16.2 信息技術規劃（MIP_ITP）

16.2.1　安全保障管理目的

組織機構應管理信息技術的規劃，以確保所使用的信息技術能充分支持組織機構的使命與業務發展戰略。
信息技術戰略規劃是組織機構謀求信息技術機遇和IT業務需求的最佳平衡所制定的針對信息技術的長期計劃。
信息體系架構是對組織機構信息系統的整體標準化、結構化的理解和描述，它規范化地描述了組織機構信息系統的整體結構。

16.2.2　MIP_ITP.1信息技術戰略計劃管理

16.2.2.1　管理保障控制組件控制

組織機構的高層管理應基于組織機構的業務發展戰略和信息技術的發展，將信息技術作為組織機構長期和短期計劃的一個綜合有機組成部分，并負責管理組織機構信息計劃的戰略規劃和規劃的實施。
組織機構的信息技術戰略計劃包括長期計劃和短期計劃，組織機構應定期執行信息技術戰略規劃的編制，要逐漸形成長期的計劃，并應定期將長期計劃地轉化成清晰并具體到短期目的的可操作計劃。

16.2.2.2　管理保障控制組件注解

組織機構的高層管理層對開發和履行組織機構的長期和短期任務目標的計劃負責。高層管理層應確保能對信息技術相關事件和事件發生的可能性進行充分的評估，并且組織機構的長期和短期計劃能正確反映這種評估結果。應該制定信息技術的長期和短期計劃以確保所使用的信息技術能同組織機構的使命和業務發展戰略相結合。
組織機構在管理其信息技術戰略計劃時，應考慮：
a) 組織機構的業務發展戰略；
b) IT如何支持業務目標的明確定義；
c) 技術解決方案和當前基礎設施的詳細清單；
d) 追蹤技術發展；
e) 適時的可行性研究和現實性檢查；
f) 現有系統的評估；
g) 在風險、進入市場的時機、質量等方面組織機構的定位；
h) 需要高層管理層給與經費等資源和檢查。
IT管理層和業務過程的所有者應負責定期開發用于實現組織機構總體使命和目標的IT長期計劃。計劃編制時應考慮向那些受IT戰略計劃影響的內外相關者搜集資料。因此管理應該實施一個長期的規劃過程，采用一種結構化的方法，建立一個標準的計劃結構。
在編制長期計劃時，IT管理層和業務過程的所有者應建立并采用一種結構化的方法，以制定出高質量的計劃，計劃中應包括什么、誰、怎樣、什么時間和為什么等基本的問題。
IT計劃的編制過程應考慮風險評估的結果，包括業務、環境、技術和人力資源的風險。在計劃編制過程中，需要考慮：組織機構的模式及其變化、地理的分布、技術改進、成本、法律法規的要求、第三方或市場的要求、規劃遠景、重建業務過程、人員、自行開發或者外包服務、數據、應用系統和技術體系結構。應清楚識別所做的選擇會帶來哪些好處。IT長期和短期計劃應將績效指標和組織機構的目標相結合。計劃本身還應參考其它的計劃，比如組織機構的質量計劃和信息風險管理計劃。
IT管理層和業務過程所有者應確保及時、準確地修改IT長期計劃的過程，以適應組織機構長期計劃的變化和IT環境的變化。管理層應建立一個開發和維護IT長期和短期計劃所需要的策略。
IT管理層和業務過程的所有者應確保IT長期計劃定期被轉換成IT短期計劃。這種短期計劃應確保在與IT長期計劃基本符合的情況下為短期計劃分配了適當的IT功能資源。對短期計劃應定期地進行再評估，當業務功能和IT環境變更時進行改進。應及時地進行可行性研究，以確保完全開始執行短期計劃。。
管理層應確保IT長期和短期計劃被充分傳達給業務過程所有者以及跨越組織機構的其他相關部門人員。
管理層應建立一個反饋流程，用來搜集和報告來自業務過程所有者和用戶關于長期和短期計劃的質量及有效性的反饋。采購的反饋應予以評估，并在將來的IT計劃編制中加以考慮。
在開發或變更戰略規劃或長期IT計劃之前，IT管理層應按照業務自動化的程度、功能性、穩定性、復雜性、成本、優勢和劣勢，評估現有信息系統，以確定現有系統支持組織機構業務需求的程度。

16.2.3　MIP_ITP.2 信息系統體系結構管理

16.2.3.1　管理保障控制組件控制

組織機構應建立和維護信息系統體系結構以支持業務要求和風險管理的要求。
組織機構應綜合考慮業務、風險要求以及信息技術、信息安全技術的發展，使用規范化的流程對組織機構的信息系統體系進行調整。

16.2.3.2　管理保障控制組件注解

信息技術體系結構是對信息系統的整體高層的規范和描述。
組織機構應首先建立或采用一個科學的信息系統技術參考模型，信息系統技術參考模型建立了一個描述和理解信息技術系統的公共詞匯表，并定義了信息技術系統通用的服務和接口集合。通過公共詞匯表和服務、接口集合的定義，幫助用戶以通用、標準化和提高互操作的方式建設、分析和描述信息技術系統。
在完成信息系統技術參考模型后，組織機構應根據所建立的信息系統技術參考模型對其信息技術系統進行規范化、標準化的描述。
組織機構應綜合考慮業務、風險要求以及信息技術、信息安全技術的發展，使用規范化的流程對組織機構的信息系統體系進行調整。
在編制組織機構的信息技術體系結構文件時，應考慮和綜合下列內容：
a) 信息技術體系結構應基于科學、規范的信息系統技術參考模型；
b) 信息技術體系結構應以業務和信息流為基礎，從信息技術的角度闡述其對業務應用、業務管理流程的支持；
c) 信息技術體系結構在技術上需要考慮：
1) 企業數據字典和數據語法規則。應確保包含組織機構數據語法規則的企業數據字典的建立以及持續的更新。
2) 應用和數據的分類和安全等級。組織機構應從法律政策等以及業務的要求出發，確定應用和數據的保護分類和安全等級。這些安全等級應描述適當的（最小的）一套安全和控制尺度，應定期進行再評估并做相應的修改。
3) 表述業務的信息模型。組織結構的信息技術體系結構應以業務為核心來組織，信息技術體系結構應根據業務來對技術進行組織。