精准运维的利器：风险控制模型

导读：

前期在《承载运维成功之梦：精准运维》一文中阐述了精准运维的原理、方法和实例。所谓精准运维，就是通过一系列方法掌握服务对象所使用信息系统的特性及其所服务企业的业务特性，通过掌控信息系统运行风险、运行特点、资源调配情况和业务部门反馈的意见来优化信息系统，从而精准的预测服务要求并开展服务计划，最终实现信息系统与业务心跳同步。精准运维让运维服务的价值更得以突显，使运维服务过程更重视用户体验，使运维更加有计划性、条理性、预见性，让运维更加向运营靠拢，成为运营的一部分。而实现精准运维的第一步就是建立风控模型，这是决定精准运维成败的关键。那么，如何建立风控模型呢？很多读者对此莫衷一是。有的人甚至直接套用信息安全风险评估模型，这是以偏概全的方式，其结果往往是管中窥豹。为此，作者特将风控模型的建立方法及其运用实例摘编出来，以飨读者。

随着精准运维时代的到来，信息系统与业务的心跳同步将得以实现，运维不再局限于维护，而是能为企业创造出新的价值，将运维效能提升到一个新的高度。精准运维有别于传统运维最重要的地方在于：运维方只有对系统运行、维护中可能出现异常的精准化把握，才能做到提前防控、有效规避风险。为此，我们在系统运维中首次引入了风险防控的概念，它就像汽车4S店进行车辆维护保养一样，进行一系列检测将系统运行与维护中的隐患梳理明晰，主动采取措施消除、防患于未然，实现维护的针对性、精确性，从而利用有限的资源实现规避事故发生的目标。因此，可以说，建立风控模型是开展精准运维的关键一步。

一、风控模型及其意义

所谓风控模型，就是评价信息系统在运行和维护过程中的风险及其等级的一套标准或方法。要保持信息系统的各类风险得到完整、客观的评价，就需要一套成熟的模型来进行识别和校验。建立风控模型具有多方面意义：

Ø 风控模型是精准运维的核心，各项运维都是围绕这一核心来开展的；

Ø 将运维方、业务相关方置于同等位置，目标一致；

Ø 做好风控模型，使运维工作摆脱救火队角色，变为主动预防；

Ø 风控模型实施了信息系统与业务的匹配度分析，使系统更贴近用户及业务需求，实现心跳同步。

二、如何建立风控模型

1.风控模型框架

建立风控模型需要运维方和业务所有者共同参与，通过用户访谈、系统历史数据梳理、系统运维数据分析等等，综合各方面的信息，结合业务运行特点，建立起风险防控模型，梳理出风险清单，从而在日常运维中开展主动防控，消灭或减少各种风险事件发生的各种可能性，减少风险事件发生时造成的损失，提升企业运营效率。

风控模型的建立，从两个维度考量：横向维度从风险类型的角度进行考量；纵向维度：从企业4类主要人员角色对各类风险的关注重点进行考量。具体见下表（因篇幅的关系，这里只展示了第一类人员所关注的各类风险）：

	1.作业风险	2.业绩风险	3.政策风险	4.管理风险	5.安全风险
	1.作业风险	2.业绩风险	3.政策风险	4.管理风险	5.安全风险	高级管理人员更为关注对系统运行、维护产生了重大影响的风险，进而对企业绩效产生影响的风险。	l因内部作业流程相关事件所造成重大损失的风险，如审批/审核作业不及时等影响作业效率的风险； l因人员失误、系统故障或BUG等相关事件造成的重大的系统运行风险，如系统崩溃无法正常开展业务、操作失误造成业务损失等。	因系统运行出现重大安全事故而导致业绩严重受到影响； l 因系统运行管理不规范而导致重要数据质量严重下降，进而导致业绩严重受到影响； l 因系统运行管理不到位而导致核心信息泄露或丢失，进而导致业绩严重受到影响。	l 由对某些政策要求评估不足而对系统、业务产生了重大影响而带来的风险； l由系统使用、业务运作过程中的某些行为造成违反了相应的政策、要求，进而使系统运行、维护产生重大偏差的风险； l对政策要求理解不到位、不全面而使系统运行、维护产生重大偏差的风险。	l系统运行与维护制度不完善，导致出现运行与维护方面问题，进而严重影响业务的风险； l由管理运作过程中因宣贯不到位、管理不到位等导致效率或效果严重下降的风险，如政策要求落实不到位、供应商管理疏忽等。	l系统运行、业务开展等可能存在的重大人员安全、设备安全风险，如全部或关键设备损坏； l系统运行、业务开展等可能存在的重大信息安全风险、重大网络安全、环境安全风险，如传输过程中致重要数据丢失、泄露等； l因对系统运行、业务开展等安全制度不重视，缺少完善的安全管理措施导致的安全风险。
中层管理人员	……	……	……	……	……
维护人员	……	……	……	……	……
作业人员	……	……	……	……	……