1.3 Стандарт cobit

Стандарт COBIT не является стандартом по безопасности, но он имеет фундаментальное значение для понимания архитектуры информационной инфраструктуры и самих стандартов по информационной безопасности.

Общие сведения

COBIT (Control Objectives for Information and related Technology) - международный стандарт, определяющий набор универсальных задач управления ИТ, ориентированных, прежде всего, на руководство организации и на ИТ-аудиторов. COBIT является результатом обобщения международных и национальных стандартов и руководств в области управления ИТ. В состав интернациональной команды разработчиков COBIT входят специалисты государственных и коммерческих предприятий, учебных заведений и фирм, специализирующихся на вопросах управления ИТ. Первая версия стандарта была выпущена в 1996 году Организацией аудита и контроля информационных систем (Information Systems Audit and Control Foundation –ISACF). Она включала в себя концептуальное ядро (COBIT Framework), определяющее набор основополагающих принципов и понятий в области управления ИТ, описание задач управления (Control Objectives) и «Руководство по аудиту» (Audit Guideline). Вторая версия COBIT была опубликована в 1998 году. Она содержала переработанную версию высокоуровневых и детальных задач управления, дополненных «набором инструментов внедрения» (Implementation Tool Set). Третья редакция стандарта была выпущена Институтом управления ИТ (IT Governance Institute), учрежденным Ассоциацией аудита и контроля ИС (Information Systems Audit and Control Association (ISACA)) совместно с ISACF с целью дальнейшего развития и популяризации принципов управления ИТ. Институт управления ИТ в настоящее время является основным разработчиком COBIT. В третьей версии стандарта появилось «Руководство для менеджеров» (Management Guidelines) в основе которого лежит понятие «Система управления ИТ» (IT Governance). В настоящее время действует четвертая редакция стандарта Основной стратегической задачей стандарта является ликвидация разрыва между руководством организации с их видением бизнес целей и ИТ департаментом, осуществляющим поддержку важнейшей для любой современной организации информационной инфраструктуры, которая должна работать на достижение этих целей. Таким образом, COBIT является связующим звеном между бизнес процессами и технической инфраструктурой. Он представляет обобщение лучших достижений по управлению информационными технологиями. Миссия COBIT состоит в распространении этого опыта для повседневного использования. Стандарт COBIT ориентирован прежде всего на ИТ менеджеров, руководителей предприятий и владельцев бизнес процессов, которые должны убедиться в наличие системы внутреннего контроля, поддерживающей бизнес процессы и устанавливающей роль каждого механизма управления в работе по удовлетворению требований к информационному обеспечению бизнеса. Механизмы управления включают в себя политики, функциональные организационные структуры, процедуры и регламенты. Задачей управления ИТ (IT Control Objective) является формулировка желаемого результата или цели, которые должны быть достигнуты путем реализации механизмов управления в рамках ИТ процесса.

1.3.2 Концептуальное ядро

Основой для понимания всех основных положений стандарта является «Концептуальное ядро «COBIT Framework». Концептуальное ядро COBIT – это набор основополагающих принципов и понятий, высокоуровневых задач управления, а также модель управления ИТ, на базе которых строятся все положения стандарта. Концептуальное ядро COBIT (COBIT Framework) представляет собой набор основополагающих принципов и понятий, а также модель управления ИТ, на базе которых строятся все положения COBIT. Основная концепция COBIT предполагает построение механизмов управления в ИТ исходя из того, какая информация необходима для поддержания бизнес целей и удовлетворения требованиям бизнеса. При этом информация рассматривается как результат использования ИТ ресурсов, управление которыми осуществляется в рамках ИТ процессов. Концептуальное ядро COBIT предоставляет владельцу бизнес процесса инструмент для реализации стратегии управления ИТ. Отправным пунктом является следующее утверждение: «Для своевременного и полного получения информации, необходимой для достижения бизнес целей, управление ИТ ресурсами должно осуществляться при помощи набора естественным образом сгруппированных процессов». Концептуальное ядро COBIT включает: 1) ИТ процессы; 2) ИТ ресурсы; 3) информационные критерии. Эти три грани управления ИТ могут быть представлены в виде «Модели куба» (COBIT Cube), изображенной на рисунке 5 .

Первую грань куба составляют домены (domains), процессы (process) и задачи (activities). Основу этой иерархической структуры составляют 34 ИТ-процесса – высокоуровневые задачи управления, сгруппированных в четыре домена: 1) планирование и организация, 2) комплектование и внедрение, 3) предоставление и поддержка, 4) мониторинг. Такая структура охватывает все аспекты управления и использования ИТ. Выполнение всех задач управления, позволяет гарантировать владельцу бизнес процесса, что система управления ИТ является адекватной задачам бизнеса. Для каждого из 34 ИТ процессов, описанных в концептуальном ядре COBIT, определяется набор детальных задач управления (Detailed Control Objectives) – их насчитывается 318. Каждая задача управления содержит формулировку ожидаемых результатов или целей, которые необходимо достигнуть путем реализации конкретных процедур управления в рамках ИТ процесса. Формулировки задач управления в COBIT носят в максимальной степени абстрактный характер, что делает их независимыми от конкретных программно-аппаратных платформ и характера деятельности организации. Задачи управления ориентированы на руководство организации, персонал ИТ департамента, подразделения внутреннего контроля и аудита, а также на владельцев бизнес процессов. Вторую грань куба образуют ИТ ресурсы. В COBIT определены следующие классы ИТ ресурсов:

1). Приложения (applications).

2). Информация (information).

3). Инфраструктура (infrastructure).

4). Люди (people). Третью грань куба COBIT образуют критерии управления ИТ ресурсами. Критерии управления ИТ включают:

1) эффективность,

2) продуктивность,

3) конфиденциальность,

4) целостность,

5) доступность,

6) соответствие требованиям,

7) надежность.

Концептуальное ядро COBIT – великолепный пример для построения аналогичной структуры для большинства рассматриваемых стандартов.