IT治理的学习

目前国际上通行的IT治理标准主要有四个：ITIL 、COBIT、ISO/IEC17799和PRINCE2,下面分别说明:
1）ITIL
　　ITIL（Information Technology Infrastructure Library）：即信息技术基础构架库，一套被广泛承认的用于有效IT服务管理的实践准则。1980年以来，英国政府商务办公室（GOC，原称政府计算机与通信中心）为解决“IT服务质量不佳”的问题，逐步提出和完善了一整套对IT服务的质量进行评估的方法体系，叫做ITIL。2001年，英国标准协会在国际IT服务管理论坛（itSMF）上正式发布了以ITIL为核心的英国国家标准BS15000。这成为IT服务管理领域具有历史意义的重大事件。

（2）COBIT
　　COBIT（Control Objectives for Information and related Technology）：即信息系统和技术控制目标。成立于1969年的美国信息系统审计与控制协会ISACA，于1996推出了用于“IT审计”的知识体系COBIT。“IT审计”已经成为众多国家的政府部门、企业对IT的计划与组织、采购与实施、服务提供与服务支持、监督与控制等进行全面考核与认可的业界标准。相应地，“注册信息系统审计师”（CISA）日益成为世界各国发展信息化过程中，争相发展的新兴职业和领域。作为IT治理的核心模型，COBIT包含34个信息技术过程控制，并归集为四个控制域：IT规划和组织（Planning and Organization）、系统获得和实施（Acquisition and Implementation）、交付与支持（Delivery and Support）以及信息系统运行性能监控（Monitoring）。 COBIT 目前已成为国际上公认的IT管理与控制标准。

（3）BS 7799
　　BS 7799(ISO/IEC17799)：即国际信息安全管理标准体系，2000年12月，国际标准化组织ISO正式发布了有关信息安全的国际标准ISO17799，这个标准包括信息系统安全管理和安全认证两大部分，是参照英国国家标准BS7799而来的。它是一个详细的安全标准，包括安全内容的所有准则，由十个独立的部分组成，每一节都覆盖了不同的主题和区域。
　　由英国标准协会（BSI）编写的信息安全管理体系标准BS 7799-Part 1 (ISO 17799) 及BS 7799-Part 2为各种机构、企业进行信息安全管理提供了一个完整的管理框架。这一套‘姊妹对’标准引导机构、企业建立一个完整的信息安全管理体系，对信息安全进行动态的、以分析机构及企业面临的安全风险为起点对企业的信息安全风险进行动态的、全面的、有效的、不断改进的管理，并强调信息安全管理的目的是保持机构及企业业务的连续性不受信息安全事件的破坏，要从机构或企业现有的资源和管理基础为出发点，建立信息安全管理体系（ISMS），不断改进信息安全管理的水平，使机构或企业的信息安全以最小代价达到需要的水准。保护信息安全，建立信息安全管理体系是机构或企业营运的重要工作之一，尤其是BS 7799-2: 2002是目前最完整的参考依据，它以“计划（Plan）、实施（Do）、检查（Check）、行动（Action）”模式，将管理体系规范导入机构或企业内，以达到“持续改进”的目的。

（4）PRINCE2
　　PRINCE2（Projects In Controlled Environments）是一种对项目管理的某些特定方面提供支持的方法。PRINCE2描述了一个项目如何被切分成一些可供管理的阶段，以便高效地控制资源的使用和在整个项目周期执行常规的监督流程。PRINCE2的视野并不仅仅限于对具体项目的管理，还盖了在组织范围对项目的管理。
　　在这里，我们重点对COBIT进行介绍：
　　COBIT的全称是“Control Objectives for Information and related Technology”，上世纪90年代早期由IT治理协会提出，至今（2005年）已是第三版，COBIT目前已成为国际上公认的IT管理与控制框架，已在世界一百多个国家的重要组织与企业中运用，指导这些组织有效地利用信息资源，有效地管理与信息相关的风险。
　　COBIT有6个组件：
　　- Executive Summary
　　- Management Guidelines
　　- Framework
　　- Control Objectives
　　- Implemenation Toolset
　　- Audit Guidelines

　　COBIT模型是企业战略目标和信息技术战略目标的桥梁，使得信息技术目标和企业战略目标之间实现互动。
　　该框架的意义在于：COBIT实现了企业目标与IT治理目标之间的桥梁作用。
　　首先，COBIT考虑了企业自身的战略规划，对业务环境和企业总的业务战略进行分析定位，并将战略规划所产生的目标、政策、行动计划作为信息技术的关键环境，并由此确定IT准则。
　　IT为企业战略提供了基于技术的解决方案，为满足业务战略需求提供了技术与工具。在IT准则的指导下，利用控制目标模型，分别从规划与组织、获取与实施、交付与支持、监控等过程进行控制、管理信息资源。在IT管理的同时，引入审计指南，从而保证IT资源管理的安全性、可靠性和有效性。
　　COBIT实现可跟踪的业绩衡量，通过平衡记分卡可以在财务（企业资源管理）、客户（客户关系管理）、过程（内部网，工作流工具）、学习（知识管理）等方面维持平衡，评价企业目标的实现情况以及IT绩效，并调整业务目标和IT战略，进行持续的IT管理。
　　COBIT采用成熟度模型，可以定位自己企业的IT管理目前在业界所处的位置，以及未来努力的方向，通俗地说就是给IT管理“打分”。
　　COBIT还提供了目前最佳案例和关键成功因素（CSF），供企业和组织借鉴。
　　从内容上看，COBIT覆盖了从分析＆设计到开发＆实施到运营、维护的整个过程。对于分析＆设计，重点目标是IT与业务的需求，根据业务目标细化IT战略，确定待开放的IT系统，进行相应的系统分析和设计。在分析与设计这样一个流程范围中，比我们传统所说的信息系统的分析与设计要宽广得多，它强调的是IT的战略要符合业务的战略，任何信息系统的开发都应该与业务战略保持精确的校准。从业务战略的高度来分析和设计信息系统。提供这个阶段主要是考察组织的需求，同时根据这些需求设计合理的资源组合，设立合理的服务级别、目标，提供满足客户需求的IT服务。这个阶段对IT应用已上升到IT服务管理的阶段。主要解决下面的问题，为满足客户的需要提供哪些资源，这些资源之间的成本是多少，如何在服务成本和服务的效益间达到一个恰当的平衡点。在支持这个层面，主要是如何满足客户提出的IT需求，以支持服务的需求。　　　　COBIT上层是对IT运行进行外部控制和内部审计，以确保IT与业务实现精确校准，同时实现对IT应用持续不断的应用和改进。COBIT覆盖整个信息系统的全部生命周期，其视野是最为开阔的。
　　概括而言，COBIT的主要优点如下：
　　COBIT是一个非常有用的工具，也非常易于理解和实施，可以帮助企业在管理层、IT与审计之间交流的鸿沟上搭建桥梁，提供了彼此沟通的共同语言。几乎每个机构都可以从COBIT中获益，来决定基于IT过程及他们所支持的商业功能的合理控制。当我们知道这些业务功能是什么，其对企业的影响到什么程度时，就能对这些事件进行良好的分类。所有的信息系统审计、控制及安全专业人员应该考虑采用COBIT原则。
　　通过实施COBIT，增加了管理层对控制的感知及支持。COBIT帮助管理层懂得如何控制影响、业务功能。COBIT提供的实施工具集包括优秀的案例资料（提供模板业务过程，使得优秀范例能够迅速移植），有助于向管理层很好地表述IT管理概念。管理层在基于最佳控制实践基础上做出正确决策的能力亦得到了提高。
　　COBIT使IT管理工作简易并量化，减轻对复杂信息系统管理工作的难度。对于那些不具有广博IT知识的人来讲，是一个认清信息技术的有价值的工具。它也使得信息系统审计师具有与IT专业人员相同的专业广度，并且可以询问IT工程相关的问题。
　　COBIT提供了一种国际通用的IT管理及问题解决方案，普遍适用于各种不同的业务项目和审计，并且既包容了当前的情况，也提供将来可能会使用到的指导方针。
　　COBIT有助于提高信息系统审计师的影响力，依据COBIT出具的信息系统审计报告，更容易得到管理层的肯定。
　　COBIT框架可以能够帮助决定过程责任，提高IT治理水平。通过应用该框架进行责任分析，可以做到基于角色的IT管理，定义过程措施，确保客户利益。
　　总之，COBIT模型实现了企业战略与IT战略的互动，并形成持续改进的良性循环机制，为企业提供了具有一定参考价值的解决方案。因此，针对我国信息化存在的问题，借鉴COBIT的IT治理思想和框架，科学、系统地对信息及相关技术进行管理，逐步试行建立IT治理机制，对推动我国信息技术的发展和应用具有十分重要的现实意义。

来自 “ ITPUB博客 ” ，链接：http://blog.itpub.net/178883/viewspace-16347/，如需转载，请注明出处，否则将追究法律责任。

转载于:http://blog.itpub.net/178883/viewspace-16347/