信息化系统需求分析报告建设实施方案模板Word文档下载推荐.docx
《信息化系统需求分析报告建设实施方案模板Word文档下载推荐.docx》由会员分享，可在线阅读，更多相关《信息化系统需求分析报告建设实施方案模板Word文档下载推荐.docx（35页珍藏版）》请在冰豆网上搜索。
《软件维护指南》（GB/T14079-93）
《信息处理系统计算机系统配置图符号及约定》（GB/T14085-93ISO8790-1987）
《软件支持环境》（GB/T15853-1995）
《计算机信息系统安全保护等级划分准则》 （GB/T17859-1999）
《软件开发规范》（ISO9001-2000）
《计算机软件测试规范》GB/T15532-2008
一.5建设内容
第二章现状及需求分析
二.1现状
二.2需求分析
二.2.1功能需求
二.2.2非功能需求分析
二.2.2.1性能需求
二.2.2.2应用平台需求
二.2.2.3用户角色需求
二.2.2.4易用性需求
二.2.2.5可靠性要求
1、在连续正常负荷运行过程中，平台不会出现响应性能和响应能力下降、资源占用显著增加等现象；
2、随着用户数的增长及功能应用的增长，软件系统随硬件性能的调整能保持相对的稳定性。
3、故障时间：
平台提供7×
24小时的连续运行，平均年故障时间：
＜3天，平均故障修复时间＜1天。
关键内容实时恢复，非关键内容及时恢复。
二.2.2.6安全性需求
本项目所建设的系统需要做信息安全等级保护测评并取得测评报告，满足二级等保要求。
二.2.2.7可维护性需求
本项目应充分考虑系统软硬件及网络运行的实际情况，在项目设计中着重注意系统的可维护性；
尽量采用易于维护的系统；
应用软件安装应简单、易于操作，提供远程维护方案。
系统数据维护应方便，提供数据备份及数据恢复机制，保障数据备份和恢复快速简单；
系统软件配置体现自动化，尽量避免复杂的平台配置文件。
系统维护人员应具有专业的计算机应用领域知识。
二.2.2.8对培训的需求
本项目的承建方需制定完善的培训计划表，对软件实施过程的人员进行培训，以及对项目交付后的使用者进行培训。
1、实施培训：
在软件系统实施阶段保证至少2名客户技术人员在场，进行实施环节的培训，包括平台的基本管理、使用、维护等相关知识。
2、使用培训：
软件平台服务调试完成后，选派高级培训师对项目单位有关运行维护人员、使用人员进行现场集中培训和远程培训，培训形式为课堂讲授、实际操作等多种形式。
培训内容包括平台的使用、维护等。
二.3数据需求描述
二.3.1数据来源
本项目的数据来源主要包括四个方面：
1、可上网公开数据；
2、流转数据；
二.3.2数据存储要求
本项目应将所有的数据存储在云服务器中，实现数据的集中存储、统一管理，满足本项目所需的数据存储要求。
二.3.3数据安全要求
数据安全管理问题，是数据面临的最大风险。
虽然将大量数据集中存储，方便了数据分析和处理，但由于安全管理不当所造成的数据丢失和损坏，则将引发毁灭性的灾难。
由于新技术的产生和发展，对隐私权的侵犯已经不再需要物理的、强制性的侵入，而是以更加微妙的方式广泛衍生，由此所引发的数据风险和隐私风险，也将更为严重。
1、数据存储安全：
通过规划和布局数据安全存储和数据备份防护措施，协同技术的发展，加大安全防护投入，实现数据系统集中处理业务数据的安全保护和备份存储。
2、数据传输安全：
对于数据的访问进行身份认证控制策略，数据加密进行保密通信、通信安全服务接口策略等。
3、个人隐私信息的保护：
必须从技术和法规层面上保障隐私安全，完善用户个人信息的保障体系。
4、业务系统数据安全：
充分保证业务系统、管理系统、外部信息、统计分析系统、数据存储系统等应用系统的数据安全。
二.4其他服务需求
二.4.1项目实施需求
二.4.1.1项目范围与进度要求
按照建设内容确定的项目范围，实施平台系统的开发和运行保障服务。
按照项目的总体进度安排和具体里程碑进度合理安排实施，按期按质完成项目建设目标。
二.4.1.2项目实施队伍要求
项目实施队伍要覆盖项目管理、需求分析、系统设计、软件系统开发、软件测试、部署实施、运维、商务等，确保项目按期按质完成。
二.4.2项目交付物要求
项目交付物包括但不限于软件系统（含软件源码、数据库）、技术文档、项目验收报告、其他可交付产品。
技术文档包括所有软件产品的安装手册、使用手册和维护手册，完整的设备参数表，系统测试报告和验收报告。
技术人员可以通过这些技术文档作为日常工作使用手册，及时查找技术信息，独立的管理和维护系统。
交付物需要满足用户对项目产品或服务的需求，合法，不侵犯任何第三方知识产权的有关资料、信息。
交付物应符合国家有关安全、环保、卫生的规定。
二.4.3项目质量保证和风险控制要求
1、项目质量保证
（1）事前：
项目组负责项目质保方案的制定与实施，在项目开始前，对项目各个进度环节的过程、交付物进行质量审核和质控标准的设计预估。
（2）事中：
在项目进展阶段，定期对项目进度及成果进行质控检查，发现问题并提出解决方案，跟踪解决进度，对里程碑的成果进行重点质控。
（3）事后：
在质量保证期内，如果货物的质量或规格与合同不符，或证实交付物是有缺陷的，包括潜在的缺陷或使用不符合要求的内容等，承建方需提出补救措施或解决方案。
2、项目风险控制
项目组应建立风险控制方案，针对软件系统开发、实施、项目整体进度、后期培训、运维过程中可能出现的所有风险进行预案和措施控制，将项目风险控制在合理范围。
二.4.4项目验收要求
文档验收：
在项目实施期间，编写各类技术文档，及时提交项目单位；
在项目完成时将全部技术文档汇集成册交付给项目单位进行档案验收，另外需同时提供信息安全二级等保测评报告。
项目验收：
经过系统试运行，试运行期系统正常运行1个月（30天）后提出系统终验书面申请。
验收标准按照合同附件的技术方案进行。
终验前，承建方需提供项目所有技术文档、商务文档及过程管理文档，在项目单位认可后进行终验。
二.4.5保密义务需求
在本项目建设过程中，承建方对所获得的建设方的全部形式和内容的信息、资料、数据承担保密义务。
不得在本项目目的以外使用上述信息、资料，并不得向任何第三方披露、许可使用。
建设方的资料包括但不限于以下，由建设方向承建方通过口头、书面、电子或其他方式提供的关于技术和平台及其他方面的一切数据、报告、信息、预测和记录等内容：
1、建设方的机构设置和运行机制；
2、建设方的电子设备及其它辅助产品、安全产品的型号、规格、数量、配置、运行状态、日志等资料；
3、平台名称、功能、业务类型、平台测试及试运行期间的资料等信息；
4、平台在运行过程中形成的各类数据信息。
二.4.6售后服务与技术支持需求
1、为确保系统的正常运行，承建方制定详细的售后服务和技术支持方案。
2、售后服务及技术支持需求的时间为365天*24小时，需设立固定的售后联系人，充分满足项目单位的需要。
3、对故障的相应时间要及时，时限要求：
电话响应时限
≤5分钟
到达现场时限
≤1小时
设备故障恢复时限
≤2小时
全网重大故障排除时限
≤4小时
第三章总体设计
三.1设计思想与建设原则
1.规范性
参照执行《电子政务系统总体设计要求》《电子政务业务流程设计方法通用规范》《政府网站发展指引》等国际国内标准规范，结合政府网站绩效评估要求进行网站系统开发设计。
2.先进性
在设计思想、系统构架、采用技术和选用平台上有一定的先进性、前瞻性和扩充性，并考虑一定时期内业务的增长和政务办公的变化趋势。
3.易用性
网站系统应具备较好的管理操作界面，能方便管理者进行权限管理、应用配置等日常维护，为用户提供良好的访问体验，方便社会公众和企业获取政府信息、互动交流和在线办事。
4.安全性
按照国家信息安全等级保护二级要求进行规划、设计、建设、实施和运维，着重从物理安全、网络安全、应用安全、主机安全、数据安全、个人信息安全等方面进行强化，确保平台安全。
三.2总体架构设计
三.2.1业务功能架构
三.2.2总体架构
系统建设主要分为5个逻辑层次：
基础设施层、数据层、支持层、应用层、展示层，信息安全体系以及运营保障体系为系统运行提供安全策略和运营规范等。
基础设施层：
基础设施层有系统网络、服务器系统、存储备份系统等，为系统软件提供运行环境，本次项目建设的基础设施层依托政务云。
数据层：
数据层有MySQL关系数据。
系统基础数据、PC和移动客户端采集上来的数据以及加工处理的数据保存MySQL关系数据库中。
支持层：
支撑层：
支撑层是一系列软件组件的集合，它们相互协作完成各种应用功能和第三方接口服务功能，为系统运行提供直接的服务。
应用层：
应用层是系统的核心服务层，系统核心功能模块都处于应用层。
展示层：
展示层主要对业务信息、业务数据以及其他需要呈现的内容进行综合展示，为用户提供快速查阅的服务。
三.2.3技术架构
数据采集：
。
主要包括把原始数据传输到系统和把加工后的数据加载到数据库中。
包括客户端采集、网络传输、接口对接、数据库对接等。
数据存储：
存储加工，管理汇总后的数据，支撑数据分析和数据挖掘能力。
包括关系型数据库、内存数据库等。
数据处理：
负责数据的预处理、实时计算、离线计算，以及通过数据挖掘、数据可视化、消息服务总线等技术为上层应用提供技术支持。
展现：
通过Http、URL页面、Web等技术的综合利用，实现上层应用的展现
三.2.4网络架构
本平台建设在云计算平台，服务器及网络通道由政务云计算平台提供，公众（企业、个人、农业农村局工作人员等）通过互联网访问本平台。
三.2.5稳定性设计
应用系统满足7×
24小时连续不间断稳定工作，整个系统具有负载均衡功能，不存在性能瓶颈。
在连续正常负荷运行过程中，系统不存在响应性能和响应能力下降、资源占用显著增加等现象。
系统间数据交换不影响业务系统运行。
随着用户数的增长及功能应用的增长，软件系统随硬件性能的调整而保持相对的稳定性。
故障时间：
系统提供7×
三.2.6安全性设计
三.2.6.1程序软件安全
1、用户安全
采用有效的安全措施，对登录用户进行用户身份鉴别，对用户名和密码进行比较认证，保证登录用户为合法用户。
2、权限控制
采用相对严格的系统访问权限控制措施，确保数据安全。
通过开发应用系统访问权限控制模块，一方面确保业务数据的安全，另一方面做好权限管理。
3、其他安全措施
软件开发完成后，需要经过攻击性测试和压力测试，确保系统具有一定的抗攻击能力和访问压力，同时建议分级制定系统应急预案。
三.2.6.2软件环境安全
1、操作系统安全
要求使用正版、稳定的服务器版操作系统，每周升级系统补丁，加强对密码的分级管理措施，做到操作系统软件安全。
2、数据库软件安全
使用的数据库应采用数据分区管理的办法，对数据进行分区存储；
数据库系统的密码和权限要求严格管理，同时对数据库性能进行调优。
建议使用数据库备份软件，定期对数据库中的数据进行冷、热备份。
3、应用服务器软件安全
要求使用主流应用服务器软件，要求服务器软件安全性高、稳定性好。
4、杀毒软件安全
要求安装正版高性能杀毒软件，制定安全措施，每天升级病毒库，防止病毒感染。
三.2.6.3数据安全
1、数据库数据备份
制定数据库详细备份制度和方案，每周进行一次冷备份，每天进行一次增量备份，确保数据库数据安全。
2、应用程序数据备份
对部署于应用服务器上的程序数据和用户非数据库数据，建立定期备份制度，每周备份一次数据，保障数据安全。
三.2.6.4网络和硬件安全
设置通信网络设置审核环节，对入网用户进行安全审计，防止非法设备和用户接入，发现可疑行为及时报警提示。
三.2.6.5数据安全审计及日志
平台中增加审计功能模块，系统管理员能进行用户操作进行审计。
1）系统级审计
系统级审计主要针对系统的登入情况、用户识别号、登入尝试的日期和具体时间、退出的日期和时间、所使用的设备、登入后执行的操作等事件信息进行审查。
2）应用级审计
应用级审计主要针对的是应用程序的活动信息，如打开和关闭数据文件，读取、编辑、删除记录或字段的等特定操作，以及打印报告等。
3）用户级审计
用户级审计主要是审计用户的操作活动信息，如用户所访问的文件和资源等信息。
三.2.7可扩展性设计
1、主机网络和系统软件支持通过增加新增硬件对系统进行扩展，满足不断增加的性能要求；
2、在应用软件结构上采用分层框架设计，分别支持应用系统的横向扩展和业务系统的功能扩展；
3、系统模块化设计，可根据需要拆接、组合，系统模块及应用模块的设计开发应尽可能为后续的功能预留对外接口；
三.2.8易用性及易维护性设计
系统具有良好的易用性及人机交互界面，如：
不允许设置过多的系统插件或依靠用户自行配置终端运行环境。
整个系统易于管理，操作简单、易学、易用，便于进行系统配置，在设备、安全性、数据流量、性能等方面等得到很好的监控、管理及诊断，并且需要具备在不改变系统运行的情况下能够便捷的调整系统功能的能力。
系统考虑用户的使用习惯，以最好的操作实现最大的目标，既要尽可能拓展信息量和系统功能，又要尽可能减少击键次数和数据流转环节；
系统必须适用于当前用户的实际计算机网络环境。
兼容性：
浏览器兼容性，支持IE（8.0以上版本）、360浏览器等主流浏览器。
支持不同分辨率的自适应显示；
除特殊情况外，不使用ActiveX控件及其它任何插件；
三.2.9涉密数据的安全性设计
遵从国家保密标准BMB17-2006《涉及国家秘密的计算机信息系统分级保护技术要求》，依据《信息安全等级保护密码管理办法》、《信息安全技术信息系统通用安全技术要求》（GB/T20271-2006）、《信息安全技术网络基础安全技术要求》（GB/T20270-2006）、《信息安全技术操作系统安全技术要求》（GB/T20272-2006）、《信息安全技术服务器技术要求》等技术标准，对涉密数据的存储、访问、使用及交换等提供全面的控制管理策略。
网络隔离：
采取管理和技术相结合的方式，确保涉密计算机信息系统与外部网络的物理隔离。
数据脱敏：
指对某些敏感信息（如：
客户账号、身份证号、电话、地址、密码等）通过脱敏规则进行数据的变形，实现敏感隐私数据的可靠保护。
这样，就可以在开发、测试和其它非生产环境以及外包环境中安全地使用脱敏后的真实数据集。
安全保密产品选择：
在涉密信息系统的建设中，选用和采购国产设备；
安全保密产品应通过国家相关主管部门授权的测评机构的检测。
安全域边界防护：
划分安全域，安全域之间边界明确；
禁止高密级信息由高等级安全域流向低等级安全域。
信息安全保密技术主要包括身份认证、访问控制、审计、信息加密与电磁泄漏防护、系统安全性能检测、边界安全保护。
第四章系统功能设计
四.1业务流程设计
四.1.1主业务流程1
四.1.2主业务流程2
四.1.3主业务流程3
四.2功能模块设计
四.2.1一网：
XXX信息网功能模块设计。
四.2.2一平台：
XXX综合平台功能模块设计。
四.2.3一公众号：
XXX服务公众号功能模块设计。
第五章系统部署环境
本章描述的系统部署环境，属于基础设施，拟采用政务云提供计算环境。
建议系统资源配置不低于如下条件：
操作系统
WindowsServerEnterprice2007
内存
8G
磁盘空间
300G
CPU性能
Inter（R）Xeon（R）CPUE5-2620V22.21GHz
Web服务器
Tomcat6.0,JDK6.45（64位）
数据库
开源Mysql5.6
第六章系统安全体系设计
六.1安全体系概述
六.1.1建设目标
从系统结构角度看，安全系统设计覆盖范围包括：
系统的物理环境、网络、操作系统和数据库系统、业务应用、数据保护、运行管理等多个层面。
⏹制定符合本项目系统安全要求的信息安全规范，并据此建立覆盖整个系统的信息中心安全保障体系，包括技术、管理、审计、服务等内容。
⏹建立符合国家和国际标准的信息安全保障体系。
⏹建设符合本项目系统要求的网络信息安全保障体系。
六.1.2建设原则
1、同步建设原则
在新建改建扩建时应当同步规划和设计安全方案，投入一定比例的资金建设信息安全设施，保障信息安全与信息化建设相适应。
2、重点保护原则
根据数据信息和应用系统的重要程度和业务特点，通过划分不同安全等级的信息系统，实现不同强度的安全保护，集中资源优先保护涉及核心业务或关键信息资产的信息系统。
3、分区域、分阶段保护原则
根据不同业务的实际情况和各系统的重要程度业务特点和不同发展水平，分类分级分阶段进行实施，通过划分不同的安全区域，实现不同强度的安全保护。
4、节省投资原则
通过多种方案的设计比较，在确保安全的前提下，优先选择节省投资的方案。
5、避免重复建设原则
规划思路要考虑到前期安全建设情况和后期3-5年的发展状况，积极充分利用已有资源和部署，减少系统中的重复建设情况。
6、可扩展原则
针对所有规划方案要依照系统和网络的建设规模情况，具有可扩展性。
7、可实施性强的原则
本次规划立足于可实施的目标，针对所有安全控制措施的部署，一方面要满足安全保护，同时要与实际情况相结合。
六.1.3信息安全等级保护
建议等保级别定为二级，系统验收时需要提供专业软件安全测评机构出具的测评报告。
根据《中华人民共和国计算机信息系统安全保护条例》对信息系统受到黑客攻击后可能造成的潜在危害的信息安全等级分类标准，我们建议本系统建成后委托专业的信息安全等级保护测评机构对系统进行等级保护。
信息系统的安全保护等级分为以下五级：
第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
六.1.4政策文件
1、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发〔2003〕27号）；
2、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号，以下简称“66号文件”）；
3、《国务院办公厅关于印发<
政府信息系统安全检查办法>
的通知》（国办发〔2009〕28号）；
4、《国务院办公厅关于加强政府信息系统安全和保密管理工作的通知》（国办发〔2008〕17号）；
5、《国务院办公厅关于印发国家网络与信息安全事件应急预案的通知》（国办函〔2008〕168号）。
六.2安全体系总体架构
根据国家安全及项目自身安全要求，对系统设定安全等级，进行安全域的划分，以此为基础深入制定项目安全体系，系统安全规划要求和系统设计同步实施，系统建设过程中考虑系统安全等级保护的要求，需要满足信息安全等级保护2级标准，避免项目建好后出现重大安全隐患及整改情况，参考的整体安全架构如下图所示：
六.3安全措施
六.3.1物理安全
物理安全由云计算平台提供，不纳入本次建设内容，这里只是做描述。
六.3.1.1防火墙
防火墙能够精确识别用户、应用和内容，具备完整安全防护能力，能够全面替代传统防火墙，并具有强劲应用层处理能力的全新网络安全设备。
防火墙不但可以提供基础网络安全功能，如状态检测、VPN、抗DDoS、NAT等；
还实现了统一的应用安全防护，可以针对一个入侵行为中的各种技术手段进行统一的检测和防护，如应用扫描、漏洞利用、Web入侵、非法访问、蠕虫病毒、带宽滥用、恶意代码等。
六.3.1.2入侵检测
入侵检测技术（IntrusionDetectionSystemIDS）是一种主动保护系统免受攻击的网络安全技术。
作为防火墙的合理补充IDS能够帮助系统对付网络攻击扩展系统管理员的安全管理能力提高信息安全基础结构的完整性。
它从计算机网络系统中的若干关键点收集信息并分析这些信息。
它是防火墙之后的第二道安全防线在不影响网络性能的情况下能对网络进行检测可以防止或减轻网络威胁。
IDS为计算机系统的完整性、可信性及可用性提供积极主动的保护并在计算机系统受到危害之前进行拦截防卫。
IDS对网络的控制手段有灰名单报警、黑名单断开、通知防火墙阻断、通过SNMPTrap报警和执行自定义程序等
六.3.2网络安全
网络安全由基础设施层及云计算平台提供，不纳入本次建设内容，这里只是做描述。
六.3.2.1防病毒
在网络环境下，防范病毒问题显得尤其重要。
这有两方面的原因:
首先是网络病毒具有更大破坏力。
其次是遭到病毒破坏的网络要进行恢复非常麻烦，而且有时恢复几乎不可能。
因此采用高效的网络防病毒方法和技术是一件非常重要的事情。
网络系统大都需要从服务器和工作站两个结合方面解决防范病毒的问题。
建议安装为虚拟化环境提供了性能优化功能的网络版防病毒软件；
防病毒管理服务器可以设置统一分时的扫描、更新策略，从而避免众多虚拟机同时发起扫描；
通过虚拟化环境感知智能调度、基础镜像白名单、虚拟机之间病毒扫描结果共享等优化功能，可以减少防病毒扫描工作量，避免高资源占用任务的并发执行。
六.3.2.2网络安全审计
网络安全审计系统主要用于监视并记录网络中的各类操作，侦察系统中存在的现有和潜在的威胁，实时地综合分析出网络中发生的安全事件，包括各种外部事件和内部事件，应用关键字实时跟踪分析技术，从发起者、访问时间、访问对象、访问方法、使用频率各个角度，提供丰富的统计分析报告，帮助用户在统一管理互联网访问日志的同时，及时发现安全隐患，协助优化网络资源的使用
六.3.3主机安全
利用安全审计系统，实时对网络设备、服务器、安全设备、数据库、中间件、应用
升级会员 