COBIT

   

        มาตรฐาน "Cobit" นั้นย่อมาจาก "Control OBjectives for Information and Related Technology" Cobit นั้นมีจุดประสงค์ในการสร้างความมั่นใจว่าการใช้ทรัพยากรด้านเทคโนโลยีสารสนเทศนั้นสอดคล้องกับวัตุประสงค์เชิงธุรกิจขององค์กร (Business Objectives) เพื่อให้เกิดการใช้ทรัพยากรอย่างมีประสิทธิผลอันจะส่งประโยชน์สูงสุดแก่องค์กร ช่วยให้เกิดความสมดุลย์ระหว่างความเสี่ยงด้านเทคโนโลยีสารสนเทศ (IT Risk) และผลตอบแทนของการลงทุนในระบบสารสนเทศ (IT ROI) 

• มีการนำ IT เข้ามาใช้ในงานธุรกิจ เพื่อเพิ่มประสิทธิภาพและประสิทธิผลในการทำงาน

• ถ้าไม่มีการนำกรอบแนวคิดมาควบคุมการใช้ IT จะทำให้ต้นทุนสูง และไม่สนับสนุนเป้าหมายทางธุรกิจ

• ต้องทำให้เป็น IT Governance สามารถตรวจสอบการใช้งาน IT ในองค์กรได้

ตัวแบบและกฎเกณฑ์สำหรับการควบคุมทางด้านเทคโนโลยีสารสนเทศ

•   กฎหมายเกี่ยวกับการควบคุมภายใน เช่น Sarbanes-Oxley Act (SOX) 
• COSO เป็นตัวแบบการควบคุมทางด้าน เทคโนโลยีสารสนเทศ โดยมุ่งเน้นรายงานไปที่บอร์ดผู้บริหาร 

กระบวนการควบคุม ประกอบไปด้วย องค์ประกอบ 5 ด้าน คือ

•  Control environment
• Risk assessment
• Control activities
• Information and communication
• Monitoring

 ITIL เป็นกรอบแนวคิดที่มุ่งเน้นในการควบคุมกระบวนการทางด้าน เทคโนโลยีสารสนเทศที่เน้นไปในเรื่องของการจัดการ การบริการ ประกอบไปด้วย

• การนำส่งบริการ
• การสนับสนุนการบริการ
• การวางแผนเพื่อนำการจัดการบริการไปใช้
• การจัดการความมั่นคง
• การจัดการโครงสร้างพื้นฐานทางด้านเทคโนโลยีสารสนเทศและการสื่อสาร
• มุมมองของธุรกิจ
• การจัดการโปรแกรมประยุกต์
• การจัดการทรัพย์สินทางด้านชุดคำสั่ง

                                                                                

ISO 17799:2005 เป็นมาตรฐานในเรื่องของการรักษาความปลอดภัยของข้อมูลที่นำเสนอมาในปี 2005 โดยได้ให้แนวทางปฏิบัติที่ดีที่สุดในการแนะนำในเรื่องของ การบริหารการรักษาความปลอดภัยของข้อมูลที่ใช้โดยผู้ที่รับผิดชอบ ประยุกต์ใช้งานในส่วนของระบบบริหารการรักษาความมั่นคง

        ตัวแบบวุฒิภาวะความสามารถแบบบูรณาการ (Capability Maturity Model Integration) เป็นมาตรฐานเพื่อใช้สำหรับวัดระดับความสามารถขององค์กรว่าอยู่ในระดับใด 

แบ่งได้เป็น 5 ระดับ คือ

• ระดับที่ 1 เรียกว่า แรกเริ่ม (Initial)
• ระดับที่ 2 เรียกว่า มีการจัดการ (Managed)
• ระดับที่ 3 เรียกว่า มีการกำหนด (Defined)
• ระดับที่ 4 เรียกว่า มีการจัดการเชิงจำนวน (Quantitatively Managed)
• ระดับที่ 5 เรียกว่า เหมาะสมที่สุด (Optimizing)

COBIT

• เป็นกรอบแนวคิดในการที่จะใช้สำหรับการควบคุมทางด้านเทคโนโลยีสารสนเทศ การใช้COBIT
• เป็นตัวช่วยในด้านการควบคุมภายในของเทคโนโลยีสารสนเทศ
• เป็นการเชื่อมโยงระหว่างเป้าหมายทางธุรกิจและเป้าหมายทางเทคโนโลยีสารสนเทศเข้าด้วยกัน
• มุ่งเน้นที่ตัวแบบกระบวนการ ซึ่งพยายามทำให้เทคโนโลยีสารสนเทศอยู่ภายใต้การควบคุมให้ได้
• COBIT จะนำเสนอ ตัวแบบกระบวนการทั่วไปที่เป็นกระบวนการที่พบได้ในงานทางด้าน IT

    การทำ IT Governance มุ่งเน้นใน 5 ด้าน คือ

• การจัดวางกลยุทธ์ (Strategic Alignment)
• การนำเสนอคุณค่า (Value Delivery)
• การจัดการทรัพยากร (Resource Management)
• การจัดการความเสี่ยง (Risk Management)
• การวัดผลการดำเนินงาน (Performance Measurement)

มีขอบเขตของกระบวนการ 4 ด้านหลักด้วยกัน คือ

• การวางแผนและการจัดองค์กร (Planning and Organization  : PO)
• การจัดหาและนำไปใช้ (Acquisition and Implementation : AI)
• การนำส่งและสนับสนุน (Delivery and Support : DS)
• การตรวจสอบและประเมินผล (Monitoring and Evaluation : ME)

     โดยที่แต่ละด้านนั้นจะมีกระบวนการย่อยอยู่ภายใน ซึ่งจะมีกระบวนการรวมทั้งหมด 34 กระบวนการ

    โดยกรอบแนวคิด จะอธิบายว่ากระบวนการทาง เทคโนโลยีสารสนเทศ จะนำข้อมูลข่าวสารไปให้กับความต้องการทางธุรกิจได้อย่างไร จึงจะบรรลุวัตถุประสงค์ที่ได้ตั้งไว้ และการนำส่งนี้มีการควบคุมผ่าน วัตถุประสงค์การควบคุมระดับสูงในแต่ละกระบวนการ กรอบแนวคิดนี้จะระบุว่า ข้อมูลข่าวสารหลักทั้ง 7 7ด้านที่ได้ คือ  

• ประสิทธิภาพ (effectiveness) 
• ประสิทธิผล (efficiency), 
• การเป็นความลับ (confidentiality) 
• ความสมบูรณ์ (integrity)
• การมีอยู่ (availability) 
• การปฏิบัติตาม (compliance)
• ความเชื่อถือได้ (reliability)

ด้วยทรัพยากรทาง เทคโนโลยีสารสนเทศ ได้แก่

• คน (people) 
• โปรแกรมประยุกต์ (applications)
• เทคโนโลยี (technology) 
• สิ่งอำนวยความสะดวก (facilities)
• ข้อมูล (data)

แนวทางการใช้งานกรอบแนวคิดใน  การกำกับดูแลเทคโนโลยีสารสนเทศ

การแบ่งระดับการนำมาใช้  

• Level 0 : ระดับกฎหมาย
• Level 1 : ระดับนโยบาย
• Level 2 : ระดับการควบคุม
• Level 3 : ระดับปฏิบัติการ

ภาพ แสดงระดับและขอบเขตในการนำตัวแบบต่างๆ มาใช้งาน

แนวทางการใช้งานกรอบแนวคิดในการกำกับดูแลเทคโนโลยีสารสนเทศการแบ่งระดับการนำมาใช้  

• ในกรอบแนวคิดของ COBIT จะมีรูปแบบแนวทางการบริหารจัดการ ซึ่งจะมีองค์ประกอบย่อยๆ ที่อยู่ภายใน ทำให้ธุรกิจสามารถที่จะเชื่อมโยงและได้รับข้อมูลสารสนเทศที่จำเป็นสำหรับการบรรลุเป้าหมายขององค์กร
• COBIT สนับสนุนการทำงานทางด้าน IT Governance การบริหารงาน การควบคุม
• COBIT จะเป็นเครื่องมือที่ช่วยให้ผู้บริหารเชื่อมโยงช่องว่างระหว่าง ความต้องการในการควบคุม เรื่องทางด้านเทคนิค กับความเสี่ยงทางธุรกิจได้ พร้อมทั้งสื่อสารให้ผู้ที่เกี่ยวข้องรับทราบ
• เริ่มต้น ให้ความต้องการทางธุรกิจแก่กระบวนการทางด้านเทคโนโลยีสารสนเทศต่างๆให้กระบวนการทางด้านเทคโนโลยีสารสนเทศมีการทำงานให้ได้ตามเป้าหมายของระดับกิจกรรม
• วัดผลได้โดย KPIs (Key Performance Indicators) เป็นตัววัดผลการดำเนินงาน และใช้KGI (Key Goal Indicators) ซึ่งเป็นการวัดผลได้ในกระบวนการ

ภาพ แสดงความสัมพันธ์ขององค์ประกอบ COBIT ที่มา COBIT 4.0

• วัดระดับความสามารถขององค์กรว่าอยู่ในขั้นใด(ระดับ 0 – 5 ) ซึ่งโดยสามารถใช้ COBITเป็นแนวทาง และทราบได้ว่าอยู่ระดับใดในแต่ละกระบวนการ

• ความเชื่อมโยงที่เกิดขึ้น คือ สามารถจัดกลุ่มขององค์ประกอบที่เกี่ยวข้องกับ ปัจจัยทางด้าน สารสนเทศ โดยมีองค์ประกอบหลักคือ เป้าหมายทางธุรกิจ
• มีตัวผลักดันในเรื่องของการกำกับดูแลเข้ามาเกี่ยวข้อง โดยจะดูจากผลลัพธ์ที่เกิดขึ้นทางธุรกิจ
• ตัวผลักดันนั้นจะมาจากกระบวนการทางเทคโนโลยีสารสนเทศ
• กระบวนการทางเทคโนโลยีสารสนเทศนี้จะมีการใช้ทรัพยากรทั้ง 4 ด้านที่เกี่ยวข้อง คือ โปรแกรมประยุกต์ ข้อมูลสารสนเทศ โครงสร้างพื้นฐาน และคน เป็นตัวผลักดันให้ทำงานได้
• กระบวนการทางเทคโนโลยีสารสนเทศนี้จะมีการใช้ทรัพยากรทั้ง 4 ด้านที่เกี่ยวข้อง คือ โปรแกรมประยุกต์ ข้อมูลสารสนเทศ โครงสร้างพื้นฐาน และคน เป็นตัวผลักดันให้ทำงานได้

ภาพ แสดงการการจัดการของ COBIT, การควบคุม, 

การจัดวางและการตรวจสอบดูแล ที่มาCOBIT 4.0

• จากลูกบาศก์ COBIT จะเห็นได้ว่าความต้องการของธุรกิจจะมีอยู่ 7 ด้าน ก็คือ ประสิทธิผล ประสิทธิภาพ การเป็นความลับ ความสมบูรณ์ การมีใช้งาน การปฏิบัติตามกฎ และความเชื่อถือได้
• มีการใช้ทรัพยากรทางด้าน IT เข้าไปเพื่อทำให้การทำงานในกระบวนการต่างๆ ของ IT สามารถที่จะให้ข้อมูลสารสนเทศตรงนี้ออกมาได้ และจะได้วัดใน 7 ด้านทางธุรกิจด้วย
• กระบวนการทางด้าน IT จะมีขอบเขตที่เกี่ยวข้องอยู่ ดูว่าสิ่งที่ทำ อยู่ในขอบเขตเรื่องใด และแบ่งออกเป็นกระบวนการต่างๆ จากนั้น ก็จะมีการแบ่งย่อยในระดับกิจกรรมด้วยว่าแต่ละกระบวนการจำเป็นต้องทำกิจกรรมใดบ้าง

การนำไปใช้

• มีแนวคิดการทำ IT Governance เปิดเผยข้อมูลตามที่กฎหมายกำหนด

• นำแนวทางในการบริหารจัดการต่างๆ ของ COSO มาใช้เพื่อที่จะวางแนวทางการปฏิบัติงานทั้ง 5 ด้าน ผู้บริหารจะได้ดูแลงานได้ถูกด้าน

• ใช้แนวทางของ COBIT มาช่วยสร้างความเชื่อมโยงทางด้านเป้าหมายทางธุรกิจ กับเป้าหมายทางด้าน เทคโนโลยีสารสนเทศ

•  การนำมาใช้นั้นไม่จำเป็นจะต้องนำมาทั้งหมด แต่ให้เลือกกระบวนการที่เกี่ยวข้องกับเป้าหมายทางธุรกิจเป็นหลักก่อน

ภาพ แสดงขั้นตอนการใช้ COBIT ในแต่ละกระบวนการ

• เริ่มต้นที่การควบคุมในระดับบน ซึ่งหมายถึงภาพรวมของกระบวนการนั้นๆ และทราบว่ากระบวนการที่เกี่ยวข้องกับเทคโนโลยีสารสนเทศนี้ จะต้องทำอะไร เพื่อที่จะตอบสนองความต้องการด้านธุรกิจด้านไหน รวมถึงทราบตัววัดโดยรวมด้วยว่า จะวัดผลการดำเนินการของกระบวนการนี้ด้วย ว่าจะใช้ตัวชี้วัดหลักใด มาวัดผลสำเร็จของกระบวนการ

• ในแต่ละกระบวนการเองนั้น ก็จะมีเรื่องของ IT Governance เข้ามาเกี่ยวข้องด้วย คือ ทางCOBIT เองก็จะบอกว่า เป็นการกำกับดูแลเทคโนโลยีสารสนเทศทางด้านใด ซึ่งจะมีอยู่ด้วยกัน 5ด้าน และบอกต่อด้วยว่า ด้านใดเป็นด้านหลัก และด้านใดเป็นด้านสนับสนุน

ภาพ แสดงความสัมพันธ์ระหว่างกระบวนการ , เป้าหมาย และตัววัด

 (ตัวอย่างกระบวนการDS5) ที่มา COBIT 4.0