申請免費試用、咨詢電話：400-8352-114
AMTeam.org
從經(jīng)濟學意義上來說，客戶愿意為任何滿足自己需求的產品和服務付費，這個無須懷疑。需要懷疑的倒應該是這個問題：廠商以“自己的標準”為用戶提供的所謂“服務”，能否讓用戶認為“物有所值”？
是否“物有所值”，買家和賣家各自的感受會有差異，因此一個標準作為度量的尺度就成了人們關注的焦點。
為了建立這個公正的尺度，美國信息系統(tǒng)審計與控制協(xié)會(ISACA)從1967年成立伊始，就開始研究這個問題，提出了“信息系統(tǒng)和技術控制目標”（COBIT）。COBIT，直譯為信息及相關技術的控制目標，是IT治理的一個開放性標準，目前已成為國際上公認的最先進、最權威的安全與信息技術管理和控制的標準。該標準為IT的治理、安全與控制提供了一個一般適用的公認的標準，以輔助管理層進行IT治理。該標準體系已在世界一百多個國家的重要組織與企業(yè)中運用，指導這些組織有效利用信息資源，有效地管理與信息相關的風險。
以下是PWC的COBIT原理圖：
從上圖中可以看出，COBIT完全基于IT，其IT準則反映了企業(yè)的戰(zhàn)略目標，IT資源包括人、系統(tǒng)、數(shù)據(jù)等相關資源，IT管理則是在IT準則指導下對IT資源進行規(guī)劃處理。COBIT在PO、AI、DS、M四個方面確定了34個處理過程以及318個詳細控制目標。此外對每個過程還有評審工具。下表是COBIT的34個處理過程：
盡管COBIT非常復雜，但是它也不是憑空想象出來的，COBIT基于已有的許多架構,如SEI的能力成熟度模型（CMM）對軟件企業(yè)成熟度5級的劃分，以及ISO9000等標準，而ITIL是基于企業(yè)的最佳實務（Best
Practice），OGC收集和分析各種組織解決服務管理問題方面的信息，找出那些對本部門和對英國政府其它部門有益的做法，最后形成了ITIL。它列出了各個服務管理流程“最佳”的目標、活動、輸入和輸出以及各個流程之間的關系，但沒定義范圍廣泛的控制架構。另外，與ITIL關注方法和實施過程COBIT在總結這些標準的基礎上重點關注企業(yè)需要什么，而不是企業(yè)需要如何做，它不包括具體的實施指南和實施步驟，它是一個控制架構（Control
Framework）而非具體如何做的過程架構（Process Framework）。
盡管兩個標準有著許多的不同之處，但在COBIT和ITIL背后卻有著非常一致的指導原則。信息系統(tǒng)審計師通常綜合使用COBIT和ITIL的自評估方法，去評估企業(yè)IT服務管理環(huán)境。COBIT為每一個過程提供了關鍵目標指標（KGIs）、關鍵績效指標(KPIs)、關鍵成功要素(CSFs)，這些指標與ITIL過程相結合，可以建立ITIL過程管理的基準。在實際應用中，某些企業(yè)綜合兩個標準提出了更易理解的適用于本企業(yè)環(huán)境的IT治理和運行架構。
而且，與ITIL一樣，作為IT治理中最重要的標準，COBIT也集中反映了IT控制的目標和思想。COBIT中關于控制的含義是：“控制是一系列策略、程序、實踐和組織結構的設計，以便對業(yè)務目標提供有效的確證（Assurance），對意外事件進行防護、監(jiān)控和糾正?！倍鳬T控制目標的定義是：通過在特定的IT活動中實施控制程序，以便獲得期望的結果和目標所給出的陳述。
目前，COBIT已經(jīng)在100多個國家的超過10000家企業(yè)獲得應用，全球有160余個機構在推廣COBIT的知識體系和方法論。有識之士指出，COBIT從體系化、標準化的高度，構建關于信息系統(tǒng)投資、建設、評估、風險控制的知識框架，超越了傳統(tǒng)的產品與服務的概念，是IT行業(yè)乃至信息化事業(yè)的新的發(fā)展思路。
信息系統(tǒng)的質量問題是一個由來已久的問題。這個問題困擾美國人30多年，也困擾中國的客戶多年了。COBIT簡單的說是一套標準，它基于以前的一些成熟的標準，可以客觀的衡量信息系統(tǒng)的質量，但是不可否認的是它是美國人開發(fā)的標準，而且某些方面并不適合中國的國情和現(xiàn)狀，所以COBIT并不是信息系統(tǒng)建設的救世主，它只是我們信息化建設的“鋪路石”。
和ITIL、ISO/IEC17799和PRINCE2一樣，COBIT是IT治理領域全球公認的輔助工具。采納何種標準的關鍵在于：發(fā)掘你的真正需求，對標準進行剪裁制定最適合的實施方案，然后持續(xù)改善。這將給組織帶來諸多益處，這其中就包括當前業(yè)界普遍關心的提高IT投資回報率難題。
作者聯(lián)系方式：liang.song@AMTeam.org
| 
