Что такое золотой стандарт? Золотой стандарт – это система фиксированных валютных курсов: государства соглашаются фиксировать стоимость своих валют относительно установленной цены на золото.С 1879 до 1914 г. многие страны использовали золотой стандарт для подведения

Золотомонетный стандарт Наиболее важной разновидностью золотого стандарта, несомненно, является золотомонетный стандарт. Именно эта форма золотого стандарта главным образом рассматривалась в предыдущих четырех главах нашей книги. Поскольку мы уже познакомились с

Золотодевизный стандарт Хотя различные проекты, несущие в себе некоторые черты современного золотодевизного стандарта, время от времени выдвигались в XVIII – начале XIX в., и некоторые из них претворялись в жизнь, первый вполне продуманный план золотодевизного стандарта

Золотослитковый стандарт Хотя золото в таких неспециализированных формах, как песок, самородки, слитки и т.п., использовалось в качестве стандартных денег на протяжении тысячелетий и хотя при собственно золотом стандарте золотые слитки широко применяются в качестве

Стандарт Прежде всего следует осознать: только тот факт, что топ-менеджер имеет отличное резюме, прекрасно держится на собеседовании и представил надежные рекомендации, еще не гарантирует его высокоэффективной работы в вашей компании. В этом мире существует два

Я периодически перечитываю книги из библиотеки COBIT5, и каждый раз они являются для меня источником вдохновения. В этом посте я решил рассказать о подходе COBIT5 к измерениям, некоторые (но не все) идеи вполне можно использовать и для измерения ИБ...

1.Важные термины

Из книги COBIT 5: Бизнес-модель по руководству и управлению ИТ на предприятии (русский перевод):

Метрика - поддающаяся количественному исчислению сущность, которая позволяет измерить степень достижения целей процесса. Метрика должна соответствовать принципам SMART (то есть быть конкретной, измеримой, достижимой, актуальной и привязанной к промежутку времени). Подход к определению метрик должен включать единицы измерения, частоту измерения, эталонное значение (если таковое применимо), а также процедуру измерения и процедуру интерпретации результатов измерения.

И еще несколько, которые пригодятся:

Цель - описание желаемого результата.
ИТ-цель - утверждение, которое описывает желаемый результат использования ИТ для реализации целей предприятии. Результат может быть артефактом, существенным изменением состояния или существенным усилением возможностей.
Цель процесса - утверждение, описывающее желаемый результат процесса. Результатом может быть артефакт, значительное изменение состояния или значительное совершенствование возможностей других процессов.
Процесс - обычно – набор практик, находящихся под влиянием политик и процедур предприятия, который получает на вход ресурсы (включая результаты других процессов), преобразует их и создает результат (выходы, то есть продукты и услуги).
Замечание по охвату: для существования процессу необходимо иметь ясную бизнес-причину, подотчетного владельца, четкое закрепление ролей и обязанностей за исполнение процесса и средства измерения производительности.

В методологии COBIT5 все метрики (о них ниже) привязываются к конкртеным (ну, относительно) разноуровневым целям. Поэтому надо хотя бы в общих чертах представлять "каскад целей". Вот он:

COBIT5 определяет 17 универсальные целей предприятия (с учетом подходов и идей из модели BSC, Сбалансированная Система Показателей) и столько же ИТ-целей. Их стоит рассматривать в качестве примера, и рекомендуется адаптировать под особенности конкретной организации. А в приложении к документу есть еще и подробная карта соответствия между ИТ-целями и ИТ-процессами...

А цели факторов влияния (enablers) лучше смотреть в книге COBIT5 for Information Security.

Подытожу этот пункт цитатой:

"Важность каскада целей заключается в том, что он позволяет определить приоритеты внедрения, совершенствования и гарантировать наличие руководства ИТ на предприятии на основе понимания (стратегических) целей предприятия, а также связанных рисков. На практике каскад целей:
Определяет важные и измеримые цели и задачи на различных уровнях ответственности.
Позволяет извлечь из базы знаний COBIT 5 все данные об определённой цели предприятия, которые могут понадобиться в проектах внедрения, совершенствования или оценки качества.
Ясно определяет и демонстрирует (в некоторых случаях очень подробно) то, каким образом факторы влияния помогают в достижении целей предприятия."

На мой взгляд, большинство из них сложны для понимания, сбора и представления, а значит не будут применяться в реальной жизни. Ну, в России точно. Однако, как источник вдохновения их использовать можно.

Обратил также внимание, что много "бизнес-метрик" предлагают оценивать уровень "удовлетворенности" тех или иных заинтересованных лиц чем-либо. Например, персонала от работы, руководства от стоимости инициатив и так далее. Интересный подход...

Во-вторых, в книгах COBIT5 for Information Security и COBIT5 Enabling Processes представлены еще и метрики для оценки достижения низкоуровневых целей (целей отдельных факторов влияния (enablers)). Вот эти факторы влияния:

Самыми интересными для нас, конечно же, будут метрики процессов, причем из книги COBIT5 for Information Security. Вот, например, такие (к сожалению, тоже без перевода):

Но и метрики, связанные с целями других факторов влияния (например, с инфраструктурой) тоже посмотреть стоит. Так как документы довольно большие (220 и 230 страниц соответственно), то примеры метрик удобнее всего искать простым поиском по слову "metric".

Как вы могли уже заметить, даже "ИБ-метрики" отдельных процессов "в лоб" применить будет сложно, к сожалению авторы не дают рекомендаций (или хотя бы комментариев) по их сбору, обработке и интерпретации...

Что в итоге?

1. К сожалению, COBIT5 не получится использовать в качестве "единой интегрированной методологии" при внедрении системы показателей работы ИТ и ИБ. В документах нет четких рекомендаций по выстраиванию процесса сбора, обработки и анализа метрик, по выбору их целевых и граничных значений.
2. Идея с привязкой метрик к разноуровненным целям довольно интересна, ее имеет смысл адаптировать под конкретные проекты. Но в существующим виде ее использовать не получится...
3. COBIT5 представляет в качестве примера порядка трех сотен разноуровневых метрик. На мой взгляд, 2/3 из них для наших целей будут неприменимы... Но на них вполне можно ориентироваться, так сказать, "для вдохновения".

/ Что такое COBIT?

Вконтакте

Одноклассники

Алексей Лагутенков , MBA Kingston University UK, ITSM Manager, MCSE+I, MCSE:S:M, MCDBA, MCDST

Что такое COBIT?

Control Objectives for Information and Related Technologies (сокращенно COBIT) можно перевести как «Задачи управления информационными и смежными технологиями». Несмотряна абстрактность формулировок, COBIT – ценный инструмент, позволяющий превратить информационные технологии, использующиеся на предприятии, из вспомогательной, чисто затратной области в объект, который глубоко интегрируется в структуру компании и начнет оказывать помощь в решении стратегических задач предприятия

В большинстве случаев пересечение информационных технологий и менеджмента порождает монстров. Не исключение в этом отношении и COBIT. Первое знакомство инженеров ИT с этой областью знаний обычно не вызывает восторга. Огромные тома абстрактной документации, в которых нет ни одного пошагового HOW TO и ни одной конкретной рекомендации. Казалось бы, кому и зачем все это нужно, когда на работе и так есть, чем заняться? К сожалению, ответ не лежит на поверхности.

Первое, на что следует обратить внимание, – COBIT бесполезен для малых и в большинстве случаев для средних компаний. Использование ИТ в малом бизнесе конкретное ипрактическое: поддержать в рабочем состоянии сеть, создать и оптимизировать собственный веб-сайт и т.д. Однако чем крупнее становятся компания и ее ИТ-отдел, тем более абстрактные задачи приходится решать.

Главное отличие малой компании от большой заключается в том, что совету директоров или акционеров крупного предприятия непонятны, а потому абсолютно не интересны подробности работы ИТ-подразделений. Совет интересует «улучшение конкурентоспособности» или «повышение клиентоориентированности компании» и, скажем, рост стоимости ценных бумаг предприятия на бирже. Поэтому задачи ИТ-директору в большой компании ставятся совершенно не айтишные: «повысить эффективность», «снизить затраты путем оптимизации бизнес-активности на стратегически важных направлениях компании» или «улучшить работу с поставщиками». Все попытки CIO что-то уточнить и предложить конкретные планы автоматизации чего-либо натыкаются на стену глухого непонимания со стороны руководства. Биг-боссы не хотят знать, как именно следует апгрейдить серверы.Они хотят видеть реализацию стратегических целей компании.

Отсутствие взаимопонимания между ИT и высшим менеджментом лучше всего пояснить на примере. Предположим, что вы CIO крупной компании. Компания настолько крупная,что в штате есть не просто уборщица, а целый CCM (Chief Cleaning Manager – шеф-клининг-менеджер) с собственным отделом уборщиц. Однажды вы вызываете ССМ на ковер ипросите ее наконец убраться в серверной, ибо уж больно там грязно! Предположим, что наш шеф-клининг-менеджер настолько мотивирована, что она немедленно разворачивает бурную деятельность!

Например, приносит красиво отпечатанный проект предстоящей уборки и просит вас утвердить решение, какими именно моющими средствами и инструментами уборки ей следует воспользоваться. В проекте заявлены несколько вариантов, с подробным перечислением достоинств и недостатков каждого из веников, швабр, чистящих порошков и гелей. Какова будет ваша реакция на такую инициативу? Вероятнее всего, несчастная уборщица получит изрядный нагоняй. Еще не хватало директору ИT изучать полезные свойства швабр и«мистеров Проперов»! Необходимо, чтобы серверная просто была чистой, а как это будет реализовано, это абсолютно вне зоны ответственности CIO. Важен результат, а не процесс. Ничего не напоминает?

Если посмотреть на деятельность ИТ-департамента в рамках всего предприятия, в свете приведенного выше примера становится очевидно, что ИТ – это всего лишь один из центров затрат, обслуживающих бизнес компании. Конечно же, все вышесказанное не касается компаний-интеграторов. Но если ИТ не задействовано в бизнесе напрямую, то у высшего руководства нет ни одной причины вникать в работу инструментария обслуживающего персонала одного из центров затрат. То есть формально существует некая черта или граница,по одну сторону которой высшее руководство и абстрактно-стратегические цели, а по другую – информационно-технический отдел и конкретные материальные задачи.

Именно на стыке абстрактных стратегических целей высшего руководства и конкретных ИТ-решений и работает COBIT. Если сформулировать задачи COBIT в одном предложении,то COBIT – это инструмент для преодоления пропасти непонимания между CEO/советом директоров/советом акционеров и CIO.

Стратегические цели компании, как правило, выглядят для работников ИТ слишком абстрактно. Добиться от совета директоров инструкций уровня HOW TO для ИТ-отдела – задача практически не реализуемая. Отсутствие этого «моста взаимопонимания» ведет к внедрению бесполезных для бизнеса компании проектов. Рекомендации COBIT позволяют транслировать стратегические цели бизнеса, в конкретные ИТ-активности, в рамках которых можно запускать проекты, которые будут намного точнее отвечать целям компании. ВCOBIT определены 17 возможных стратегических бизнес-целей компании, 17 ИТ-целей компании и составлена таблица соответствия, которая позволяет транслировать одни цели вдругие. Благодаря этому COBIT становится чем-то вроде платформы-буфера для ведения диалога между топ-менеджерами, руководителями ИТ, инженерами-программистами иаудиторами.

Еще одна польза от внедрения COBIT – это наличие множества KPI. Например, существуют показатели для качества и стоимости обработки информации, характеристик ее доставки получателю. Кроме того, с помощью имеющихся индикаторов можно оценить стиль и удобство интерфейсов, а также ряд общепринятых характеристик ИТ-безопасности, такие какцелостность, конфиденциальность, достоверность и доступность.

Управление ИТ с помощью COBIT осуществляется по ступенчатой схеме – от общего к частному. Сначала разрабатываются стратегии. Например, выстраивание ИТ процессов всоответствии с бизнес-целями компании. Затем последовательно определяются политики, в соответствии с которыми будет осуществляться реализация ИТ-стратегий, стандарты-метрики для политик и, наконец, процедуры – то, как именно будут применяться политики и стандарты.

COBIT можно использовать в двух областях: для аудита имеющихся ИТ, а также для разработки новой ИТ-структуры предприятия. Результатом аудита обычно является ответ навопрос: насколько соответствует имеющаяся ИТ-система лучшим практикам? Результатом проектирования системы с нуля в идеале должно стать создание ИТ-структуры, практически идеальной по своим характеристикам. COBIT не зависит от технологий, производителей и платформ реализации.

Концепция COBIT уже успешно внедрена в некоторых действительно больших организациях. Например, сюда относятся :

• Министерство обороны США
• Почтовая служба США
• Департамент по делам ветеранов США (VA)
• Правительство штата Альберта, Канада
• Агентство банковского регулирования и надзора, Турция (BRSA)
• Агентство по страхованию и рынкам капитала, Израиль
• Управление генеральной инспекции Евросоюза (OIG)
• Управление государственного аудита, Литовская Республика
• Правительство штата Керала, Индия
• Управление финансов, Колумбия
• Главное управление финансов (SUGEF), Коста-Рика
• Правительство Бахрейна
• Федеральное правительство Нигерии
• Правительство Южно-Африканской Республики

Впервые COBIT был введен организацией под названием «Ассоциация аудита и контроля над информационными системами» (ISACA – Information Systems Audit and Control Association) в 1996 году. Текущая версия COBIT – пятая. Она была принята в 2012 году (см. рис. 1).

Концепция COBIT буквально на наших глазах эволюционировала из относительно несложного руководства по аудиту ИT-ресурсов в сложную и всеобъемлющую бизнес – модельдля руководства и управления информационными технологиями на крупном предприятии.

Текущая версия COBIT – пятая. В ней декларируется пять основных принципов (см. рис. 2).

Для человека, незнакомого с принципами ИT-менеджмента, эта декларация принципов выглядит довольно абстрактно и непонятно. Однако эти принципы есть ключевой момент приответе на вопрос: «Для чего нужен COBIT?»

Принцип первый: «Соответствие потребностям заинтересованных сторон»

Заинтересованная сторона в английском языке называется stakeholder (стэйкхолдер). Точного перевода на русский язык у этого слова, к сожалению, нет. Кто такой этот стэйкхолдер? Это владелец или акционер компании, это все сотрудники компании, владеющие акциями предприятия, миноритарные акционеры и многие-многие другие, совершенно незнакомые друг с другом люди, которых объединяет только одно – все они заинтересованы в том, чтобы предприятие приносило прибыль.

В первом принципе COBIT 5 декларируется довольно-таки банальная, на первый взгляд, мысль: любое предприятие существует исключительно для того, чтобы создавать интересдля стэйкхолдеров. Философская основа данного взгляда заключается в том, что интересы у разных стэйкхолдеров на одном и том же предприятии могут быть совершенно разные. Например, для улучшения эффективности работы фирмы можно поглотить компанию-конкурента, а можно сократить затраты с помощью увольнения «лишнего» персонала. Соответственно, подходы к тому, как же именно управлять предприятием, в зависимости от выбранной стратегии могут быть совершенно противоположные, несмотря на общую цель. Как это касается сферы ИТ? Очень даже напрямую касается! Если говорить о M&A (слияние и поглощение компаний), то ничего страшнее для ИТ-департамента не придумать даже в кошмарном сне! Образно говоря, это сродни тому, чтобы заставить китайца, не желающего учить английский язык, работать вместе с англичанином, не знающим китайского,над проектом, в предметной области которого они оба одинаково некомпетентны.

Система руководства предприятием в этом свете должна учитывать интересы всех заинтересованных сторон (см. рис. 3). Это означает, что компания должна генерировать прибыль и при этом должны адекватно учитываться возможные риски и используемые ресурсы. То есть руководство компании всегда должно иметь ответы на вопросы:

• Кто получит прибыль?
• Кто принимает на себя риск?
• Какие ресурсы необходимы для данного действия?

В итоге интересы стэйкхолдеров необходимо как-то сконвертировать в практическую реализацию стратегии предприятия. COBIT 5 как раз и предлагает каскадировать высокоуровневые цели предприятия в конкретные действия на уровне ИТ.

Принцип второй: «Комплексный взгляд на предприятие»

Основная мысль этого принципа заключается в том, что информация и информационные технологии, используемые на предприятии, не самодостаточны, а являются частью экономического процесса по созданию ценности (см. рис. 4). Вследствие чего управлять информацией и ИТ следует так же, как и любыми другими активами предприятия. Кроме создания ценности или интереса для стэйкхолдеров, руководство включает в себя некоторые дополнительные элементы, такие как факторы влияния, области применения илиобласти охвата, а также роли, виды деятельности и отношения.

Факторы влияния в руководстве – можно сказать, что это инструменты, с помощью которых осуществляется руководство. В качестве таких инструментов могут выступать, например, практические приемы, наработанные за счет чьего-то личного опыта в данной предметной области. Также к факторам влияния относят всевозможные методологии, процессы и любые другие ресурсы предприятия, с помощью которых достигаются цели предприятия. Если обратиться непосредственно к информационным технологиям, тофакторами влияния являются персонал, информация и ИТ-инфраструктура.

Область руководства – это совсем просто! Руководить можно предприятием в целом, а можно отдельным филиалом, подразделением и отделом. Соответственно, на каждом уровне уруководителя будет свой взгляд на то, как все должно быть организовано.

Роли, виды деятельности и отношения – это кто, как и чем руководит и управляет. В COBIT предложено формализовать эту деятельность с помощью введения понятия «доменов». На рис. 5 можно увидеть что-то вроде «дорожной карты», кто и чем занимается.

Принцип третий: «Применение единой интегрированной методологии»

Вообще говоря, для управления предприятием создано множество всевозможных «фреймворков», рекомендаций, сводов знаний, стандартов и наилучших практик. Одно лишь их перечисление займет достаточное количество времени. Вот лишь некоторые из них:

• общее руководство предприятием: COSO – Методология корпоративного руководства, COSO ERM – Риск-менеджмент в рамках COSO, ISO/IEC 9000 – Менеджмент качества, ISO/IEC 31000 – Риск-менеджмент;
• относящиеся к ИТ: ISO/IEC 38500 – корпоративное управление информационными технологиями, ITIL, ISO/IEC 27000 – стандарт управления, включающий информационную безопасность, TOGAF, PMBOK/PRINCE2, CMMI.

Методология COBIT 5 в большей или меньшей степени интегрирует все лучшее, что можно взять от каждого из этих подходов. Поскольку COBIT не противоречит ни одной извышеназванных методик управления, есть возможность совместить область действия любого из вышеназванных подходов с COBIT.

Принцип четвертый: «Обеспечение целостности подхода»

Этот принцип посвящен более детальному освещению «факторов влияния», упоминавшихся в описании второго принципа «комплексный взгляд на предприятие». В отличие отвторого принципа четвертый говорит о том, каким должен быть образ мышления руководителя для достижения наилучшего результата (см. рис. 6).

В тексте официального издания COBIT 5 об этом говорится так:

«Любое предприятие всегда должно принимать во внимание взаимосвязанный набор факторов влияния. Это означает, что каждый фактор влияния:

• Должен получать входные данные и ресурсы от прочих факторов влияния с тем, чтобы быть достаточно эффективным. Например, процессам нужна информация, организационным структурам нужны навыки и поведение.
• Предоставляет информацию и результаты другим факторам влияния. Например, процессы создают данные, а навыки и поведение делают процессы рациональными.

Поэтому для принятия правильных решений при руководстве и управлении ИТ на предприятии следует учитывать системный характер мер по руководству и управлению. Это означает, что для удовлетворения потребностей заинтересованных сторон следует анализировать, принимать во внимание и реализовывать все взаимосвязанные факторы влияния».

Принцип пятый: «Разделение руководства и управления»

Прежде всего хочется остановиться на тонкостях английского языка, на котором составлены оригиналы всех документов COBIT. Разница смыслов у терминов, используемых вконцепции COBIT, «Governance» – «Руководство» и «Management» – «Управление» – это один из ключевых моментов понимания всей концепции в целом. В русском тексте COBIT 5 приводится следующая информация:

«Везде в тексте слова «руководство» и «управление» использованы в соответствии со следующими определениями:

Руководство обеспечивает уверенность в достижении целей предприятия путем:

• сбалансированной оценки потребностей заинтересованных сторон, существующих условий и возможных вариантов;
• установления направления развития через приоритизацию и принятие решений;
• постоянного мониторинга соответствия фактической продуктивности и степени выполнения требований установленным направлению и целям предприятия.

Управление заключается в планировании, построении, выполнении и отслеживании деятельности в соответствии с направлением, заданным органом руководства, для достижения целей предприятия» (см. рис. 7).

Модель управления предприятия в рамках COBIT 5 состоит из двух доменов, «Руководство» и «Управление». Более детально эти домены и содержащиеся в них процессы представлены на рис. 8.

Таким образом, можно видеть, что в случае внедрения на предприятии модели управления в соответствии с рекомендациями COBIT оптимизация большинства рабочих процессов произойдет автоматически в соответствии с наилучшими практиками. Каждый из поддоменов имеет достаточно детализированный механизм внедрения и мониторинга, чтопозволяет избежать появления в компании непонятно чем занимающихся структур и подразделений.

Конечно, помимо COBIT, существуют и другие модели управления предприятием и информационными технологиями внутри компании. Например, ITIL достаточно хорошо справляется с решением ИТ-задач уже многие годы. Однако, по признанию некоторых экспертов, уровень абстракции модели COBIT все-таки выше . С практической точки зрения это означает, что с помощью COBIT можно решать не только и не столько вопросы информационных технологий, сколько удовлетворять потребности бизнеса посредством ИТ. бит

1. COBIT Fact Sheet – http://www.isaca.org/About-ISACA/Press-room/Documents/2015-COBIT-Fact-Sheet_pre_eng_1015.pdf .
2. Aligning CobiT® 4.1, ITIL® V3 and ISO/IEC 27002 for Business Benefit, 2008.

COBIT – это инструмент для преодоления пропасти непонимания между CEO/советом директоров/советом акционеров и CIO

Вконтакте