的优点

一是目标管理对项目内易于度量和分解的目标会带来良好的绩效。例如，对于在技术上具有可分性、可量化的工作，由于责任、任务明确目标管理常常会起到立竿见影的效果，而对于技术不可分的任务则难以实施目标管理。二是目标管理有助于改进团队的职责分工。例如，由于项目目标的成果和责任力图划归一个职位或部门，容易发现授权不足与职责不清等缺陷。

（4）目标管理的缺点

在实际项目运作中，目标管理也存在许多明显的缺点。主要表现在：一是IT项目内的许多目标都难以定量化、具体化，或许多工作在技术上不可解，或项目环境的可变因素越来越多，使项目活动的不确性越来越大，这些都使得IT项目的许多活动制订数量化目标是很困难的。二是目标商定可能增加管理成本。目标商定要上下沟通、统一思想是很费时间的，同时每个团队、个人都关注自身目标的完成，很可能会忽略了相互协作和总体目标的实现，滋长本位主义、临时观点和急功近利倾向。三是有时奖惩不一定都能和目标成果相配合，也很难保证公正性，从而削弱了目标管理的效果。

多方面解读：什么是企业IT规划？

ZDNet CIO频道 更新时间：2009-02-26 作者： 来源：CIO时代网

本文关键词: 战略管理 信息化 IT规划

企业信息化规划的定义

”IT规划（ITplanning）“是”信息化规划“的简称，它是指在理解企业发展战略和评估企业IT现状的基础上，结合所属行业信息化方面的实践和对最新信息技术发展情况的认识，提出企业信息化建设的远景、目标和战略，以及具体信息系统的架构设计、选型和实施策略，全面系统地指导企业信息化建设的进行，满足企业可持续发展的需要。由于信息化与信息技术（InformationTechnologies，IT）息息相关，因此通常使用”IT规划“这一比较通俗的称谓。

之所以提出IT规划这个概念，最重要的动因来自于信息化建设所具有的综合性、系统性、变革性和可持续性的特点和要求。信息化建设是信息化规划和信息化实施这两个层次构成的动态螺旋式递进。

规划本质上可以定位成从业务战略到信息战略的实现。从组织的战略出发而不是从系统的需求出发，可以避免脱离目标而进行建设的困境。从业务的变革出发而不是从技术的变革出发，有利于充分利用组织的现有资源来满足关键需求，从而避免建设的信息系统无法有效地支持组织的决策。不坚持这两个原则就会给信息化建设带来致命的短视和形式化恶果。

”IT规划“主要包含”IT评估“、”IT战略规划（InformationTechnologiesStrategicPlanning，ITSP）“、”基础设施规划“、”数据规划（DataPlanning，DP）“、”信息系统规划（InformationSystemPlanning，ISP）“和IT组织与保障体系设计6大部分内容，相关定义如下：

评估

所谓企业IT评估就是从企业引进信息技术的目的和战略出发，考察信息技术应用给企业经营和管理带来的影响。一方面对已有信息化建设全过程进行全面的评价，彻底检查企业信息化的现状，确定信息化建设的阶段，并与企业的既定目标对比，发现实施信息化过程中存在的问题，找出差距；另一方面，要从组成企业信息化的三个要素（人、信息技术、组织管理）角度持续并综合地评估三要素有机结合的信息系统（如ERP、CAD、CIMS等等）的成效和各要素对信息系统成效影响程度的过程，并结合新的现实，根据企业所面临的新环境和新业务，重新定义企业信息系统，制定新的信息化方案。企业信息系统成效（价值）的评估是企业IT评估的关键。

战略规划

战略规划是指，根据IT评估的结果，制定和调整企业信息化的指导纲领，争取以最适合的规模，最适合的成本，去做最适合的信息化工作。首先是根据本企业的战略需求，明确企业信息化的远景和使命，定义企业信息化的发展方向和企业信息化在实现企业战略过程中应起的作用。其次是起草企业信息化指导纲领，它代表着信息技术部门在管理和实施工作中要遵循的企业条例。是有效完成信息化使命的保证。然后是制定信息化目标，它是企业在未来几年为了实现远景和使命而要完成的各项任务。

基础设施规划

基础设施规划是指对企业信息化基础设施进行设计和规划，这些基础设施包括网络、硬件设备和基础软件。网络规划包括数据流量及约束条件分析、网络选型、拓扑结构设计、网络安全方案、网络建设方案等；硬件设备规划包括服务器、路由器、交换机、集线器、台式机、笔记本、打印机、手持设备等的规划和配置等；基础软件规划包括 *** 作系统软件、数据库软件等软件的规划。

数据规划

数据规划是对企业内部的关键信息进行梳理和建模，从数据管理基础层面、基础应用系统层面和管理决策集成层面三个层面对这些信息进行整合和集成，建立企业标准化数据体系，同时确立数据存储的逻辑和物理方式。

信息系统规划

对信息系统的应用架构、技术架构、功能架构、选型、建设阶段和初步预算等进行详细的规划，是信息化规划的主要工作。

组织和保障体系设计

组织是企业内部的信息化管理部门，IT组织设计包括对其组成、分工、职能、考核、员工IT职业生涯的设计等。保障体系设计包括IT项目管理制度设计、风险防范/质量保障体系设计、IT培训制度设计等。

我国企业IT规划的现状

据英国经济情报社、IBM咨询和埃森哲咨询所做的一项联合调查表明，西方国家96％的大公司和75％的中小企业都制定了自己的IT规划，而国内企业做了IT规划的还少之又少，这也从一个侧面反映了中国企业IT应用的水平与西方国家相比还有很大的差距。这种差距绝对不是技术上的差距，国内企业可以买最好的服务器，买最好的软件包，我们的IT人才也可以掌握最先进的计算机和网络技术。我们企业的差距关键还在对IT的规划和管理上。

分析我国大多数企业信息化的发展状况，可以发现以下一些特点：

没有一个全面的企业信息化战略；

缺乏对新技术的敏感，有些IT投资项目尚未结束，所用技术已经过时；

信息化建设呈自发的点状态势，重部门而轻完整；重局部而轻全局；重地区而轻全球；重内部而轻外部；重数据而轻信息；重交易而轻智能。

企业信息系统不是太少，而是太多。数据分散，形同碎片，难以及时形成领导层关心的全面而高浓缩的商业智能，很多企业由此感到迷茫、困惑和失望，认为IT投资是黑洞。究其根源，企业信息化建设盲目性大，计划性淡薄，在企业中地位不高。

而且，当我国的企业面对IT规划时，往往会陷入一些误区，主要有三类：

误区一：中小企业尤其是小企业不需要IT规划。持这一观点的人们认为，中小企业人员少、业务流程简单，管理粗放，根本用不着进行IT规划，上几个关键系统就行了。但是，IT规划不应分大公司和小公司，并不是只有大公司才需要IT规划，小公司就没有必要，如果小公司的IT规划做好了，很有可能更快地促进公司的发展，而且公司也可能发展成为大公司。实际上，公司大小不是重要的，关键是要看它在IT方面的投入有多大。美国硅谷有很多新生的公司，虽然这些公司规模很小，但由于它受到了风险投资的支持，它在IT技术方面的投入也是很大的，而且这些基础设施规划和建设好了，会对公司的进一步发展，达到更高的投资回报率起到积极作用。

误区二：好的网络架构和硬件部署等于IT规划。从传统上，人们总是以”眼见为实“作为衡量成果的指标，大量的机器设备和网络产品放在大家面前，而且非常先进，布局也非常好，有些人就认为有了网络和设备这一高速公路，上面跑什么车都没问题，下一步随便上一些软件系统就可以了。这一看法也是比较局限的，实际上，网络和硬件的规划只是IT规划里的一部分，而且并不是最重要的部分。由于硬件设备的发展水平已经提前于软件的发展水平，所以更重要的是对企业内部的软件系统及其架构进行规划。

误区三：上ERP等于完成IT规划。许多企业认为上了ERP就能解决所有IT问题。这是故意夸大ERP的作用，混淆了IT业务的流程。实际上，企业IT策略要比ERP有更多的内容，而不仅仅是ERP，有的业务简单的企业可能只需要OA（自动办公）就可以解决企业的IT问题，有的企业只需要SCM（供需链管理）就可以了。这都需要具体分析企业的实际情况，针对企业的具体问题制定各自的IT规划。

总之，我国大多数企业对IT规划的认识不够，不少企业仓促上马信息化项目，从而导致了企业信息化项目的失败或停滞，或者导致很多后遗症，企业内信息孤岛林立，系统集成又是一项附加的工作需要进行，导致额外的投资。因此，有必要加强对企业人员特别是企业老总和信息中心人员的培训，使他们能够充分认识的IT规划的重要性和必要性。

规划必要性和重要作用

按照正常的流程，企业要搞信息化建设需要经过三个阶段的工作：管理咨询、IT规划和信息化建设。IT规划是不可或缺的工作。

企业信息化建设的周期长，投资大，不确定性强，只有进行IT规划才能够从总体上把握信息化建设的进程。可以把IT规划比作大厦的地基，IT规划就是是”企业信息化“这座大厦的基础，没有IT规划，企业信息化大厦将是建立在沙滩上，后果可想而知。

企业如果不进行IT规划，将会产生以下一些不良后果：

遗留系统繁多，信息孤岛林立，信息共享困难

系统集成工作量大，导致反复投资

系统维护费用高、收益低、风险大

软硬件更新换代频率高，投资回报率低

系统不适应新的业务而停滞不用，造成浪费

信息化建设无章可循，可能导致失败

我们再看一下不同程度IT规划的结果：

好的规划＋好的开发＝优秀的系统

好的规划＋差的开发＝好的系统

差的规划＋好的开发＝差的系统

差的规划＋差的开发＝混乱的系统

没有规划＋好的开发＝可用但难以共享的系统

没有规划＋差的开发＝不可用的系统

从以上的结论可以看出企业进行IT规划是非常必要的，它可以从客观方面解决以上问题，同时它还可以解决主观方面的问题：通过IT规划来推动企业员工达成共识。

我们都知道，”信息化其实和企业管理的其他问题一样，一个达成共识的、没有很多创新的方案，远远好于一个有很多创新、但迟迟不能达成共识，也迟迟不能落实贯彻的方案“。我们参与过这样一个情景案例的讨论，题目就叫”谁在反对信息化？“其实这个题目很有普遍性，在不少企业都能看到，哪怕高层已经对信息化下了决心，但仍然会听到各种明处、暗处的反对声音，可能来自中层、来自各地分支机构、来自渠道伙伴等等。反对的情形可以是很多种：（1）谨慎论者，相信信息化建设高失败率的说法，主张谨慎从事；（2）时机论者，认为信息化从长远说要做，但目前业务发展时间紧，信息化底子差，时机不成熟；（3）怀疑论者，认为信息化解决不了企业的问题，反而劳民伤财；（4）其他，担心信息化将打破现有管理格局分配；担心由其他部门负责信息化工作来唱主旋律，不利于自己的业绩突出，等等。

可以发现，这些声音在信息化建设的初期出现往往是很常见的，有它一定的存在合理性，而其中大多是由于沟通不足、认识不够、观念的问题还没有解决，对信息化建设的指导思想、工作原则、关键成功因素、重点应用领域等等没有达成共识。

事实上，板子不能只打在那些反对者身上。信息化建设涉及到的问题呈现出明显的非线性，甚至可用”一团麻“来形容：战略是否明晰、流程是否理顺、组织架构的敏感、信息孤岛的当前情况、应用人员的态度/素质、技术选用的评价标准等等，如何把这些方方面面协调一致，这就是”IT规划“将发挥的作用。具体来说，就是按照IT规划方法论，逐步理清企业管理提升和信息化应用的总体方向，客观分析当前所处的位置，理智分析当前和未来之间的差距，然后制定策略、明确原则、给出路线，再明确各个信息化建设项目之间的时序关系和依赖关系，并落实每一个信息化建设项目的里程碑。同时，自始至终贯穿的，有变革管理，有对同行业、不同行业的标杆的最佳实践（BestPractice）的学习和借鉴。这个过程，关键是一个不断采集意见、论证探讨的过程，主旋律就是：”沟通，沟通，再沟通。“

在实践中，也有很多企业已经认识到IT规划在解决上述客观、主观两方面问题中的作用。据英国经济情报社、IBM咨询和埃森哲咨询所作的一个联合调查表明，年收入在10亿美元以上的大公司当中，95%进行了IT规划；年收入在1～199亿美元的中型公司当中，913%进行了IT规划；年收入小于1亿美元的小公司当中，761%进行了IT规划。当然，对于国内企业来说的这个比例还需要不断提高。

规划的原则

企业进行IT规划需要遵守一定的原则：

首先，企业IT规划应纳入到企业本身的发展战略中，要与企业未来的业务发展和管理发展充分结合。只有这样，才能够真正指导企业信息化发展，保证企业整体的发展方向。

其次，IT规划要注意可扩展性，要能适应IT技术的快速发展，要能适应企业管理模式与业务模式的不断变化。当今世界，科技日新月异，IT技术、企业管理模式与业务都经常发生变化，这些变化会导致原先做的IT规划不适应新的情况。所以在做IT规划时，要认真分析企业的战略与IT支撑之间的影响度，并合理预测环境变化可能给企业战略带来的偏移，在规划时留有适当余地，从商务战略到信息战略，做务实的牵引，不能追求大而全。IT规划不应成为企业信息化的死框框，企业要能根据新的情况不断调整IT规划。

再次，IT规划要细致完全，全面、合理指导企业信息化。

最后，IT规划要适合企业的规模发展。因为，不同的企业规模在IT规划时可能有不同的要求。所以在规划时一定要从企业实际出发，结合国内国际形势和企业的发展现状，制定出适合企业发展的IT规划。

IT信息化规划涵盖企业的方方面面的信息，下到具体的设备，上到高层决策。以钢铁企业为例，底层就是设备层面DCS、智能仪表、计量器具等，算是第一级设备层；向上第二层过程控制PCS，如加热炉控制、轧机控制系统等；再上第三层MES生产制造执行系统，如炼铁MES、炼钢MES、轧钢MES、质检三级、物流三级等；再上第四层ERP企业资源计划管理；再上第五层BI智能决策支持。

#云原生背景#

云计算是信息技术发展和服务模式创新的集中体现，是信息化发展的重要变革和必然趋势。随着“新基建”加速布局，以及企业数字化转型的逐步深入，如何深化用云进一步提升云计算使用效能成为现阶段云计算发展的重点。云原生以其高效稳定、快速响应的特点极大地释放了云计算效能，成为企业数字业务应用创新的原动力，云原生进入快速发展阶段，就像集装箱加速贸易全球化进程一样，云原生技术正在助力云计算普及和企业数字化转型。

云原生计算基金会（CNCF）对云原生的定义是：云原生技术有利于各组织在公有云、私有云和混合云等新型动态环境中，构建和运行可d性扩展的应用。云原生的代表技术包括容器、服务网格、微服务、不可变基础设施和声明式编程API。

#云安全时代市场发展#

云安全几乎是伴随着云计算市场而发展起来的，云基础设施投资的快速增长，无疑为云安全发展提供土壤。根据 IDC 数据，2020 年全球云安全支出占云 IT 支出比例仅为 11%，说明目前云安全支出远远不够，假设这一比例提升至 5%，那么2020 年全球云安全市场空间可达 532 亿美元，2023 年可达 1089 亿美元。

海外云安全市场：技术创新与兼并整合活跃。整体来看，海外云安全市场正处于快速发展阶段，技术创新活跃，兼并整合频繁。一方面，云安全技术创新活跃，并呈现融合发展趋势。例如，综合型安全公司 PaloAlto 的 Prisma 产品线将 CWPP、CSPM 和 CASB 三个云安全技术产品统一融合，提供综合解决方案及 SASE、容器安全、微隔离等一系列云上安全能力。另一方面，新兴的云安全企业快速发展，同时，传统安全供应商也通过自研+兼并的方式加强云安全布局。

国内云安全市场：市场空间广阔，尚处于技术追随阶段。市场规模上，根据中国信通院数据，2019 年我国云计算整体市场规模达 13345亿元，增速 386%。预计 2020-2022 年仍将处于快速增长阶段，到 2023 年市场规模将超过 37542 亿元。中性假设下，安全投入占云计算市场规模的 3%-5%，那么 2023 年中国云安全市场规模有望达到 1126 亿-1877 亿元。技术发展上，中国在云计算的发展阶段和云原生技术的程度上与海外市场还有一定差距。国内 CWPP 技术应用较为广泛，对于 CASB、CSPM 一些新兴的云安全技术应用较少。但随着国内公有云市场的加速发展，云原生技术的应用越来越广泛，我们认为CASB、SCPM、SASE 等新兴技术在国内的应用也将越来越广泛。

#云上安全呈原生化发展趋势#

云原生技术逐渐成为云计算市场新趋势，所带来的安全问题更为复杂。以容器、服务网格、微服务等为代表的云原生技术，正在影响各行各业的 IT 基础设施、平台和应用系统，也在渗透到如 IT/OT 融合的工业互联网、IT/CT 融合的 5G、边缘计算等新型基础设施中。随着云原生越来越多的落地应用，其相关的安全风险与威胁也不断的显现出来。Docker/Kubernetes 等服务暴露问题、特斯拉 Kubernetes 集群挖矿事件、Docker Hub 中的容器镜像被“投毒”注入挖矿程序、微软 Azure 安全中心检测到大规模 Kubernetes 挖矿事件、Graboid 蠕虫挖矿传播事件等一系列针对云原生的安全攻击事件层出不穷。

从各种各样的安全风险中可以一窥云原生技术的安全态势，云原生环境仍然存在许多安全问题亟待解决。在云原生技术的落地过程中，安全是必须要考虑的重要因素。

#云原生安全的定义#

国内外各组织、企业对云原生安全理念的解释略有差异，结合我国产业现状与痛点，云原生与云计算安全相似，云原生安全也包含两层含义：“面向云原生环境的安全”和“具有云原生特征的安全”。

面向云原生环境的安全，其目标是防护云原生环境中的基础设施、编排系统和微服务的安全。这类安全机制，不一定具备云原生的特性（比如容器化、可编排），它们可以是传统模式部署的，甚至是硬件设备，但其作用是保护日益普及的云原生环境。

具有云原生特征的安全，是指具有云原生的d性敏捷、轻量级、可编排等特性的各类安全机制。云原生是一种理念上的创新，通过容器化、资源编排和微服务重构了传统的开发运营体系，加速业务上线和变更的速度，因而，云原生系统的种种优良特性同样会给安全厂商带来很大的启发，重构安全产品、平台，改变其交付、更新模式。

#云原生安全理念构建#

为缓解传统安全防护建设中存在的痛点，促进云计算成为更加安全可信的信息基础设施，助力云客户更加安全的使用云计算，云原生安全理念兴起，国内外第三方组织、服务商纷纷提出以原生为核心构建和发展云安全。

Gartner提倡以云原生思维建设云安全体系

基于云原生思维，Gartner提出的云安全体系覆盖八方面。其中，基础设施配置、身份和访问管理两部分由云服务商作为基础能力提供，其它六部分，包括持续的云安全态势管理，全方位的可视化、日志、审计和评估，工作负载安全，应用、PaaS 和 API 安全，扩展的数据保护，云威胁检测，客户需基于安全产品实现。

Forrester评估公有云平台原生安全能力

Forrester认为公有云平台原生安全（Public cloud platform native security, PCPNS）应从三大类、37 个方面去衡量。从已提供的产品和功能，以及未来战略规划可以看出，一是考察云服务商自身的安全能力和建设情况，如数据中心安全、内部人员等，二是云平台具备的基础安全功能，如帮助和文档、授权和认证等，三是为用户提供的原生安全产品，如容器安全、数据安全等。

安全狗以4项工作防护体系建设云原生安全

（1）结合云原生技术的具体落地情况开展并落实最小权限、纵深防御工作，对于云原生环境中的各种组成部分，均可贯彻落实“安全左移”的原则，进行安全基线配置，防范于未然。而对于微服务架构Web应用以及Serverless应用的防护而言，其重点是应用安全问题。

（2）围绕云原生应用的生命周期来进行DevSecOps建设，以当前的云原生环境的关键技术栈“K8S + Docker”举例进行分析。应该在容器的全生命周期注重“配置安全”，在项目构建时注重“镜像安全”，在项目部署时注重“容器准入”，在容器的运行环境注重云计算的三要素“计算”“网络”以及“存储”等方面的安全问题。

（3）围绕攻击前、中、后的安全实施准则进行构建，可依据安全实施准则对攻击前、中、后这三个阶段开展检测与防御工作。

（4）改造并综合运用现有云安全技术，不应将“云原生安全”视为一个独立的命题，为云原生环境提供更多支持的主机安全、微隔离等技术可赋能于云原生安全。

#云原生安全新型风险#

云原生架构的安全风险包含云原生基础设施自身的安全风险，以及上层应用云原生化改造后新增和扩大的安全风险。云原生环境面临着严峻的安全风险问题。攻击者可能利用的重要攻击面包括但不限于：容器安全、编排系统、软件供应链等。下面对重要的攻击面安全风险问题进行梳理。

#云原生安全问题梳理#

问题1：容器安全问题

在云原生应用和服务平台的构建过程中，容器技术凭借高d性、敏捷的特性，成为云原生应用场景下的重要技术支撑，因而容器安全也是云原生安全的重要基石。

（1）容器镜像不安全

Sysdig的报告中提到，在用户的生产环境中，会将公开的镜像仓库作为软件源，如最大的容器镜像仓库Docker Hub。一方面，很多开源软件会在Docker Hub上发布容器镜像。另一方面，开发者通常会直接下载公开仓库中的容器镜像，或者基于这些基础镜像定制自己的镜像，整个过程非常方便、高效。然而，Docker Hub上的镜像安全并不理想，有大量的官方镜像存在高危漏洞，如果使用了这些带高危漏洞的镜像，就会极大的增加容器和主机的入侵风险。目前容器镜像的安全问题主要有以下三点：

1不安全的第三方组件

在实际的容器化应用开发过程当中，很少从零开始构建镜像，而是在基础镜像之上增加自己的程序和代码，然后统一打包最终的业务镜像并上线运行，这导致许多开发者根本不知道基础镜像中包含多少组件，以及包含哪些组件，包含的组件越多，可能存在的漏洞就越多。

2恶意镜像

公共镜像仓库中可能存在第三方上传的恶意镜像，如果使用了这些恶意镜像来创建容器后，将会影响容器和应用程序的安全

3敏感信息泄露

为了开发和调试的方便，开发者将敏感信息存在配置文件中，例如数据库密码、证书和密钥等内容，在构建镜像时，这些敏感信息跟随配置文件一并打包进镜像，从而造成敏感信息泄露

（2）容器生命周期的时间短

云原生技术以其敏捷、可靠的特点驱动引领企业的业务发展，成为企业数字业务应用创新的原动力。在容器环境下，一部分容器是以docker的命令启动和管理的，还有大量的容器是通过Kubernetes容器编排系统启动和管理，带来了容器在构建、部署、运行，快速敏捷的特点，大量容器生命周期短于1小时，这样一来容器的生命周期防护较传统虚拟化环境发生了巨大的变化，容器的全生命周期防护存在很大变数。对防守者而言，需要采用传统异常检测和行为分析相结合的方式，来适应短容器生命周期的场景。

传统的异常检测采用WAF、IDS等设备，其规则库已经很完善，通过这种检测方法能够直观的展示出存在的威胁，在容器环境下，这种方法仍然适用。

传统的异常检测能够快速、精确地发现已知威胁，但大多数未知威胁是无法通过规则库匹配到的，因而需要通过行为分析机制来从大量模式中将异常模式分析出来。一般来说，一段生产运营时间内的业务模式是相对固定的，这意味着，业务行为是可以预测的，无论启动多少个容器，容器内部的行为总是相似的。通过机器学习、采集进程行为，自动构建出合理的基线，利用这些基线对容器内的未知威胁进行检测。

（3）容器运行时安全

容器技术带来便利的同时，往往会忽略容器运行时的安全加固，由于容器的生命周期短、轻量级的特性，传统在宿主机或虚拟机上安装杀毒软件来对一个运行一两个进程的容器进行防护，显示费时费力且消耗资源，但在黑客眼里容器和裸奔没有什么区别。容器运行时安全主要关注点：

1不安全的容器应用

与传统的Web安全类似，容器环境下也会存在SQL注入、XSS、RCE、XXE等漏洞，容器在对外提供服务的同时，就有可能被攻击者利用，从而导致容器被入侵

2容器DDOS攻击

默认情况下，docker并不会对容器的资源使用进行限制，默认情况下可以无限使用CPU、内存、硬盘资源，造成不同层面的DDOS攻击

（4）容器微隔离

在容器环境中，与传统网络相比，容器的生命周期变得短了很多，其变化频率也快很多。容器之间有着复杂的访问关系，尤其是当容器数量达到一定规模以后，这种访问关系带来的东西向流量，将会变得异常的庞大和复杂。因此，在容器环境中，网络的隔离需求已经不仅仅是物理网络的隔离，而是变成了容器与容器之间、容器组与宿主机之间、宿主机与宿主机之间的隔离。

问题2：云原生等保合规问题

等级保护20中，针对云计算等新技术、新应用领域的个性安全保护需求提出安全扩展要求，形成新的网络安全等级保护基本要求标准。虽然编写了云计算的安全扩展要求，但是由于编写周期很长，编写时主流还是虚拟化场景，而没有考虑到容器化、微服务、无服务等云原生场景，等级保护20中的所有标准不能完全保证适用于目前云原生环境；

通过安全狗在云安全领域的经验和具体实践，对于云计算安全扩展要求中访问控制的控制点，需要检测主机账号安全，设置不同账号对不同容器的访问权限，保证容器在构建、部署、运行时访问控制策略随其迁移；

对于入侵防范制的控制点，需要可视化管理，绘制业务拓扑图，对主机入侵进行全方位的防范，控制业务流量访问，检测恶意代码感染及蔓延的情况；

镜像和快照保护的控制的，需要对镜像和快照进行保护，保障容器镜像的完整性、可用性和保密性，防止敏感信息泄露。

问题3：宿主机安全

容器与宿主机共享 *** 作系统内核，因此宿主机的配置对容器运行的安全有着重要的影响，比如宿主机安装了有漏洞的软件可能会导致任意代码执行风险，端口无限制开放可能会导致任意用户访问的风险。通过部署主机入侵监测及安全防护系统，提供主机资产管理、主机安全加固、风险漏洞识别、防范入侵行为、问题主机隔离等功能，各个功能之间进行联动，建立采集、检测、监测、防御、捕获一体化的安全闭环管理系统，对主机进行全方位的安全防护，协助用户及时定位已经失陷的主机，响应已知、未知威胁风险，避免内部大面积主机安全事件的发生。

问题4：编排系统问题

编排系统支撑着诸多云原生应用，如无服务、服务网格等，这些新型的微服务体系也同样存在着安全问题。例如攻击者编写一段代码获得容器的shell权限，进而对容器网络进行渗透横移，造成巨大损失。

Kubernetes架构设计的复杂性，启动一个Pod资源需要涉及API Server、Controller、Manager、Scheduler等组件，因而每个组件自身的安全能力显的尤为重要。API Server组件提供的认证授权、准入控制，进行细粒度访问控制、Secret资源提供密钥管理及Pod自身提供安全策略和网络策略，合理使用这些机制可以有效实现Kubernetes的安全加固。

问题5：软件供应链安全问题

通常一个项目中会使用大量的开源软件，根据Gartner统计至少有95%的企业会在关键IT产品中使用开源软件，这些来自互联网的开源软件可能本身就带有病毒、这些开源软件中使用了哪些组件也不了解，导致当开源软件中存在0day或Nday漏洞，我们根本无法获悉。

开源软件漏洞无法根治，容器自身的安全问题可能会给开发阶段带的各个过程带来风险，我们能做的是根据SDL原则，从开发阶段就开始对软件安全性进行合理的评估和控制，来提升整个供应链的质量。

问题6：安全运营成本问题

虽然容器的生命周期很短，但是包罗万象。对容器的全生命周期防护时，会对容器构建、部署、运行时进行异常检测和安全防护，随之而来的就是高成本的投入，对成千上万容器中的进程行为进程检测和分析，会消耗宿主机处理器和内存资源，日志传输会占用网络带宽，行为检测会消耗计算资源，当环境中容器数量巨大时，对应的安全运营成本就会急剧增加。

问题7：如何提升安全防护效果

关于安全运营成本问题中，我们了解到容器安全运营成本较高，我们该如何降低安全运营成本的同时，提升安全防护效果呢？这就引入一个业界比较流行的词“安全左移”，将软件生命周期从左到右展开，即开发、测试、集成、部署、运行，安全左移的含义就是将安全防护从传统运营转向开发侧，开发侧主要设计开发软件、软件供应链安全和镜像安全。

因此，想要降低云原生场景下的安全运营成本，提升运营效率，那么首先就要进行“安全左移”，也就是从运营安全转向开发安全，主要考虑开发安全、软件供应链安全、镜像安全和配置核查：

开发安全

需要团队关注代码漏洞，比如使用进行代码审计，找到因缺少安全意识造成的漏洞和因逻辑问题造成的代码逻辑漏洞。

供应链安全

可以使用代码检查工具进行持续性的安全评估。

镜像安全

使用镜像漏洞扫描工具持续对自由仓库中的镜像进行持续评估，对存在风险的镜像进行及时更新。

配置核查

核查包括暴露面、宿主机加固、资产管理等，来提升攻击者利用漏洞的难度。

问题8：安全配置和密钥凭证管理问题

安全配置不规范、密钥凭证不理想也是云原生的一大风险点。云原生应用会存在大量与中间件、后端服务的交互，为了简便，很多开发者将访问凭证、密钥文件直接存放在代码中，或者将一些线上资源的访问凭证设置为弱口令，导致攻击者很容易获得访问敏感数据的权限。

#云原生安全未来展望#

从日益新增的新型攻击威胁来看，云原生的安全将成为今后网络安全防护的关键。伴随着ATT&CK的不断积累和相关技术的日益完善，ATT&CK也已增加了容器矩阵的内容。ATT&CK是对抗战术、技术和常识（Adversarial Tactics, Techniques, and Common Knowledge）的缩写，是一个攻击行为知识库和威胁建模模型，它包含众多威胁组织及其使用的工具和攻击技术。这一开源的对抗战术和技术的知识库已经对安全行业产生了广泛而深刻的影响。

云原生安全的备受关注，使ATTACK Matrix for Container on Cloud的出现恰合时宜。ATT&CK让我们从行为的视角来看待攻击者和防御措施，让相对抽象的容器攻击技术和工具变得有迹可循。结合ATT&CK框架进行模拟红蓝对抗，评估企业目前的安全能力，对提升企业安全防护能力是很好的参考。

以上就是关于日常IT项目管理过程的四个关键控制点全部的内容，包括:日常IT项目管理过程的四个关键控制点、IT项目中如何进行风险管理规划、如何做好IT项目管理等相关内容解答，如果想了解更多相关内容，可以关注我们，你们的支持是我们更新的动力！