IT基礎設施最佳實(shí)踐ITIL(轉自計世網(wǎng)CCW)
西蒙泥 發(fā)表于 2006-3-7 13:17:00
閱讀全文(196) |
回復(1) |
引用通告(0) |
編輯1. 前言
1.1.困擾問(wèn)題
隨著(zhù)IT技術(shù)在企業(yè)中的應用越廣，企業(yè)業(yè)務(wù)流程的正常運作就越離不開(kāi)IT部門(mén)的支持。IT在給企業(yè)
業(yè)務(wù)帶來(lái)效益的同時(shí)，也帶來(lái)了成本和風(fēng)險的困擾，尤其是在某些特殊行業(yè)，例如電信、金融等行業(yè)。如何使已有的信息化資源發(fā)揮更大效能，如何使IT與企業(yè)業(yè)務(wù)緊密整合，如何規范企業(yè)IT服務(wù)管理，已成為決定企業(yè)能否在激烈的競爭中領(lǐng)先的重要課題。
在企業(yè)內部，一方面管理層對IT部門(mén)提出了可度量IT投資回報的要求，而業(yè)務(wù)部門(mén)則對IT服務(wù)質(zhì)量和可用性提出了更高的要求。如何才能兼顧兩者的不同需求，如何才能達到質(zhì)量與成本的平衡？
另外，2002 年美國頒布的Sarbanes-Oxley法案（Sarbanes-Oxley Act, 簡(jiǎn)稱(chēng)SOX法案）要求組織機構使用文檔化的財務(wù)政策和流程來(lái)改善可審計性，并更快地拿出財務(wù)報告。而該法案中，以第404節條款的影響最大，第404節條款規定兩個(gè)必備的內容：一是公司管理層要對公司內控和財務(wù)會(huì )計報表的制定和編制的有效性、真實(shí)性負責，二是必須聘請外部審計師對公司內控和財務(wù)報表進(jìn)行獨立審計并出具審計結果。SOX法案對IT服務(wù)的成本和質(zhì)量提出了非常直接的挑戰。
1.2.解決之道
ITIL是用來(lái)提升IT服務(wù)質(zhì)量，降低IT服務(wù)成本，協(xié)調IT服務(wù)部門(mén)內部運作，改善IT部門(mén)與業(yè)務(wù)部門(mén)的溝通，幫助企業(yè)對信息化系統的規劃、研發(fā)、實(shí)施和運營(yíng)進(jìn)行有效管理的方法。ITIL結合企業(yè)的環(huán)境、組織結構、IT資源和管理流程的特點(diǎn)，從流程、人員和技術(shù)三方面來(lái)規劃企業(yè)的IT結構。它強調將企業(yè)的運營(yíng)目標、企業(yè)需求與IT服務(wù)的提供相協(xié)調一致。
COBIT以ITIL為基礎，將IT流程、IT資源及信息與企業(yè)的策略與目標聯(lián)系起來(lái)，為企業(yè)管理的成功提供了集成的IT管理，通過(guò)保證有關(guān)企業(yè)處理流程的高效的改進(jìn)措施，以更快、更好、更安全地響應企業(yè)需求。
將ITIL的流程和COBIT的控制目標有機地結合可以應對SOX法案帶來(lái)的挑戰，幫助企業(yè)改進(jìn)IT流程，實(shí)現業(yè)務(wù)對IT的需求。
2.COBIT介紹
2.1.COBIT簡(jiǎn)述
COBIT（Control Objectives For Information and Related Technology，信息及相關(guān)技術(shù)的控制目標），是一個(gè)被廣泛接受的IT控制框架(IT Control Framework)。由美國IT治理研究院（IT Governance Institute）開(kāi)發(fā)與推廣，目前已成為國際上公認的最先進(jìn)、最權威的信息技術(shù)管理和控制的標準。該標準為IT的管理、安全與控制提供了一個(gè)一般適用的公認標準，以輔助公司決策層進(jìn)行IT治理。該標準體系已在世界100多個(gè)國家的重要組織與企業(yè)中運用，指導這些組織有效利用信息資源，有效地管理與信息相關(guān)的風(fēng)險。
2.2.COBIT體系結構
COBIT將IT流程、IT資源及信息與企業(yè)的策略與目標聯(lián)系起來(lái)，形成一個(gè)三維的體系結構，如圖1。其中，IT信息標準集中反映了企業(yè)的戰略目標，主要從質(zhì)量、成本、時(shí)間、資源利用率、系統效率、保密性、完整性、可用性等方面來(lái)保證信息的安全性、可靠性、有效性；IT資源主要包括以人、應用系統、技術(shù)、設施及數據在內的信息相關(guān)的資源；IT流程則是在IT信息標準的指導下，對信息及相關(guān)資源進(jìn)行規劃與處理，從規劃與組織（Planning and Organisation）、獲取與實(shí)施（Acquisition and Implementation）、提供與支持（Delivery and Support）、監控（Monitoring）等四個(gè)方面確定了34個(gè)信息技術(shù)處理流程，每個(gè)處理流程還包括更加詳細的控制目標和審計方針對IT處理流程進(jìn)行評估。
圖1 COBIT三維體系結構
這個(gè)模型為企業(yè)管理的成功提供了集成的IT管理，通過(guò)保證有關(guān)企業(yè)處理流程的高效的改進(jìn)措施，以更快、更好、更安全地響應企業(yè)需求。
3.ITIL介紹
3.1.ITIL故事
ITIL全稱(chēng)IT基礎設施最佳實(shí)踐庫（IT Infrastructure Library）。ITIL相關(guān)的書(shū)籍由英國政府商務(wù)部（Office of Government Commerce）在1989年出版。該套書(shū)籍出版后，內容得到多次擴展和重新組織結構，提供了更全面的IT服務(wù)的最佳實(shí)踐指導，更好地滿(mǎn)足客戶(hù)需求。出版的書(shū)中描述了創(chuàng )建相關(guān)規范所需考慮的事項、計劃和措施?；贗TIL的IT服務(wù)管理，繼承了以下特點(diǎn)：
描述已經(jīng)得到證明的IT服務(wù)計劃和運營(yíng)的實(shí)踐框架，基于經(jīng)驗，而非純理論研究
對于公共和個(gè)人組織公平地給予指導，獨立于組織使用的軟件和硬件
屬于公共的方法論，使用時(shí)無(wú)需任何費用
具有全球的用戶(hù)網(wǎng)絡(luò )
雖然英國、荷蘭、加拿大和美國是采用ITIL最積極的地區，但ITIL在世界上其它地方的使用也在迅速增長(cháng)。由于實(shí)現整個(gè)ITIL規范需要很長(cháng)的時(shí)間，所以最初常?？吹绞褂玫闹皇遣糠謱?shí)踐。在ITIL實(shí)現中這些現象都不罕見(jiàn)——任何成功的實(shí)踐實(shí)現都要求付出時(shí)間和管理。另外，ITIL是一個(gè)覆蓋了IT環(huán)境運行維護中很多其它方面（如系統管理、網(wǎng)絡(luò )管理和安全性）的庫。這一服務(wù)管理規范提供了一個(gè)框架，IT和終端用戶(hù)可以根據自己的能力定義自己所要求的不同服務(wù)性能水平?？蛻?hù)們通常采用一種持續的流程改進(jìn)戰略逐步實(shí)現這些流程。
ITIL與COBIT類(lèi)似，它并不是把相同的一套流程直接實(shí)施于企業(yè)，而是根據每個(gè)企業(yè)的詳細需求量身定做，以實(shí)現企業(yè)IT部門(mén)的戰略目標和流程。
3.2.ITIL流程
ITIL的核心流程和模塊，主要包括：
IT服務(wù)支持（IT Service Support） ：
服務(wù)臺（Service Desk）
突發(fā)事件管理（Incident Management）
問(wèn)題管理（Problem Management）
變更管理（Change Management）
配置管理（Configuration Management）
發(fā)布管理（Release Management）
IT服務(wù)提供（IT Service Delivery）：
服務(wù)級別管理（Service Level Management）
IT服務(wù)財務(wù)管理（Financial Management for IT Services）
IT服務(wù)連續性管理（IT Service Continuity Management）
能力管理（Capacity Management）
可用性管理（Availability Management）
3.3.實(shí)施ITIL獲得收益
實(shí)施ITIL后企業(yè)可以獲得的利益主要包括:
減少重復工作和冗余工作，有效利用人力資源
提高IT員工的專(zhuān)業(yè)素質(zhì)，提高員工的服務(wù)能力和工作效率
規范IT部門(mén)的服務(wù)水平，規范工作流程，降低由人事變動(dòng)導致的風(fēng)險
提高IT服務(wù)的可用性、可靠性和安全性，為業(yè)務(wù)用戶(hù)提供高質(zhì)量的服務(wù)
有效控制IT部門(mén)的開(kāi)支，降低IT運營(yíng)成本，減少運營(yíng)風(fēng)險
從總體上提高企業(yè)IT投資的回報，給企業(yè)帶來(lái)巨大的經(jīng)濟價(jià)值，提升企業(yè)的綜合競 爭力
4.SOX介紹
2002 年，美國國會(huì )通過(guò)了Sarbanes-Oxley 法案（Sarbanes-Oxley Act, 簡(jiǎn)稱(chēng)SOX 法案），該法案要求組織機構使用文檔化的財務(wù)政策和流程來(lái)改善可審計性，并更快地拿出財務(wù)報告。SOX要求企業(yè)針對產(chǎn)生財務(wù)交易的所有作業(yè)流程，都做到能見(jiàn)度/透明度、控制、通訊、風(fēng)險管理和詐欺防治，且這些流程必須詳加記錄到可追查交易源頭的地步。
SOX法案不僅適用美國的所有在市場(chǎng)上進(jìn)行公開(kāi)交易的公司，還適用于在美國證券交易所登記的非美國公司。也就是說(shuō)，凡在美國上市的公司都要受此法案約束。
對于那些已開(kāi)始SOX合規（SOX Compliance）的公司來(lái)說(shuō)，IT很顯然地在內部控制方面扮演一個(gè)至關(guān)重要的角色。IT專(zhuān)家，尤其是處于經(jīng)理級職位上的專(zhuān)家，需要非常精通內部控制理論和實(shí)踐來(lái)迎合SOX法案的需求。CIO們（Chief Information Officer，首席信息執行官）需要接受以下挑戰：
提高與內部控制相關(guān)的知識；
理解公司的總體SOX合規計劃；
制定一項有關(guān)IT控制的合規計劃；
把該IT控制計劃與公司總體SOX合規計劃集成在一起。
圍繞SOX法案的討論大多集中在第302節和第404節。
5.ITIL、COBIT與SOX
ITIL對應COBIT模型中的部分模塊，它為支持企業(yè)業(yè)務(wù)流程定義了IT控制目標。
ITIL服務(wù)支持與服務(wù)提供的11個(gè)關(guān)鍵流程和COBIT的34個(gè)主要流程之間的關(guān)系如圖2所示。
在此框架圖中，綠色模塊表示COBIT的需求與ITIL完全吻合，黃色模塊表示COBIT的需求與ITIL部分吻合，紅色模塊表示ITIL目前不支持COBIT的需求?？傮w來(lái)說(shuō)，ITIL覆蓋了COBIT中40-50%的控制目標。
圖2 ITIL與COBIT
為了迎合SOX的需要，外部審計師毫無(wú)疑問(wèn)將把COBIT作為IT審計的工具。一位提供ITIL咨詢(xún)的咨詢(xún)師Troy DuMoulin說(shuō)，“既然審計師使用COBIT，企業(yè)就有必要學(xué)習該模型。該模型確定了關(guān)鍵績(jì)效考核指標（KPIs, Key Performance Indicators）和主要成功要素（CSFs, Critical Success Factors），企業(yè)在文檔化和重組流程的時(shí)候能夠通過(guò)這些指標確定需要考慮的事項。”
除了ITIL和COBIT之外，還存在其他不同的IT框架，例如BS7799。但是其中大部分，包括COBIT，仍是以ITIL為核心。特別是ITIL服務(wù)支持與服務(wù)提供的流程涉及了11個(gè)主要的控制目標。
因此，ITIL的流程和COBIT的控制目標有機地結合可以極大地加快SOX合規的進(jìn)程。
6. 總結
本文首先由IT為企業(yè)帶來(lái)的成本和風(fēng)險上的困擾以及SOX法案實(shí)施帶來(lái)的影響，引出“將ITIL的流程和COBIT的控制目標有機地結合可以應對SOX法案帶來(lái)的挑戰。”
來(lái)源：amt
