Организация информационных систем на предприятии
Задачи консалтинга в информационном бизнесе и разработка концепции. Внедрение информационных систем и технологий. Оценка рисков и оптимизация инфраструктуры предприятий. Управление и аудит информационных технологий. Оценка стоимости программного средства.
| Рубрика | Программирование, компьютеры и кибернетика |
| Вид | методичка |
| Язык | русский |
| Дата добавления | 10.11.2013 |
| Размер файла | 1,4 M |
Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже
Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.
2) Изменение организации бизнес-процессов. Автоматизация множества операций позволяет концентрировать выполнение множества функций одним работником с меньшей квалификацией. Например, при приеме заказа от клиента выполняется не только его регистрация, но и планирование выполнения. В ходе планирования проверяется достаточность всех необходимых ресурсов, осуществляется их выделение, назначаются сроки выполнения, корректируется общий план-график работ, создаются заказы-наряды на выполнение работ для производственных подразделений и снабжения, причем планирование работ выполняется автоматически с помощью последовательности взаимосвязанных процедур. Кроме того, с помощью экспертной системы в случае достаточно дорогостоящих заказов может быть выполнена проверка финансового состояния клиента. В результате концентрации функций на одном автоматизированном рабочем месте обеспечивается более быстрое и качественное обслуживание клиента.
Электронное связывание участников бизнес-процесса через технологию workflow позволяет оперативно доставлять результаты выполненной работы до последующих исполнителей, автоматически сигнализируя о конце предыдущей операции. Таким образом, сокращаются затраты времени на межоперационные переходы. При этом достигается более гибкое планирование и использование имеющихся ресурсов, которые становятся «тонкими агентами» процесса.
3) Изменение организация управления. Электронные коммуникации и безбумажная технология рабочих потоков позволяют сделать более прозрачным контроль исполнения процесса, когда в каждый момент времени можно знать его состояние на конкретных рабочих местах, отклонения в процессах сразу становятся автоматически известными для всех заинтересованных исполнителей и менеджеров. Более того, развитые интеллектуальные информационные системы позволяют заблаговременно осуществлять диагностику и прогнозирование развития процессов. В этих условиях менеджерам нет необходимости осуществлять контроль исполнения процессов посредством сбора бумажных отчетов. Мониторинг бизнес-процессов становится более оперативным, не требуется поддержание большого штата управляющего персонала среднего звена.
Кроме того, возможность оперативной связи участников процессов с менеджерами в случае возникающих проблем посредством проведения теле и видео конференций также повышает оперативность принятия решений без потери времени на проведение традиционных совещаний. Принимаемые управленческие решения моментально становятся известными через электронную почту и доски объявлений для всех участников бизнес-процесса. Таким образом, сокращается число уровней управления на предприятии.
4) Изменение межорганизационных взаимодействий. Межорганизационные взаимодействия между различными субъектами процессов (партнерами по бизнесу) строятся с помощью электронного обмена данными (EDI), который позволяет ускорить и повысить точность оформления и выполнения заказов. При этом возможны следующие формы межорганизационного взаимодействия:
«Клиент - Исполнитель», например, «электронная торговля» (торговля по электронным каталогам), «электронное обслуживание» (банковские, страховые, таможенные и т. д. операции). В этом случае с помощью EDI осуществляется прием заказов или заявок на обслуживание, оформление и пересылка сопроводительных документов, электронные платежи. Следствие - резкое сокращение цикла документооборота, идеально за один-два сеанса взаимодействия между субъектами с доведением до минимального времени самого бизнес-процесса по сравнению с физическим взаимодействием клиента и исполнителя.
«Заказчик - Поставщик», создание на договорной основе «вертикальных конгломератов», осуществление многозвенных логистических процессов (транспортных коридоров), в которых помимо электронного обмена данными для оформления договоров, документов о поставках, платежных документов большое значение отводится электронному обмену сообщениями по мониторингу общего бизнес-процесса на основе открытой спецификации CORBA (Common Object Request Broker Architecture) или DCOM.
«Заказчик - Подрядчик», создание «виртуальных корпораций» под реализацию конкретных проектов. В этом случае совместная деятельность предприятий расширяется до проектирования изделий и планирования производства. Помимо перечисленных выше технологий и стандартов широко используется международный стандарт для обмена данными по моделям продукции STEP, на основе которого партнеры по совместным проектам последовательно открывают друг другу базы данных о продукции, осуществляют проектирование и планирование совместной деятельности.
В обобщенной форме сравнение различных организационных форм бизнес-процессов на основе современных информационных технологий представлено в табл. 7.2.3
Таким образом, информационные технологии играют ключевую роль в реинжиниринге бизнес-процессов. Однако их применение должно производится с учетом таких факторов как всеобщее управление качеством, человеческие ресурсы и организация, НТП.
Таблица 7.2.3 Сравнение организационных форм бизнес-процессов на основе современных информационных технологий
|
Организационные характеристики |
Традиционные предприятия |
Электронная Торговля |
Вертикальные конгломераты |
Виртуальные предприятия |
|
|
Виртуальные компоненты |
Замена отдельных компонентов |
Замена физических компонентов |
Подчинение компонентов электронным |
Замена физических компонентов |
|
|
Электронный обмен данными |
Частично |
Существенно |
Существенно |
Существенно |
|
|
Групповая технология |
Использование групп |
Координация |
Согласование задач |
Разделение труда |
|
|
Уменьшение уровней управления |
Сокращение уровней управления |
Не используется |
Сокращение уровней управления |
Мониторинг процессов |
|
|
Электронные рабочие потоки |
Реструктуризация работ |
Основа стратегии |
Основа для координации |
Основа стратегии |
|
|
Автоматизация операций |
Оперативное планирование использования ресурсов |
Обработка заказов и предложений |
Генерация заказов в соответствии с контрактами |
Открытие и доступ к базам данных |
|
|
Электронные связи с поставщиками / Потребителями |
Потенциально важно |
Обширные |
Обязательно |
Обширные |
Резюме по теме
Возникновение технологии реинжиниринга бизнес-процессов стало возможным, благодаря современным достижениям информационных технологий, которые связывают участников бизнес-процессов в единые технологические цепочки быстрее и надежнее по сравнению с традиционными организационными методами контроля и координации.
Характерные особенности современных информационных технологий:
Автоматизированные рабочие места (АРМов) на основе применения персональных ЭВМ (рабочих станций) позволяют интегрировать различные функции работников.
Распределенные базы данных в локальных вычислительных сетях с использованием архитектуры «Клиент - сервер» дают возможность интегрировать функции различных работников.
Системы управления рабочими потоками (workflow) позволяет оперативно связывать операции исполнителей из различных подразделений внутри предприятия и программные приложения в сквозные бизнес-процессы, которые контролируются руководством предприятия как единым целым. Системы Workflow создаются на основе использования специального программного обеспечения для организации коллективной (групповой - workgroup) работы в локальных вычислительных сетях.
Глобальные вычислительные сети с использованием Internet/Intranet, стандартов электронного обмена данными (EDI - electronic data interchange) и компонентной технологии программных интерфейсов DCOM, CORBA. В результате достигается большая децентрализация управления в крупных корпорациях, объединение независимых предприятий, участвующих в общих бизнес-процессах в консорциумы и виртуальные корпорации.
Вопросы для повторения
1. Что такое бизнес-процесс и чем управление бизнес-процессами отличается от управления ресурсами?
2. Что такое реинжиниринг бизнес-процессов и чем он отличается от концепции всеобщего управления качеством?
3. Какие задачи решает реинжиниринг бизнес-процессов?
4. Назовите основные последствия проведения реинжиниринга бизнес-процессов.
5. Назовите области применения реинжиниринга бизнес-процессов.
6. Какие существуют условия успеха реинжиниринга бизнес процессов?
7. Назовите основные принципы реинжиниринга бизнес-процессов.
Тема 8. Управление и аудит информационных технологий. Особенности проведения внешнего аудита информационных технологий
Цель: ознакомиться с управлением и аудитом информационных технологий, особенности проведения внешнего аудита информационных систем.
Задачи:
1. Изучить управление и аудит информационных технологий.
2. Рассмотреть особенности проведения внешнего аудита информационных систем.
8.1 Управление и аудит информационных технологий
Управление ИТ - составная часть успеха в управлении предприятием, которая гарантирует рациональное и эффективное совершенствование всех взаимосвязанных процессов предприятия. Управление ИТ предоставляет основу, которая связывает ИТ- процессы, ИТ-ресурсы и информацию со стратегией и целями организации, что позволяет максимально эффективно использовать информацию, повышая капитализацию и получая конкурентоспособные преимущества.
ИТ-аудит - понятие в русском языке относительно новое. Как это часто бывает, любой новый термин многие специалисты понимают по-разному. ИТ-аудит у иных отождествляется и с финансовым аудитом в области ИТ, и с ИТ-консалтингом. Между тем, у этого процесса другая цель.
Процедура аудита (обследования) сферы информационных технологий в компании предполагает сбор, анализ и предоставление руководству компании информации о текущем состоянии в сфере ИТ, о рисках, связанных с «проблемными зонами» информационных подсистем, и выдачу рекомендаций по снижению этих рисков и повышению качества функционирования подсистем.
Аудит ИТ проводят для того, чтобы оперативно получать систематизированную и достоверную информацию для оценки ИТ, принятия решения, управления ИТ.
Основная цель IT аудита - это оценка рисков, связанных с использованием информационных технологий, оценка их контроля и выработка рекомендаций по принятию корректирующих мер в областях, где риски должны быть снижены.
Результатом аудита является набор выводов о том, отвечает ли потребностям бизнеса существующая в компании информационная система (ИС), вырабатываются рекомендации по оптимизации и дальнейшему развитию ИС.
В ходе аудита выполняется анализ соответствия существующей ИС бизнес-процессам компании, который подразумевает анализ оргструктуры компании, иерархии подразделений, внутреннего документооборота, учетной политики, соответствия модулей используемой ИС реальным потребностям подразделений.
Аудит ИС направлен на достижение следующих целей:
- сокращение затрат на сопровождение и развитие IT-инфраструктуры;
- сокращение затрат на выполнение автоматизируемых бизнес-операций;
- повышение эффективности работы ИС;
- повышение эффективности вложений в ИС компании.
В рамках аудита ИС выполняются следующие работы:
1. Анализ соответствия возможностей и стратегии ИС стратегии компании, бизнес-целям и бизнес-процессам.
2. Анализ существующих IT-сервисов и поддерживающих их информационных систем (программных продуктов).
Определение проблемных мест существующей IT-инфраструктуры:
- уровень соответствия информационной системы бизнес-требованиям;
- стоимость сопровождения и развития ИС;
- соответствие IT-процессов стандартам ISO 9000;
- уровень обеспечения информационной безопасности.
Выработка рекомендаций по улучшению IT-инфраструктуры:
- оценка стоимости выполнения каждой рекомендации;
- план выполнения рекомендаций;
- рекомендации по реинжинирингу IT-инфраструктуры.
Результаты аудита ИТ позволяют:
1. Оценить соответствие ИТ требованиям бизнеса.
2. Прогнозировать развитие ситуации.
3.Эффективно планировать развитие ИТ-организации.
4. Контролировать исполнение решений. В рамках аудита и экспертизы IT-инфраструктуры будут обследованы следующие показатели: производительность, полнота функциональности, безопасность, целостность IT-процессов и др.
В результате Компания получит описание выявленных несоответствий между IT-инфраструктурой и потребностями бизнеса, существующих проблем и рисков развития IT-инфраструктуры, а также рекомендации по устранению выявленных, с оценкой затрат на выполнение предложенных рекомендаций и планом работы.
Эта информация является основой для построения стратегии автоматизации и определения наиболее эффективных путей вложения в IT.
Аудит технологической инфраструктуры. Позволяет заказчику получить экспертную оценку текущего состава и уровня функционирования технологических платформ, аппаратно-программных комплексов, сетей и средств коммуникации (IT-инфраструктуры), а также получить рекомендации по повышению эффективности их использования, модернизации, снижения стоимости владения.
Например, аудиторское заключение, может содержать выводы о соответствии загрузки серверов их характеристикам, подтверждающие, что серверная платформа позволяет наращивать задачи, либо работает на пределе мощности и т. п.
Аудит информационной безопасности. Аудит включает в себя формирование экспертной оценки текущего состояния системы защиты информации (СЗИ), оценку информационных рисков, рекомендации по совершенствованию СЗИ, расчет стоимости по созданию или модернизации СЗИ. Проведение аудита информационной безопасности позволяет компаниям-заказчикам снизить бизнес-риски и повысить уровень защищенности информации.
Аудит IT-подразделения. Результаты аудита позволяют провести ряд работ по увеличению эффективность деятельности IT-подразделения, оптимизировать расходы на ИТ, повысить качество услуг, предоставляемых в области ИТ, провести реорганизацию IT-подразделений в соответствии с бизнес-задачами компании и современной методологией эксплуатации IT-инфраструктуры.
На основании аудиторского заключения выдаются, в частности, детальные рекомендации по организации планирования работы ИТ-служб в соответствии с потребностями бизнеса компании.
Возможности дальнейшего сотрудничества. Результаты IT аудита позволят наметить направления дальнейшего сотрудничества между нашими компаниями и в частности определить необходимость проведения следующего ряда работ в области IT консалтинга:
Разработка IT стратегии. Разработка Концепции информационной системы, в том числе разработка экономического обоснования оптимизации/развития IT
Оптимизация/развитие информационной системы (ИС), включающая в себя:
Разработка Технического задания на доработку/создание существующих/ недостающих подсистем/модулей ИС.
1. Выбор программных систем (вендоров) для КИС.
2. Организация и управление проектом оптимизации ИС.
3. Разработка методической/сопроводительной документации.
4. Разработка/внедрение доработанных/новых подсистем/модулей ИС.
5. Подготовка и обучение персонала. Консультации персонала.
6. Мониторинг и сопровождение эксплуатации ИС.
7. Причины постановки управления и проведения аудита ИТ.
Результаты проведения аудита. Результаты аудита ИС организации можно разделить на три основных группы:
1. Организационные -- планирование, управление, документооборот функционирования ИС.
2. Технические -- сбои, неисправности, оптимизация работы элементов ИС, непрерывное обслуживание, создание инфраструктуры и т.д.
3. Методологические -- подходы к решению проблемных ситуаций, управлению и контролю, общая упорядоченность и структуризация.
Проведенный аудит позволит обоснованно создать следующие документы:
- долгосрочный план развития ИС.
- политика безопасности ИС организации.
- план восстановления ИС в чрезвычайной ситуации.
После проведения ИТ-аудита с использованием принципов аудита, изложенных в CobiT, организация получит возможность:
1. Оценить степень соответствия ИТ-организации требованиям бизнеса.
2. Определить приоритеты основных ИТ-процессов.
3. Выявить критически важные элементы ИТ.Выявить и оценить факторы риска.
4. Определить степень адекватности мер, принимаемых для управления рисками.
5. Оценить степень защищенности компании от чрезвычайных происшествий и их последствий.
6. Реализовать рекомендации по обеспечению бесперебойности функционирования ИТ.
7. Создать план работ по устранению недостатков и разработать способы их устранения.
Кроме того, управление и аудит в соответствии со стандартом CobiT предоставляет организации следующие дополнительные преимущества:
1. Возможность получения результата в сравнительно короткие сроки.
2. Гарантия того, что при проведении аудита ничто не будет забыто: стандарт охватывает все уровни ИТ.
3. После проведения "первичного" аудита производится наполнение информационной базы, что делает процессы проведения последующих проверок проще, легче и, как следствие, дешевле.
4. CobiT как инструмент управления остается и внедряется в организации, автоматически переводя ее на уровень управления, сопоставимый, как минимум, со 2 уровнем модели зрелости CMM, несмотря на то, что достижение уровней зрелости не является прямой целью аудита -- это специфические задачи бизнес-консалтинга.
Технический аудит ИТ -- сбор, анализ информации и выдача рекомендаций по улучшению работы отдельного элемента ИТ-инфраструктуры. Характерные особенности -- малый масштаб работы ("железка" с ее входами-выходами) и узкая прикладная специализация исследования, можно сказать что это "штучная" работа, для каждого конкретного случая.
Аудит ИТ бизнес-процесса -- аудит информационных технологий, поддерживающих определенный (выделенный или заданный) бизнес-процесс организации на соответствие заданным (или разработанным) критериям оценки. Для проведения подобного аудита необходимо определить ответственного за процесс, пользователей и участников, выявить применяемое оборудование и программы, обслуживающий персонал, проектные и регламентирующие документы. На базе собранной информации построить модель, с указанием мест взаимодействия (стыка) с другими бизнес-процессами.
Комплексный аудит ИТ. Руководство должно знать и иметь возможность оценить все, что происходило и происходит в ИТ-организации, сравнить адекватность ИТ-потребностям бизнеса. Иначе говоря, прогнозировать развитие организации и соизмерять его с текущим состоянием и перспективами развития ИТ. В результате получается сложная многомерная матрица взаимосвязей бизнес-процессов, их требований, информационных и смежных технологий, совокупности программно-аппаратных средств их возможностей/ограничений и многого другого должна быть представлена в виде простого и понятного образа, при этом сохранив достоверность информации. Информации об успешной реализации таких проектов в России очень мало, потому что, прежде всего, это требует объединения ресурсов различных компаний и организации единой коллективной работы.
Процедура проведения ИТ-аудита в компаниях разного масштаба может существенно отличаться. На предприятии, производственные мощности которого локализованы, достаточно просто охватить проверкой все ИТ-службы. В территориально-распределенных компаниях, помимо того, что там больше внимания уделяется техническому уровню, который обеспечивает взаимодействие филиалов, есть еще и особенность, связанная с невозможностью аудиторов побывать во всех региональных представительствах компании. Поэтому, как правило, выбираются опытные объекты, которые считаются либо наиболее типовыми для данной компании, либо имеют наибольшее количество ИТ-процессов и систем. Обычно выбирают один-два таких объекта на каждом структурном уровне компании: центральный офис, региональные филиалы и представительства в конкретных городах региона. Как правило, для проверки выбирают одно-два региональных представительства и привязанные к ним объекты более низкого уровня. Такая выборочная проверка рискованна. Во-первых, состояние дел на типовых объектах может не всегда адекватно отражать ситуацию на всех остальных объектах. Во-вторых, объекты, определенные заказчиком в качестве типовых, на деле могут таковыми не являться. Руководителю, приглашающему сторонних консультантов для проведения ИТ-аудита, необходимо четко представлять цели этой процедуры и создавать адекватные условия для их достижения».
8.2 Особенности проведения внешнего аудита информационных систем
Проведение аудита информационных систем целесообразно перед проектированием системы информационной безопасности, а также после создания (внедрения) такой системы для оценки степени соблюдения требований, сформированных на этапе проектирования. Кроме того, аудит информационных систем необходимо осуществлять периодически, поскольку изменяется и сама система информационной безопасности, и ее окружение: как внутреннее, так и внешнее.
Организациям нужны информационные технологии для составления полной и точной финансовой отчетности, а внешние аудиторы, в свою очередь, полагаются на ИТ-системы и контроли для проведения эффективного и результативного аудита.
Внешний аудит необходим прежде всего перед началом нового проекта и реорганизации управления компанией, а также когда возникает проблема, которую не в состоянии решить внутренние ИТ службы.
Преимущества внешнего аудита информационных систем. Независимая оценка актуального состояния информационных систем
Экономия расходов на информационные системы за счёт выявления скрытых и неиспользуемых ИТ-мощностей
Выявление узких мест информационных систем, влияющих на стабильность работы
Оценка мероприятий по модернизации информационных систем, включая оценку бюджета
Уменьшение значения недополученной прибыли за счёт минимизации простоев всех информационных систем Заказчика.
Аудит -- разовая процедура, связанная с принятием конкретных решений. Нередко одной из рекомендаций по итогам аудита компании является предложение в рамках отдельного проекта построить систему мониторинга состояния ИТ, разработать систему ключевых показателей для ИТ-активов, которые будут понятны руководству. Таким образом руководитель получает возможность постоянно контролировать ситуацию с ИТ-активами. Ключевыми показателями могут быть, например, затратные показатели или показатели, связанные с бесперебойностью работы ИС и поддержкой основного бизнеса.
Резюме по теме
Аудит информационных технологий (ИТ) позволяет ответить на вопросы эффективности ИТ, их перспектив и соответствия мировым практикам и, главное, соответствия произведенным затратам и результатам использования ИТ. Позволяет оперативно получить систематизированную и достоверную информацию для оценки ИТ и принятия решений по управлению ИТ.
Вопросы для повторения
1. Дайте определение ИТ аудит.
2. Что представляет собой продцедура проведения ИТ аудита?.
3. Основные цели ИТ аудита.
4. Отличия внешнего ИТ аудита от внутреннего ИТ аудита.
5. Перечислите преимущества проведения внешнего аудита информационных систем
Тема 9. Этапы и жизненный цикл IT-аудита и его место в цикле IT-инфраструктуре
Цель: ознакомиться с этапами и жизненным циклом ИТ-аудита.
Задачи:
1. Изучить этапы проведения ИТ-аудита.
2. Рассмотреть жизненный цикл четырех доменов COBIT
3. Охарактеризовать аудит ИТ- инфраструктуры предприятия: цели, задачи, реализацию.
9.1 Этапы ИТ-аудита
В обобщенном виде ИТ-аудит проводится в два этапа:
1.Этап «Планирование ИТ-аудита».
2. Этап «Проведение ИТ-аудита».
На этапе «Планирования ИТ-аудита»:
Анализируются:
- структура бизнес-процессов;
- платформы и структура информационных систем, поддерживающих бизнес-процессы;
- структура ролей и распределения ответственности, включая аутсорсинг;
- бизнес-риски и бизнес-стратегия.
Определяются информационные критерии, наиболее значимые для существующих бизнес-процессов.
Идентифицируются ИТ-риски.
Оценивается общий уровень контроля рассматриваемых бизнес-процессов.
На основе полученной информации осуществляется выбор границ и объектов исследования: ИТ-процессов и связанных с ними ИТ-ресурсов.
На этапе «Проведения ИТ-аудита» выполняются следующие виды работ:
- идентификация существующих механизмов управления и документирование процедур (сбор и первичный анализ информации);
- оценка эффективности существующих механизмов управления при выполнении задач управления, их целесообразность и пригодность;
- тест соответствия (получение гарантий пригодности существующих механизмов управления для решения задач управления);
- детальное тестирование с целью выполнения корректирующих действий для улучшения состояния системы управления ИТ.
9.2 Жизненный цикл четырех доменов COBIT
Для понимания сути каждого домена рассмотрим жизненный цикл COBIT всех четырех доменов. Исходная точка жизненного цикла - это бизнес-требования в разрезе не только конфиденциальности, целостности и доступности, но и эффективности, полезности, соответствия и достоверности. Бизнес-требования получают исходные данные от бизнес-задач (включая объекты управления) за пределами жизненного цикла домена в одном направлении и передают изменения требований к этим объектам в противоположном направлении.
Планирование и организация. Планирование и организация - главный домен в жизненном цикле, поскольку охватывает стратегию и тактику, а также определяет способ, при помощи которого IT могут лучше всего участвовать в достижении задач бизнеса. Для того, чтобы реализовать эту стратегическую концепцию, вам нужно планировать, налаживать общение и управлять. Необходимо обеспечить правильную настройку компании и наличие адекватной технологической инфраструктуры. Затем необходимо проверить, правильно ли отрегулированы бизнес-стратегия и IT, достигнуто ли оптимальное использование IT-ресурсов. Вы должны убедиться, что каждый сотрудник компании понимает задачи IT. Затем следует оценить, как осуществляется управление риском, и как IT-системы соответствуют потребностям бизнеса.
Приобретение и внедрение. Реализация IT-стратегии осуществляется в домене «Приобретение и внедрение». Здесь происходит выявление, разработка или приобретение IT-решений и их интеграция в бизнес-процессы. Ведется контроль за тем, что новые проекты реализуются своевременно и в соответствии с бюджетом и внедряемые IT-решения соответствуют потребностям бизнеса и работают должным образом (после реализации). Чтобы гарантировать, что IT-решение соответствует задачам бизнеса, необходимо внести изменения в существующие системы, не нарушая текущих бизнес-операций.
Эксплуатация и сопровождение. После успешной реализации новой системы, переходим к домену «Эксплуатация и сопровождение». Он связан с актуальной поставкой необходимых сервисов, в том числе предоставлением сервиса, управлением безопасностью и непрерывностью, сопровождением сервиса для пользователей и управлением данными и рабочими средствами. Необходимо обеспечить, чтобы поставляемые IT-сервисы соответствовали бизнес-приоритетам, а расходы на IT не выходили за рамки бюджета. Необходимо гарантировать, что трудовые ресурсы смогут производительно и безопасно использовать IT. Как часть политики обеспечения информацией, следует предусмотреть обеспечение конфиденциальности, целостности и доступности.
Мониторинг и оценка. Все IT-процессы должны время от времени проходить проверку на качество и соответствие требованиям управления. Именно здесь на сцену выходит домен «Мониторинг и оценка». К его задачам относятся управление эффективностью, мониторинг внутрифирменных средств контроля, соответствие нормативам и обеспечение управления. Здесь решается, может ли быть адекватно измерена эффективность IT (это поможет своевременно обнаружить проблемы), и можно ли проследить эффективность IT до решения бизнес-задач. Роль руководства заключается в обеспечении эффективных внутрифирменных средств контроля. Еще более важно обеспечить средства измерения и генерации отчетов о риске, управлении, соответствии и эффективности.
Этот домен не ограничивается данным этапом жизненного цикла. Если отчеты показывают, что изменения в бизнес-требованиях являются существенными и требуют поддержки при помощи слияния IT-технологий, а также затрагивают управление IT и бизнес-задачи, жизненный цикл выполняет итерацию. Необходимо обновить бизнес-требования, которые, в свою очередь, повлияют на процессы управления IT.
Модели зрелости COBIT. Определяемые в COBIT модели зрелости компании (Maturity Model) позволяют руководству компании дать оценку текущему состоянию IT-процессов в сравнении с лучшими примерами в данной отрасли и найти возможности их совершенствования.
В целом в «незрелых» компаниях успешность IT-проектов полностью зависит от личности администратора-«универсала». Система управления и преемственность в деятельности IT-отдела практически отсутствуют. Вплоть до того, что с уходом «универсала» вообще все может перестать работать.
С повышением уровня зрелости компании увеличивается роль системы управления и понижается роль администратора. Администраторы становятся взаимозаменяемыми, а наличие отточенных навыков в узкой предметной области и специальных знаний, начинает цениться выше универсальности. Такая система выгодна для компании, но не выгодна для администратора-«универсала». Этим объясняется то сопротивление со стороны IT-специалистов, с которым сталкиваются руководители IT-отделов, внедряющие систему управления IT.
Самого высокого уровня зрелости достигают компании, в которых IT-система как совокупность ПО, оборудования, средств связи, а также специалистов, действующих в рамках стандартизированных IT-процессов, представляет собой хорошо отлаженный механизм, обеспечивающий эффективное управление информационными ресурсами компании. В такой компании все IT-процессы оптимизированы на основе требований стандартов и лучшей мировой практики управления IT, а информационные системы могут быть легко адаптированы к требованиям бизнеса."
9.3 Аудит IT-инфраструктуры предприятия: цели, задачи, реализация
IT-инфраструктура предприятия - это комплекс аппаратных и программных средств, предназначенных для автоматизированного сбора, хранения, обработки, передачи и получения информации. Ценность информации определяется степенью ее полезности для владельца. Обладание истинной (достоверной) информацией дает ее владельцу определенные преимущества. Информация, искаженно представляющая действительность (недостоверная информация), может нанести владельцу значительный материальный и/или моральный ущерб.
В современных условиях рынка полнота информации, ее достоверность, скорость получения и обработки данных, эффективность информационного обмена между структурными подразделениями организации, оперативность принятия решений и реализации возложенных на каждое из таких подразделений задач, становятся одними из наиболее значимых факторов успешности предприятия: его рентабельности, прибыльности, конкурентоспособности.
Функцию обеспечения вышеперечисленных задач берет на себя информационная система организации, состоящая, как правило, из компьютерного парка, системы автоматизации производства, систем безопасности (видеонаблюдение, охранно-пожарная сигнализация, СКУД и проч.), коммуникационных систем (мини-АТС, локальные и/или корпоративные сети) и т. д.
Двумя наиболее значимыми, на наш взгляд, факторами эффективности функционирования информационной системы, состоящей из перечисленных подсистем, являются:
- полезная эффективность IT-инфраструктуры организации (соответствие технических и программных средств предприятия реальным целям, задачам и потребностям бизнеса);
- информационная безопасность IT-инфраструктуры предприятия (включая устойчивость технических средств к всевозможным отказам и сбоям, а также обеспечение сохранности важной информации: пресечение ее утечки и/или уничтожения и защита от несанкционированного доступа);
Одним из способов обеспечения полезной эффективности и информационной безопасности предприятия является аудит IT-инфраструктуры организации, направленный на оптимизацию информационной системы предприятия и выявление явных и/или скрытых угроз ее нормального функционирования.
Аудит IT-инфраструктуры представляет собой системный процесс, заключающийся в получении и оценке объективных данных о текущем состоянии IT-систем организации:
- серверов и рабочих станций, задействованных в IT-инфраструктуре предприятия;
- активного сетевого оборудования;
- системного программного обеспечения;
- физической и логической структуры корпоративной локальной сети;
- периферийного оборудования;
- телекоммуникационных систем;
- систем безопасности;
- систем электроснабжения;
- каналов передачи данных;
и проч.
Как правило, при аудите IT-инфраструктуры применяются следующие методы исследования:
- проведение инвентаризации компонентов IT-инфраструктуры;
- анкетирование сотрудников организации, проводящееся по опросным листам;
- анализ программного обеспечения, файлов и системных событий серверов и рабочих станций, входящих в IT-инфраструктуру организации;
- проверка сетевой безопасности серверов и рабочих станций с целью исключения возможного несанкционированных проникновений через сеть Интернет и/или по другим каналам связи;
- мониторинг состояния активного сетевого оборудования;
- диагностика системы электроснабжения, кабельных сетей и пассивных компонентов IT-инфраструктуры предприятия;
Целью создания любой компьютерной системы является удовлетворение потребностей пользователей в своевременном получении достоверной информации и сохранении ее конфиденциальности. Информация является конечным «продуктом потребления» и выступает в виде центральной компоненты системы.
Именно поэтому одним из ключевых вопросов при проведении аудита IT-инфраструктуры организации является оценка этой инфраструктуры с точки зрения информационной безопасности. Эта проблема может быть решена успешно только в том случае, если создана и функционирует комплексная система защиты информации, охватывающая весь жизненный цикл компьютерных систем от разработки до утилизации и всю технологическую цепочку сбора, хранения, обработки и выдачи информации.
Безопасность (защищенность) информации, в данном случае, - это такое состояние всех компонентов компьютерной (информационной) системы, при котором обеспечивается защита информации от всех возможных угроз на требуемом уровне. При этом, под системой защиты информации понимается единый комплекс правовых норм, организационных мер, технических, программных и криптографических средств, обеспечивающий защищенность информации в компьютерной системе в соответствии с принятой политикой безопасности.
С позиции обеспечения безопасности информации, IT-инфраструктуру организации целесообразно рассматривать в виде единства трех компонентов, оказывающих взаимное влияние друг на друга:
- информация;
- технические и программные средства;
- обслуживающий персонал и пользователи.
Под угрозой безопасности информации понимается потенциально возможное событие, процесс или явление, которые могут привести к уничтожению, утрате целостности, конфиденциальности или доступности информации. Все множество потенциальных угроз безопасности информации в компьютерных системах может быть разделено на два класса:
- преднамеренные угрозы
- непреднамеренные (случайные) угрозы
Угрозы, которые не связаны с преднамеренными действиями злоумышленников и реализуются в случайные моменты времени, называют случайными или непреднамеренными. Реализация угроз этого класса приводит к наибольшим потерям информации. При этом могут происходить уничтожение, нарушение целостности и доступности информации. Реже нарушается конфиденциальность информации, однако при этом создаются предпосылки для злоумышленного воздействия на информацию. К непреднамеренным (случайным) угрозам, в частности, относятся:
- стихийные бедствия и/или аварии;
- сбои и отказы оборудования;
- ошибки пользователей и/или обслуживающего персонала.
Ошибочные операции или действия могут вызываться отказами аппаратных и программных средств, а также ошибками пользователей и обслуживающего персонала. Некоторые ошибочные действия могут привести к нарушениям целостности, доступности и конфиденциальности информации. Ошибочная запись в оперативную память и на внешнее запоминающее устройство, нарушение разграничения памяти при мультипрограммных режимах работы ЭВМ, ошибочная выдача информации в канал связи, короткие замыкания и обрыв проводников - вот далеко не полный перечень ошибочных действий, которые представляют реальную угрозу безопасности информации в информационной системе организации.
Для блокирования (парирования) случайных угроз безопасности информации в компьютерных системах должен быть решен комплекс задач:
- дублирование информации;
- повышение надежности системы;
- создание отказоустойчивых систем;
- минимизация ущерба от аварий и стихийных бедствий;
- блокировка ошибочных операций;
- оптимизация взаимодействия человека и компьютерной системы.
Дублирование информации является одним из самых эффективных способов обеспечения целостности информации. В зависимости от ценности информации, особенностей построения и режимов функционирования компьютерной системы могут использоваться различные методы дублирования, которые классифицируются по различным признакам. По степени пространственной удаленности носителей основной и дублирующей информации методы дублирования могут быть разделены на методы:
- сосредоточенного дублирования;
- рассредоточенного дублирования.
Для определенности целесообразно считать методами сосредоточенного дублирования такие методы, для которых носители с основной и дублирующей информацией находятся в одном помещении. Все другие методы относятся к рассредоточенным. Рассредоточенное копирование достаточно распространенный и достаточно эффективный способ обеспечения сохранности информации в компьютерных сетях; кроме того, рассредоточенное копирование является практически единственным способом обеспечения целостности и доступности информации при стихийных бедствиях и крупных авариях.
Для блокировки ошибочных действий используются технические и аппаратно-программные средства. К таким средствам относятся блокировочные тумблеры, защитные экраны и ограждения, предохранители, средства блокировки записи на внешние (портативные) источники информации. Аппаратно-программные средства используются для блокирования выдачи информации в неразрешенные каналы связи, запрета выполнения операций, доступных только в определенных режимах, при помощи специализированных ключей защиты позволяют блокировать вычислительный процесс при нарушениях программами адресных пространств оперативной памяти, запись в определенные области внешних запоминающих устройств и другие операции.
Важным условием функционирования IT-инфраструктуры организации является ее надежность и отказоустойчивость. Под надежностью понимается свойство системы выполнять возложенные на нее задачи в определенных условиях эксплуатации. Если при наступлении отказа компьютерная система способна выполнять заданные функции, сохраняя значения основных характеристик в пределах, установленных технической документацией, то она находится в работоспособном состоянии. Для решения этой задачи необходимо обеспечить высокую надежность функционирования алгоритмов, программ и технических (аппаратных) средств. Кроме того, необходимо предусмотреть систему бесперебойного электроснабжения, состоящую из одного или нескольких источников бесперебойного питания (ИБП), а на отдельных объектах и дизель-генераторной установки (ДГУ).
Отказоустойчивость - это свойство компьютерной системы сохранять работоспособность при отказах отдельных устройств, блоков, схем. Известны три основных подхода к созданию отказоустойчивых систем:
- простое резервирование;
- помехоустойчивое кодирование информации;
- создание адаптивных систем.
Одним из наиболее простых и действенных путей создания отказоустойчивых систем является простое резервирование. Простое резервирование основано на использовании дополнительных устройств, блоков, узлов, схем в качестве резервных. При отказе основного элемента осуществляется переход на использование резервного. Резервирование осуществляется на различных уровнях: на уровне устройств, средств передачи информации, блоков, узлов и т. д. Резервирование отличается также и глубиной. Для целей резервирования могут использоваться один резервный элемент и более.
Помехоустойчивое кодирование основано на использовании информационной избыточности. Рабочая информация в информационной системе дополняется определенным объемом специальной контрольной информации. Наличие этой контрольной информации (контрольных двоичных разрядов) позволяет путем выполнения определенных действий над рабочей и контрольной информацией определять ошибки и даже исправлять их. Так как ошибки являются следствием отказов средств IT-инфраструктуры предприятия, то, используя исправляющие коды, можно парировать часть отказов. Исправляющие возможности кодов для конкретного метода помехоустойчивого кодирования зависят от степени избыточности. Чем больше используется контрольной информации, тем шире возможности кода по обнаружению и исправлению ошибок.
Также существенную угрозу безопасности информации в компьютерной системе представляет несанкционированная модификация алгоритмической, программной и технической структур системы. Несанкционированная модификация структур может осуществляться на любом жизненном цикле IT-инфраструктуры предприятия. Проведение аудита IT-инфраструктуры предприятия позволяет выявить потенциальные возможности несанкционированной модификации компонентов системы и, соответственно, предотвратить ее осуществление.
Резюме по теме
Подводя итог вышесказанному, необходимо отметить, что комплексный аудит IT-инфраструктуры предприятия, анализ всех ее систем и подсистем, эффективности их взаимодействия и использования - задача достаточно трудоемкая, требующая достаточных финансовых и производственных затрат, но, несмотря на это, необходимая. В условиях стремительного развития бизнеса, IT-инфраструктура предприятия представляет собой сложный и разветвленный организм. Построение грамотной структуры управления организацией в значительной степени зависит от возможности IT-подразделения организовать управление предприятием с помощью информационных технологий. Внедрение системы управления предприятием, закупка нового оборудования, инсталляция новых программных продуктов чаще всего проходят без видения целостной картины развития IT-инфраструктуры организации. Это вызывает проблемы полноценного функционирования программных продуктов, проведения дополнительных работ или закупок, что приводит к срывам сроков внедрения проектов, усложняет развитие бизнеса, требует дополнительных инвестиций. IT-аудит - это комплексный анализ информационной структуры, который позволяет решить возникшие сложности, определить качество IT-инфраструктуры предприятия и привести ее возможности в соответствие с целями и задачами бизнеса.
Вопросы для повторения
1. Этапы проведения ИТ-аудита.
2. Что анализируется на этапе «Планирования ИТ-аудита»?
3. Опишите жизненный цикл четырех доменов COBIT
4. Понятие модели зрелости COBIT
5. Что представляет собой аудит ИТ- инфраструктуры?
Тема 10. Международные стандарты аудита информационных систем (COBIT)
Цель: ознакомиться со стандартом CobiT, выявить причины применения стандарта CobiT для управления и аудита ИТ.
Задачи:
1. Изучить международные стандарты аудита информационных систем CobiT.
2. Рассмотреть причины применения стандарта CobiT для управления и аудита ИТ.
10.1 Международные стандарты аудита информационных систем (CobiT)
CobiT - это сокращение от Control Objectives for Information and Related Technology («Задачи информационных и смежных технологий»).
CobiT представляет собой пакет открытых документов, около 40 международных и национальных стандартов и руководств в области управления IT, аудита и IT-безопасности. Создатели стандарта провели анализ и оценку и объединили лучшее из международных технических стандартов, стандартов управления качеством, аудиторской деятельности, а также из практических требований и опыта -- все то, что так или иначе имело отношение к целям управления.
Задача CobiT заключается в ликвидации разрыва между руководством компании с их видением бизнес-целей и IT-департаментом, осуществляющим поддержку информационной инфраструктуры, которая должна способствовать достижению этих целей.
Нередко руководство компании в силу объективных причин не понимает IT-специалистов. По представлению руководства, сотрудники IT-подразделения разговаривают на каком-то птичьем языке. Те, в свою очередь, не понимают бизнес-терминов, на основании которых строятся распоряжения руководства. Это все приводит к росту издержек, выполнению лишней работы, что, конечно же, сказывается на эффективности деятельности компании.
CobiT, благодаря единой терминологии, служит своеобразной платформой-буфером для конструктивного диалога между всеми участниками бизнеса:
- топ-менеджерами;
- руководителями среднего звена (IT-директором, начальниками отделов);
- непосредственными исполнителями (инженерами, программистами и т. д.);
- аудиторами.
В CobiT детально описаны цели и принципы управления, объекты управления, четко определены все IT-процессы (задачи), протекающие в компании, и требования к ним, описан возможный инструментарий (практики) для их реализации. В описании IT-процессов также приведены практические рекомендации по управлению IT-безопасностью.
Кроме того, CobiT вводит целый ряд показателей (метрик) для оценки эффективности реализации системы управления IT, которые часто используются аудиторами IT-систем. В их число входят показатели качества и стоимости обработки информации, характеристики ее доставки получателю, показатели, относящиеся к субъективным аспектам обработки информации (например стиль, удобство интерфейсов). Оцениваются показатели, описывающие соответствие компьютерной IT-системы принятым стандартам и требованиям, достоверность обрабатываемой в системе информации, ее действенность, общепринятые показатели информационной безопасности -- конфиденциальность, целостность и доступность обрабатываемой в системе информации.
В CobiT вводится понятие модели зрелости процесса, показывающей, как процесс может быть улучшен. Если обобщить, то управление IT по CobiT можно представить в следующем ступенчатом виде (по порядку реализации):
Стратегии (выстраивание IT-процесса по бизнес-целям, постановка задачи, цели и создание концепции IT-процесса; ответственные: руководство бизнес-подразделений).
Политики (методы достижения целей в рамках стратегий, например: «длина пароля регламентируется»; ответственные: руководство IT-подразделений).
Стандарты (метрики для политик-методов, например: «длина пароля должна составлять не менее 8 символов»; ответственные: руководство IT-подразделений).
Процедуры (регламенты работ для применения политик-методов с использованием стандартов-метрик, рабочие инструкции для исполнителей; ответственные: руководство IT-подразделений).
Стандарт отвечает всем потребностям практики, сохраняя независимость от конкретных производителей, технологий и платформ. При разработке стандарта была заложена возможность использования его как для проведения аудита IT-системы компании, так и для проектирования IT-системы. В первом случае CobiT позволяет определить степень соответствия исследуемой системы лучшим образцам, а во втором -- спроектировать систему, почти идеальную по своим характеристикам.
История CobiT. Первая версия стандарта была выпущена в 1996 году Организацией аудита и контроля информационных систем (Information Systems Audit and Control Foundation, ISACF) с целью обеспечения методов оценки и контроля, которые пригодились бы и IТ-персоналу, и аудиторам, и клиентам. Она включала концептуальное ядро, определяющее набор основополагающих принципов и понятий в области управления IT, описание задач управления и руководство по аудиту. Вторая, переработанная версия CobiT была опубликована в 1998 году.
Третья редакция была выпущена уже в 2000 году Институтом управления информационными технологиями (IT Governance Institute), учрежденным Ассоциацией аудита и контроля информационных систем (Information Systems Audit and Control Association, ISACA) совместно с ISACF с целью развития и популяризации принципов управления IT (в настоящее время названный институт и является основным разработчиком CobiT). Проект подготовки третьей редакции CobiT включал разработку принципов управления и переработку второго издания с использованием новых и пересмотренных международных источников. Кроме того, концепция CobiT была пересмотрена и расширена, с тем чтобы предусмотреть усиленный административный контроль, ввести управление производительностью и развить управление IT.
CobiT 4.0 содержит диаграммы, показывающие, кто несет ответственность, кто подотчетен, с кем необходимо консультироваться и кого необходимо проинформировать для описания ролей и ответственности за каждый IT-процесс.
Источники совершенствования: ITIL и CobiT. Преимущество стандартов в их разнообразии и множестве: в этом случае повышается вероятность того, что один из них подойдет в конкретной ситуации. Если CobiT не подходит, можно применить ITIL. Но есть ли взаимосвязь или взаимозависимость между CobiT и ITIL?
ITIL -- библиотека лучшего практического опыта в части управления IT-услугами, а CobiT специализируется и на управлении, и на аудите IT. Необходимо отметить, что и к процессам ITIL могут быть применены принципы контроля и управления CobiT. Посредством использования CobiT руководители IT-подразделений преобразуют задачи бизнеса в четкие и понятные планы развития IT. Методология ITIL применяется для оптимизации процесса обслуживания информационных систем с точки зрения управления.
Стандарт CobiT и библиотека ITIL не являются противоречащими друг другу подходами (наборами передового опыта), они дополняют друг друга, охватывая разные сферы деятельности и разные уровни управления. Оба стандарта оказываются более полезными именно тогда, когда используются вместе, а не по отдельности.
CobiT помогает понять, что следует делать для решения поставленной задачи, а ITIL показывает, как этого достичь.
Подобные документы
Анализ показателей оценки эффективности информационных систем и технологий. Расчет трудовых и стоимостных показателей и показателей достоверности информации, разработка программы для ускорения методов обработки данных. Интерфейс и листинг приложения.
дипломная работа [1,2 M], добавлен 14.01.2012Классификация автоматизированных информационных систем; их использование для систем управления. Характеристика предоставляемых услуг ООО "Континент"; анализ эффективности применения информационных технологий конечного пользователя на предприятии.
дипломная работа [4,2 M], добавлен 05.12.2011История развития информационных технологий. Классификация, виды программного обеспечения. Методологии и технологии проектирования информационных систем. Требования к методологии и технологии. Структурный подход к проектированию информационных систем.
дипломная работа [1,3 M], добавлен 07.02.2009Информационные технологии и системы. Связь организаций и информационных систем. Интегрированная система управления промышленными предприятиями. Возможности информационных технологий в бизнесе, их влияние на организацию и роль менеджеров в этом процессе.
курсовая работа [147,7 K], добавлен 07.05.2012Понятие информационных технологий, этапы их развития, составляющие и основные виды. Особенности информационных технологий обработки данных и экспертных систем. Методология использования информационной технологии. Преимущества компьютерных технологий.
курсовая работа [46,4 K], добавлен 16.09.2011Роль структуры управления в информационной системе. Примеры информационных систем. Структура и классификация информационных систем. Информационные технологии. Этапы развития информационных технологий. Виды информационных технологий.
курсовая работа [578,4 K], добавлен 17.06.2003Основные свойства информационных технологий в экономике. Классификация, главные компоненты и структурная схема информационных технологий. Системные и инструментальные средства. Особенности взаимодействие информационных технологий с внешней средой.
презентация [217,3 K], добавлен 22.01.2011Области применения и реализации информационных систем. Анализ использования Web-технологий. Создание физической и логической модели данных. Проектирование информационных систем с Web-доступом. Функции Института Искусств и Информационных Технологий.
дипломная работа [3,8 M], добавлен 23.09.2013Обзор новых информационных технологий в обучении в высших учебных заведениях. Методы и способы применения мультимедиа технологий при чтении лекций. Внедрение информационных систем в классические библиотеки. Характеристика обучающих систем в ДонТУ.
реферат [216,9 K], добавлен 10.02.2012Развитие информационных систем. Современный рынок финансово-экономического прикладного программного обеспечения. Преимущества и недостатки внедрения автоматизированных информационных систем. Методы проектирования автоматизированных информационных систем.
дипломная работа [1,5 M], добавлен 22.11.2015
