Структура нового семейства продуктов ISACA COBIT 5 (драфт)

В 2005 году ISACA выпустила COBIT 4 - de facto стандарт и блестящий инструмент построения практики стратегического управления ИТ - IT Governance. В 2007 году последовало удачное уточнение/обновление вопросов управления в корпоративном масштабе - COBIT 4.1, принятый и как стадарт ISO 38500:2008 "Corporate Governance of Information Technology".

Это стало естественно не только на фоне роста популярности COBIT (я сам после ухода из Borland занимался парой проектов адаптации COBIT в конкретных корпоративных ИТ ). Набирала темп серьезнейших публикаций и, соответственно, вес сама ISACA, выпустившая один за одним такие важные фреймворки как ValIT (Value of IT), RiskIT (понятное дело - о рисках в ИТ), ITAF-A Professional Practices Framework for IT Assurance и, наконец, уже совместно с CSA (Cloud Security Allinace) - ряд материалов по оценке рисков применения "готовых взлететь" облачных технологий Cloud Computing.

Наступил момент, когда уже можно сказать, что портфель общепризнанных (и что крайне важно - неединожды проверенных) инструментов стратегического управления ИТ достиг очередной ступени развития и настало время подготовки очередного обновления свода практик IT Governance.

• ISACA опубликовала предварительную структуру нового семейства продуктов COBIT 5.

кликните для увеличения

P.S. Интересно, что в чём-то по аналогии с моделью Филиппа Кратчена 4+1 (Philippe Kruchten, "The 4+1 View Model of Architecture," IEEE Software, 1995), а если быть более точным - в соответствии с архитектурным стандартом IEEE 1451 "Recommended Practice for Architectural Description of Software-Intensive Systems", COBIT 5 использует концепцию перспектив или представлений - view (я пока ещё предпочитаю использовать тот или иной перевод в зависимости от обсуждаемого контекста ;), отражающих различные точки зрения, роли, контекст обсуждения вопросов управления ИТ. Думаю, что немного сориентироваться в самой идее использования представлений/перспектив помогут мои слайды с недавней конференции Software People 2010 (особенно, слайд 17).

P.P.S. Посмотрев на теги этого сообщения, у кого-то (м.б. более "архитектурного", чем "процессного" ;) может возникнуть вопрос - а какое отношение COBIT имеет к корпоративной архитектуре? тема несчерпаема как и само обсуждение где заканчивается IT Governance и начинается Enterprise Architecture. В качестве же краткого ответа на этот вопрос я адресую к текущей версии COBIT 4.1, где можно найти и определения EA от ISACA

• Enterprise architecture - Description of the fundamental underlying design of the components of the business system, or of one element of the business system (e.g., technology), the relationships amongst them and the manner in which they support the organisation's objectives
  
  
  
• Enterprise architecture for IT - Description of the fundamental underlying design of the IT components of the business, the relationships amongst them and the manner in which they support the organisation's objectives

и такую вот показательную, как мне кажется, диаграмму даже на страницах "выжимки" ключевых идей COBIT - Executive Summary:

К вопросу о стандартах управления ИТ: выпущен COBIT 4.0

ISACA (Information Systems Audit and Control Assotiation), а точнее, IT Governance Institute (ITGI) (некоммерческая исследовательская организация, аффилированная с ISACA), выпустила новую версию COBIT 4.0 .

Что такое COBIT?
COBIT = Control Objectives for Information and related Technology.

COBIT предназначен для определения компетенции или, если хотите, аспектов деятельности в управлении ИТ. COBIT – инструмент менеджмента в оценке качества функционирования и управления ИТ.

COBIT предлагает рассматривать деятельность ИТ по четырем “доменам” (областям компетенции/деятельности):

• Planning and Organization
• Acquisition and Implementation
• Delivery and Support
• Monitoring

Всего COBIT включает 34 ИТ-процесса, предлагая для каждого из которых цели (control objectives for the process), рекомендации (management guidelines: the process inputs & outputs, chart, goals, metrics), уровни ответственности (RACI - Responsible, Accountable, Consulted and/or Informed) и, конечно, модели (уровни) зрелости, позволяющие идентифицировать аспекты дальнейшего совершенствования процессов.

Впервые, COBIT появился в 1996 году как результат работы IT Governance Institute (ITGI), став, в дальнейшем, ключевым стандартом в области управления ИТ.

ISACA/ITGI активно сотрудничает с UK Office of Government Commerce (OGC), автором широко известных стандартов, методов и практик в области управления проектами (PRINCE – Project IN Controlled Environment) и управления ИТ-сервисами (ITIL - IT Infrastructure Library). OGC и itSMF (The IT Service Management Forum) принимали непосредственное участие в создании COBIT.

Какова связь между COBIT и ITIL? Каковы области применения COBIT и ITIL? Об этом существует замечательный совместный документ ITGI, OGC и itSMF - "Aligning COBIT®, ITIL® and ISO 17799 for Business Benefit: A Management Briefing from ITGI and OGC".

Как это связано с управлением разработкой ПО? На самом деле, непосредственным образом! COBIT использует многие подходы CMM/CMMI в части концепции структурирования процессных областей и определения целей управления и контроля. COBIT, являясь высокоуровневым фреймворком, не рассматривает подробно процессы разработки или процессы “выстравивания” ИТ-служб, отдавая детализацию соответствующих вопросов CMMI и ITIL, соответственно, как это я показал в своей модели ITLM (IT Lifecycle Management).

ISACA выпустила RiskIT фреймворк

Произошло давно ожидавшееся событие в области стратегического управления ИТ (IT Governance) - ISACA, автор базовых стандартов/фреймворков в этой области COBIT и ValIT (Value of IT), выпустила фреймворк управления рисками в ИТ - RiskIT.

В RiskIT входит четыре материала:

• The Risk IT Brochure (Sep 2009)
• The Risk IT Framework (Nov 2009)
• The Risk IT Practitioner Guide (Nov 2009)
• The Risk IT Practitioner Guide Toolkit (Nov 2009)

Их краткое содержание:

The Risk IT Brochure

• What is Risk IT?
• What does Risk IT do?
• What are the benefits of using Risk IT?

The Risk IT Framework

• Principles
• Process Details
• Management Guidelines
• Maturity Models

The Risk IT Practitioner Guide

• Risk Universe, Appetite and Tolerance
• Risk Awareness, Communication and Reporting
• Expressing and Describing Risk, Risk Scenarios
• Risk Responses and Prioritisation
• Using COBIT® and Val IT

The Risk IT Practitioner Guide Toolkit

• High-level IT Risk Assessment Form
• Risk Communication Flows
• Template Risk Register Entry
• Generic IT Risk Scenarios
• Generic IT Risk Scenarios Mapped to COBIT and Val IT Processes
• Generic IT Risk Scenarios and Environmental Risk Factors
• COBIT Controls and Val IT Key Management Practices to Mitigate IT Risk

Как всегда, такого рода основополагающие документы ISACA доступны бесплатно для зарегистрированных пользователей, а не только членов ISACA.


Что есть IT Governance я кратко описывал в своей колонке в Открытых Системах. Несколько вводных слов про COBIT вы можете найти здесь. Ну а каково место IT Governance как дисциплины и COBIT как стандарта в вопросах согласовании бизнеса и ИТ и самой жизнедеятельности ИТ - вы можете найти в моей модели ITLM (IT Lifecycle Management).

P.S. Посты по тематике IT Governance в этом блоге теперь помечены соответствующим тегом.

Основные угрозы безопасности в облаке - 2

Не так давно в своем посте Основные угрозы безопасности в облаке я уже публиковал ссылки на анализ рисков безопасности в облаке от CSA (Сloud Security Alliance).

"Приложившая руку" к этому анализу ассоциация ISACA (автор фреймворков COBIT, ValIT, RiskIT и ITAF-A Professional Practices Framework for IT Assurance), провела в Штатах опрос, чтобы выяснить, какие риски в области ИТ-безопасности видят потребители в использовании облачных сервисов:

• Пресс-релиз "More than 45% Say Risks of Cloud Computing Outweigh Benefits, Survey Finds"
• 2010 ISACA IT Risk/Reward Barometer

В этом контексте, так сказать для полноты картины, интересно также посмотреть свежим взглядом на их же (ISACA) материал "Cloud Computing: Business Benefits With Security, Governance and Assurance Perspectives".

HERMES – проектный менеджмент со швейцарским вкусом

Изучая детально некоторые свежие материалы и кейзы ISACA и ITGI по имплементации IT Governance на основе COBIT, нашел интересную ссылку на метод управления проектами HERMES, используемый гос-структурами Швейцарии. Плотно поизучав материалы HERMES, могу сказать точно - если вы занимаетесь вопросами управления проектами и рисками в приложении к ИТ, концепция и шаблоны HERMES вам наверняка понравятся. Особенно, если нужен общий, высокоуровневый взгляд на организацию отбора и управления проектами, прозрачно сочетающийся с COBIT и IT Balanced ScoreCard (IT BSC).

• HERMES Foundations (Handbook)
• Шаблоны и дополнительные материалы HERMES
  
• Обзорные презентации HERMES
  
• Recommendations on IT projects
  (by IT auditors working group of Swiss public administration)
  

Читаем о рисках

Государство это огромная корпорация, предприятие, the enterprise. Я не говорю здесь на тему устройства государства. Я имею в виду комплексность решаемых государством задач. В том числе экономических. В том числе финансовых. В том числе инвестиционных. Иначе не было бы такого понятия как, например, бюджет или суверенный дефолт. Иначе мы не говорили бы об управлении рисками. Тем интереснее смотреть на различные работы в области eGovernment и eServices for Citizens - информатизации и информационных сервисов для граждан. Без соответствующего глубокого анализа такие работы были бы невозможны. Я уже приводил примеры такого рода reference-моделей "сервисов для граждан". Надеюсь, что вы их если не глубоко читали, то как минимум обратили внимание. Масштабность задача требует анализа. Знаю, я это уже говорил. Но подчеркиваю это снова и снова потому что убежден - "с высоты птичьего полета" легче начать локализовывать вопрос или проблему. Решив комплексную задачу концептуально, легче подойти к менее масштабной и частной задаче на более глубоком уровне детализации. Можно возразить - а если концепция "большого" не верна? А если как в физике, когда вроде бы законы макромира не очень-то хорошо работают в микромире, именно на уровне микромира проявляется неопределенность? Да, вопрос спорный и мы все еще на подступах к единой теории поля :) Работая в ИТ мы все равно пытаемся положить реальный мир в прокрустово ложе моделей. Что именно гарантирует успешность или неуспешность моделей - вопрос на самом деле очень многогранный. Подтверждает ли ложность модели ее хреновая реализация на коленке? Конечно, нет. Повышает ли вероятность точности и применимости модели объем инвестиций вложенных в нее? А вот в этом я убежден - да, повышает. Поэтому и обращаю часто и свое и ваше внимание на те, вроде бы общие работы, фреймворки, подходы, которые, как мне кажется, могут дать не только пищу для размышлений, но и дают отдельные, часто очень неплохо отградуированные инструменты. Говорим ли мы о сервис-ориентированном подходе, анализе рисков или управлении инвестициями. Вот несколько таких источников:

• Advancing Return on Investment Analysis for Government IT. A Public Value Framework.
  
• Making Smart IT Choices: Understanding Value and Risk in Government IT Investments.

Если эти документы показались интересным - можно найти некоторые аналогичные здесь - на сайте Center for Technology in Government.

Далее, уже от NIST Computer Security Division:

• Risk Management Guide for Information Technology Systems
• Information Security Handbook: A Guide for Managers - здесь, кстати, дается целостный взгляд на проблемы управления рисками и, в том числе, о самой концепции Security Governance (по аналогии с IT Governance и, конечно, Corporate Governance - корпоративным управлением). Это, с моей точки зрения, один из ключевых современных материалов по концептуальному взгляду на информационную безопасность. И уже после этого только стоит приступать к таким стандартам ISO как 17799 и 27001. Кстати, невольно получается тот же подход от концепции к детализации отдельных аспектов.
  

Неплохой материал из подборки Business Link, ориентированной намалый и средний бизнес (SMB или как еще называют в Европе - SME, т.е. Small and Medium Enterprises):

• Identifying and managing IT risks to your business

И, наконец, обновленная версия COBIT 4.1, вышедшая в мае этого года, которую можно свободно скачать с сайта ISACA, всего лишь зарегистрировавшись на нем.

Исследование PMI: Что же такое Project Management Office?

PMI.org (автор PMBOK - Project Management Body Of Knowledge) на днях не только кардинально сменил дизайн сайта, но и выложил очень интересное исследование на тему Офисов Управления Проектами - PMO:

• Do You Know: What is a PMO?

Что важно - это исследование доступно не только членам* PMI, но и всем, кто заходит на сайт PMI и достаточно внимателен ;-)

А вот и аннотация к этому материалу:

"Both organizations and practitioners have struggled with the expectations associated with the implementation of [project management offices] PMOs. Some are created seamlessly and provide a valuable return to their organizations. Others, however, have difficulty establishing or maintaining them.

This white paper represents a significant research effort as well as a contribution to our understanding of the current state of multi-project PMOs globally. The paper is a factual documentation of key findings, and certain observations can be used as an initial step toward a meaningful dialogue throughout the practicing PMO community. PMI hopes that this document will stimulate thought, dialogue and insight, such that future steps may become evident toward creating some form of guidance regarding the implementation and maintenance of successful PMOs."

* По своему опыту могу сказать - членство в PMI того стоит, поверьте, хотите ли вы иметь доступ к стандартам и их драфтам, соответствующим журналам и т.п.; то же самое могу, кстати, сказать и по опыту своего членства в ISACA ("автору" COBIT)

Снова о рисках - в контексте Basel II

Для российских банков все ближе 2009 год, когда требования Basel II, вероятно, станут одним из повседневных факторов, влияющих на их деятельность по управлению рисками. Времени осталось всего-ничего. Ну и пока соответствующие документы находятся в общедоступном драфте - не грех на них и посмотреть. Я говорю о дополнении к COBIT, аналогичном IT Control Objectivies for Sarbanes-Oxley:

• ISACA IT Control Objectives for Basel II. The Importance of Governance and Risk Management for Compliance. - Exposure Draft от 16 мая 2007 года, скорее всего будет лежать в открытом доступе лишь до 18 июня 2007.
  

А, заодно, и сопоставить то, что вычитали, с сегодняшними реалиями и трендами:

• Совместное исследование компании InfoWatch и проекта Банкир.Ру - "Стандарт Центрального Банка по ИТ-безопасности 2006. Регулятор воспитывает банки."

А то придет аудит, зафиксирует все, что нашел... а потом по ИТ-департаменту начнут шашкой махать, а так - в контексте ;-)