第 4 章　信息系统管理

【为什么选 C】五段论是管理基础、规划和组织、设计和实施、运维和服务、优化和持续改进，属于按信息系统生命周期展开的管理方法体系；风险管理是项目管理十大知识领域之一，不属于这套方法划分，属于偷换体系。

【A 错在哪】A 规划和组织是五段论的第二环（制定 IT 战略规划、建立组织保障），题干问「不属于」，A 反而是正确成员，不能选。

【B 错在哪】B 设计和实施对应系统建设阶段（概要 / 详细设计、开发、测试、转换上线），是五段论的第三环，本身合法。

【D 错在哪】D 运维和服务是系统建成后持续时间最长阶段的管理方法，同样是五段论的正式成员。

【为什么选 A】战略三角（信息系统战略三角）指业务战略、组织战略、信息系统战略三个顶点构成相互影响、需要保持对齐的三角形：业务战略驱动信息系统战略，信息系统战略支撑业务战略，组织战略在中间起到承接作用。

【B 错在哪】B 「市场战略」「技术战略」都不是三角的正式成员，且丢掉了作为正式成员的组织战略与信息系统战略，属于凭常识拼凑的干扰项。

【C 错在哪】C 用「数据战略」顶替了「组织战略」。数据战略是近年的热点词，命题人借热点替换正式成员，考查的是对原概念的精准记忆。

【D 错在哪】D 「流程战略」「技术战略」同样不属于三角成员，且缺少业务战略——三角中不能没有业务战略这个驱动源。

【为什么选 B】战略三角的内核就是「业务驱动、战略对齐」：业务战略是驱动源，信息系统战略依据业务战略制定并支撑其实现；同时三者相互影响，任何一角调整都应检查其余两角的对齐情况。

【A 错在哪】A 把驱动方向整个颠倒——这是「IT 决定论」，恰是信息化建设失败的典型病因，教材明确反对。

【C 错在哪】C 「相互独立、互不影响」否定了三者需要动态对齐的关系；若真的独立制定，战略三角就失去了存在意义。

【D 错在哪】D 「脱离业务战略单独制定」是绝对化的错误表述，且「技术足够先进就万事大吉」属于典型的唯技术论陷阱。

【为什么选 B】规划和组织是五段论的起点：规划即制定与业务战略对齐的 IT 战略规划（评估现状、明确路线与资源），组织即建立 IT 组织机构、职责分工与制度保障。题干问「首先」，指向的正是这一环。

【A 错在哪】A 没有规划就买设备，属于典型的「先买马后画路」，跳过了战略对齐，是案例题中常见的反面做法。

【C 错在哪】C 编码属于「设计和实施」环节的活动，放在「规划和组织」之前属于阶段错位。

【D 错在哪】D 等保测评属于信息安全管理环节的工作，且测评应在定级、建设之后进行，更不是规划阶段的首要任务。

【为什么选 A】DMAIC = Define（定义问题与目标）→ Measure（测量现状基线）→ Analyze（分析根因）→ Improve（实施改进）→ Control（控制成果防止回退），口诀「定测析改控」。

【B 错在哪】B 把「分析」提到「测量」之前——没有测量数据，分析就无从下手，先测后析是六西格玛「用数据说话」的基本逻辑。

【C 错在哪】C 把「控制」放在「改进」之前——控制的意义在于固化改进成果，必须位于改进之后收尾。

【D 错在哪】D 「设计 → 验证」是 DMADV 的后段（定测析设验），此处被嫁接进 DMAIC，属于两条路线的混合干扰。

【为什么选 B】题干两个关键信号：「彻底抛弃现有流程」「按全新理念设计」——过程不是被改进而是被重新设计，对应的路线是 DMADV（定义、测量、分析、设计、验证），后两步落在「设计新方案 + 验证有效性」上。

【A 错在哪】A DMAIC 适用于「过程已存在但达不到要求」的改进场景；题干明确放弃现有过程，再用 DMAIC 改进一个被抛弃的对象，前提就不成立。

【C 错在哪】C PDCA 是通用的质量改进循环，提供的是节奏与哲学，并非六西格玛的路线选择，题干问的是六西格玛方法，答非所问。

【D 错在哪】D 「无实质区别」是绝对化表述——DMAIC 面向现有过程改进，DMADV 面向新过程设计，区别正是本题考点本身。

【为什么选 C】处理环节是 PDCA 闭环的关键：一是把证明有效的做法总结为标准、固化下来；二是把未能解决的问题转入下一个 PDCA 循环继续解决——这正是「循环上升」的含义。

【A 错在哪】A 「确定目标、制订计划」是计划（Plan）环节的任务，被挪到了处理环节。

【B 错在哪】B 「按计划执行」是执行（Do）环节的任务，特征词「按计划」本身就是提示。

【D 错在哪】D 「对照目标检查效果」是检查（Check）环节的任务，四个选项恰好各占一个阶段，考的就是对号入座。

【为什么选 C】DCMM 的八个能力域是：数据战略、数据治理、数据架构、数据应用、数据安全、数据质量、数据标准、数据生存周期（口诀「战治架、用安质、标生」）。「数据资产」虽然常见于行业话语，但不是 DCMM 的能力域名目。

【A 错在哪】A 数据战略是八个能力域之首，负责与组织战略对齐、明确数据管理方向，是正式成员。

【B 错在哪】B 数据生存周期域管理数据从产生到销毁的全过程，是八个能力域的收官一员。

【D 错在哪】D 数据质量域负责质量要求、检查与提升，同样是正式成员。

【为什么选 D】DCMM 五级为：初始级、受管理级、稳健级、量化管理级、优化级。「已定义级」出自 CMM/CMMI 的等级序列，不属于 DCMM。

【A 错在哪】A 受管理级是 DCMM 第二级，指数据管理已在项目 / 局部层面得到管理，是正式等级。

【B 错在哪】B 稳健级是 DCMM 第三级，指数据管理在组织层面制度化、规范化，是正式等级。

【C 错在哪】C 量化管理级是 DCMM 第四级，强调用量化指标度量与预测数据管理绩效，是正式等级。

【为什么选 A】ITSM 由人员、过程、技术三大组件构成：人员解决「谁来管」，过程解决「按什么流程管」，技术解决「用什么管」。三者组合才能支撑以流程为导向、以客户为中心的服务管理。

【B 错在哪】B 用「资源」替换了「过程」。人员、资源、技术、过程是 ITSS 对运维服务能力要素的四元归纳，与 ITSM 三大组件不是同一组概念，属于标准与标准之间的张冠李戴。

【C 错在哪】C 「工具」只是「技术」的具象，且丢掉了人员组件——没有人的服务管理无从谈起。

【D 错在哪】D 「制度、平台」是日常话语，不是教材对 ITSM 组件的表述，属于凭感觉拼凑的干扰项。

【为什么选 A】ITSS 生命周期五阶段口诀「规部运改监」：先规划设计（设计服务方案），再部署实施（建设落地），进入服务运营（日常提供服务），运营中持续改进（质量螺旋上升），全过程接受监督管理（保证可控合规）。

【B 错在哪】B 把「部署实施」提到「规划设计」之前——未设计就部署，顺序颠倒；且把「持续改进」放到末尾当收口，破坏了「改进伴随运营、监督贯穿全程」的逻辑。

【C 错在哪】C 「服务运营」先于「部署实施」出现——服务尚未部署建成，谈不上运营。

【D 错在哪】D 整体倒序排列，把运营放最前、规划放倒数第二，与生命周期的时间方向完全相反。

【为什么选 C】定级＝「侵害客体 × 侵害程度」查表：客体是「社会秩序和公共利益」，程度是「严重损害」，交叉对应第三级。（第三级的另一路径是：对国家安全造成损害。）

【A 错在哪】A 第一级对应的客体是公民、法人等的合法权益且程度仅为一般「损害」，本题客体已上升到社会秩序、公共利益，量级完全不够。

【B 错在哪】B 第二级对公共利益只到「损害」，或对合法权益「严重损害」；本题是公共利益「严重损害」，恰好高出一档，是命题人设置的最险干扰项。

【D 错在哪】D 第四级要求公共利益「特别严重损害」或国家安全「严重损害」，本题程度仅为「严重损害」且未涉及国家安全，达不到第四级。

【为什么选 C】「国家安全＋特别严重损害」是定级表的最高格，对应第五级。这正是口诀「五访」所指：国家安全遭受特别严重损害的最高防护等级。

【A 错在哪】A 国家安全「损害」对应第三级；只有「严重损害」才是第四级。此项把程度提高了一档，是「只看客体不看程度」的典型错误。

【B 错在哪】B 社会秩序公共利益「特别严重损害」对应第四级，不是第三级——第三级对该客体只要求「严重损害」。

【D 错在哪】D 合法权益「严重损害」仅对应第二级；合法权益无论损害多严重，都不会因程度升级而直接跳到第三级——第三级的门槛是客体升到社会秩序 / 公共利益或国家安全。

【为什么选 C】可用性指授权用户在需要时能够访问和使用信息与服务。机房断电导致客户「想用却用不了」，是可用性被破坏的典型场景——保障手段是冗余供电、备份、容灾。

【A 错在哪】A 保密性关注信息是否被未授权者获取（泄露）；题干没有出现数据泄露情节，客户数据并未外泄。

【B 错在哪】B 完整性关注信息是否被未授权篡改而失真；题干是「用不了」而非「数据不对」，场景对不上。

【D 错在哪】D 不可抵赖性（抗抵赖性）关注行为发生后能否否认，与本题的服务中断无关，且不属于三要素本身。

【为什么选 B】完整性要求信息保持准确、一致，不被未授权篡改。防篡改机制的设计目标正是「改不了、改了必留痕」，属于典型的完整性保障措施；数字签名、校验和同属此类。

【A 错在哪】A 保密性靠加密、访问控制等手段防止未授权获取；日志防篡改并不以「别人看不到」为目标。

【C 错在哪】C 可用性关注「需要时能用得上」，对应冗余、备份、容灾类措施，与防篡改机制的指向不同。

【D 错在哪】D 经济性是第 1 章信息的质量属性之一，不属于信息安全管理三要素，属于跨章节概念混入。