IT მმართველობა და სტრატეგია
სტრუქტურა, ბიზნესთან თანხვედრა, გადაწყვეტილების უფლებები, კომიტეტები, პასუხისმგებლობა, მაჩვენებლები, ინვესტიციები და საბჭოს ანგარიშგება.
IT აუდიტი | IT მმართველობა | COBIT 2019
IT აუდიტი და COBIT მმართველობის შეფასება
ტექნოლოგიური მმართველობის, IT პროცესების, შიდა კონტროლებისა და რისკების მართვის დამოუკიდებელი შეფასება COBIT 2019-ისა და საერთაშორისოდ აღიარებული IT აუდიტის პრაქტიკის საფუძველზე.
დამოუკიდებელი IT აუდიტი და COBIT მმართველობის შეფასება შეგიძლიათ ცალ-ცალკე ან ერთად შეუკვეთოთ. სამუშაოს დაწყებამდე ვათანხმებთ კრიტერიუმებს, ფარგლებსა და შედეგებს.
რატომ არის მნიშვნელოვანი IT აუდიტი და ტექნოლოგიური მმართველობა?
სუსტი მმართველობა ტექნოლოგიურ გადაწყვეტილებებს ბიზნესის პრიორიტეტებისგან აშორებს. დამოუკიდებელი აუდიტი განსაზღვრულ კონტროლებს მტკიცებულებებით ამოწმებს; მმართველობის შეფასება ავლენს გადაწყვეტილებების, პასუხისმგებლობისა და რესურსების გაუმჯობესების გზებს.
- ბიზნესისა და IT მიზნები ერთმანეთს სცილდება
- ტექნოლოგიურ რისკებს არ ჰყავს პასუხისმგებელი პირი ან არ ხდება ესკალაცია
- ინვესტიციებსა და რესურსებს სათანადო ზედამხედველობა აკლია
- ოპერაციული შეფერხებები და უკონტროლო ცვლილებები რისკს ზრდის
- უსაფრთხოების კონტროლები და მომწოდებლებზე დამოკიდებულება გაურკვეველია
- შესაბამისობის ხარვეზები და სუსტი ანგარიშგება გადაწყვეტილებებს ართულებს
IT აუდიტის ძირითადი მიმართულებები
აუდიტის მიმართულებებს თქვენი გარემოს, რისკის პროფილისა და შეთანხმებული კრიტერიუმების მიხედვით ვარჩევთ. აპლიკაციური კონტროლებისა და შერჩევის მოცულობა კონკრეტული დავალებით განისაზღვრება.
IT რისკების მართვა
რისკების გამოვლენა, მეთოდოლოგია, რეესტრი, მფლობელობა, რისკის მადა, რეაგირება, ინდიკატორები, ანგარიშგება და ესკალაცია.
ზოგადი IT კონტროლები
ლოგიკური და პრივილეგირებული წვდომა, უფლებების მინიჭება, მოვალეობების გამიჯვნა, ცვლილებები, ოპერაციები, ასლები, მონიტორინგი, დაგეგმვა და კონფიგურაცია.
IT სერვისების მართვა
ინციდენტები, პრობლემები, მოთხოვნები, ცვლილებები, მომსახურების დონეები, აქტივები, კონფიგურაცია, წარმადობა, ხელმისაწვდომობა და უწყვეტობა.
ინფრასტრუქტურა და ღრუბელი
არქიტექტურა, სერვერები, ქსელები, ღრუბლის კონტროლები, საბაზისო კონფიგურაციები, განახლებები, მოწყვლადობები, ასლები და ჰოსტინგის დამოკიდებულებები.
აპლიკაციებისა და სისტემების კონტროლები
წვდომა, ცვლილებები, ინტეგრაციები, დამუშავების სისწორე, შეყვანა/გამოტანა, ჟურნალები, გამონაკლისები და კრიტიკული აპლიკაციები.
კიბერუსაფრთხოების მმართველობა
პოლიტიკები, იდენტობა, მონიტორინგი, ინციდენტებზე მზადყოფნა, მოწყვლადობები, მომწოდებლები, ცნობიერება და რისკების ანგარიშგება.
უწყვეტობა და აღდგენა
კრიტიკული IT სერვისები, ზემოქმედების ანალიზი, აღდგენის მიზნები, გეგმები, ასლების აღდგენის ტესტები და კრიზისის ესკალაცია. IT აღდგენა ორგანიზაციის სრულ უწყვეტობას არ უდრის.
მესამე მხარეები
შემოწმება, კონტრაქტები, SLA, უსაფრთხოების ვალდებულებები, შესრულება, კონცენტრაციის რისკი, გასვლის გეგმები და ინციდენტებზე შეთანხმებები.
პროექტები და ცვლილებები
პრიორიტეტები, პროექტის რისკი, განვითარების ციკლი, რელიზები, ტესტირება, მიღება, საწარმოო კონტროლები და შემდგომი მიმოხილვა.
COBIT 2019-ის საფუძველზე IT მმართველობის შეფასება
COBIT 2019 ISACA-ს ჩარჩოა ინფორმაციისა და ტექნოლოგიის ორგანიზაციული მმართველობისა და მართვისთვის. ვარჩევთ შესაბამის მიზნებს ხუთ დომენში; ქვემოთ მოცემულია ჩვენი შეფასების კითხვების, მტკიცებულებებისა და გადაწყვეტილებითი ღირებულების მაგალითები.
EDM · შეფასება, მიმართულების მიცემა და მონიტორინგი
იმართება თუ არა სარგებელი, რისკები და რესურსები? საბჭოს გადაწყვეტილებები, ინვესტიციები და ანგარიშები აჩვენებს ზედამხედველობის ხარისხს. EDM04 რესურსების ოპტიმიზაციის მაგალითია.
APO · შესაბამისობა, დაგეგმვა და ორგანიზება
ემსახურება თუ არა სტრატეგია, არქიტექტურა, პორტფელი, ბიუჯეტი, პერსონალი, მომწოდებლები, ხარისხი, რისკი, უსაფრთხოება და მონაცემები ბიზნესპრიორიტეტებს? სტრატეგია და რეესტრები ავლენს ხარვეზებს.
BAI · შექმნა, შეძენა და დანერგვა
კონტროლდება თუ არა მოთხოვნები, პროექტები, გადაწყვეტილებები, ცვლილებები, აქტივები და გადასვლა? დამტკიცებები, ტესტები და რელიზის ჩანაწერები აჩვენებს მიწოდების რისკს.
DSS · მიწოდება, მომსახურება და მხარდაჭერა
ეფექტიანია თუ არა ოპერაციები, მოთხოვნები, ინციდენტები, პრობლემები, უწყვეტობა, უსაფრთხოების სერვისები და ბიზნესპროცესის კონტროლები? ტიკეტები და აღდგენის მტკიცებულებები აჩვენებს საიმედოობას.
MEA · მონიტორინგი, შეფასება და შემოწმება
იზომება თუ არა შესრულება, შიდა კონტროლები, გარე ვალდებულებები და უზრუნველყოფა? მაჩვენებლები, აუდიტის ანგარიშები და გამოსწორების მონიტორინგი გადაწყვეტილებებს ეხმარება.
IT პროცესების შესაძლებლობისა და შესრულების შეფასება
თუ ფორმალური შესაძლებლობის შეფასება შეთანხმებულია, შერჩეულ COBIT მიზნებს განსაზღვრული მეთოდოლოგიითა და საკმარისი მტკიცებულებით ვაფასებთ. შესაბამისი COBIT მოდელი 0–5 დონეს იყენებს. ვადგენთ დასაბუთებულ მიმდინარე დონეს, ბიზნესისთვის საჭირო სამიზნესა და სხვაობას; ყველა მიზანი ავტომატურად არ ფასდება.
- მიზნებისა და ორგანიზაციული პრიორიტეტების შერჩევა
- დანერგილი პრაქტიკისა და კონტროლის მტკიცებულებების განხილვა
- მიმდინარე და სამიზნე დონის განსაზღვრა, სადაც ეს დასაბუთებულია
- ხარვეზებისა და გაუმჯობესების ქმედებების პრიორიტეტიზაცია
როგორ ვატარებთ IT აუდიტსა და COBIT შეფასებას?
ექვსი გამჭვირვალე ეტაპი შეთანხმებულ კრიტერიუმებს მტკიცებულებებსა და პრაქტიკულ გადაწყვეტილებებს უკავშირებს.
- 01
დაგეგმვა და ფარგლები
ვათანხმებთ მიზნებს, გარემოს, რისკებს, კრიტერიუმებსა და საზღვრებს.
- 02
რისკისა და მიზნების შერჩევა
ვირჩევთ COBIT მიზნებსა და რისკზე დაფუძნებულ აუდიტის პრიორიტეტებს.
- 03
მტკიცებულებების განხილვა
ვსწავლობთ პოლიტიკებს, პროცედურებს, მმართველობის ჩანაწერებს, კონფიგურაციებს, ინვენტარსა და ანგარიშებს.
- 04
ინტერვიუ და ტესტირება
ვესაუბრებით პასუხისმგებელ პირებს და შესაბამისობის მიხედვით ვამოწმებთ კონტროლის დიზაინსა და მოქმედებას.
- 05
მიგნებები და შესაძლებლობა
ვავლენთ ხარვეზებსა და რისკებს; შესაძლებლობას ვაფასებთ მხოლოდ შეთანხმებისას.
- 06
ანგარიში და სამოქმედო გეგმა
ვაწვდით შეთანხმებულ ანგარიშს, რეკომენდაციებს, პრიორიტეტებსა და შემდგომი შემოწმების ვარიანტებს.
რა ინფორმაცია და ჩართულობაა საჭირო?
მტკიცებულებები და ინტერვიუები შეთანხმებულ ფარგლებს შეესაბამება; ყველა დოკუმენტის წარმოდგენა სავალდებულო არ არის. საჭიროების მიხედვით ვესაუბრებით ხელმძღვანელობას, IT-სა და უსაფრთხოების ლიდერებს, ოპერაციებს, აპლიკაციების მფლობელებს, რისკის, შესაბამისობის, შიდა აუდიტისა და მომწოდებლების გუნდებს.
- IT სტრუქტურა, სტრატეგია და მმართველობის ჩანაწერები
- პოლიტიკები, პროცედურები და რისკის რეესტრები
- სისტემებისა და აქტივების ინვენტარი; წვდომისა და ცვლილებების ჩანაწერები
- ინციდენტების, პრობლემებისა და მომსახურების დონის ანგარიშები
- მომწოდებლების ხელშეკრულებები და აუთსორსინგის რეესტრები
- ასლები, აღდგენის ტესტები, პროექტებისა და მენეჯმენტის ანგარიშები
რას მიიღებს ორგანიზაცია?
მიწოდებული მასალები ხელშეკრულებითა და შეთანხმებული ფარგლებით განისაზღვრება. ფორმალური შესაძლებლობის შეფასება ან შემდგომი შემოწმება მხოლოდ შესაბამისი დავალების შემთხვევაში მზადდება.
დამოუკიდებელი IT აუდიტის ანგარიში
ფარგლები, კრიტერიუმები, მეთოდი, მტკიცებულებები, რისკით შეფასებული მიგნებები და დასკვნები.
COBIT მმართველობის შეფასება
შერჩეული მიზნები, ხარვეზები და გაუმჯობესების გზები.
IT კონტროლების მატრიცა
შეფასებული კონტროლების დაკავშირება კრიტერიუმებსა და მიზნებთან.
პროცესის შესაძლებლობის შეფასება
მიმდინარე და სამიზნე დონეები, თუ ეს ფორმალურად შეთანხმებულია.
რისკზე დაფუძნებული მიგნებების რეესტრი
რისკი, მიზეზი, გავლენა და რეკომენდაცია.
მაკორექტირებელი სამოქმედო გეგმა
პრიორიტეტები, სავარაუდო პასუხისმგებლები და ვადები.
ხელმძღვანელობის რეზიუმე
მთავარი საკითხები, სტრატეგიული გავლენა და გადაწყვეტილებები.
არასავალდებულო შემდგომი შეფასება
გამოსწორების პროგრესის დამოუკიდებელი შემოწმება.
რა ღირებულებას ქმნის IT აუდიტი?
შეფასება ზრდის ხილვადობას და გადაწყვეტილებების ხარისხს; ის ყველა რისკს ვერ აღმოფხვრის და სერტიფიკაციას არ ანიჭებს.
- ტექნოლოგიური რისკების უკეთ დანახვა და პასუხისმგებლობის გამოკვეთა
- მმართველობისა და საინვესტიციო გადაწყვეტილებების გაძლიერება
- უფრო საიმედო ოპერაციები და ეფექტიანი კონტროლები
- მარეგულირებელ მოთხოვნებთან მზადყოფნა და რესურსების უკეთ გამოყენება
- მდგრადობა და ხელმძღვანელობისთვის მკაფიო ანგარიშგება
ვისთვის არის განკუთვნილი მომსახურება?
ფარგლები შეგვიძლია მოვარგოთ როგორც რეგულირებულ ორგანიზაციებს, ისე რთული ტექნოლოგიური დამოკიდებულებების მქონე გუნდებს.
- ბანკები, ფინანსური ინსტიტუტები, FinTech და გადახდის პროვაიდერები
- სადაზღვევო კომპანიები, ენერგეტიკისა და კომუნალური სერვისების ოპერატორები
- ტელეკომუნიკაციებისა და საჯარო სექტორის ორგანიზაციები
- ჯანდაცვის ორგანიზაციები და საშუალო თუ მსხვილი საწარმოები
- ციფრული ტრანსფორმაციის პროცესში მყოფი ორგანიზაციები
კავშირი სხვა ჩარჩოებთან
COBIT მმართველობისა და მართვის ჩარჩოა და არა ISO სერტიფიკაციის სტანდარტი. COBIT შეფასება ავტომატურად არ უდრის ISO სერტიფიკაციის აუდიტს. ფარგლების მიხედვით მიგნებები შეიძლება ავსებდეს ISO/IEC 27001:2022-ს, ISO/IEC 20000-1:2018-ს, ISO 22301-ს, NIST CSF 2.0-ს, ITIL 4-ს, ეროვნულ ბანკის შესაბამის მოთხოვნებსა და სახელშეკრულებო ვალდებულებებს.
ხშირად დასმული კითხვები
რა არის IT აუდიტი?
IT აუდიტი მტკიცებულებებისა და ტესტირების გამოყენებით აფასებს განსაზღვრულ ტექნოლოგიურ პროცესებსა და კონტროლებს შეთანხმებულ კრიტერიუმებთან მიმართებით. ფარგლები და დასკვნა დავალებაში განისაზღვრება.
რა არის COBIT 2019?
COBIT 2019 ISACA-ს ჩარჩოა ინფორმაციისა და ტექნოლოგიის ორგანიზაციული მმართველობისა და მართვისთვის. ვარჩევთ თქვენი პრიორიტეტებისთვის შესაბამის მიზნებს.
რით განსხვავდება IT აუდიტი COBIT მმართველობის შეფასებისგან?
IT აუდიტი განსაზღვრულ კონტროლებსა და რისკებს ამოწმებს. COBIT შეფასება განიხილავს მმართველობისა და მართვის მიზნებს და გაუმჯობესების გზებს. მომსახურებები შეიძლება ცალკე ან ერთად ჩატარდეს.
რას მოიცავს ზოგადი IT კონტროლების აუდიტი?
ფარგლების მიხედვით შეიძლება მოიცავდეს წვდომას, მოვალეობების გამიჯვნას, ცვლილებების მართვას, ოპერაციებს, სარეზერვო ასლებს, მონიტორინგსა და კონფიგურაციას.
რა არის COBIT პროცესის შესაძლებლობის დონეები?
შესაბამისი COBIT მოდელი 0–5 დონეს იყენებს. ფორმალური შეფასება მოითხოვს განსაზღვრულ მეთოდსა და საკმარის მტკიცებულებას და ავტომატურად არ შედის ყველა დავალებაში.
რამდენ ხანს გრძელდება IT აუდიტი?
ხანგრძლივობა სისტემებზე, ლოკაციებზე, მტკიცებულებების ხელმისაწვდომობაზე, ტესტირების სიღრმესა და შედეგებზეა დამოკიდებული. შეფასებას ფარგლების შეთანხმების შემდეგ ვაკეთებთ.
რა მტკიცებულებებია საჭირო?
ჩვეულებრივ საჭიროა პოლიტიკები, რისკის ჩანაწერები, სისტემების ინვენტარი, წვდომისა და ცვლილებების ჟურნალები, ინციდენტები, მომწოდებლების მასალები და აღდგენის ტესტები. ზუსტი სია ფარგლებით განისაზღვრება.
შეიძლება მხოლოდ შერჩეული COBIT მიზნების შეფასება?
დიახ. მიზნებს ვარჩევთ ბიზნესპრიორიტეტების, რისკებისა და დავალების საზღვრების მიხედვით. ყველა COBIT მიზანი ავტომატურად არ ფასდება.
COBIT შეფასება სერტიფიკაციას ნიშნავს?
არა. COBIT ISO სერტიფიკაციის სტანდარტი არ არის. შეფასება იძლევა მიგნებებსა და რეკომენდაციებს და არა COBIT ან ISO სერტიფიკატს.
რა ხდება ანგარიშის მიწოდების შემდეგ?
ხელმძღვანელობას შეუძლია გამოსწორების პრიორიტეტიზაცია, პასუხისმგებლების დანიშვნა და პროგრესის მონიტორინგი. ცალკე შეთანხმებით შესაძლებელია შემდგომი დამოუკიდებელი შეფასება.
შეაფასეთ თქვენი IT მმართველობისა და კონტროლების ეფექტიანობა
მოითხოვეთ დამოუკიდებელი IT აუდიტი ან COBIT 2019-ზე დაფუძნებული მმართველობის შეფასება. ერთად განვსაზღვრავთ ფარგლებს, გამოვავლენთ კონტროლის ხარვეზებს და შევათანხმებთ პრაქტიკულ სამოქმედო გეგმას.
მოითხოვეთ IT აუდიტი