Деятельность ИТ служб предприятия. Стандарты ITSM, COBIT

Процесс управления информационной безопасностью

683.68K

Category:

management

Kurs_Standarty_upravlenia_ITSM_COBIT_chast_1

1. Деятельность ИТ служб предприятия. Стандарты ITSM, COBIT

Часть 1. Введение, ITSM, управление персоналом IT
Лаптев Вячеслав Михайлович

2. Работа ИТ служб

Введение
Деятельность ИТ служб условно делятся на
• Проекты развития ИТ
• Процессы предоставления возможностей ИТ пользователям
• Управление службами ИТ
Качество деятельности определяется уровнем взаимоотношений с
заказчиками и пользователями.
Стандарты определяют качество ИТ через понятие Уровень
зрелости.

3. Тема курса

Введение
Построение работы служб ИТ на предприятиях:
• ИТ услуги для бизнеса, взаимодействие ИТ и руководства
• Процессы и процессный подход в подразделениях ИТ
• Управление работой ИТ служб
• Понятие качества ИТ услуг и его измерение
Информационные технологии – основная движущая сила развития
бизнеса во всех отраслях.
В данном курсе рассматриваются информационные технологии не
с точки зрения их устройства и развития, а с точки зрения работы
людей по их внедрению и поддержке.

4. Необходимость стандартов

Введение
Цифровая трансформация экономики - проникновение ИТ во все сферы
деятельности
Необходимость управления инвестициями в ИТ и вкладом ИТ в бизнес
руководителями различных форм деятельности
Усложнение структуры, набора услуг, взаимодействия в сфере ИТ
деятельности.
Стандарты:
• дают описание лучших практик построения работы служб ИТ корпораций,
• проводят анализ и классификацию видов работ ИТ,
• разрабатывают рекомендации по управлению службами ИТ в корпорации
как со стороны руководителя ИТ, так и со стороны руководство корпорации

5. Необходимость стандартов

Введение
Корпоративное управление ИТ - ответственность высшего
руководства, обеспечивающее соответствие ИТ целям организации

6. Построение, управление, цели ИТ

Введение

7. Цели и задачи ITSM, CoBIT

Цели стандартов :
Ориентиры и лучшие практики построения процессов ИТ
Сравнительный анализ эффективности и потенциала ИТ
Цели и показатели ИТ процессов
Основные объекты внимания
• Услуги и качество
• Политика , цели и правила
• Управление ИТ на предприятии
Введение

8. Разработка ITSM, CoBIT

Введение
Разработка ITIL (библиотеки ИТ) –
Центральное агентство по вычислительной технике и телекоммуникациям (Central
Computer and Telecommunications Agency – CCTA) Великобритании 80-90 годы
Развивается и поддерживается сообществом ИТ директоров через «Форум по ИТ
Сервис-менеджменту» (itSMF)
Постоянно обновляемая библиотека
CoBIT – разработка ISACA (Information Systems Audit and Control Association) Ассоциация Аудита и Контроля Информационных Систем международная ассоциация специалистов в области ИТ управления.
впервые выпустила COBIT в 1996 году
Сейчас действует 5-я версия

9. Структура ITSM

ITSM
• Деятельность ИТ служб декомпозируется на процессы, деятельность внутри
которых наиболее тесно связана
• Процессы объединяются в группы по направленности
• Анализируются работы внутри процессов, связи с другими процессами,
критерии качества процесса
• Результаты приводятся в книгах специальной библиотеки ITIL
• Проводится обучение по методологиям ITSM
• Существуют сертифицированные консультанты, помогающие в построении
процессов в ИТ организаций

10. Процессы ИТ служб

ITSM разбивает процессы в ИТ на следующие категории:
- Управление взаимоотношениями с заказчиком ИТ услуг
- Группа процессов предоставления услуг
- Группа процессов поддержки услуг
- Обеспечение информационной безопасности
ITSM

11. Процессы ИТ служб

12.

Управление взаимоотношениями с
заказчиком ИТ услуг
Главный объект – набор и качество ИТ сервиса.
Качество сервиса – всегда компромисс между желаемым качеством и
требуемыми для этого затратами (ресурсами).
Соглашение об уровне предоставления услуги (SLA) —договор между
заказчиком услуги и её поставщиком
SLA внутри организации - регулирование взаимоотношений между
подразделениями. Наибольшие проблемы возникают при различном
понимании сторонами (руководством бизнеса и пользователями – с
одной стороны и ИТ специалистами – с другой стороны) требований к
уровню услуг.
ITSM

13.

Управление взаимоотношениями с
заказчиком ИТ услуг
ITSM
Соглашение об уровне услуг (SLA)
SLA определяет соответствия качества сервисов целям предприятия.
Типовая модель SLA включает (по каждому сервису:
• Определение сервиса, стороны, сроки действия соглашения.
• Доступность сервиса (максимальное время простоя в аварийной
ситуации, время, отводимое на обслуживание и модернизацию).
• Количественные показатели (число и размещение пользователей и/или
оборудования, количество транзакций в единицу времени, объемы
хранимой или обрабатываемой информации и т.д.), с методикой и
частотой расчёта метрик.
• Описание расходов, связанных с сервисом

14.

Управление взаимоотношениями с
заказчиком ИТ услуг
Соглашение об уровне услуг (SLA)
Дополнительные документы, сопровождающие SLA
• Отчеты о проблемах.
• Запросы на изменение.
• Инструкции для пользователей, включающие ответственности при
использовании сервиса
SLA определяет правила подготовки и использования дополнительных
документов
ITSM

15.

Управление взаимоотношениями с
заказчиком ИТ услуг
ITSM
Соглашение об уровне услуг (SLA)
SLA не обязательно состоит из единого документа, чаще это набор
документов и/или правил.
Чаще всего SLA формулируется только в очень крупных организациях, в
других он является негласным или устным соглашением между
руководством организации и руководством ее ИТ служб.
Наличие SLA на формальном или неформальном уровне создает основу для
всей работы ИТ служб. Степень формирования SLA, его формализации,
показывает уровень зрелости ИТ служб на предприятии.

16.

Управление взаимоотношениями с
заказчиком ИТ услуг
• График затрат на обеспечение качества и зрелости процесса
ITSM

17. Процессы ИТ служб

18. Группа процессов предоставления услуг

-Управление уровнем услуг
-Управление финансами ИТ
-Управление мощностями
-Управление непрерывностью услуг
-Управление доступностью
ITSM

19. Группа процессов предоставления услуг

ITSM
Управление уровнем услуг определяет требования бизнеса по
набору и уровню требуемых ИТ
Управление финансами согласует требования бизнеса с
необходимыми для этого ресурсами
Управление мощностями, доступностью и непрерывностью
определяет и создает необходимые условия для предоставления
услуг требуемого качества

20. Группа процессов предоставления услуг

Управление
уровнем услуг
Управление
финансами ИТ
Управление
Мощностями
Управление
доступностью
Управление
непрерывностью
ИТ услуг
Процессы поддержки услуг
ITSM

21. Группа процессов предоставления услуг

Процесс «Управление уровнем услуг»
Элементы процесса:
Каталог услуг
SLA – договор об уровне услуг по каждой группе услуг (внутренний
– Operation Level Agreement или внешний)
Программа улучшения сервиса
План обеспечения качества на уровне SLA
ITSM

22. Группа процессов предоставления услуг

ITSM
Процесс «Управление мощностями»
• оправдываются ли затраты на приобретение
• используются ли мощности наиболее эффективным образом
• соответствуют имеющиеся мощности текущим и будущим запросам заказчика
Управление производительностью : измерение, мониторинг и настройка
производительности компонентов ИТ-инфраструктуры.
Определение технических средств для приложения : определение мощности
аппаратного обеспечения или пропускной способности сети при ожидаемой нагрузке.
Планирование мощностей для будущих изменений или нестандартных ситуаций,
моделирование ситуаций для определения требующейся мощности («что если?»).

23. Группа процессов предоставления услуг

Процесс «Управление непрерывностью»
Противодействие чрезвычайным обстоятельствам, затрагивающих ИТуслуги
Восстановления сервисов, необходимых для возобновления бизнесопераций.
Действия:
• Оценка рисков
• Создание и поддержка резервных мощностей
• Соглашение о снижении уровня сервиса в аварийной ситуации
• Создание планов восстановления бизнес-деятельности.
• Включение инженерных систем в сферу интересов ИТ
ITSM

24. Группа процессов предоставления услуг

Процесс «Управление доступностью»
Лежит на пересечении процессов Управление мощностями,
Управление непрерывность, Управление информационной
безопасностью.
Основа – профиль пользователя по виду деятельности,
компетенции, подразделению, определяющими набор
используемых ИТ услуг.
Доступность ИТ сервисов является интегральной характеристикой
группы процессов предоставления услуг, с помощью которой
пользователи оценивают качество предоставления ИТ услуг.
ITSM

25. Группа процессов предоставления услуг

Процесс «Управление доступностью»
Требует непрерывного мониторинга и оценки уровня удовлетворенности
пользователей
В соответствии с SLA определяет время плановые периоды недоступности
сервисов, скорость реакции на незапланированные простои, вырабатывает
измеряемые показатели доступности.
Определяет требования к другим процессам группы для поддержания должного
уровня оценки
ITSM

26. Группа процессов предоставления услуг

ITSM
Процесс «Управление финансами»
Составление бюджета, сочетающего финансирование проектов и
текущей деятельности.
Управление договорами со сторонними организациями, контроль
оплат
Управленческий и бухгалтерский учет и контроль
Выделение прямых и косвенных затрат, постоянных и переменных
расходов, и отнесение их на виды бизнеса или бизнес-процессы.

27. Процессы ИТ служб

28. Группа процессов поддержки услуг

- Служба Service Desk
- Управление инцидентами
- Управление проблемами
- Управление конфигурациями
- Управление изменениями
- Управление релизами
ITSM

29. Группа процессов поддержки услуг

ITSM

30. Группа процессов поддержки услуг

Определение
приоритетов и
эскалация инцидентов
Регистрация и
отслеживание
исполнений
Анализ
Выявление
проблем
Нахождение
корневой причины
и перевод в статус
известной ошибки
Запрос на изменение
ITSM

31. Группа процессов поддержки услуг

ITSM
Процесс «Управление инцидентами»
Инцидент — это любое событие, не являющееся частью стандартных операций по
предоставлению услуги, которое привело или может привести к снижают качество
обслуживания.
Управление инцидентами — это процесс реагирования на незапланированное событие
или прекращение предоставления услуги с целью возобновить предоставление этой
услуги.
В ITIL инцидентами считаются не только ошибки аппаратного или программного
обеспечения, но также и Запросы на Обслуживание.

32. Группа процессов поддержки услуг

Процесс «Управление инцидентами» и Service Desk
• Выявление и регистрация инцидента
Журналы инцидентов (т. е. заявки), как правило, содержат следующее:
Имя человека, сообщающего об инциденте
Дата и время сообщения об инциденте
Описание инцидента
Уникальный идентификационный номер, присвоенный инциденту, для
отслеживания
Классификация инцидента
Назначение приоритета
Первичная диагностика, предложение обходного решения
Эскалация (функциональная или вертикальная)
Разрешение и восстановление
Закрытие инцидента
ITSM

33. Группа процессов поддержки услуг

Процесс «Управление проблемами»
ITSM

34. Группа процессов поддержки услуг

ITSM
Процесс «Управление проблемами»
Действия:
• контроль проблем: определение и исследование проблем;
• контроль ошибок: отслеживание известных ошибок и подача Запросов на
Изменения (RFC);
• проактивное Управление Проблемами: предотвращение инцидентов
путем совершенствования инфраструктуры;
• предоставление информации: отчеты по серьезным проблемам и
достигнутым результатам.

35. Группа процессов поддержки услуг

ITSM
Группа процессов поддержки
услуг
Инновационная деятельность
Запросы на
изменения
Управление
проблемами
Анализ
Управление
изменениями
(планирование)
Управление
конфигурациями
Управление
инцидентами
Создание, закупка,
исправления
Управление
релизами
Внедрение

36. Группа процессов поддержки услуг

Процесс «Управление изменениями»
Основой процесса управления изменениями являются запросы на
изменения, поступающие из процесса управления проблемами, а
также от инновационной деятельности, направленной на развитие
ИТ.
Целью процесса является возможно быстрая обработка изменений с
минимально возможным отрицательным воздействием.
ITSM

37. Группа процессов поддержки услуг

Процесс «Управление изменениями»
Инновации и усовершенствования – внедрение новых услуг и новых
технических средств в ИТ-инфраструктуру
Корректирующие меры — нацелены на исправление недавно
появившихся регулярно возникающих ошибок.
Изменения – все, от небольших инсталляций до перестановки
метафреймов, при неаккуратном проведении изменений могут стать
причиной появления новых регулярно возникающих ошибок в ИТинфраструктуре.
ITSM

38. Группа процессов поддержки услуг

Процесс «Управление изменениями»
Источниками запросов на изменение по инновациям могут служить:
• Руководители бизнеса или заказчики ИТ услуг
• Законодательство и регулирующие документы
• Изменение предложения ИТ поставщиков или появление новых
предложений на рынке программного обеспечения, внешних ИТ
услуг, или техники.
ITSM

39. Группа процессов поддержки услуг

ITSM
Процесс «Управление изменениями»
Действия в процессе:
• Регистрация запросов на изменения
• Прием в обработку и определение трудоемкости или стоимости изменения
• Определение приоритета изменений и их координация
• Определение набора изменений в очередных релизах
• Тестирование
• Внедрение

40. Группа процессов поддержки услуг

ITSM
Процесс «Управление релизами»
• Значительные релизы –развертывание новых аппаратных и программных
средств, со значительно расширенными функциональными возможностями.
• Малые программные релизы и модернизация аппаратного обеспечения
(апгрейды) - незначительные усовершенствования и исправления известных
ошибок.
• Срочные исправления –быстрые исправления проблем и известных ошибок.
Управление релизами тесно связано с жизненным циклом программного обеспечения
Обеспечение процесса
• Библиотека эталонного программного обеспечения
• План возврата к предыдущему стабильному состоянию

41. Группа процессов поддержки услуг

ITSM
Группа процессов поддержки
услуг
Процесс «Управление конфигурациями»
Основа процесса - Конфигурационная База Данных (CMDB)
Сфера внимания - ИТ-компоненты (+предоставляемые
называемые Конфигурационными Единицами (CI).
услуги)
–
В CI входят:
- технические средства, программное обеспечение, сетевые элементы,
серверы, системные блоки, документация, процедуры, услуги и т.д.
- детальная информация о пользователях, персонале ИТ-организации и
бизнес-структурах.

42. Группа процессов поддержки услуг

ITSM
Процесс «Управление конфигурациями»
Главная задача определить:
• Какие конфигурационные единицы влияют на предоставление каждой из ИТ
услуг
• Как конфигурационные единицы взаимодействуют между собой
• Какие требования предъявляет обновление одной конфигурационной единицы к
остальным
Главный критерий зрелости процесса – степень подробности и детализации CMDB

43. Группа процессов поддержки услуг

ITSM
Процесс «Управление конфигурациями»
Процесс тесно связан с процессами управления мощностями и релизами, и
получает информацию от процесса управления изменениями.
Данные от процесса необходимы для планирования развития инфраструктуры ИТ.
Доступность и понятность информации управления конфигурациями влияет на
скорость принятия решения в аварийных ситуациях.

44. Процесс управления информационной безопасностью

Цель – сохранность информации:
• защищенность от известных рисков,
• уклонение от неизвестных рисков
Основные понятия:
Конфиденциальность
Целостность
Доступность
Задачи процесса:
Обеспечение базового уровня безопасности
Обеспечение нормативных уровней безопасности
Обеспечение уровня безопасности, определенного в SLA
ITSM

45. Процесс управления информационной безопасностью

ITSM
Виды деятельности:
Оценка /виды оценки – самостоятельная, внутренняя, внешняя/
Проверка соответствия политике и планам по безопасности, аудит
безопасности
Принятия мер при несоответствии требованиям
Поддержка
Приведение системы безопасности в соответствие с SLA при изменении
рисков или инфраструктуры

46. Процесс управления информационной безопасностью

ITSM
Виды деятельности:
Контроль – политика и организация информационной безопасности
Внутренние правила, общие принципы, значимость
Структура управления, распределение функций и ответственности
Независимый аудит информационных систем
Процедура оповещения о появлении новых угроз
Планирование
Определение инструментов, контрольных точек и показателей безопасности
Определение действий при угрозах безопасности (план по безопасности в
разрезе видов угроз и конфигурационных единиц ИТ)

47. Процесс управления информационной безопасностью

ITSM
Реализация Информационной безопасности
Классификация угроз в разрезе конфигурационных единиц (SMDB)
Защита от внешних угроз (защита периметра)
Внедрение и обеспечение актуальности средств безопасности, барьеров
сетевой защиты (файерволов), средств защиты от вирусов,
Обеспечение безопасности жизненного цикла систем: разработки,
тестирования, использования, выведения из эксплуатации (в том числе
отделение среды разработки от рабочей среды)
Наличие средств и процедур восстановления

48. Процесс управления информационной безопасностью

ITSM
Реализация Информационной безопасности
Работа с персоналом:
Политика доступа и контроль доступа к системам
Обучение и инструкции по информационной безопасности,
дисциплинарные меры
Работа с инцидентами информационной безопасности
План и процедура эскалации инцидента в особых случаях
Отчетность – предоставление информации о достигнутых результатах
безопасности. Необходимо для регулирования процесса и должно охватывать
все виды деятельности процесса

49. Процесс управления информационной безопасностью

ITSM
Примеры отчетности:
• Отчет о степени соответствия SLA
• Отчет о годовых планах по безопасности и их реализации
• Перечень инцидентов и ответных мер
• Отчет о состоянии программы оповещения и эскалации инцидента
• Результаты внутренних оценок и анализа систем безопасности, аудиторских
оценок
• Предупреждение о новых угрозах, тенденциях возникновения инцидентов,
появлении новых мер защиты

50. Принципы анализа процессов в ITSM

Основные направления анализа:
• Услуги и качество
• Организация и правила работы
• Управление процессами
ITSM

51. Принципы анализа процессов в ITSM

Услуги и качество
• Главная цель - предоставление требуемых услуг по разумной цене
• Анализ диалога с заказчиком
• Гарантия качества
o
o
o
o
Планирование
Выполнение
Проверка
Корректировка
• Соответствие IT целям и задачам бизнеса
Понятие «Зрелость IT служб»
ITSM

52. Принципы анализа процессов в ITSM

ITSM
Организация и правила работы
Понимание миссии и стратегии, наличие четкого их описания
Политика действий в различных сферах ИТ деятельности – наличие точных
формулировок
Наличие бизнес планов, критериев успеха каждого процесса и ключевых
показателей эффективности
Определенность процессов, наличие процедур и рабочих инструкций
Эффективность процесса – достижение поставленных целей
Рациональность процесса – выполнение с наименьшими затратами
Понятие «Зрелость процесса»

53. Принципы анализа процессов в ITSM

Управление процессами
Контроль показателей эффективности и корректировка процесса
Горизонт планирования, управление соответствием стратегических и
тактических задач
Определение корпоративной культуры работы и отслеживание ее
соблюдения
Управление персоналом
Характеристика качества процесса - уровень зрелости, определяется
управляемостью и предсказуемостью процессов ИТ
1 уровень. Начальный.
2 уровень. Повторяемый.
3 уровень. Определенный.
4 уровень. Управляемый и измеримый.
5 уровень. Оптимизируемый.
ITSM

54.

Оценка качества процесса
ITSM

55.

Управление персоналом ИТ
Персонал ИТ
• Подбор персонала.
• Административное построение.
• Служебные обязанности.
• Делегирование полномочий.
Жесткий подход – люди как средство производства.
Мягкий подход – наиболее полное использование потенциала
каждого сотрудника
Интегрированный подход – создание общности интересов
персонала и компании

56. Управление персоналом ИТ

Персонал ИТ
Сочетание административных и мотивационных методов управления.
Мотивационные методы:
• Доведение политики, целей, требований до каждого сотрудника
• Оказание доверия, предоставление полномочий
• Ответственность
• Управление уровнем компетенций, сочетание с профессиональным и личностным
ростом

57. Управление персоналом ИТ

Персонал ИТ
Особенности управления персоналом ИТ:
• Узкая специализация многих сотрудников
• Непрерывное развитие технологий
• Несовместимые требования «soft skills» по работе с технологиями
и по работе с заказчиком
К этому можно добавить напряжения на рынке труда в
настоящее время

58. Управление персоналом ИТ

Персонал ИТ
Кадровый менеджмент в ИТ-сфере делится на несколько этапов:
• Поиск и подбор штатных единиц
• Адаптация сотрудников
• Оценка компетенции
• Развитие, повышение квалификации, административный рост.
• Оплата труда
• Мотивация и стимулирование
• Администрирование.

59. Управление персоналом ИТ

Персонал ИТ
Риски в управлении ИТ персоналом:
• Зависимость от отдельных сотрудников
• Высокие риски, связанные с работой определенных категорий ИТ
специалистов
• Непрерывное повышение квалификации и наставничество,
передача знаний

60. Управление персоналом ИТ

Стандарты управления ИТ сервисами
ITSM, COBIT
Литература
1.
2.
3.
4.
5.
ИТСМ каталог сервисов ИТ
http://www.adminhelp.pro/wpcontent/uploads/2015/04/ITSM-Каталог-сервисов.pdf
ИТ Сервис – менеджмент под ред. Ян Ван Бон
http://programming-lang.com/ru/computers/vanbon/1/j0.html
Официальный сайт ISACA. COBIT. An ISACA Framework.
https://www.isaca.org/resources/cobit
Стандарт COBIT. Особенности проведения внешнего аудита ИТ.
http://citforum.ru/consulting/standart_cobit/article1.1.2003494.html

English Русский Rules