数据管理能力成熟度模型(DCMM)将组织的管理成熟度划分为5个等级，每个级别中数据的重要..

免费智能真题库 > 历年试卷 > 信息系统项目管理师 > 2023年上半年信息系统项目管理师上午试卷综合知识

第8题

知识点： CMM 管理能力规范化能力成熟度模型数据管理

关键词： CMM 能力成熟度模型数据

数据管理能力成熟度模型(DCMM)将组织的管理成熟度划分为5个等级，每个级别中数据的重要程度会有所不同，从()开始强调数据管理的规范化，数据被当做实现组织绩效目标的重要资产。

A. 量化管理级

B. 稳健级

C. 优化级

D. 受管理级


知识点讲解
· CMM · 管理能力 · 规范化 · 能力成熟度模型 · 数据管理

CMM

CMM模型描述和分析了软件过程能力的发展程度，确立了一个软件过程成熟程度的分级标准。

（1）初始级：软件过程的特点是无秩序的，有时甚至是混乱的。软件过程定义几乎处于无章法和无步骤可循的状态，软件产品所取得的成功往往依赖于极个别人的努力和机遇。初始级的软件过程是未加定义的随意过程，项目的执行是随意甚至是混乱的。也许，有些企业制定了一些软件工程规范，但若这些规范未能覆盖基本的关键过程要求，且执行时没有政策、资源等方面的保证，那么它仍然被视为初始级。

（2）可重复级：已经建立了基本的项目管理过程，可用于对成本、进度和功能特性进行跟踪。对类似的应用项目，有章可循并能重复以往所取得的成功。焦点集中在软件管理过程上。一个可管理的过程则是一个可重复的过程，一个可重复的过程则能逐渐演化和成熟。从管理角度可以看到一个按计划执行的且阶段可控的软件开发过程。

（3）已定义级：用于管理方面和工程方面的软件过程均已文档化、标准化，并形成整个软件组织的标准软件过程。全部项目均采用与实际情况相吻合的、适当修改后的标准软件过程来进行操作。它要求制定企业范围的工程化标准，而且无论是管理还是工程开发都需要一套文档化的标准，并将这些标准集成到企业软件开发标准过程中去。所有开发的项目需根据这个标准过程，剪裁出项目适宜的过程，并执行这些过程。过程的剪裁不是随意的，在使用前需经过企业有关人员的批准。

（4）已管理级：软件过程和产品质量有详细的度量标准。软件过程和产品质量得到了定量的认识和控制。已管理级的管理是量化的管理。所有过程需建立相应的度量方式，所有产品的质量（包括工作产品和提交给用户的产品）需有明确的度量指标。这些度量应是详尽的，且可用于理解和控制软件过程和产品，量化控制将使软件开发真正变成为一个工业生产活动。

（5）优化级：通过对来自过程、新概念和新技术等方面的各种有用信息的定量分析，能够不断地、持续地进行过程改进。如果一个企业达到了这一级，表明该企业能够根据实际的项目性质、技术等因素，不断调整软件生产过程以求达到最佳。

在CMM中，每个成熟度等级（第一级除外）规定了不同的关键过程域（Key Process Area，KPA），一个软件组织如果希望达到某一个成熟度级别，就必须完全满足关键过程域所规定的要求，即满足关键过程域的目标。每个级别对应的关键过程域见下表。

关键过程域的分类

管理能力

.已建立完备的企业质量管理体系，通过国家认可的第三方认证机构认证并有效运行一年以上。

.已建立完备的客户服务体系，配置专门的机构和人员，能及时、有效地为客户提供优质服务。

.已建成完善的企业信息管理系统并能有效运行。

.企业的主要负责人应具有5年以上从事电子信息技术领域企业管理经历，主要技术负责人应获得电子信息类高级职称且从事系统集成技术工作不少于5年，财务负责人应具有财务系列中级以上职称。

规范化

关系数据库设计的方法之一就是设计满足适当范式的模式，通常可以通过判断分解后的模式达到几范式来评价模式规范化的程度。范式有：1NF、2NF、3NF、BCNF、4NF和5NF，其中1NF级别最低。这几种范式之间

成立。

通过分解，可以将一个低一级范式的关系模式转换成若干个高一级范式的关系模式，这种过程叫作规范化。下面将给出各个范式的定义。

1NF（第一范式）

【定义7.10】若关系模式R的每一个分量是不可再分的数据项，则关系模式R属于第一范式。记为R∈1NF。

例如，供应者和它所提供的零件信息，关系模式FIRST和函数依赖集F如下：

FIRST（Sno，Sname，Status，City，Pno，Qty）

F=｛Sno→Sname，Sno→Status，Status→City，（Sno，Pno）→Qty｝

对具体的关系FIRST如下表所示。从下表中可以看出，每一个分量都是不可再分的数据项，所以是1NF的。但是，1NF存在4个问题：

FIRST

（1）冗余度大。例如每个供应者的Sno、Sname、Status、City要与其供应的零件的种类一样多。

（2）引起修改操作的不一致性。例如供应者S1从“天津”搬到“上海”，若不注意，会使一些数据被修改，另一些数据未被修改，导致数据修改的不一致性。

（3）插入异常。关系模式FRIST的主码为Sno、Pno，按照关系模式实体完整性规定主码不能取空值或部分取空值。这样，当某个供应者的某些信息未提供时（如Pno），则不能进行插入操作，这就是所谓的插入异常。

（4）删除异常。若供应商S4的P2零件销售完了，并且以后不再销售P2零件，那么应删除该元组。这样，在基本关系FIRST找不到S4，可S4又是客观存在的。

正因为上述4个原因，所以要对模式进行分解，并引入了2NF。

2NF（第二范式）

【定义7.11】若关系模式R∈1NF，且每一个非主属性完全依赖于码，则关系模式R∈2NF。

换句话说，当1NF消除了非主属性对码的部分函数依赖，则称为2NF。

例如，FIRST关系中的码是Sno、Pno，而Sno→Status，因此非主属性Status部分函数依赖于码，故非2NF的。

若此时，将FIRST关系分解为：

FIRST₁（Sno，Sname，Status，City）∈ 2NF

FIRST₂（Sno，Pno，Qty）∈2NF

因为分解后的关系模式FIRST1的码为Sno，非主属性Sname、Status、City完全依赖于码Sno，所以属于2NF；关系模式FIRST₂的码为Sno、Pno，非主属性Qty完全依赖于码，所以也属于2NF。

3NF（第三范式）

【定义7.12】若关系模式R（U，F）中不存在这样的码X，属性组Y及非主属性

使得X→Y，

成立，则关系模式R∈3NF。

即当2NF消除了非主属性对码的传递函数依赖，则称为3NF。

例如，FIRST₁?3NF，因为在分解后的关系模式FIRST₁中有Sno→Status，Status→City，存在着非主属性City传递依赖于码Sno。若此时将FIRST₁继续分解为：

FIRST₁₁（Sno，Sname，Status）∈ 3NF

FIRST₁₂（Status，City）∈3NF

通过上述分解，数据库模式FIRST转换为FIRST₁₁（Sno，Sname，Status）、FIRST₁₂（Status，City）、FIRST₂（Sno，Pno，Qty）三个子模式。由于这三个子模式都达到了3NF，因此称分解后的数据库模式达到了3NF。

可以证明，3NF的模式必是2NF的模式。产生冗余和异常的两个重要原因是部分依赖和传递依赖。因为3NF模式中不存在非主属性对码的部分函数依赖和传递函数依赖，所以具有较好的性能。对于非3NF的1NF、2NF其性能弱，一般不宜作为数据库模式，通常要将它们变换成为3NF或更高级别的范式，这种变换过程称为“关系模式的规范化处理”。

BCNF（Boyce Codd Normal Form，巴克斯范式）

【定义7.13】关系模式R∈1NF，若X→Y且

时，X必含有码，则关系模式R∈BCNF。

也就是说，当3NF消除了主属性对码的部分函数依赖和传递函数依赖，则称为BCNF。

结论：一个满足BCNF的关系模式，应有如下性质。

（1）所有非主属性对每一个码都是完全函数依赖。

（2）所有非主属性对每一个不包含它的码，也是完全函数依赖。

（3）没有任何属性完全函数依赖于非码的任何一组属性。

例如，设R（Pno，Pname，Mname）的属性分别表示零件号、零件名和厂商名，如果约定，每种零件号只有一个零件名，但不同的零件号可以有相同的零件名；每种零件可以有多个厂商生产，但每家厂商生产的零件应有不同的零件名。这样我们可以得到如下一组函数依赖：

Pno→Pname，（Pname，Mname）→Pno

由于该关系模式R中的候选码为（Pname，Mname）或（Pno，Mname），因而关系模式R的属性都是主属性，不存在非主属性对码的传递依赖，所以R是3NF的。但是，主属性Pname传递依赖于码（Pname，Mname），因此R不是BCNF的。当一种零件由多个生产厂家生产时，零件名与零件号间的联系将多次重复，带来冗余和操作异常现象。若将R分解成：

R1（Pno，Pname）和R2（Pno，Mname）

就可以解决上述问题，并且分解后的关系模式R1、R2都属于BCNF。

4NF（第四范式）

【定义7.14】关系模式R∈1NF，若对于R的每个非平凡多值依赖X→→Y且

时，X必含有码，则关系模式R（U，F）∈4NF。

4NF是限制关系模式的属性间不允许有非平凡且非函数依赖的多值依赖。

注意：如果只考虑函数依赖，关系模式最高的规范化程度是BCNF；如果考虑多值依赖，关系模式最高的规范化程度是4NF。

连接依赖5NF

连接依赖：当关系模式无损分解为n个投影（n>2）会产生一些特殊的情况。下面考虑供应商数据库中SPJ关系的一个具体的值，如下图所示。

关系SPJ是三个二元投影的连接

第一次SP、PJ投影连接“

”起来的结果比原始SPJ关系多了一个元组“S2，P1，J2”，即上图中带下画线的元组。第二次连接的结果去掉了多余的元组，从而恢复了原始的关系SPJ。在这种情况下，原始的SPJ关系是可3分解的。注意，无论我们选择哪两个投影作为第一次连接，结果都是一样的，尽管在每种情况下中间结果不同。

SPJ的可3分解性是基本与时间无关的特性，是关系模式的所有合法值满足的特性，也就是说，这是关系模式满足一个特定的与时间无关的完整性约束。将这种约束简称为3D（3分解）约束。上述情况就是连接依赖要研究的问题。

连接依赖：如果给定一个关系模式R，R₁，R₂，R₃，…，R_n是R的分解，那么称R满足连接依赖JD^*｛R₁，R₂，R₃，…，R_n｝，当且仅当R的任何可能出现的合法值都与它在R₁，R₂，R₃，…，R_n上的投影等价。

形式化地说，若R=R₁∪R₂∪…∪R_n，且

，则称R满足连接依赖JD^*｛R₁，R₂，R₃，…，R_n｝。如果某个R_i，就是R本身，则连接依赖是平凡的。

为了进一步理解连接依赖的概念，我们考虑银行数据库中的子模式：贷款（L-no，Bname，C-name，amount）。其中：

.贷款号为L-no的贷款是由机构名为Bname贷出的。

.贷款号为L-no的贷款是贷给客户名为C-name的客户。

.贷款号为L-no的贷款的金额是amount。

我们可以看到这是一个非常直观的逻辑蕴涵连接依赖：

JD^*（（L-no，Bname），（L-no，C-name），（L-no，amount））

这个例子说明了连接依赖很直观，符合数据库设计的原则。

【定义7.15】一个关系模式R是第五范式（也称投影-连接范式PJNF），当且仅当R的每一个非平凡的连接依赖都被R的候选码所蕴涵，记作5NF。

“被R的候选码所蕴涵”的含义可通过SPJ关系来理解。关系模式SPJ并不是5NF的，因为它满足一个特定连接依赖，即3D约束。这显然没有被其唯一的候选码（该候选码是所有属性的组合）所蕴涵。其区别是，关系模式SPJ并不是5NF，因为它是可被3分解的，可3分解并没有为其（Sno，Pno，Jno）候选码所蕴涵。但是将SPJ3分解后，由于3个投影SP、PJ、JS不包括任何（非平凡的）连接依赖，因此它们都是5NF的。

能力成熟度模型

能力成熟度模型（简称CMM）是对一个组织机构的能力进行成熟度评估的模型。成熟度级别一般分成五级：1级-非正式执行、2级-计划跟踪、3级-充分定义、4级-量化控制、5级-持续优化。其中，级别越大，表示能力成熟度越高，各级别定义如下：

. 1级-非正式执行：具备随机、无序、被动的过程；

. 2级-计划跟踪：具备主动、非体系化的过程；

. 3级-充分定义：具备正式的、规范的过程；

. 4级-量化控制：具备可量化的过程；

. 5级-持续优化：具备可持续优化的过程。

目前，网络安全方面的成熟度模型主要有SSE-CMM、数据安全能力成熟度模型、软件安全能力成熟度模型等。

SSE-CMM

SSE-CMM（Systems Security Engineering Capability Maturity Model）是系统安全工程能力成熟度模型。SSE-CMM包括工程过程类（Engineering）、组织过程类（Organization）、项目过程类（Project）。各过程类包括的过程内容如下表所示。

SSE-CMM系统安全工程能力成熟度模型过程清单

SSE-CMM的工程过程、风险过程、保证过程的相互关系如下图所示。

SSE-CMM的工程过程、风险过程、保证过程关联图

SSE-CMM的工程过程关系如下图所示。

SSE-CMM的工程过程关联图

SSE-CMM的工程质量来自保证过程，如下图所示。

SSE-CMM的保证过程图

数据安全能力成熟度模型

根据《信息安全技术数据安全能力成熟度模型》，数据安全能力成熟度模型架构如下图所示。

数据安全能力成熟度模型架构

数据安全能力从组织建设、制度流程、技术工具及人员能力四个维度评估：

.组织建设——数据安全组织机构的架构建立、职责分配和沟通协作；

.制度流程——组织机构关键数据安全领域的制度规范和流程落地建设；

.技术工具——通过技术手段和产品工具固化安全要求或自动化实现安全工作；

.人员能力——执行数据安全工作的人员的意识及专业能力。

详细情况参考标准。

软件安全能力成熟度模型

软件安全能力成熟度模型分成五级，各级别的主要过程如下：

. CMM1级——补丁修补；

. CMM2级——渗透测试、安全代码评审；

. CMM3级——漏洞评估、代码分析、安全编码标准；

. CMM4级——软件安全风险识别、SDLC实施不同安全检查点；

. CMM5级——改进软件安全风险覆盖率、评估安全差距。

数据管理

数据生命周期

在数据的整个生命周期中，不同的数据需要不同水平的性能、可用性、保护、迁移、保留和处理。通常情况下，在其生命周期的初期，数据的生成和使用都需要利用高速存储，并相应地提供高水平的保护措施，以达到高可用性和提供相当等级的服务水准。随着时间的推移，数据的重要性会逐渐降低，使用频率也会随之下降。伴随着这些变化的发生，企业就可以将数据进行不同级别的存储，为其提供适当的可用性、存储空间、成本、性能和保护，并且在整个生命周期的不同阶段都能对数据保留进行管理。

数据的安全性管理是数据生命周期中的一个比较重要的环节。在进行数据输入和存取控制的时候，企业必须首先保证输入数据的数据合法性。要保证数据的安全性，必须保证数据的保密性和完整性，主要表现在以下5个方面：

（1）用户登录时的安全性。从用户登录网络开始，对数据的保密性和完整性的保护就应该开始了。

（2）网络数据的保护。包括在本地网络上的数据或者穿越网络的数据。在本地网络的数据是由验证协议来保证其安全性的。

（3）存储数据以及介质的保护。可以采用数字签名来签署软件产品（防范运行恶意的软件），或者加密文件系统。

（4）通信的安全性。提供多种安全协议和用户模式的、内置的集成支持。

（5）企业和Internet网的单点安全登录。

随着时间的推移，大部分数据将不再会被用到。一般情况下，一些无用的数据将被删除以节省空间，或者将有用的数据无限期地存储，以避免数据损失。

信息资源管理

信息资源管理（Information Resource Management，IRM）是对整个组织信息资源开发利用的全面管理。IRM把经济管理和信息技术结合起来，使信息作为一种资源而得到优化地配置和使用。上次我们在谈企业信息化的任务时，说开发信息资源既是企业信息化的出发点，又是企业信息化的归宿；只有高档次的数据环境才能发挥信息基础设施作用、建立集成化的信息系统、落实信息资源的开发和利用。因此，从IRM的技术侧面看，数据环境建设是信息资源管理的重要工作。

企业信息资源管理不是把资源整合起来就行了，而是需要一个有效的信息资源管理体系，其中最为关键的是从事信息资源管理的人才队伍建设；其次，是架构问题，在信息资源建设阶段，规划是以建设进程为主线的，在信息资源管理阶段，规划应是以架构为主线，主要涉及的是这个信息化运营体系的架构，这个架构要消除以往分散建设所导致的信息孤岛，实现大范围内的信息共享、交换和使用，提升系统效率，达到信息资源的最大增值；技术也是一个要素，要选择与信息资源整合和管理相适应的软件和平台；另外一个就是环境要素，主要是指标准和规范，信息资源管理最核心的基础问题就是信息资源的标准和规范。

数据管理

企业信息资源开发利用做得好坏的关键人物是企业领导和信息系统负责人。IRM工作层上的最重要的角色就是数据管理员（Data Administrator, DA）。数据管理员负责支持整个企业目标的信息资源的规划、控制和管理；协调数据库和其他数据结构的开发，使数据存储的冗余最小而具有最大的相容性；负责建立有效使用数据资源的标准和规程，组织所需要的培训；负责实现和维护支持这些目标的数据字典；审批所有对数据字典做的修改；负责监督数据管理部门中的所有职员的工作。数据管理员应能提出关于有效使用数据资源的整治建议，向主管部门提出不同的数据结构设计的优缺点忠告，监督其他人员进行逻辑数据结构设计和数据管理。

数据管理员还需要有良好的人际关系：善于同中高层管理人员一起制定信息资源的短期和长期计划。在数据结构的研制、建立文档和维护过程中，能与项目领导、数据处理人员和数据库管理员协同工作。能同最终用户管理部门一起工作，为他们提供有关数据资源的信息。

一般来说，由数据管理员对日常数据进行更新和维护。数据库为了保证存储在其中的数据的安全和一致，必须有一组软件来完成相应的管理任务，这组软件就是数据库管理系统，简称DBMS, DBMS随系统的不同而不同，但是一般来说，它应该包括数据库描述功能、数据库管理功能、数据库的查询和操纵功能、数据库维护功能等。为了提高数据库系统的开发效率，现代数据库系统除了DBMS之外，还提供了各种支持应用开发的工具。

目前许多厂商提供了相应的DBMS，便于数据管理员对底层的数据进行维护。例如MySQL、东软的OpenBase、金仓的KingbaseES等。

公司级的数据管理

如何进行信息资源规划？信息资源规划主要可以概括为“建立两种模型和一套标准”。“两种模型”是指信息系统的功能模型和数据模型，“一套标准”是指信息资源管理基础标准。信息系统的功能模型和数据模型，实际上是用户需求的综合反映和规范化表达；信息资源管理基础标准是进行信息资源开发利用的最基本的标准，这些标准都要体现在数据模型之中。

企业信息化的最终目标是实现各种不同业务信息系统间跨地域、跨行业、跨部门的信息共享和业务协同，而信息共享和业务协同则是建立在信息使用者和信息拥有者对共享数据的涵义、表示及标识有着相同的而无歧义的理解基础上。然而，由于各部门、各行业及各应用领域对于相同的数据概念有着不同的功能需求和不同的描述，从而导致了数据的不一致性。数据的不一致性主要表现为：数据名称的不一致性、数据长度的不一致性、数据表示的不一致性以及数据含义的不统一性。

数据标准化是一种按照预定规程对共享数据实施规范化管理的过程。数据标准化的对象是数据元素和元数据。数据元素是通过定义、标识、表示以及允许值等一系列属性描述的数据单元，是数据库中表达实体及其属性的标识符。在特定的语义环境中，数据元素被认为是不可再分的最小数据单元。元数据是描述数据元素属性（即语义内容）的信息，并被存储在数据元素注册系统（又称数据字典）中。数据元素注册系统通过对规范化的数据元素及其属性（即元数据）的管理，可以有效实现用户跨系统和跨环境的数据共享。数据标准化主要包括业务建模阶段、数据规范化阶段、文档规范化阶段等三个阶段。

数据标准化是建立在对现实业务过程全面分析和了解的基础上的，并以业务模型为基础的。业务建模阶段是业务领域专家和业务建模专家按照《业务流程设计指南》，利用业务建模技术对现实业务需求、业务流程及业务信息进行抽象分析的过程，从而形成覆盖整个业务过程的业务模型。该阶段着重对现实业务流程的分析和研究，尤其需要业务领域专家的直接参与和指导。业务模型是某个业务过程的图形表示或一个设计图。

数据规范化阶段是数据标准化的关键和核心，该阶段是针对数据元素进行提取、规范化及管理的过程。数据元素的提取离不开对业务建模阶段成果的分析，通过研究业务模型能够获得业务的各个参与方、确定业务的实施细则、明确数据元素对应的信息实体。该阶段是业务领域专家和数据规范化专家按照《数据元素设计与管理规范》利用数据元素注册系统（或数据字典）对业务模型内的各种业务信息实体进行抽象、规范化和管理的过程，从而形成一套完整的标准数据元素目录。在实现数据元素标准化的同时，还应关注数据元素取值的规范化，以此实现信息表示和信息处理的标准化。

文档规范化阶段是数据规范化成果的实际应用的关键，是实现离散数据有效合成的重要途径。标准数据元素是构造完整信息的基本单元，各类电子文档则是传递各类业务信息的有效载体，并是将分离的标准数据元素信息进行有效合成的手段。该阶段是业务领域专家和电子文档设计专家按照《电子文档设计指南》对各类电子文档格式进行规范化设计和管理的过程，并形成了一批电子文档格式规范。

综上所述，数据标准化所涉及的三个主要阶段缺一不可、彼此密不可分。业务建模是数据标准化的基础和前提；数据规范化及其管理是数据标准化的核心和重点；文档规范化是数据标准化成果的有效应用的关键。

此外，数据标准化也可以采用数据字典、数据指南或信息系统字典等加以统一。数据字典实际上也是以数据表和视图为主要存在形式的，它是关于数据的数据表和视图。管理员可以通过数据字典获得全面的数据库信息。

数据库审计支持

数据安全是大型数据库应用系统中必须仔细考虑的一个重要问题，也是数据库管理人员和系统管理人员日常工作中最为重要的一部分。有效的数据库审计是数据库安全的基本要求。企业应针对自己的应用和数据库活动定义审计策略。智能审计的实现对安全管理的意义重大，不仅能节省时间，而且能减少执行所涉及的范围和对象。通过智能限制日志大小，还能突出更加关键的安全事件。

信息系统审计员可以从数据库系统本身、主体和客体三个方面来进行审计，审计对数据库对象的访问以及与安全相关的事件。数据库审计员可以分析审计信息、跟踪审计事件、追查责任以及使用审计服务器记录审计跟踪，并且可以根据审计信息，对审计结果进行统计、跟踪和分析，进行审计跟踪、入侵检测等。

目前许多数据库供应商都提供了支持数据库审计的功能，例如东软公司的OpenBASE Secure就提供了十分完善的审计功能。

题号导航 2023年上半年信息系统项目管理师上午试卷综合知识

本试卷我的完整做题情况



	第8题在手机中做本题