Стандарты аудита эффективности ИС. Корпоративные стандарты.
Аудит информационных систем и технологий – системный процесс получения и оценки объективных данных о текущем состоянии информационных систем и технологий, действиях и событиях происходящих в них, устанавливающий уровень их соответствия определенному критерию и предоставляющий результаты заказчику.
Ключевыми этапами проведения аудита ИС могут стать следующие шаги:
- Определение границ проведения аудита
- Сбор информации
- Анализ информации
- Выработка рекомендаций
- Составление аудиторского отчета и заключения
- Контроль выполнения ключевых рекомендаций
- Рассмотрим эти этапы поподробнее.
На этапе подготовки и подписания исходно-разрешительной документации определяются границы проведения аудита:
Границы аудита определяются критическими точками ИС (элементами ИС), в которых наиболее часто возникают проблемные ситуации.
На основании результатов предварительного аудита всей ИС (в первом приближении), проводится углубленный аудит выявленных проблем. В это же время создается команда проведения аудита, определяются ответственные лица со стороны Заказчика. Создается и согласовывается необходимая документация.
Далее проводится сбор информации о текущем состоянии ИС с применением стандарта CoBiT (Аббревиатура CobiT расшифровывается как Контрольные ОБъекты для Информационных и смежных Технологий. За этой аббревиатурой скрывается набор документов, в которых изложены принципы управления и аудита информационных технологий. CobiT), объекты контроля которого получают информацию обо всех нюансах функционирования ИС как в двоичной форме (Да/Нет), так и форме развернутых отчетов. Детальность информации определяется на этапе разработки исходно-разрешительной документации. Существует определенный оптимум между затратами (временными, стоимостными и т.д.) на получение информации и ее важностью, актуальностью.
Проведение анализа – наиболее ответственная часть проведения аудита ИС. Использование при анализе недостоверных, устаревших данных недопустимо, поэтому возможно уточнение данных, углубленный сбор информации. Требования к проведению анализа определяются на этапе сбора информации. Методики анализа информации существуют в стандарте CoBiT, но если их не хватает, не возбраняется использовать разрешенные ISACA разработки других компаний.
В состав стандарта CoBiT входят шесть книг, ориентированных на разные аудитории:
Резюме для руководителя. Описание стандарта CobiT, ориентированное на топ-менеджеров организации для принятия ими решения о применимости стандарта в конкретной организации.
Описание структуры. Книга содержит развернутое описание структуры стандарта, высокоуровневых целей контроля и пояснения к ним, необходимые для эффективной навигации и результативной работы со стандартом.
Объекты контроля. В книгу включены детальные описания объектов контроля, содержащие расшифровку каждого из объектов.
Принципы управления. Книга отвечает на вопросы как управлять ИТ, как правильно поставить достижимую цель, как ее достичь и как проконтролировать полноту ее достижения. Предназначена для руководителей ИТ-служб.
Принципы аудита. Правила проведения ИТ-аудита. Описание того, у кого можно получить необходимую информацию, как ее проверить, какие вопросы задавать. Книга предназначена для внутренних и внешних аудиторов ИТ, а также консультантов в сфере ИТ.
Набор инструментов внедрения стандарта — практические советы по ежедневному использованию стандарта в управлении и аудите ИТ. Книга предназначена для внутренних и внешних аудиторов ИТ, консультантов в сфере ИТ.
Рисунок 4.3 Состав книг CobiT
CobiT — это сохранение единого подхода к сбору, анализу информации, подготовке выводов и заключений на всех этапах управления, контроля и аудита ИТ, возможность сравнения существующих ИТ-процессов с "лучшими" практиками, в том числе отраслевыми.
Результаты проведенного анализа являются базой для выработки рекомендаций, которые после предварительного согласования с Заказчиком должны быть проверены на выполнимость, актуальность с учётом рисков внедрения. Контроль выполнения рекомендаций – немаловажный этап, требующий непрерывного отслеживания хода выполнения рекомендаций. На этапе разработки дополнительной документации проводится работа, направленная на создание документов, отсутствие или недочеты в которых могут вызвать сбои в работе ИС. Например, отдельное углубленное рассмотрение вопросов обеспечения безопасности ИС. Постоянное проведение аудита гарантирует стабильность функционирования ИС, поэтому создание план-графика проведения последующих проверок является одним из результатов профессионального аудита.
Корпоративные стандарты — это модель поведения компании. С помощью перечня правил организация достигает эффективного и слаженного взаимодействиями между своими служащими. От этого же зависит ее имидж — какой компания предстанет перед клиентом. Какие аспекты включают в себя корпоративные стандарты? Как происходит их внедрение?
Ни для никого не секрет, что абсолютно любой бизнес, независимо от сферы деятельности, ведется по определенным правилам и канонам, которые каждая компания разрабатывает «под себя». Единые корпоративные стандарты позволяют компании работать четко и структурировано.
Корпоративные стандарты обязан выполнять каждый сотрудник фирмы с целью:
- исключения типовых, воспроизводящихся ошибок;
- увеличения надежности и КПД бизнесс-процессов;
- превращение удачных ситуаций в тиражируемую технологию.
- Детальная разработка корпоративных стандартов возможна лишь под конкретный заказ, но перечислим ниже несколько типовых элементов:
- Миссия фирмы (философия, дух, культура)
- Бренд и фирменный стиль (логотип, визитки, бланки, сайт и т.п.)
- Запрет на употребление сотрудниками продукции конкурента
- Запрет на подписание сотрудниками каких-либо договоров без визы юриста
- Картотека рекламаций и возражений клиентов
- Контракт с сотрудником с чётким указанием прав/обязанностей
- Know-how
- Порядок действий сотрудников (заранее отрепетированный) в случае «аварийных режимов»
- Речевые модули
- Система корпоративного обучения
- Товарные знаки и т.д.