Управление сервисами и методологиями COBIT. Описание, принципы

Аббревиатура CobiT расшифровывается как Контрольные Объекты для Информационных и смежных Технологий (Control Objectives for Information and Related Technologies). За этой аббревиатурой скрывается набор документов, в которых изложены принципы управления и аудита информационных технологий. CobiT позиционируется как открытый стандарт "де-факто", в настоящее время переживающий свое пятое издание.

История развития

Первые редакции
Первая версия стандарта была выпущена в 1996 году Организацией аудита и контроля информационных систем (Information Systems Audit and Control Foundation, ISACF) с целью обеспечения методов оценки и контроля, которые пригодились бы и IТ-персоналу, и аудиторам, и клиентам. Она включала концептуальное ядро, определяющее набор основополагающих принципов и понятий в области управления IT, описание задач управления и руководство по аудиту. Вторая, переработанная версия CobiT была опубликована в 1998 году.
Третья редакция была выпущена уже в 2000 году Институтом управления информационными технологиями (IT Governance Institute), учрежденным Ассоциацией аудита и контроля информационных систем (Information Systems Audit and Control Association, ISACA) совместно с ISACF с целью развития и популяризации принципов управления IT (в настоящее время названный институт и является основным разработчиком CobiT). Проект подготовки третьей редакции CobiT включал разработку принципов управления и переработку второго издания с использованием новых и пересмотренных международных источников. Кроме того, концепция CobiT была пересмотрена и расширена, с тем чтобы предусмотреть усиленный административный контроль, ввести управление производительностью и развить управление IT.

Последние версии
В 2005 году был принят CobiT 4.0 — расширение 3-й редакции. Введение 4-й редакции дало возможность улучшить управление и средства контроля:
Анализ положений CobiT и практик ведущих компаний мира выявил пробелы, которые были ликвидированы посредством изменения названий некоторых IT-процессов и добавления новых целей управления.
В CobiT включена таблица, показывающая связь между бизнес-задачами, IT-целями и определенными в CobiT IT-процессами.
Для облегчения интеграции CobiT с другими, более детальными, руководствами (ITIL, ISO 17799 и прочими) была проведена унификация используемых терминов и принципов.
Из-за большого количества рекомендаций по оценке эффективности, предназначенных в основном для аудита, в CobiT всегда делался большой акцент на управление рисками. В CobiT 4.0 достигнут компромисс между рисками и возвратом инвестиций.
CobiT 4.0 содержит диаграммы, показывающие, кто несет ответственность, кто подотчетен, с кем необходимо консультироваться и кого необходимо проинформировать для описания ролей и ответственности за каждый IT-процесс.
В апреле 2012 года ISACA представила COBIT 5, который используется сейчас. Создатели стандарта провели анализ и оценку и объединили лучшее из международных технических стандартов, стандартов управления качеством, аудиторской деятельности, а также из практических требований и опыта — всё то, что так или иначе имело отношение к целям управления.

В состав стандарта входят шесть книг, ориентированных на разные аудитории:

Книги по COBIT
Резюме для руководителя.Описание стандарта CobiT, ориентированное на топ-менеджеров организации для принятия ими решения о применимости стандарта в конкретной организации. С переводом этой книги на русский язык Вы можете ознакомиться: http://www.isaca.ru
Описание структуры.Книга содержит развернутое описание структуры стандарта, высокоуровневых целей контроля и пояснения к ним, необходимые для эффективной навигации и результативной работы со стандартом.
Объекты контроля.В книгу включены детальные описания объектов контроля, содержащие расшифровку каждого из объектов.
Принципы управления.Книга отвечает на вопросы как управлять ИТ, как правильно поставить достижимую цель, как ее достичь и как проконтролировать полноту ее достижения. Предназначена для руководителей ИТ-служб.
Принципы аудита.Правила проведения ИТ-аудита. Описание того, у кого можно получить необходимую информацию, как ее проверить, какие вопросы задавать? Книга предназначена для внутренних и внешних аудиторов ИТ, а также консультантов в сфере ИТ.
Набор инструментов внедрения стандарта— практические советы по ежедневному использованию стандарта в управлении и аудите ИТ. Книга предназначена для внутренних и внешних аудиторов ИТ, консультантов в сфере ИТ.

CobiT — это сохранение единого подхода к сбору, анализу информации, подготовке выводов и заключений на всех этапах управления, контроля и аудита ИТ, возможность сравнения существующих ИТ-процессов с "лучшими" практиками, в том числе отраслевыми.
Цикл, заложенный в CobiT, отражает непрерывность соответствия ИТ требованиям бизнеса
В основу стандарта CobiT положено следующее утверждение: для предоставления информации, необходимой организации для достижения ее целей, ресурсы ИТ должны управляться набором естественно сгруппированных процессов.
Для этого CobiT выделяет 34 высокоуровневые цели контроля, по одной на каждый ИТ- процесс, которые сгруппированы в 4 домена:
Планирование и Организация;
Проектирование и Внедрение;
Эксплуатация и Сопровождение;
Мониторинг

Предлагаемая структура объединяет все аспекты информации и технологий, поддерживающих ее. Применяя 34 высокоуровневые цели контроля, руководитель может быть уверен, что ему будет предоставлена адекватная система контроля над ИТ-средой, которая учитывает задействованные ресурсы ИТ, дающая возможность оценить ИТ по предлагаемым CobiT семи критериям оценки информации.

Критерии информации и ресурсы ИТ
Ресурсы ИТ в CobiT описаны пятью составляющими:
Данные— объекты в широком смысле (то есть внутренние и внешние), структурированные и неструктурированные, а также графика, звук и т.д.
Приложения— совокупность автоматизированных и выполняемых вручную процедур.
Технология— аппаратное обеспечение, программное обеспечение, операционные системы, системы управления базами данных, сетью и мультимедиа.
Оборудование— все ресурсы, создающие и поддерживающие информационные технологии.
Люди— персонал, его навыки: умение планировать и организовывать, комплектовать, обслуживать и контролировать информационные системы и услуги.
При этом денежные средства или капитал не рассматриваются в качестве ИТ-ресурса. Они могут рассматриваться в качестве инвестиций в любой из вышеуказанных ресурсов.

Критерии оценки информации:
Эффективность— актуальность информации, соответствующего бизнес-процесса, гарантия своевременного и регулярного получения правильной информации.
Продуктивность— обеспечение доступности информации с помощью оптимального (наиболее продуктивного и экономичного) использования ресурсов.
Конфиденциальность— обеспечение защиты информации от неавторизованного ознакомления.
Целостность— точность, полнота и достоверность информации в соответствии с требованиями бизнеса.
Пригодность— предоставление информации по требованию бизнес-процессов.
Согласованность— соответствие законам, правилам и договорным обязательствам.
Надежность— доступ руководства организации к соответствующей информации для текущей деятельности, для создания финансовых отчетов и оценки степени соответствия.

Мониторинг
Проводить мониторинг процессов
Оценивать адекватность внутреннего контроля
Получать независимые гарантии
Обеспечивать независимый аудит
Проектирование и внедрение
Определить решения по автоматизации
Приобрести и поддерживать прикладное программное обеспечение
Приобрести и поддерживать технологическую инфраструктуру
Разрабатывать и поддерживать процедуры
Установить и аккредитировать системы
Управлять изменениями

Планирование и организация
Определить стратегический план ИТ
Определить информационную архитектуру
Определить технологическое направление
Определить организацию и взаимоотношения ИТ
Управлять инвестициями в ИТ
Согласованно управлять целями и задачами
Управлять персоналом
Обеспечить согласование с внешними требованиями
Оценивать риски
Управлять проектами
Управлять качеством
Эксплуатация и сопровождение
Определять уровни обслуживания и управлять ими
Управлять услугами сторонних организаций
Управлять производительностью и наращиваемостью
Обеспечивать непрерывность услуг
Обеспечивать безопасность системы
Определить и распределить затраты
Обучать пользователей
Помогать пользователям и консультировать их
Управлять конфигурацией
Управлять данными
Управлять оборудованием
Управлять операциями

Вопросы CobiT на всем жизненном цикле ИТ
Как следует из названия — это две части одного целого (оказание воздействия и контроль результатов). Управляем — воздействуем на ИТ для достижения поставленных целей. Аудит — контролируем достижение цели.
Принципы управления, книга стандарта CobiT, описывающая управление ИТ — одна из последних разработок Института Управления ИТ, пополнившая перечень книг CobiT в 3-ем издании стандарта.
Управление ИТ — составная часть успеха в управлении предприятием, которая гарантирует рациональное и эффективное совершенствование всех взаимосвязанных процессов предприятия. Управление ИТ предоставляет основу, которая связывает ИТ-процессы, ИТ-ресурсы и информацию со стратегией и целями организации, что позволяет максимально эффективно использовать информацию, повышая капитализацию и получая конкурентоспособные преимущества.

Принципы управления созданы для того, чтобы помочь руководителю ИТ ответить на три стратегических вопроса:
Существуют ли в настоящее время в организации Информационные Технологии, при управлении которыми "удовлетворяются" все информационные потребности организации?
Как организация обеспечивает инфраструктуру и управляет рисками, насколько организация зависит от этого?
С какими проблемами организация сталкивается при управлении ИТ?
Чтобы получить ответы на эти стратегические вопросы необходимо непрерывно отвечать на "тактические" вопросы:
Что является результатом ИТ-процессов?
Что является решением проблем в ИТ?
Из чего состоят эти решения?
Будут ли работать эти решения?
Как их реализовать?

Для получения ответов на "тактические" вопросы в книге Принципы управления CobiT, включены Модели Зрелости, Критические Факторы Успеха (КФУ), Ключевые Индикаторы Цели (КИЦ) и Ключевые Показатели Результата (КПР), это дополнение позволило получить качественно улучшенный подход к вопросам управления ИТ, который отвечает потребностям руководителей в части управления и контроля. Предоставляя руководителю организации инструмент управления и измерения ИТ на соответствие тридцати четырем ИТ-процессам, определенным в CobiT.
Для информационной поддержки принятия решений, в книге Принципы управления описаны следующие виды представления информации:
Инструментальная панель;
Карты оценки;
Эталонное тестирование.

Необходимость "измерения" процессов организации обусловлена важностью непрерывного совершенствования ИТ, что создает потребность в комплекте инструментов для контроля. При этом трудно определить необходимый уровень совершенствования и остановиться на нем. Перед руководителями в коммерческих и некоммерческих организациях часто возникают задачи оценить объемы инвестиций в ИТ и инфраструктуру, при этом далеко не все могут обосновать инвестиции, отвечая на вопрос: "Как далеко необходимо зайти, и будут ли оправданы затраты выгодой?". Принципы управления CobiT призваны ответить на этот вопрос и помочь в обосновании инвестиций в ИТ.
В настоящее время информационные услуги преобладают над прочими поддерживающими бизнес услугами. Таким образом, ИТ становятся одним из первостепенных показателей бизнеса. Как следствие — отношения между бизнес-целями с их единицами измерения и ИТ с его целями и единицами измерения являются очень важными и могут быть изображены следующим образом:

Фазы жизненного цикла
What are the drivers?/Что нами движет?
Where are we now?/Где мы находимся сейчас?
Where do we want to be?/Где мы хотим оказаться?
What needs to be done?/Что нужно сделать?
How do we get there?/Как мы туда попадем?
Did we get there?/Удалось ли выполнить задуманное?
How do we keep the momentum going?/Как сохранить импульс/развитие?

Схема отношения бизнес целей и ИТ
Создание такой взаимной связи поможет руководителям в контроле над информационными технологиями организации, отвечая на следующие вопросы:
О чем беспокоится руководство организации? Необходимо удостовериться, что выполняются все потребности организации.
Где измеряется удовлетворение потребностей? Результат бизнес-процесса представлен на сбалансированной карте оценок бизнеса как Ключевой Индикатор Цели.
Затрагивают ли проблемы, возникающие в ходе реализации бизнес-процессов, информационные технологии организации? ИТ-процессы своевременно предоставляют организации правильную информацию, позволяя ее бизнес-процессам эффективно и бесперебойно функционировать. Это является Критическим Фактором Успеха для организации.
Где это измеряется? Ключевой Индикатор Цели, основанный на сбалансированной карте оценки, представляет ИТ-информацию, сопоставимую с критериями информации (Эффективность, Продуктивность, Конфиденциальность, Целостность, Пригодность, Согласованность, Надежность).
Что еще должно быть измерено? Если ответы на первые вопросы — положительные, должно быть учтено влияние множества Критических Факторов Успеха, которые должны быть измерены как Ключевые Индикаторы Результата для ИТ-процессов.

Модели зрелости
Модели зрелости в CobiT предназначены для контроля над ИТ-процессами организации. Они базируются на определении уровня развития организации от несуществующего до оптимизированного (от 0 до 5 уровня модели зрелости). Этот подход был привнесен в CobiT из Моделей Зрелости, разработанных Институтом проектирования и разработки программного обеспечения (Software Engineering Institute), созданных для оценки уровня зрелости разработки программного обеспечения.
Ответом на вопрос "чем и как управлять" явилась разработка моделей зрелости, начатая в конце 80-х годов Институтом проектирования и разработки программного обеспечения (Software Engineering Institute's), по заказу Министерства обороны США. Первоначальное предназначение — создание эффективного инструмента для классификации и оценки проектов, связанных с разработкой программного обеспечения и гарантированного соблюдения качества при выполнении этих проектов. В дальнейшем модели зрелости были доработаны для управления ИТ-сервисами и аудита процессов управления.

Maturity Models (MM) — "модели зрелости". Соответствие уровням "модели зрелости" означает, что компания готова к плановой модернизации или обновлению. MM — не технология, не стандарт, для нее нет формальных описаний, в ней нет жестких требований, и она не привязана к конкретным информационным технологиям.
Модели зрелости не подсказывают как улучшить работу компании и не объясняют, как работать с персоналом, также нет готовых руководств и по применению моделей зрелости. Рекомендуется каждой конкретной компании разработать подобное руководство для своего бизнеса или пригласить сторонних консультантов для решения этого вопроса. Модели зрелости предназначены для организации эффективного управления. Они определяют ключевые действия, которые указывают, что надо сделать для достижения требуемого качества и содержат способы контроля над правильностью выполнения ключевых ИТ-процессов и методы их корректировки. Ключевые действия подробно описаны в Руководстве на абстрактном уровне, а в процессе использования MM компания может выбрать произвольную степень их формализации.

Беря за основу шкалу моделей зрелости, разработанную для каждого из 34 ИТ-процесса CobiT, руководитель может выяснить следующие сведения:
Текущий статус организации — оценить, на какой стадии организация находится сегодня.
Текущий статус лучшей практики в этой отрасли — сравнить свою организацию с лучшей организацией в этой отрасли.
Текущий статус международных стандартов — провести дополнительное сравнение текущего статуса организации с "лучшей практикой" или международными стандартами.
Статус организации после усовершенствования (реализация стратегии организации) — оценить стратегию организации, каких результатов организация хочет достичь.

Ключевые Индикаторы Цели
Ключевые Индикаторы Цели (КИЦ) описывают комплекс измерений, которые по факту сообщают руководству, что ИТ-процесс достиг предъявляемых бизнес-требований. КИЦ выражается в терминах информационных критериев:
Пригодность информации, необходимой для поддержки бизнеса;
Риски отсутствия целостности и конфиденциальности;
Рентабельность процессов и операций;
Подтверждение надежности, эффективности и согласованности.
Ключевыми Индикаторами Цели (КИЦ), могут быть:
Улучшение управления производительностью и стоимостью;
Увеличение дохода от инвестиций в ИТ;
Сокращение времени запуска в продажу нового продукта или услуги;
Улучшение управления качеством, новшествами и рисками;
Соответствующая интеграция и стандартизация бизнес-процессов;
Поиск новых и удовлетворение существующих клиентов;
Выполнение требований и ожиданий клиента по бюджету и времени;
Соответствие законам, инструкциям, промышленным стандартам и договорным обязательствам;
Полное осознание меры принимаемого риска, а также соответствие уровню риска, приемлемого для данной организации;
Эталонное тестирование зрелости управления ИТ.

COBIT PAM
Одной из ключевых составляющих COBIT 5 являются модели оценки процессов (COBIT Process Assessment Model, PAM).
Он состоит из следующих уровней:
Уровень 1: Выполняемый (Performed)
Уровень 2: Управляемый (Managed)
Уровень 3: Установленный (Established)
Уровень 4: Предсказуемый (Predictable)
Уровень 5: Оптимизируемый (Optimizing)

Принципы оценки
Во-первых, повторяемый процесс может изменяться многократно, а значит, повторяющиеся измерения процесса должны быть отражены в результатах оценки для демонстрации совершенствования.
Во-вторых, для сложных управленческих систем нужны «оттенки серого», то есть промежуточные значения на шкале, которые позволят сравнивать несколько взаимосвязанных процессов (ITIL®, к примеру, говорит о высокой зависимости между управлением изменениями и конфигурациями, а значит, полученные такими процессами оценки должны быть схожими).
В-третьих, шкала оценок должна обеспечивать возможность сравнения систем процессов между собой. Нужна объективная «линейка», которую можно было бы «прикладывать» к разным предприятиям схожего профиля и затем сравнивать результаты измерений. С ее помощью заказчик может выбрать оптимального поставщика из нескольких.

Словарь PAM
Процесс состоит из базовых практик (Base practices, BPs).
BPs формируют артефакты или рабочие продукты процесса (Work products, WPs).
Вместе BPs и WPs называются «индикаторами производительности процесса».
Выполняя BPs и формируя WPs, процесс приводит к ожидаемым результатам (Outcomes, O's).
Чтобы процесс соответствовал своему назначению независимо от своего масштаба, организация должна управлять процессом, а значит, кто-то должен выполнять еще и управленческие практики, применительно к каждому процессу (generic management practices, GPs)
При выполнении GP формируются универсальные рабочие продукты (Generic work products, GWPs).
Вместе GP и GWP называются «индикаторами возможностей процесса».

Разделение модели оценки
Неполный процесс
Выполняемый процесс
Управляемый процесс
Установленный процесс
Предсказуемый процесс
Оптимизируемый процесс

Process Assessment Model
Речь идет о том, насколько «возможно», что процессы будут приводить к ожидаемым и запланированным результатам в любых обстоятельствах.

Выводы
Процесс, который не создает всех ожидаемых заинтересованными сторонами результатов, автоматически получает оценку «0». Это означает, что применять такую методику можно для достаточно «зрелых» процессов, во всяком случае, выше уровня 2.
Процесс, который здесь и сейчас (то есть в заданных условиях) создает все ожидаемые результаты в полном объеме, получает оценку «1».
Процесс может получить любую оценку выше «1», только если выполнены все требования нижележащих уровней возможностей.

Принципы COBIT5

1.Соответствие потребностям заинтересованных сторон (Meeting Stakeholder Needs)
Предприятия существуют для того, чтобы создавать ценность для заинтересованных сторон (стейкхолдеров), путем поддержания баланса между получением выгоды и оптимизацией рисков и ресурсов.

2.Комплексный взгляд на предприятие (Covering the Enterprise End-to-end)
COBIT 5 встраивает руководство ИТ в руководство предприятием в целом, то есть:
Рассматривает все функции и процессы предприятия. COBIT 5 нацелен не только на реализацию «ИТ-функции», но рассматривает информацию и связанные с ней технологии как активы предприятия, которыми следует управлять, как и любыми другими активами.
Исходит из того, что факторы влияния руководства и управления, связанные с ИТ, работают на всем предприятии и по всей цепочки создания ценности, и включают в себя все внутренние и внешние аспекты и роли, которые имеют отношение к руководству и управлению ИТ.

3.Применение единой интегрированной методологии (Applying a Single Integrated Framework)
В COBIT 5 реализовано соответствие основным стандартам и «лучшим практикам ISO 27001 / ISO 27002 (2005), ITIL V3, PMBOK и PRINCE2, NIST SP 800-53A Rev. 1, The ISF 2011, «старые» материалы ISACA (VAL IT, RISK IT, BMIS, COBIT 4.1), TOGAF…

Методология COBIT 5 является единым и целостным подходом потому что:
• Она соответствует новейшим стандартам и подходам, а, следовательно, предприятия могут использовать COBIT 5 в качестве интеграционной методологии для всех подходов к руководству и к управлению.
• Она описывает предприятие целиком, предоставляя основу для эффективной интеграции других подходов, стандартов и практических приемов. Единый подход служит целостным источником рекомендаций, написанным технологически независимым, простым языком.
• Она обладает простой архитектурой, позволяющей легко структурировать рекомендации в целостный набор публикаций.
• Она объединяет знания, ранее размещенные в различных подходах ISACA. Исследуя различные области управления предприятием на протяжении многих лет, ассоциация ISACA разработала ряд подходов и рекомендаций в помощь предприятиям, таких как COBIT, Val IT, Risk IT, BMIS, Board Briefing on IT Governance и ITAF. Методология COBIT 5 интегрирует все эти знания.

4.Обеспечение целостного подхода (Enabling a Holistic Approach)
Эффективное и рациональное руководство и управление ИТ на предприятии требует целостного подхода, с учетом многих взаимосвязанных компонентов. В COBIT 5 описан набор факторов влияния, которые обеспечивают внедрение системы руководства и управления ИТ на предприятии. Факторы влияния – это взаимосвязанные сущности, которые способствуют решению задач предприятия.

Общая модель факторов влияния

5.Разделение Руководства и Управления (Separating Governance From Management)

Руководство обеспечивает уверенность в достижении целей предприятия путем:
• сбалансированной оценки потребностей заинтересованных сторон, существующих условий и возможных вариантов;
• установления направления развития через приоритизацию и принятие решений;
• постоянного мониторинга соответствия фактической продуктивности и степени выполнения требований, установленным направлению и целям предприятия.
Управление заключается в планировании, построении, выполнении и отслеживании деятельности, в соответствии с направлением, заданным органом руководства, для достижения целей предприятия.

Ключевые области руководства и управления

Эталонная модель процессов