软件风险控制计划案例

软件风险控制计划

目录1.

软件项目风险管理计划

...........................................................................................................

2

2.

风险条目表

...............................................................................................................................

2

2.1.

产品规模风险

........................................................................................................................

2

2.2.

需求风险

................................................................................................................................

2

2.3.

商业影响所带来的风险

........................................................................................................

2

2.4.

有关性风险

............................................................................................................................

3

2.5.

管理风险

................................................................................................................................

3

2.6.

技术风险

................................................................................................................................

3

2.7.

开发环境风险

........................................................................................................................

3

2.8.

人员数目及经验风险

............................................................................................................

3

3.

风险定性分析

...........................................................................................................................

4

4.

定量风险预计

...........................................................................................................................

5

5.

风险管理清单

...........................................................................................................................

5

6.

项目风险方法应对

...................................................................................................................

6

6.1.

网络环境风险和操作系统风险

............................................................................................

8

6.2.

数据存取风险

........................................................................................................................

9

6.3.

网上支付风险

........................................................................................................................

9

7.

风险储藏

...................................................................................................................................

9

8.

风险监控

...................................................................................................................................

9

1.软件项目风险管理计划本计划重要针对项目开发涉及到的风险，涉及在项目开发周期过程中可能出现的风险以及项目实施过程中外部环境的变化可能引发的风险等进行评定。在文中对所提到的风险都一一做了分析，并提出了对应的风险回避方法。由于风险是在项目开始之后才开始对项目的开发起负面的影响，因此风险分析的局限性，或是风险回避方法不得力，都很有可能造成项目开发的失败。风险分析是在事前的一种预计，凭借一定的技术手段和丰富的经验，基本能够对项目的风险做出比较精确的预计，通过谨慎的考虑提出可行的风险回避方法，是避免损失的重要环节。2.风险条目表

2.1.

产品规模风险由于采用功效点估算成本，代码行不大于50000

行，权重拟定主观，另外，功效点到代码行的转换率全凭业界经验所得产品的初定在线活跃顾客为

5000

人。软件接口涉及财务分析软件，薪酬管理软件2.2.

需求风险对在线活跃顾客缺少拟定的把握与其它部门沟通不协调分析员对业务理解不全方面需求不停变化，由于不拟定的需求造成新的市场

2.3.

商业影响所带来的风险增加了信息真伪评定成本签约安全成本增加增加消费者的验货成本增加客服成本增加交易安全的法律成本延迟交付造成成本消耗2.4.

有关性风险

财物资源有限

项目经理管理经验局限性不可抗力造成的危害

高层管理人员对项目的时间规定不合理

2.5.

管理风险

项目范畴定义不清晰

进度迟延沟通不善

2.6.

技术风险

公司其它部门人员缺少培训

数据加密技术不够安全特殊功效不能及时交付数据库过小不能满足需要避免黑客攻击技术不够

设计错误编码造成程序实现困难缺少测试计划

缺少质量跟踪2.7.

开发环境风险

所使用开发软件的质量问题

设计工具不合用

数据库各子模块对接困难设备不能准时到位

设备固定折损严重系统崩溃

备份环境不稳定

2.8.

人员数目及经验风险

人力资源有限

开发人员没有接受过正规培训

项目中有某些开发人员只能部分时间工作

开发人员不能准时到位

开发人员经验局限性根据风险条目表制订风险分析计划以下（涉及风险的定性和定量分析）。3.

风险定性分析

本项目采用概率分布法针对风险概率及后果绩效定性的进行评定类别潜在风险事件风险发生概率的定性等级风险后果影响的定性等级综合风险指数产品规模风险功效点预计不精确中轻度11产品的初始在线活跃顾客为5000人高严重5软件接口涉及财务分析软件，薪酬管理软件极高严重3需求风险对在线活跃顾客缺少拟定的把握高轻度9与其它部门沟通不协调高轻度18分析员对业务理解不全方面中轻微11需求不停变化，由于不拟定的需求造成新的市场中轻度2商业影响所带来的风险增加了信息真伪评定成本中轻微18签约安全成本增加低轻微19增加消费者的验货成本中轻度11增加客服成本高轻度9增加交易安全的法律成本低严重10延迟交付造成成本消耗中灾难性4有关性风险财物资源有限中轻度11项目经理管理经验局限性极高严重3不可抗力造成的危害低灾难性的8高层管理人员对项目的时间规定不合理极高灾难性的1风险管理项目规范定义不清晰高严重5进度迟延极高严重3沟通不善中轻度11技术风险公司其它部门人员缺少培训中轻度11数据加密技术不够安全极高灾难性1特殊功效不能及时交付中轻度11数据库过小不能满足需求低轻度11避免黑客攻击技术不够高严重5设计错误编码造成程序实现困难中严重6缺少测试计划低轻度14缺少质量跟踪高轻度9开发环境风险全部开发软件的质量问题

中严重6设计工具不合用

低轻微19数据库模块对接困难

中严重6设备不能准时到位

低严重10设备固定折损严重

低轻度14系统崩溃

低灾难性8备份环境不稳定中严重6人员数目及经验风险人力资源有限中轻度11开发人员没有接受过正规培训高轻微16项目中有某些开发人员只能部分时间工作中轻度11开发人员不能准时到位中轻度11开发人员经验局限性高严重5（1-5

是不能接受的风险；6-9

是不但愿有的风险；10-17

是有控制的接受的风险；

18-20

是不经评审即可接受的风险）4.

定量风险预计实施后，有

75%的成功率，25%的失败率。25%的概率项目有高性能的回报为800000，

75%概率亏本的回报为-100000。由此，项目成功的损益盼望值为（800000*25%-100000*75%）*75%=93750，项目失败的盼望值为-50000，则实施后的损益盼望值为93750-50000=

43750，不实施此项目计划的损益盼望值为0。能够决定实施本项目。5.风险管理清单风险类别概率影响排序项目经理管理经验局限性有关性风险98%41数据加密技术不够安全技术风险97%52需求不停变化，由于不拟定的需求造成新的市场需求风险95%53高层管理人员对项目的时间规定不合理有关性风险93%54进度迟延管理风险92%45软件接口涉及财务分析软件，薪酬管理软件产品规模风险91%56开发人员经验局限性人员数目及经验风险85%47产品的初定在线活用顾客为5000人产品规模风险80%48项目范畴定义不清晰管理风险75%49延迟交付造成成本消耗

商业影响所带来的风险60%510

6.

项目风险方法应对风险意识风险应对方法项目管理过程潜在风险事件风险发生后果应急方法防止方法产品规模风险功效点预计不精确

工期延误追加资源

加班加点产品的初定在线活跃顾客为5000人系统不稳定追加服务器资源采用大型服务器软件接口涉及财务分析软件，薪酬管理软件数据库不能共享请顾问专家优化软件接口需求

风险对在线活跃顾客缺少拟定的把握系统崩溃修改系统采用大型服务器与其它部门沟通不协调

软件不能满足业务需求立刻与部门进行沟通指定沟通管理计划分析员对业务理解不全方面系统不能满足业务需求根据部门经理规定修改让顾客确认需求报告需求不停变化，由于不拟定的需求造成新的市场项目变得没完没了提交讨论决定建立范畴变更程序商业

影响所带来的风险增加了信息真伪评定成本顾客回绝使用系统推广网站出名度增设信用评级签约安全成本增加公司诚信减少追加成本布署安全合同增加消费者的验货成本消费者紧张商品不能准时送达加派人手送货提高物流部门运输效率增加客服成本失去客户群降价方略完善客服系统增加交易安全的法律成本承当法律责任与顾客和解

提高法律意识延迟交付造成成本消耗项目进度拖期加班加点定制时间管理计划有关

性风

险财务资源有限项目不能按期完毕追加成本减少资源消耗项目经理管理经验局限性项目拖期，妨碍员工能力的发挥培训或者换人配备有经验的管理者高层管理人员对项目的时间规定不合理项目不能完毕及时沟通平时加强沟通管理

风险项目规范定义不清晰项目没完没了按照顾客规定变更事先定义清晰并获得顾客确认进度迟延项目拖期

加班加点制订详尽工作计划沟通不善项目拖期及时沟通制订详尽沟通计划

技术风险公司其它部门人员缺少培训系统功效不能完全实现一对一培训制订培训计划数据加密技术不够安全被商业间谍盗取备份

加强安全管理特殊功效不能及时交付不能满足顾客需求

追加模块

沟通机制

数据库过小不能满足

数据溢出将现有数据备份

应用较大的数据库避免黑客攻击技术不够数据丢失

数据还原提高系统安全性设计错误编码造成程序实现困难质量问题修改设计编码之迈进行设计评审缺少测试计划项目拖期，质量问题发现不了追加测试计划事先评审测试计划缺少质量跟踪质量问题及时解决问题制订质量跟踪计划开发环境风险所使用开发软件质量问题项目拖期更换开发软件选择正版软件设计工具不合用项目拖期更换开发软件选择适宜的设计工具数据库各个模块对接困难容易造成各供应商之间互相推诿和扯皮并借机增加合同价格的现象，影响项目成本转移给机房子系统供应商分工和界面进行提前界定

设备不能准时到位项目进度拖期催设备供应商提前采购或合同约束设备固定折损严重项目拖期

修改或换设备

加强设备防止性维修系统崩溃高管理规定承当损失加紧修复事先备份备份环境不稳定顾客投诉重新生成数据做好备份人员数据及经验风险人力资源有限项目拖期添加人手制订合理的时间管理计划开发人员没有接受过正规培训项目拖期增加专人开发提前培训项目中有某些开发人员只能部分时间工作项目拖期增加专人开发安排好开发人员的时间开发人员不能准时到位项目拖期增加专人开发项现在商定到位时间开发人员经验局限性项目拖期增加专人开发做好培训对电子商务系统的安全而言，风险识别的目的重要是对电子商务系统的网络环境风险、

数据存取风险和网上支付风险进行识别。电子商务风险识别最惯用的一种办法就是收集多个

曾经发生过的电子商务攻击事件（不仅局限于本公司），通过分析提取出若干特性，将其存

储到“风险”库，作为识别潜在风险的参考。

由于电子商务系统的特殊性，我们对下列影响本电子商务系统的特殊问题进行具体分析：

6.1.

网络环境风险和操作系统风险

网络服务器常遭受到黑客的攻击，个别网络中的信息系统受到攻击后无法恢复正常运

行；网络软件经常被人篡改或破坏；网络中存储或传递的数据经常被未经授权者篡改、增删、

复制或使用。

风险应对方法：大部分管理员采用安全漏洞扫描工具对整个系统进行扫描，理解系统的安全

状况，如Microsoft

Baseline

Security

Analyze.许多国产杀毒软件也提供安全测试程序：将存

在的漏洞标示出来，并提供对应的解决办法来指导顾客进行修补。扫描方式的漏洞检测工具

往往无法得到目的系统的精确信息，因此无法精确判断目的系统的安全状况。模拟攻击测试

是解决这一问题的有效办法，能够精确判断目的系统与否存在测试的漏洞。但是由于漏洞的

多样性和复杂性，现有的模拟攻击测试系统发展缓慢。

过滤保护分析全部针对受保护对象的访问，过滤恶意攻击以及可能带来不安全因素的非

法访问；安全检测保护对全部顾客的操作进行分析，制止那些超越权限的顾客操作以及可能

给操作系统带来不安全因素的顾客操作；在特殊需要的时间段内，对某一种或某些进程或线

程实施隔离，该时间段结束后解除隔离；

在软件层面上对各个进程的访问权限实施控制和

限制，以达成隔离的效果；

采用加密算法对对应的对象进行加密。6.2.

数据存取风险

由于数据存取不当所造成的风险。这种风险重要来自于公司内部。一是未经授权的人员进入系统的数据库修改、删除数据；二是公司工作人员操作失误，受其错误数据的影响而带来的风险，其成果必然是使公司效益受到损失，或者是使顾客利益受到损失。

风险应对方法：为了避免信息被窃取，应当对发送的全部信息进行加密。加密传输形式是一

种将传送的内容变成某些不规则的数据，只有通过对的的密钥才能够恢复原文的面貌。根据

密钥的特点，加密算法分为对称密钥加密算法（私钥密码体制）和非对称密钥加密算法（公

钥密码体制）。现在惯用的对称密钥加密算法有DES（Data

Encrypt