ЛР4_ИМ

МИНИСТЕРСТВО ОБРАЗОВАНИЯ И НАУКИ РОССИЙСКОЙ ФЕДЕРАЦИИ

Федеральное государственное автономное образовательное учреждение высшего образования

«САНКТ-ПЕТЕРБУРГСКИЙ УНИВЕРСИТЕТ АЭРОКОСМИЧЕСКОГО ПРИБОРОСТРОЕНИЯ»

КАФЕДРА № 82

ЛАБОРАТОРНАЯ РАБОТА

ЗАЩИЩЕНА С ОЦЕНКОЙ

РУКОВОДИТЕЛЬ

доцент, канд. техн. наук				О.М. Поляков
должность, уч. степень, звание		подпись, дата		инициалы, фамилия

ОТЧЁТ О ЛАБОРАТОРНОЙ РАБОТЕ №4

СТАНДАРТЫ В ОБЛАСТИ ИТ-ТЕХНОЛОГИЙ COBIT и MOF

по курсу: Информационный менеджмент

РАБОТУ ВЫПОЛНИЛ

СТУДЕНТ ГР. №	4616				А.В. Павлов
			подпись, дата		инициалы, фамилия

Санкт-Петербург

2020

Цель работы:

ИЗУЧЕНИЕ МЕЖДУНАРОДНЫХ СТАНДАРТОВ, РЕГЛАМЕНТИРУЮЩИХ РАБОТУ IT-ПОДРАЗДЕЛЕНИЙ COBIT и MOF.

Ход работы:

COBIT изначально был "контрольными целями для информационных и смежных технологий", хотя до выпуска фреймворка люди говорили о" CobiT "как о "контрольных целях для ИТ "или"контрольных целях для информационных и смежных технологий"."

ISACA впервые выпустила COBIT в 1996 году, первоначально как набор целей контроля, чтобы помочь сообществу финансового аудита лучше маневрировать в ИТ-среде.видя ценность в расширении рамок за пределы только области аудита, ISACA выпустила более широкую версию 2 в 1998 году и расширила ее еще больше, добавив руководящие принципы управления в версии 3 2000 года. Разработка AS 8015: Australian Standard for Corporate Governance of Information and Communication Technology в январе 2005 года и более международного проекта стандарта ISO/IEC DIS 29382 (который вскоре стал ISO/IEC 38500) в январе 2007 года повысили осведомленность о необходимости большего количества компонентов управления информационно-коммуникационными технологиями (ИКТ). ISACA неизбежно добавила соответствующие компоненты / структуры с версиями 4 и 4.1 в 2005 и 2007 годах соответственно, " обращаясь к связанным с ИТ бизнес-процессам и обязанностям в создании стоимости (Val IT) и управлении рисками (Risk IT)."

COBIT 5, выпущенный в 2012 году, основан на COBIT 4.1, Val IT 2.0 и risk IT Framework и опирается на IT Assurance Framework ISACA (ITAF) и бизнес-модель информационной безопасности (BMIS). Более новая версия COBIT 2019 была выпущена в 2018 году.

В 1994 году, стремясь достичь максимальной отдачи от IT-проектов, Microsoft выпустила в свет пакет руководств по эффективному проектированию, разработке, внедрению и сопровождению решений, построенных на основе своих технологий. Эти знания базируются на опыте, полученном Microsoft при работе над большими проектами по разработке и сопровождению программного обеспечения, опыте консультантов Microsoft и лучшем из того, что накопила на данный момент IT-индустрия. Всё это представлено в виде двух взаимосвязанных и хорошо дополняющих друг друга областей знаний: Microsoft Solutions Framework (MSF) и Microsoft Operations Framework (MOF).

Руководство в Microsoft Operations Framework охватывает все действия и процессы, связанные с управлением ИТ-службой: ее концепцию, разработку, эксплуатацию, обслуживание и, в конечном итоге, вывод из эксплуатации.

Задача COBIT заключается в ликвидации разрыва между руководством компании с их видением бизнес-целей и IT-департаментом, осуществляющим поддержку информационной инфраструктуры, которая должна способствовать достижению бизнес-целей.

Нередко руководство компании в силу объективных причин не понимает IT-специалистов. По представлению руководства, сотрудники IT-подразделения разговаривают на каком-то птичьем языке. Те, в свою очередь, не понимают бизнес-терминов, на основании которых строятся распоряжения руководства. Всё это приводит к росту издержек, выполнению лишней работы, что, конечно же, сказывается на эффективности деятельности компании.

COBIT, благодаря единой терминологии, служит своеобразной платформой-буфером для конструктивного диалога между всеми участниками бизнеса:

• топ-менеджерами;

• руководителями среднего звена (IT-директором, начальниками отделов);

• непосредственными исполнителями (инженерами, программистами и т. д.);

• аудиторами.

Концептуальное ядро стандарта COBIT сформировано из 34 высокоуровневых процессов (которые покрывают порядка 200 целей контроля), сгруппированных в 4 домена (сферы деятельности):

- Планирование и организация: включает стратегию и тактику, а также определение способов наиболее эффективного использования ИТ для достижения бизнес-целей. Регламентируемые процессы:

- PO1 Разработка стратегического плана.

- PO2 Определение ИТ архитектуры.

- PO3 Определение направлений развития технологий.

- PO4 Формализация ИТ процессов, организации и взаимоотношений с бизнесом.

- PO5 Управление инвестициями в ИТ.

- PO6 Согласованное управление целями и задачами.

- PO7 Управление ИТ персоналом.

- PO8 Управление качеством.

- PO9 Оценка и управление рисками ИТ.

- PO10 Управление проектами.

Приобретение и внедрение: для реализации ИТ стратегии нужно идентифицировать, разработать или приобрести соответствующие ИТ решения, которые должны быть внедрены и интегрированы в бизнес-процессы, а также внести изменения в информационные системы. Регламентируемые процессы:

- AI1 Идентификация и выбор решений по автоматизации.

- AI2 Проектирование и разработка приложений.

- AI3 Проектирование и поддержка технической инфраструктуры.

- AI4 Обеспечение работы и использования ИС.

- AI5 Закупка ИТ ресурсов.

- AI6 Управление изменениями.

- AI7 Установка и утверждение решений и изменений.

Предоставление и поддержка: включает предоставление требуемых информационных служб, в том числе обеспечение безопасности и непрерывности бизнеса, обучение, а также обработку данных прикладными системами. Регламентируемые процессы:

- DS1 Определение и управление уровнями сервиса.

- DS2 Управление сервисами подрядчиков.

- DS3 Управление производительностью и мощностью.

- DS4 Обеспечение непрерывности сервисов.

- DS5 Обеспечение безопасности систем.

- DS6 Определение и распределение ИТ затрат.

- DS7 Обучение пользователей.

- DS8 Управление службой поддержки и инцидентами.

- DS9 Управление конфигурацией.

- DS10 Управление проблемами.

- DS11 Управление данными.

- DS12 Управление физическим оборудованием.

- DS13 Управление эксплуатацией.

Мониторинг и оценка: качество и соответствие ИТ процессов требованиям контроля должны оцениваться на регулярной основе. Этот домен включает в себя надзор со стороны руководства за процессами управления в организации, а также независимый контроль со стороны внутренних и внешних аудиторов. Регламентируемые процессы:

- ME1 Отслеживать и оценивать производительность ИТ.

- ME2 Отслеживать и оценивать внутренние контроли.

- ME3 Гарантировать соответствие регулирующим требованиям.

- ME4 Обеспечивать руководство ИТ.

Домены соотносятся с традиционными сферами ответственности ИТ: планирование, внедрение, эксплуатация и мониторинг. Такая структура охватывает все аспекты управления и использования ИТ. Выполнение всех 34 высокоуровневых процессов позволяет гарантировать владельцу бизнес-процесса, что система управления ИТ является адекватной задачам бизнеса.

В стандарте COBIT детально описаны цели и принципы управления, объекты управления, чётко определены все ИТ процессы (для каждого процесса определены входы и выходы, исполнители и ответственные, а также объекты контроля и метрики) и требования к ним, описан возможный инструментарий (практики) для их реализации. В описании ИТ процессов также приведены практические рекомендации по управлению ИТ безопасностью. COBIT применяется для контроля и аудита существующей системы управления информационными технологиями, организации оперативного и стратегического управления ИТ, анализа расходов на ИТ проекты и поддержку соответствующей инфраструктуры, соответствия требованиям стандартам и регулирующим организациям, таких как SOX и COSO.

Посредством использования стандарта COBIT руководители ИТ подразделений преобразуют задачи бизнеса в чёткие и понятные планы развития ИТ. Основным преимуществом стандарта COBIT является его полнота и отчётливые практические рекомендации и инструменты, с помощью которых можно построить систему управления информационными технологиями корпорации и, в том числе, эффективную систему управления рисками в ИТ. Таким образом, при использовании методологии COBIT информационная система строится исходя из требований бизнеса и условий жесткой экономии ресурсов, а также эффективного использования этих ресурсов. Другими словами, стандарт COBIT описывает бизнес-ориентированный подход к созданию информационной среды: ИТ рассматриваются в виде инструмента бизнеса, а стандарт определяет принципы построения и организации работы ИТ департамента.Предлагаемая структура объединяет все аспекты информации и технологий, поддерживающих ее. Применяя 34 высокоуровневые цели контроля, руководитель может быть уверен, что ему будет предоставлена адекватная система контроля над ИТ-средой, которая учитывает задействованные ресурсы ИТ, дающая возможность оценить ИТ по предлагаемым CobiT семи критериям оценки информации.

В основу стандарта CobiT положено следующее утверждение: для предоставления информации, необходимой организации для достижения ее целей, ресурсы ИТ должны управляться набором естественно сгруппированных процессов.

MOF (Microsoft Operations Framework) — Управление информационными технологиями эта тема, в которой компания Microsoft имеет свое видение. Цель MOF заключается в предоставлении ИТ-подразделениям руководств, помогающих создавать, эксплуатировать и поддерживать ИТ-услуги, обеспечивая получение ожидаемых коммерческих преимуществ от конкретных инвестиций в ИТ с приемлемым уровнем риска. Модель MOF предназначена для создания среды, в которой компания и ИТ-подразделение смогут совместно работать над совершенствованием деятельности и использовать при этом проактивную модель, определяющую процессы и стандартные процедуры, направленные на повышение эффективности и продуктивности ИТ услуг. MOF предлагает логический подход к принятию решений и обмену информацией при планировании, развертывании и поддержке ИТ-услуг.

Система стандартов Microsoft Enterprise Services от компании Microsoft представляет собой три области:

Первой областью является деятельность по подготовке к внедрению информационной системы где формализуются требования к ИТ и определяется объем проекта. Подготовка к внедрению информационной системы описана в стандарте Microsoft Readiness Framework (MRF);

Второй областью является деятельность по внедрению информационной системы на предприятии, где определяются основные вопросы разработки и развертывания ИТ- решения. Построение и внедрение информационной системы описано в стандарте Microsoft Solutions Framework (MSF);

Третьей областью является деятельность по поддержке информационной системы внедренной на предприятии. Вопросы эксплуатации информационной системы рассматриваются в стандарте Microsoft Operations Framework (MOF).

MOF состоит из набора статей (white papers), руководств (operations guides), обучающих курсов и включает в себя три основные модели:

• Модель процессов (MOF Process Model);

• Модель команды (MOF Team Model);

• Модель управления рисками (MOF Risk Model).

MOF состоит из набора статей (white papers), руководств (operations guides), служб, материалов обучающих курсов и включает в себя три основные модели: процессов (MOF Process Model); команды (MOF Team Model); управления рисками (MOF Risk Model). Каждая из моделей фокусируется на внедрении лучшего практического опыта в своей области.

MOF – структурированный и вместе с тем гибкий подход, который основывается на:

- IT Infrastructure Library (ITIL), которая описывает процессы и лучший опыт, накопленный для предоставления ИТ-служб, критичных для жизнедеятельности компании. ISO 15504, поддерживаемый Международной Организацией Стандартизации (International Organization for Standardization) и предоставляющий стандартный подход к оценке зрелости процессов.

- Технологии и опыт Microsoft, накопленный при работе с корпоративными клиентами.

Эти адаптирующиеся стандарты предоставляют долгосрочную ценность, которая будет со временем расти. MOF может помочь корпорациям достичь следующего:

- оценка обслуживания внедрение процессов постоянное улучшение процессов

- автоматизация процессов с использованием продуктов Microsoft.

MOF предоставляет рекомендации по планированию, развертыванию и обслуживанию ИТ-процессов для поддержки решений, критически важных для организации. MOF является общей моделью, поэтому многие рекомендации необходимо адаптировать для конкретной организации. При упоминании «ролей» в модели MOF необходимо понимать, что одному лицу можно назначить несколько ролей, особенно в небольших организациях. Но даже если весь ИТ-отдел представлен одним человеком, процедуры и рекомендации этой модели по-прежнему применимы.

MOF является структурированной и гибкой моделью, которая основана на следующем:

- на опыте консультантов и специалистов службы технической поддержки Майкрософт, накопленный в процессе работы с корпоративными клиентами и партнерами, а также внутренними ИТ-группами Майкрософт;

- на стандарте ITIL (IT Infrastructure Library), описывающем процессы и рекомендации, необходимые для предоставления решений, критически важных для работы предприятия;

- стандарт ISO/IEC 15504 Международной организации по стандартизации, обеспечивающий нормированный подход к оценке готовности процесса создания и эксплуатации программного обеспечения.

MOF предоставляет рекомендации по развертыванию различных продуктов Microsoft, таких как Microsoft Windows Server 2003 и Microsoft Exchange Server 2007.

Сравнивая MOF с ITIL по предоставлению и поддержке услуг, то MOF несколько шире, но расширение связано с некоторой детализацией квадранта «Обслуживание», что с одной стороны дает определенную информацию, но с другой стороны данная деятельность присутствует в большинстве ИТ- служб и расширение модели в данном направлении не вносит большой новизны. Добавление сервисной функции «Управление персоналом» не слишком значимо для организации ИТ в компании и является вспомогательным процессом, который присутствует в любой компании. В остальном, процессы ITIL и MOF полностью идентичны, включая одинаковые наименования и описания. Но MOF , кроме процессной модели содержит ролевую структуру для распределения полномочий и ответственности между сотрудниками ИТ — модель команды (MOF Team Model), которая не предназначена для описания трудовых обязанностей и не является организационной схемой.

В модели команды MOF описаны 6 ролей, сгруппированных по жизненному циклу ИТ- услуги. Фактически данные роли являются некоторыми направлениями деятельности:

• Релиз (Release) — Планирование и выполнение изменений;

• Поддержка (Supporting) — Поддержка пользователей;

• Безопасность (Security) — Контроль над корпоративной политикой безопасности;

• Инфраструктура (Infrastructure) — Управление средствами работы с инфраструктурой;

• Обслуживание (Operations) — Выполнение ежедневных операций по обслуживанию ИС;

• Партнерство (Partner) — Установление взаимоотношений с бизнесом.

Модель команды содержит слишком общее определение ролей, которое будет невозможно использовать при инжиниринге детальных процессов и поэтому, одним из вариантов использования модели команды может быть распределение в соответствии с приведенными ролями ответственности за сервис- функции, т.е. фактически назначение владельцев процессов. Помимо модели команды стандарт MOF содержит в себе модель управления рисками (MOF Risk Model).

CobiT по управлению (книга: принципы управления) более высокоуровневый инструмент, чем ITIL. В отличие от ITIL, в котором дано развернутое описание процессов и процедур их составляющих и в целом предназначенного для взаимодействия «Директор по ИТ (CIO) <-> Руководители подразделений ДИТ» и предназначенного для разработки и совершенствования некоторой части ИТ процессов. CobiT ориентирован на взаимодействие «Куратор ИТ от бизнеса <-> CIO». В зависимости от сложившейся практике работы организации кураторами ИТ могут быть: CEO, Генеральный директор, зам. министра, и т. д., устоявшейся общей практики подчиненности ИТ в настоящее время нет CobiT содержит рекомендации по управлению ИТ процессами, а ITIL — лучшую практику по построению и совершенствованию ИТ процессов. Для управления процессом построенного на рекомендациях ITIL владельцем процесса должны использоваться рекомендации ITIL. Для «комплексного управления» ИТ процессами выделенные CobiT-ом могут использоваться рекомендации CobiT.

MOF обладает рядом существенных особенностей по сравнению со стандартом ITIL. Если делать вывод о применимости рассмотренных стандартов в области ИТ для оптимизации деятельности, то можно с уверенностью сказать что все они содержат «зерно истины», поэтому применение их в совокупности наиболее предпочтительно, поскольку в определенных областях они имеют новшества относительно друг друга.

У ITIL комплексная система сертификации специалистов, система сертификации ПО (PinkVerify или Британского правительства), источник идей и мнений, пища для размышления. COBIT несравнимо дешевле ITIL. У COBIT большая, но единая команда авторов, а владельцем выступает некоммерческая организация. У ITIL этого нет.

Выводы:

В ходе лабораторной работы мы изучили международные стандарты в области технологии IT MOF и COBIT. Сравнили их с ITIL