Standard COBIT a bezpieczeństwo teleinformatyczne
Standard COBIT, jest to jeden z kluczowych standardów w zakresie kontroli systemów teleinformatycznych. COBIT oznacza Control Objectives for Information and Related Technology. Tłumacząc na język polski, standard COBIT oznacza Cele Kontrolne dla Technologii Informacyjnej i Technologii Związanych. Standard został opracowany przez stowarzyszenie ISACA i stanowi zbiór dobrych praktyk w zakresie IT, które mogą zostać wykorzystane w procesie audytu systemów informatycznych przedsiębiorstwa. Standard ten powstał ze względu na rosnące potrzeby w zakresie wytyczenia kontroli procesów informatycznych obsługujących procesy biznesowe przedsiębiorstw.
COBIT opisuje 34 procesy związane z ogólnymi celami kontrolnymi w zakresie bezpieczeństwa teleinformatycznego. Procesy są pogrupowane w 4 określonych domenach, dla których wyznaczono ok. 318 celów kontrolnych, mogących służyć audytorom wewnętrznym w zakresie audytów bezpieczeństwa teleinformatycznego. Wszystkie procesy znajdujące się w tych czterech domenach, posiadają określone komponenty tj. identyfikator, cel danego procesu, kryteria w zakresie informacji, niezbędne do funkcjonowania procesu zasoby.
.
Procesy zostały pogrupowane w 4 domenach:
1. Planowanie i organizacja – dotyczy to w głównej mierze procesów, które mają na celu efektywne wykorzystanie rozwiązań teleinformatycznych w przedsiębiorstwie oraz osiąganie założonych celów biznesowych np.:
- Ocena ryzyka;
- Zarządzanie zasobami ludzkimi;
- Ustalenie kierunku technologicznego;
- Zarządzanie inwestycjami teleinformatycznymi;
- Zarządzanie jakością.
2. Nabywanie i wdrażanie – domena ta dotyczy przede wszystkim realizacji określonych strategii, w zakresie bezpieczeństwa teleinformatycznego, np.:
- Zarządzanie zmianą;
- Instalowanie systemów;
- Utrzymanie oprogramowania;
- Utrzymanie infrastruktury teleinformatycznej;
- Utrzymanie procedur w zakresie bezpieczeństwa teleinformatycznego.
3. Dostarczanie i wspieranie – domena ta dotyczy w głównej mierze procesów, które polegają na dostarczaniu, jak również rozwijaniu usług przedsiębiorstwa, np.:
- Zarządzanie danymi;
- Zarządzanie incydentami;
- Zapewnienie bezpieczeństwa systemów;
- Zarządzanie infrastrukturą;
- Szkolenia pracowników.
4. Monitorowanie – domena ta, dotyczy ciągłego monitorowania procesów, w zakresie zgodności z celami i wymaganiami kontrolnymi, np.:
- Niezależny audyt;
- Raportowanie procesów;
- Monitorowanie wydajności określonych procesów.