第一章 绪论
1.1 选题背景
近年来，随着经济的持续增长以及信息技术的飞速发展，各行各业的信息化呈现出一派欣欣向荣的景象。随着企业业务的不断发展，数据越来越多，数据中心终于不堪压力。事实上，并不是所有的 IT 基础设施在设计上都能够支持计算容量和信息的爆炸性增长，很多数据中心都是高度分散的。这限制了它们快速变更、支持新技术集成、以及随需扩展为业务提供动力的能力。此时，企业往往选择构建全新的数据中心来应对这些问题，然而，在原有数据中心向新数据中心整合及迁移的过程中，可能会被下面问题困扰：
1) 如何在迁移数据中心的过程中满足“业务零影响”的需求?
2) 如何管理如此复杂的项目?
3) 如何控制迁移的风险?
4) 海量的数据迁移，大量的设备搬迁，如何保证数据安全和设备安全?
5) 如何利用数据中心迁移的机会，优化 IT 架构，提高新数据中心的服务水平?
因此新一代数据中心迁移,并不仅仅是一个单纯的物理搬迁过程,它涉及企业运行的各个方面,本文主要探讨数据中心迁移项目中的 IT 风险管理。
1.2 国内外研究现状分析
数据中心又叫服务器农场，它用于容纳计算机系统和相关的组件，如通信和存储系统，通常包括冗余的或备用的电力设备，冗余的数据通信链路以及环境控制（如空调，消防设备）和安全设备，是企业信息化的重要基础设施。在互联网泡沫期间，数据中心得到了蓬勃发展，公司需要在互联网上建立可以不间断访问的网站，而这要求具有快速和可靠的互联网连接。于是出现了许多互联网数据中心（IDC）公司，这种IDC 的建设是非常昂贵的——物理房屋、设备、训练有素的管理人员使得这些大型的数据中心成本非常高。IDC 采用了大量的新技术和手段为数据中心运行维护提供了可伸缩的能力，这些做法最后成功迁移到企业的私有数据中心里。截至 2007 年，数据中心的设计、建造和运维已经形成了非常规范的规程，如电信行业协会（TIA）等专业机构推出了被行业认可的设计标准。同时，数据中心的一些 IT 风险运行指标也被开发出来，用于评估中断对业务的影响。
与国外比较而言，中国的 IT 产业因起步较晚，所以 IT 风险管理也还处于初级阶段，在这一领域的研究远远不够。目前，在我国 IT 风险管理做的比较好的是金融机构,比如我国主要商业银行均建立起了合理的公司治理框架，制订了包含业务和 IT风险的内控制度。银行都有较完备的 IT 风险战略目标和规划，建立起 IT 风险保障体系，制订并颁布了一系列和实际业务发展水平相适应的管理制度和技术规范。而其他大部分行业的 IT 风险管理水平都不高。我国对于风险问题的研究是从风险决策开始的。1978 年机械工业出版社出版了清华大学郭仲伟教授的著作《风险分析与决策》，这本专著的出版标志着我国风险管理的开始[1]。1991 年，顾昌耀和邱苑华在《航空学报》上首次将嫡扩展到复数并且用于风险决策研究[2]。多年来，我国有关风险分析、风险决策的论著已经有一些，但是专门讨论 IT 风险管理的著作并不多。
自 1992 年美国 COSO 委员会发布《内部控制框架》（简称 COSO 报告）以来，该内部控制框架已经被世界上许多企业所采用，但理论界和实务界纷纷对内部控制框架提出一些改进建议，强调内部控制框架的建立应与企业的风险管理相结合[3]。2003 年 7月美国COSO委员会颁布了企业风险管理框架的讨论稿，并于2004年4月颁布正式稿。该讨论稿在 1992 年 COSO 的内部控制框架报告的基础上建立企业风险管理框架，将企业管理的重心由内部控制转向以风险管理为中心[4]。1992 年 COSO 将内部控制的目标定位合规经营、高效运营、财务报告真实可靠 3 个。到 2004 年，COSO 将企业风险管理目标定义为 4 个，除了内部控制的 3 个目标以外，还包括达到与企业战略相匹配的风险最优化[5]。
第二章 数据中心迁移项目特点及 IT 风险管理基本理论
对于风险，有很多定义。但是总体来说都不会脱离以下 3 个特征：风险是关乎未来的；不确定性；有损益发生[6]。IT 风险管理已成为大型公司保护企业核心竞争力的有效手段。不管是什么规模的组织，都需要有一套控制指南来有效地管理企业内外各种各样的风险，并随着业务环境的变化和新技术的发展及时更新，这样才能保证企业健康、持续地发展。有效的 IT 风险管理己成为支持企业健康发展的重要部分。企业在加快信息化的步伐中，逐渐认识到 IT 风险管理的重要性。一方面是企业自身发展的需求，另一方面是外部相关环境的要求。因此对 IT 风险的全面认识及 IT 的风险管理成为实现企业战略目标的重要组成部分。
本章首先列举了数据中心的演变历史及数据中心迁移项目的一般过程,然后简单介绍了现有 IT 风险管理理论中的基本内容:IT 风险管理过程、IT 风险管理方法及 IT风险管理程序。
第三章 数据中心迁移项目 IT 风险管理模型......................................................... 14
3.1 数据迁移项目中的 IT 风险管理模型............................................................... 14
4.1 IT 系统可用性风险评估 ............................................................. 26
4.2 IT 运营性能及绩效风险评估 ................................................................... 31
4.3 信息安全风险评估 .......................................................................... 37
4.4 合规、内部控制及 IT 治理的风险评估........................................................ 41
4.5 本章小结 ................................................................................ 46
第五章 IT 风险管理模型在数据中心迁移项目的应用..................................... 47
5.1 IT 风险管理识别阶段 ............................................................................ 47
5.2 IT 风险管理过渡阶段 ............................................................................. 48
5.3 IT 风险管理评估阶段 ..................................................................... 53
5.4 IT 风险管理实施阶段 .................................................................. 58
5.5 IT 持续审计 .............................................................. 78
5.6 本章小结 ..................................................................... 78
第六章 总结与展望
6.1 论文的主要工作
本文在对企业数据中心及数据中心迁移项目一般过程简单介绍的基础上，对 IT风险管理理论、过程及方法进行概述。对数据中心迁移项目中的 IT 风险因素行了深入研究，分析每种风险因素的概念、组成、特点以及应对方法，从而有效的识别风险，并采取应对措施。在此论述的基础上，提出数据中心迁移项目中 IT 风险管理模型和使用方法。最后，描述 IT 风险管理模型在实际数据迁移项目中的应用。本文完成的主要工作有：
1) 描述数据中心的特点及数据中心迁移项目的一般过程。
2) 对数据中心的主要 IT 风险因素进行分析，提出应对方法，并详细列举风险的评估方法及最终控制目标。
3) 提出了数据中心迁移项目的 IT 风险管理模型。在这个模型中，确保项目成功是 IT 风险管理模型的出发点及着眼点；IT 风险管理策略是 IT 风险管理总的指导方针；风险控制程序、Checklist、预案是风险控制的具体措施；持续IT 审计是 IT 风险控制水平的保证。
4) 描述 IT 审计在 IT 风险管理模型中的地位和作用。
5) 在某大型数据中心迁移项目中,应用了的文中提出的 IT 风险管理模型,从而完善了此数据中心迁移项目的 IT 风险控制体系，降低了 IT 成本,从而确保了迁移项目的成功实施。
6.2 主要结论
大型数据中心的迁移对于任何企业来说都是一项充满挑战且极具风险的工作，保证业务连续性是数据中心迁移的核心要求。同时在项目管理实践中引入 IT 风险管理的理念，进行有效的风险识别和风险优先级排序，然后采取必要的风险应对措施并制定相应的应急计划。进行 IT 风险管理的最终目标就是确保企业的业务目标，在数据中心迁移过程中，引入 IT 风险管理模型，并采取四步法实施可以显著降低 IT 风险，确保迁移目标的达成。从本文的研究分析及论述，可以得出以下几点结论：
1) 新一代数据中心迁移,并不仅仅是一个单纯的物理搬迁过程,它涉及企业运行的各个方面。
2) 合理的 IT 风险管理模型是数据中心迁移成功的重要保证。
3) 数据中心迁移过程中 IT 风险管理模型的四步实施法是最佳实践。
4) 数据中心迁移过程中 IT 风险因素主要有如下四个因素组成：可用性风险、系统性能风险、信息安全风险、合规性及内控风险。
5) IT 风险管理应该是类似于戴明循环的一个持续改进模型。IT 变化速度要快于时间规划，IT 风险管理具有适应性和连续性。从策略开始着手，然后实施合适的防范措施。
6) 基于风险的 IT 审计贯穿于数据中心迁移项目的全过程。
参考文献：
[1] 李存斌，项目风险元传递理论与应用，北京：中国水利水电出版社，2009. 2，4页
[2] 骆珣，王晓庆，项目风险评估的应用与展望[J]，现代管理科学，2006(9)
[3] The Committee of Sponsoring Organizations of the Trhttp://www.1daixie.com/dxglxlw/eadway Commission， Enterprise RiskManagement Framework， Draft, July 2003
[4] 朱荣恩，贺 欣，内部控制框架的新发展—企业风险管理框架，上海财经大学，中南财经政法大学
[5] 王晓玲，基于风险管理的内部控制建设，北京：电子工业出版社，2010. 3，55页
[6] 刘向晖，IT管理框架，北京：清华大学出版社，2009. 4 128-133页
[7] 林小村，数据中心建设与运行管理，北京：科学出版社，2010. 4
[8] 《中国电信数据中心机房电源、空调环境设计规范》 DXJS1006-2005
[9] 周志敏，纪爱华，数据中心UPS供电系统设计与故障处理，北京：电子工业出版社，2012.1
[10] 《中国电信IDC机房设计规范》 DXJS1029-2011