信息系统生命周期
目录 |
什么是信息系统生命周期[1]
信息系统生命周期是指信息系统在使用过程中随着其生存环境的变化，要不断维护、修改，具有产生、发展、成熟、消亡(更新)的过程周期循环。
信息系统生命周期的阶段[2]
信息系统生命周期由系统分析、系统设计、系统实施以及系统管理和维护四个时期组成，每一个时期又进一步划分成若干个阶段。
- 1．系统分析
系统的分析，也叫系统的调查与分析，是信息系统生命周期的第一个阶段，也是最重要的一个环节。系统分析时期的任务包括确定信息系统必须完成的总目标，确定工程的可行性，导出实现工程目标应该采取的策略及系统必须完成的功能，估计完成该项工程需要的资源和成本，并且制定工程进度表。系统分析时期通常进一步划分成三个阶段，即问题的定义、可行性研究和需求分析。问题定义阶段的主要任务是确定所开发的信息系统要完成的目标是什么，如果不知道信息系统的目标就试图开发信息系统，显然是盲目的，只会白白浪费时间和金钱。可行性研究阶段的主要任务是分析达到信息系统的目标是否存在可行的办法。可行性研究的结果是信息系统的负责人做出是否继续进行这个信息系统的开发决定的重要依据。一般来说，只有投资可能取得较大效益的那些信息系统才值得继续进行下去，及时终止不值得投资的工程项目，可以避免更大的浪费。需求分析阶段的主要任务是确定目标系统必须具备哪些功能以及系统正常运行时应满足的性能指标。
- 2．系统设计
系统设计是信息系统生命周期中另一个重要阶段。系统设计的主要目的就是为下一阶段的系统实施制定蓝图。系统设计包括两个方面的内容，首先是系统总体设计，总体设计的任务是提供信息系统的概括的解决方案，主要内容包括信息系统的功能模块的划分，功能模块之间的层次结构和关系。其次是系统详细设计，详细设计的任务是把系统总体设计的结果具体化。这个阶段的任务不是编写程序，而是设计出各个功能模块的详细规格说明，如信息系统各个模块的处理流程，系统的数据流程和数据库逻辑结构的设计。
- 3．系统实施
系统实施是新系统开发工作的最后一个阶段。所谓实施指的是将上述系统设计阶段的结果在计算机上实现，将原来纸面上的、类似于设计图式的新系统的设计方案转换成可执行的应用系统。系统设计阶段的主要任务是：按总体设计方案购置和安装计算机网络系统；建立数据库系统；程序设计与调试；整理基础数据；培训操作人员和试运行。
- 4．系统维护
系统维护是系统投入正常运行之后一件长期而又艰巨的工作。维护时期的主要任务是使系统持久地满足用户的需要。具体地说，系统维护的任务包括当系统在使用过程中发现错误时应该加以改正；当环境改变时应该修改系统以适应新的环境；当企业有新的需求时应该及时改进信息系统以满足企业的需求。每一次维护活动本质上都是一次压缩和简化了的系统定义和开发过程。
信息系统的生命周期是周而复始进行的，一个系统开发完成以后就不断地评价和积累问题，积累到一定程度就要重新进行系统分析，开始一个新的生命周期。一般来说，不管系统运行的好坏，每隔一定的时期也要进行新一轮的开发。信息系统生命周期如图所示。
另外需要注意的是，信息系统的生命周期并不等于信息系统软件的生命周期，信息系统的生命周期考查的对象包含了组成信息系统的软件和硬件，具有更多的内容。但由于信息系统的大多数功能一般是通过软件来实现的，因此，信息系统的生命周期和信息系统软件的生命周期的联系又是十分密切的。
信息系统生命周期中的安全保障[3]
信息系统的生命周期层面和保障要求之间不是相互孤立的，而是相互关联、密不可分的。图示例化地描述了它们之间的关系。
在信息系统生命周期模型中，将信息系统的整个生命周期抽象成规划组织、开发采购、实施交付、运行维护和废弃五个阶段，以及在运行维护阶段的变更产生的反馈，形成信息系统生命周期完整的闭环结构。在信息系统的生命周期中的任何时间点上，都需要综合信息系统安全保障的技术、管理、工程和人员保障要素对信息系统进行安全保障。
1)规划组织阶段。由于第三方电子支付企业的使命要求和业务要求，产生了信息系统安全保障建设和使用的需求。在此阶段，信息系统的风险及策略应加入至信息系统建设和使用的决策中，从信息系统建设的开始就应该综合考虑系统的安全保障要求，使信息系统的建设和信息系统安全保障的建设同步规划、同步实施。
2)开发采购阶段。此阶段是规划组织阶段的细化、深入和具体体现，在此阶段中，进行系统需求分析、考虑系统运行的需求、进行系统体系的设计以及相关的预算申请和项目准备等管理活动。在此阶段，应克服传统的基于具体技术或产品的片面性，要基于系统需求和风险、策略将信息系统安全保障作为一个整体，进行系统体系的设计和建设，以建立信息系统安全保障整体规划和全局视野。第三方电子支付企业可根据具体要求，对系统整体的技术、管理安全保障规划或设计进行评估，以保证对信息系统的整体规划满足第三方电子支付企业的建设要求和相关国家、行业和第三方电子支付企业的其他要求。
3)实施交付阶段。在此阶段，第三方电子支付企业可通过对承建方进行安全服务资格要求和信息安全专业人员资格要求以确保施工组织的服务能力；第三方电子支付企业还可通过信息系统安全保障的工程保障对实施施工过程进行监理和评估，最终确保所交付系统的安全性。
4)运行维护阶段。信息系统进入运行维护阶段后，对信息系统的管理、运行维护和使用人员的能力等方面进行综合保障，是信息系统得以安全正常运行的根本保证。
5)变更和反馈。信息系统投入运行后并不是一成不变的，它随着业务和需求的变更、外界环境的变更产生新的要求或增强原有的要求，重新进入信息系统的规划阶段。
6)废弃阶段。当信息系统的保障不能满足现有要求时，信息系统进入废弃阶段。
通过在信息系统生命周期的所有阶段融入信息系统安全保障概念，确保了第三方电子支付系统的持续动态安全保障。
对信息系统生命周期的支持[4]
信息系统生命周期包括五个阶段：系统规划和启动、设计开发或采购、集成实现、运行和维护、废弃。风险评估应该贯穿于信息系统生命周期的全过程之中。在设计阶段要进行风险评估以确定系统的安全目标；在建设验收阶段要进行风险评估以确定系统的安全目标达到与否；在运行维护阶段要不断进行风险评估以确定系统安全措施的有效性，确保安全保障目标始终如一得以坚持。下表描述了每个系统生命周期阶段的特征，并说明了风险评估如何对这些阶段提供支持。
| 生命周期阶段 | 阶段特征 | 来自风险评估活动的支持 |
| 阶段1——规划和启动 | 提出信息系统的目的、需求、规 模和安全要求 | 风险评估活动可用于确定信息 系统安全需求 |
| 阶段2——设计开发或 | 信息系统设计、购买、开发或 建造 | 在本阶段标识的风险可以用来 为信息系统的安全分析提供支持， 这可能会影响到系统在开发过程 中要对体系结构和设计方案进行 权衡 |
| 阶段3——集成实现 | 信息系统的安全特性应该被配 置、激活、测试并得到验证 | 风险评估可支持对系统实现效 果的评价，考察其是否能满足要 求，并考察系统所运行的环境是否 是预期设计的。有关风险的一系 列决策必须在系统运行之前做出 |
| 阶段4——运行和维护 | 信息系统开始执行其功能，一般 情况下系统要不断修改，添加硬件 和软件，或改变机构的运行规则 策略或流程等 | 当定期对系统进行重新评估时， 或者信息系统在其运行性生产环 境(例如新的系统接口)中做出重 大变更时，要对其进行风险评估 活动 |
| 阶段5——废弃 | 本阶段涉及对信息、硬件和软件的 废弃。这些活动可能包括信息的 转移、备份、丢弃、销毁以及对软硬 件进行的密级处理 | 当要废弃或替换系统组件时，要 对其进行风险评估，以确保硬件和 软件得到了适当的废弃处置，且残 留信息也恰当地进行了处理。并 且要确保系统的更新换代能以一 个安全和系统化的方式完成 |