＜软考高项备考＞《论文专题 - 78 风险管理（10）》

10 论文-历年真题解析

10.1 2005年上半年真题

请围绕“项目的风险管理”论题，分别从以下三个方面进行论述：
1．概要叙述你参与管理过的信息系统项目（项目的背景、发起单位、目的、项目周期、交付的产品等），以及该项目在风险管理方面的情况。
2．请简要叙述你对于项目风险的认识以及项目风险管理的基本过程。
3．结合你的项目经历，概要论述信息系统项目经常面临的主要风险、产生根源和可以采取的应对措施。

10.2 2009年上半年真题

请围绕“大型信息系统项目的风险管理”论题，分别从以下三个方面进行论述：
1、结合你参与管理过的大型信息系统项目，概要叙述项目的背景（发起单位、目的、项目周期、交付产品等）以及你在其中承担的工作。
2、简要描述你承担的大型信息系统项目中可能存在的风险因素以及采取的应对措施。
3、结合你所在组织的情况，论述组织应如何实施大型信息系统项目的风险管理。

10.3 2012年上半年真题

项目同其他经济活动一样存在风险，项目管理者必须对风险实施有效的管理。项目风险管理包括风险管理计划编制、对项目风险进行识别、分析、应对和监控的过程。完全避免或消除风险，或者只享受权益而不承担风险，是不可能的。主要风险清单是一个重要的风险管理工具，它指明了项目在任何时候面临的最大风险。通过对主要风险进行追踪并建立应对措施，可以使项目经理保持较强的风险管理意识。请围绕“信息系统工程的风险管理”论题，分别从以下三个方面进行论述：
1、概要叙述你参与管理过的信息系统项目（项目的背景、发起单位、目的、项目周期、交付的产品等），你担任的工作，以及在风险管理方面承担的职责。
2、请简要论述你对项目风险的认识和项目风险管理的基本过程、主要方法、工具。
3、结合你的项目实际经历，请指出你参与管理过的信息系统项目最主要的风险是什么，并具体阐述其应对计划，包括：风险描述、出现的原因、采用的具体应对措施、方法和工具等

10.4 2013年上半年真题

大型信息系统项目具有规模大、周期长、复杂度高等特点。存在较大的风险。一旦出现问题，造成的损失更是难以预料。对大型信息系统项目进行有效的风险管理，使用合理的方法、工具。针对不同风险采取相应的防范、化解措施。及时有效地对风险进行跟踪与控制室避免造成重要损失的必要手段。
请以“大型信息系统项目的风险管理”为题，分别从以下三个方面进行论述。
1、结合你参与管理过的大型信息系统项目，概要叙述项目的背景（发起单位、目的、项目周期、交付产品等）以及你在其中承担的工作
2、结合承担的大型信息系统项目，论述应如何制定大型信息系统项目风险管理计划。
3、结合你所在组织的情况，论述在大型信息系统项目中，应如何进行风险监督与控制。

10.5 2015年上半年真题

项目是在复杂的自然和社会环境中进行的，风险管理是项目管理中非常重要的环节，每一个项目都有风险，完全避开风险或消除风险是不可能的，只有对项目风险进行认真的分析研究，并采取有效的应对措施，才能够减少和降低风险对项目的影响，达到预期的结果并实现项目预定的目标。
请以“项目风险管理”为题，分别从以下三个方面进行论述：
1、概要叙述你参与管理过的信息系统项目（项目的背景、项目的规模、发起单位、目的、项目内容、组织结构、项目周期、交付的产品等），并说明你在其中承担的工作。
2、结合项目管理实际情况并围绕以下要点论述你对项目风险管理的认识：
（1）项目中的风险，对重点风险的分析和说明。
（2）项目风险管理计划的制订和主要内容。
3、请结合论文中所提到的信息系统项目，介绍你是如何进行风险管理的（可叙述具体做法，并总结你的心得体会）

10.6 2018年下半年真题

项目风险是种不确定的事件和条件，一旦发生，对项目目标产生某种正面或负面的影响、项目风险管理的目标在于增加积极事件的概率和影响，降低项目消极事件的概率和影响。
请围绕“项目的风险管理”论题，从以下几个方面进行论述:
1.概要叙述你参与管理过的信息系统项目(项目的背景、项目规模、发起单位、目的、项目内容、组织结构、项目周期、交付的产品等)，并说明你在其中承担的工作。
2.结合项目管理实际情况并围绕以下要点论述你对信息系统项目风险管理的认识:
（1）项目风险管理的基本过程。
（2）信息系统项目中风险管理方面经常会遇到的问题和所采取的解决措施
3.结合项目实际情况说明在该项目中你是如何进行风险管理的(可叙述具体做法),并总结你的心得体会。

10.7 2019年上半年真题

项目风险是一种不确定的事件和条件，一旦发生，对项目目标产生某种正面或负面的影响。信息系统安全策略是指针对信息系统的安全风险进行有效的识别和评估后，所采取的各种措施和手段，以及建立的各种管理制度和规章等。
请以“论信息系统项目的风险管理与安全管理”为题，分别从以下三个方面进行论迷：
1、概要叙述你参与管理过的信息系统项目（项目的背景、项目规模、发起单位、目的、项目内容、组织结构、项目周期、交付的成果等），并说明你在其中承担的工作。
2、结合项目管理实际情况并围绕以下要点论述你对信息系统项目风险管理和安全管理的认识。
（1）项目风险管理和安全管理的联系区别。
（2）项目风险管理的主要过程和方法。
（3）请解释适度安全、木桶效应这两个常见的安全管理中的概念，并说明安全与应用之间的关系。
3 请结合论文中所提到的信息系统项目，介绍在该项目中是如何进行风险管理和安全管理的（可叙述具体做法），并总结你的心得体会。

10.8 真题解析

适度安全的观点:怎样才是适度安全，需要运用风险评估的方法才能得出结论。风险评估围绕威胁、资产、脆弱性、安全措施展开分析。在评估时不仅要考虑现有环境，还要考虑近期和远期发展变化趋势。同时，还要评估控制风险所需的安全代价。在此基础上对风险和代价进行均衡，才能确定相应的安全策略。安全风险和安全代价两者之间的关系，可用图表示。

 从图中不难看出，安全代价低，显然安全风险肯定很大；反之，安全风险要降得很低，安全的代价也就很大。这个代价不光指资金投入，包括系统性能下降、效率低下等引出的“代价”。一个好的信息安全保障系统的标志就是有效控制两者的“平衡点”，既能保证安全风险的有效控制，又使安全的代价可以接受。这个平衡点对于不同行业、不同单位、不同时间点都不一样，需要实现“动态”控制。三种不同架构的信息安全保障系统和网络信息安全的等级保护等的理念和建设方案，都是适度安全的观点的体现。

木桶效应的观点:是将整个信息系统比作一个木桶，其安全水平是由构成木桶的最
短的那块木板决定的。同时，保护信息系统的各个安全要素是同等重要的，各方面要
素均不容忽视。但是要强调的是，安全管理在所有要素中具有极其重要的地位。有人
将安全管理的漏洞比作存在于木桶桶底的漏洞。如果安全管理有漏洞，其他安全措施
即使投入再大也无济于事。

10.9 说明

1.请解释适度安全、木桶效应这两个常见的安全管理中的概念，并说明安全与应用之间的关系。（2019年上）
由于系统中保存执纪审查案件有关数据信息，其安全性要求相当高，如果系统在安全性设计上不够完善，那带来的风险是想当大的。省纪委领导相当重视，一再要求确保安全性。在项目建设中，我将风险管理和安全管理列为本次项目成功实施的关键。因此在项目初期，在制定风险管理计划的同时，同时也制定适度安全策略，保障了系统的安全、高效、可靠的运行，最终项目按预期顺利完成，项目组得到了公司与业主方的一致好评。
在安全管理方面严格按照系统审计保护级实施了粒度更细的自主访问控制，通过登录规程、审计安全性相关事件和隔离资源，使用户对自己的行为负责。因为信息系统就和一个木桶一样，其安全水平是由构成木桶最短的那快木板决定的，因此我加强设备安全、数据安全、内容安全、行为安全管理，减少“木桶效应”。会议中对其它风险做好应对计划，做好应急储备和管理储备。会后把风险应对计划上报高层，经其批准，随后更新相关的项目管理计划和项目文件。
为减少“木桶效应”严格执行系统审计保护级的规定，进行系统安全再评估、日志分析等控制方法，同时对重点监控日志采取了动态评估及定期评审，我以周和里程碑为单位，定期对系统安全日志实行再评估、审计。每周的项目例会中将系统安全管理作为单独一个议程，对系统威胁应对措施实施的有效性以及当前系统的状态进行检查。如果发现问题，团队成员集体讨论，对应对措施进行纠偏。在该项目的风险和安全管理中，好的安全管理可以减少或减轻风险带来的危害。严格按照安全管理制度执行相关安全工作，是保证信息系统安全的有利保障。同时如果不注意安全管理的相关工作，就会给项目带来更多的风险，因此加强设备安全、数据安全、内容安全、行为安全管理是十分必要的，减少了“木桶效应”，提高大家的安全意识。

10.10 其他域的关系

1.风险管理与干系人管理的关系
在风险管理计划中，有干系人对于风险的承受能力，不同的干系人对于风险的承受能力是不一样的，所以干系人的风险承受力直接影响着风险管理计划的制定，所以规划风险管理过程中需要干系人登记册作为输入。除了风险质量也是一样的，规划质量管理过程也是需要用到干系人登记册的，因为我们需要知道干系人对于质量的关注程度和对质量的影响力。
风险管理和质量管理一样需要全员参与的一个管理过程，所以在识别风险的时候，需要尽可能多的让项目干系人参与进来一起识别，于是风险识别过程的输入中也有了干系人登记册。
2.风险管理与进度成本之间的关系
在定量风险分析这个过程中，使用了成本管理计划和进度管理计划作为输入。成本管理计划和进度管理计划都为建立和管理风险储备提供了指南。
在识别风险过程中，来自进度管理的有进度管理计划，还有活动成本估算和活动持续时间的估算。对活动成本进行审查，估算的成本是否足以可以完成某项活动；对活动时间进行审查，有利于判断应急储备时间相关系的风险；
3.风险管理与范围管理之间的关系
在识别风险的过程中，使用到了范围基准；在范围说明书中包含了假设条件，应该把假设条件中的不确定性作为项目风险的潜在原因加以评估，同时WBS（范围基准）也是风险识别过程的关键输入，因为它方便从宏观和微观两个层面来认识潜在风险范围蔓延，质量镀金，需求不明确等都是来自范围管理的风险项目；