資訊系統運作(Information systems operation)主要包含了企業內部的控制和資料的流程，用來支援、改進組織的日常作業程序的效率和效能。近年來，分散式的資料處理系統(Distributed data processing systems)不斷地廣泛採用，特別是現今的組織幾乎都是屬於多方(Multiple locations)的資料流向。因此，資訊系統的運作型態、版本及架構也必須跟著做改變以因應此環境的變化，電腦和其相關的周邊硬體設備也需要跟著擴充，使得每個公司都是一個大型的資料處理中心，並且透過WAN(Wide Area Network)來連結各地的公司，使組織不論何時何地都可以存取多方的資料。一組織的資訊系統運作大致上可分為：資訊安全基礎架構、人力資源、作業程序與責任、文件和儲存媒體、加密機制、委外作業、安全及危機事件的反應處理、使用者存取和存取監控系統等方面。分別說明如下：

u 資訊安全基礎架構：在資訊系統運作前，一套資訊安全基礎架構是必須的，其目標是從組織中管理資訊安全角度上，在組織內部建立管理框架以啟動與控制資訊安全的實施架構。首先，應建立有管理領導層參加的管理小組，以核准資訊安全政策、分配安全責任、並協調實施全組織的安全措施。必要時，應建立資訊安全專家顧問的管道，供整個組織使用。應發展與外界安全專家的聯繫，以跟上業界趨勢、監控標準及評鑑方法，並提供處理安全事件時的各聯絡點。對資訊安全的多重訓練方法應加鼓勵各領域人員參與，例如讓管理人員、使用者、行政人員、應用程式設計人員、稽核人員、安全人員以及各專業領域專家（如保險與風險管理）協同工作。

u 人力資源控制：在資訊系統運作中，人員扮演一個非常重要的角色。因此，一個優良的安全管控組織應當在人力資源上有明確地制訂工作說明及資源分配等相關的管控。故此目標是降低因人為錯誤、竊盜、詐欺或誤用設施所造成的風險。並且明確制訂安全責任，且在招募人才階段時，應列在合約中並在雇用期間進行監督。此外，在候選員工應進行適當篩選，尤其是敏感性工作。所有員工和使用資訊處理設施的第三方都應簽署保密協議。

u 作業程序與責任控制：當事故發生時，當事人被懲處的理由常是其未按照標準操作程序 (Standard Operation Procedure, SOP)進行作業。但管理階層常忽視SOP有時或不易閱讀、或不易查詢，甚至主管階層平時未確實督導員工按照SOP操作。更極端地，有些操作本身並沒SOP。標準操作程序在一般管理制度，無論是ISO-9000/-14000、OHSAS-18000、VPP、PSM、ISRS、或MORT等，都受到極大的重視。為了工作上的安全，任何人都必須依照既有SOP上的準則進行工作。基於此，SOP是教育訓練的重要材料，矯正不安全行為與動作的依據，也是同事之間、上司下屬之間溝通中所需要的工具。美國OSHA的Process Safety Management更將操作程序明定為其14項要素之一，並且詳細說明操作程序該包括的範圍，例如正常操作，緊急操作，暫時性操作(Temporary operations)，初始開機 (Initial startup)，緊急停機後之開機(Startup after an emergency shutdown)，正常停機，以及緊急停機等。由於SOP是如此的重要，OSHA要求SOP必須根據實際的需求做週期性的修改或審查 (Review)，以確保其能反映實際的操作狀況。而且修改或審查須由工程人員 (Engineering staff) 和操作人員共同進行，以確保SOP精確地表達實際的操作流程。

u 文件和儲存媒體控制：組織中的資料和資訊往往儲存在磁碟、光碟、紙張或其他媒體中，這些媒體如果損毀，則會影響系統運作，如果失竊或被偷窺，則會造成資訊洩露。因此文件和儲存媒體的管控也是非常重要的安全管理課題。此外，許多的生產工作的結果，都會被建立成電子格式的輸出檔案，這些輸出檔案都被存放在暫時性的佇列(Temporary queue)中，其為一種改善輸出、入效率的方式。它的做法是將較慢的輸出入裝置如讀卡機、印表機等，以較高速的輸出入裝置做為他們與電腦之間的界面裝置。但這些電腦通常都是分散在各個區域，所以如何適時的、有效率的將檔案分配到所需的地方，是一個重要的問題。此外，在實體的輸出媒體應該要嚴密的控管以防止未經許可或授權的員工去瀏覽或取得這些機密性的資訊。同理，邏輯性的存取暫時性佇列的檔案，也應該要有所管控，不論是權限的授與或是系統的安全，都應該由負責管理的電腦運作者或系統安全管理員去掌控。最後，每個組織應該有個企業中斷後再重新運作的計畫，以便因為天災人禍等因素造成資料的損毀或供給的中斷，並達成企業永續經營。在台灣，資料的備份與回復的程序通常被稱為「備援計畫」。備援計畫主要的目的在維持企業的營運使災害的影響降至最低。維持企業的營運是指在發生災害時，能在最短的時間內恢復資訊系統的運作服務，將相關使用者所受到的影響降至最低。以備份的設備位置來區分，可以分成同地備援與異地備援兩種，同地備援是指其管理備份的主機與原本運作的主機是在同一個地區內(同一公司或地點)，而異地備援則是指兩者不在同一地區。

5