【文章內(nèi)容簡(jiǎn)介】 更好的決策？ 46 ?最成功的三種 IT決策模式 47 ? 案例研究 ?Delta航空公司的 IT決策 ?國(guó)內(nèi)證券公司的 IT治理模式 ?道富公司的 IT治理設(shè)計(jì) 48 ? IT治理的實(shí)施框架 ? 為了實(shí)施有效的 IT治理，除了在戰(zhàn)略層建立決策權(quán)歸屬和職責(zé)擔(dān)當(dāng)?shù)目蚣芡猓€要對(duì)企業(yè)的戰(zhàn)術(shù)運(yùn)行層制定一套適用的 IT控制框架，以確保 IT支持業(yè)務(wù)目標(biāo)，確保資源得到了可靠的使用、風(fēng)險(xiǎn)受到了合理的管理。 三、戰(zhàn)術(shù)層的 IT治理 49 ? COBIT是什么？ ? ISACA制定的 COBIT(Control Objectives for Information and related Technology)是一個(gè)在國(guó)際上公認(rèn)的、先進(jìn)的和權(quán)威的安全與信息技術(shù)管理和控制標(biāo)準(zhǔn)，它在商業(yè)風(fēng)險(xiǎn)、控制需要和技術(shù)問(wèn)題之間架起了一座橋梁，以滿足管理的多方面需要。 （一） IT治理工具－ COBIT 50 ? COBIT基本的準(zhǔn)則 ?國(guó)際上通用的、得到普遍認(rèn)可的 IT控制最佳實(shí)務(wù)標(biāo)準(zhǔn)，是實(shí)施 IT治理的重要基礎(chǔ)； ?適用企業(yè)建立全局信息系統(tǒng)時(shí)參照使用，與具體的技術(shù)無(wú)關(guān)； ?從業(yè)務(wù)對(duì)信息的需求出發(fā)，面向企業(yè)管理層和業(yè)務(wù)過(guò)程的所有者； 51 ? COBIT的背景 ?第一版由信息系統(tǒng)審計(jì)與控制基金會(huì)（ ISACF）于1996年發(fā)布。 ?第二版于 1998年出版，修訂了高層控制目標(biāo)與詳細(xì)控制目標(biāo)，增加了實(shí)施工具集（ Implementation Tool Set） ?信息系統(tǒng)審計(jì)與控制基金會(huì)（ ISACA）及其相關(guān)的基金會(huì)在 1998年創(chuàng)立 IT治理研究院 (ITGI)，由 ITGI制定并發(fā)布了 COBIT第三版，加入了管理指南，以及擴(kuò)展和加強(qiáng)了對(duì) IT治理的關(guān)注； ? COBIT基于 ISACF的建立的 IT控制目標(biāo)，參照了其他控制框架、行業(yè)標(biāo)準(zhǔn)； ? ITGI于 2023年底發(fā)布了 COBIT第四版，這一版對(duì) IT某些過(guò)程進(jìn)行了調(diào)整，強(qiáng)調(diào)了 IT控制與 IT治理五個(gè)領(lǐng)域的對(duì)應(yīng)關(guān)系 52 ? COBIT的目標(biāo)使用者 ?管理層 幫助他們?cè)诓豢深A(yù)知的 IT環(huán)境中平衡風(fēng)險(xiǎn)和控制之間的矛盾 (采用控制措施需要投入資金 )。 ?用戶 對(duì)內(nèi)部或第三方提供的 IT服務(wù)，獲得在安全與控制方面的保證。 ?審計(jì)師 證實(shí)他們的觀點(diǎn)，在內(nèi)部控制問(wèn)題上為管理層提出建議。 53 ? COBIT能給組織帶來(lái)的利益 ? 有助于大幅提高組織對(duì) IT治理的接受程度，減少實(shí)施 IT治理所需的時(shí)間； ? 對(duì) IT審計(jì)方法與審計(jì)方案標(biāo)準(zhǔn)化，為正式的 IT審計(jì)與檢查提供指南，為識(shí)別所有的主要風(fēng)險(xiǎn)區(qū)域提供可靠的參考； ? IT運(yùn)行管理人員通過(guò) COBIT可以了解審計(jì)師的關(guān)注點(diǎn)，有助于利用審計(jì)結(jié)果作為實(shí)施改善行動(dòng)的機(jī)會(huì)； ? 是實(shí)現(xiàn) IT治理目標(biāo)的驅(qū)動(dòng)力，可以幫助組織完善 IT實(shí)務(wù)和 IT過(guò)程； ? 為組織提供了一個(gè)經(jīng)濟(jì)的、可持續(xù)完善的控制框架，提供一個(gè)有價(jià)值的參照基準(zhǔn)，使得管理層對(duì)控制的決策可以基于一個(gè)可信的來(lái)源； ? 有助于在業(yè)務(wù)與 IT之間搭起溝通的橋梁，完善業(yè)務(wù)人員與 IT管理人員的關(guān)系 54 ? COBIT產(chǎn)品簇 COBIT框架 控制目標(biāo) 控制實(shí)務(wù) 審計(jì)指南 實(shí)施指南 管理指南 IT治理總論 Practices Responsibilities Executives Boards 治理實(shí)務(wù) 職責(zé) 董事會(huì)與執(zhí)行管理層 Business and Technology Management w Performance measures w Critical success factors w Maturity models 業(yè)務(wù)與技術(shù)管理層 績(jī)效測(cè)量 關(guān)鍵成功因素 成熟度模型 Audit, control and security professional What is the IT Control Framework ? How to assess the IT Control Framework ? How to introduce it in the enterprise ? 審計(jì)、控制和安全從業(yè)人員 如何制定 IT控制框架 ? 如何評(píng)估 IT控制框架 ? 如何在組織中建立 IT控制框架 ? 55 ? COBIT原理 ? COBIT框架的出發(fā)點(diǎn) ? 要實(shí)現(xiàn)對(duì) IT的控制，就要考慮支持業(yè)務(wù)目標(biāo)或業(yè)務(wù)需求的信息，考慮運(yùn)用 IT相關(guān)資源后得到的信息，對(duì) IT資源要通過(guò)恰當(dāng)?shù)?IT過(guò)程來(lái)進(jìn)行管理。 56 ? COBIT如何滿足業(yè)務(wù)要求 ?機(jī)密性 ?完整性 ?可用性 ?有效性 (效能 ) ?經(jīng)濟(jì)性 (效率 ) ?機(jī)密性 ?完整性 ?可用性 ?合規(guī)性 ?可靠性 (信息 ) ?質(zhì)量 ?成本 ?交付 ?運(yùn)行的有效性和經(jīng)濟(jì)性 ?信息的可靠性 ?與法律、法規(guī)的符合性 質(zhì)量需求 信譽(yù)需求 安全需求 57 ? COBIT信息標(biāo)準(zhǔn)的定義 ? 有效性 —處理與業(yè)務(wù)過(guò)程相關(guān)的信息，并以及時(shí)、正確、一致和可用的方式交付。 ? 經(jīng)濟(jì)性 —以最優(yōu)化資源使用的方式（最具生產(chǎn)力的和經(jīng)濟(jì)的方式）來(lái)提供信息。 ? 機(jī)密性 —保護(hù)敏感信息不被非授權(quán)泄露。 ? 完整性 —與信息的準(zhǔn)確性和完全性相關(guān)，同時(shí)也與符合業(yè)務(wù)價(jià)值和業(yè)務(wù)預(yù)期的正確性有關(guān)。 ? 可用性 —在無(wú)論是在當(dāng)前還是將來(lái)，業(yè)務(wù)過(guò)程所需要的信息要隨時(shí)可用，同時(shí)還關(guān)系到對(duì)必要資源和相關(guān)能力的保護(hù)。 ? 符合性 —處理與業(yè)務(wù)流程相關(guān)的法規(guī)、法律及合同的符合性問(wèn)題，即遵循外部強(qiáng)加的各種業(yè)務(wù)標(biāo)準(zhǔn)。 ? 信息可靠性 —為管理層運(yùn)行業(yè)務(wù)實(shí)體、行使其財(cái)務(wù)和符合性報(bào)告的職責(zé)而提供合適的信息。 58 ? COBIT中識(shí)別的 IT資源定義如下： ? 數(shù)據(jù) ——是指廣義形式的（即組織內(nèi)部與外部）、結(jié)構(gòu)化的和非結(jié)構(gòu)化的、圖形的、聲音的數(shù)據(jù)對(duì)象。 ? 應(yīng)用系統(tǒng) ——可以理解為人工程序和計(jì)算機(jī)程序的總和。 ? 技術(shù) ——涵蓋硬件、操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)、網(wǎng)絡(luò)、多媒體等。 ? 設(shè)備 ——指所有用來(lái)存放和支持信息系統(tǒng)的資源。 ? 人員 ——員工在計(jì)劃、組織、采購(gòu)、交付、支持和監(jiān)控信息系統(tǒng)和服務(wù)時(shí)，所應(yīng)具備的技能、意識(shí)和生產(chǎn)力。 59 ? COBIT框架結(jié)構(gòu) ? COBIT由 IT的域、過(guò)程、活動(dòng)三級(jí)自然組合而成，這與組織結(jié)構(gòu)的責(zé)任域相適應(yīng)，通常也與可以應(yīng)用到 IT過(guò)程的管理周期或生命周期相一致 IT系統(tǒng) IT域 IT過(guò)程 IT 控制目標(biāo) ?關(guān)鍵成功因素 ?結(jié)果測(cè)量 ?關(guān)鍵績(jī)效指標(biāo) ?成熟度模型 IT 控制實(shí)踐 60 ? COBIT框架三維表示 ? 可以用以下三個(gè)標(biāo)準(zhǔn)維組成： 信息標(biāo)準(zhǔn)， IT 資源， IT 過(guò)程。這三個(gè)維度在 COBIT立方塊中可表示成下圖： 4個(gè)域 — 34個(gè)過(guò)程 — 318個(gè)控制目標(biāo) 61 ? COBIT的四個(gè)域 ? 計(jì)劃和組織 ——這個(gè)域涵蓋了戰(zhàn)略和戰(zhàn)術(shù)，其目的是要識(shí)別出能使 IT為實(shí)現(xiàn)業(yè)務(wù)目標(biāo)作出最大的貢獻(xiàn)的方法。為實(shí)現(xiàn)戰(zhàn)略設(shè)想，需要從不同的角度去計(jì)劃、溝通和管理。此外，還應(yīng)當(dāng)建立合理的組織與技術(shù)基礎(chǔ)設(shè)施。 ? 獲取與實(shí)施 ——為實(shí)現(xiàn) IT戰(zhàn)略，需要識(shí)別、開(kāi)發(fā)或采購(gòu) IT解決方案，并把它們集成到業(yè)務(wù)過(guò)程中去。另外，此域還涵蓋到了對(duì)現(xiàn)有系統(tǒng)的更新與維護(hù)，以確保這些系統(tǒng)生命周期的持續(xù)性。 ? 交付與支持 ——該域關(guān)注的是所要求服務(wù)的實(shí)際交付，它的范圍可以從傳統(tǒng)的安全和可持續(xù)性運(yùn)行一直到培訓(xùn)的各個(gè)方面。為了提供服務(wù)，必須建立必要的支持過(guò)程。 (該域包含應(yīng)用系統(tǒng)對(duì)數(shù)據(jù)的實(shí)際處理，通常按應(yīng)用控制分類(lèi)。 ) ? 監(jiān)控與評(píng)價(jià) ——要對(duì)所有 IT過(guò)程的質(zhì)量以及與控制需求的符合性進(jìn)行周期性的評(píng)估。該域使管理者可以監(jiān)督組織的控制過(guò)程和由內(nèi)部和外部審計(jì)所作的獨(dú)立保證。 62 ?控制程度的選擇 COBIT總體結(jié)構(gòu)圖 ? 主要的（ Primary，簡(jiǎn)寫(xiě)為 P） ——在這個(gè)程度上，定義的控制目標(biāo)直接影響相關(guān)信息標(biāo)準(zhǔn)。 ? 次要的（ Secondary, 簡(jiǎn)寫(xiě)為 S） ——在這個(gè)程度上，定義的控制目標(biāo)只是在較小范圍或以間接方式滿足相關(guān)的信息標(biāo)準(zhǔn)。 ? 空白 (Blank)——可能適用；但由該過(guò)程的其他標(biāo)準(zhǔn)或由其他過(guò)程來(lái)滿足此需求更合適。 63 COBIT 監(jiān)控 信息 IT資源 計(jì)劃與組織 獲取與實(shí)施 交付與支持 業(yè)務(wù)目標(biāo) IT治理 有效性 經(jīng)濟(jì)性、 機(jī)密性、完整性、 可用性、可靠性、 合規(guī)性 人員、應(yīng)用系統(tǒng)、 技術(shù)、設(shè)施、數(shù)據(jù)、 ?過(guò)程監(jiān)控 ?評(píng)價(jià)內(nèi)部控制適當(dāng)性 ?獲取獨(dú)立保證 ?提供獨(dú)立審計(jì) ?定義并管理服務(wù)水平 ?管理第三方服務(wù) ?管理性能與容量 ?確保服務(wù)的連續(xù)性 ?確保系統(tǒng)安全 ?確定并分配成本 ?教育與培訓(xùn)用戶 ?服務(wù)臺(tái)及事故管理 ?配置管理 ?問(wèn)題管理 ?數(shù)據(jù)管理 ?物理環(huán)境管理 ?運(yùn)行管理 ?定義 IT戰(zhàn)略計(jì)劃 ?定義信息體系結(jié)構(gòu) ?確定技術(shù)方向 ?定義 IT過(guò)程、組織與關(guān)系 ?管理 IT投資 ?傳達(dá)管理目標(biāo)與方向 ?人力資源管理 ?質(zhì)量管理 ?風(fēng)險(xiǎn)與管理 IT評(píng)估 ?項(xiàng)目管理 ?確定 IT解決方案 ?獲取與維護(hù)應(yīng)用軟件 ?獲取與維護(hù)技術(shù)基礎(chǔ)設(shè)施 ?投入運(yùn)行與使用 ?采購(gòu) IT資源 ?變更管理 ?系統(tǒng)安裝與鑒定 ?COBIT總體結(jié)構(gòu)圖 64 ? COBIT域與過(guò)程簡(jiǎn)介 ?規(guī)劃與組織 ? 【描述】 – 這個(gè)域包括戰(zhàn)略和戰(zhàn)術(shù)兩個(gè)層面，重點(diǎn)是要關(guān)注 IT如何更好地為實(shí)現(xiàn)業(yè)務(wù)目標(biāo)作出最大貢獻(xiàn)；對(duì)戰(zhàn)略愿景的實(shí)現(xiàn)要從不同的角度進(jìn)行規(guī)劃、溝通和管理；要建立良好的組織架構(gòu)和技術(shù)基礎(chǔ)設(shè)施。 ? 【主題】 – 戰(zhàn)略和戰(zhàn)術(shù) – 遠(yuǎn)景規(guī)劃 – 組織及其基礎(chǔ)設(shè)施 ? 【問(wèn)題】 – IT戰(zhàn)略與業(yè)務(wù)戰(zhàn)略相一致嗎 ? – 組織的資源是否被優(yōu)化使用 ? – 組織中的每個(gè)人理解 IT目標(biāo)嗎 ? – IT風(fēng)險(xiǎn)是否已被識(shí)別并有效管理 ? – IT系統(tǒng)的質(zhì)量滿足業(yè)務(wù)的需求嗎 ? 65 ? 【控制目標(biāo)】 – PO1制定 IT戰(zhàn)略規(guī)劃 – PO2確定