Parecchi post fa, avevamo dato conto delle relazioni tra ITIL e COBIT, ma senza addentrarci in modo particolare su COBIT, proviamo a farlo in questo post.
I Control Objectives for Information and related Technology (COBIT) - Obiettivi di controllo per le informazioni e tecnologie correlate – è un modello (framework), creato nel 1992 dall’associazione americana degli auditor dei sistemi informativi (Information Systems Audit and Control Association – ISACA), e dal IT Governance Institute (ITGI) per la gestione delle tecnologie informatiche – Information and Communication Technology (ICT) . Questo marchio di fabbrica (cioe’ di essere un framework nato da una organizzazione di auditors) lo contraddistingue e lo caratterizza tra altri framework similari.
Uno degli aspetti importanti di COBIT e’ che ha raggiunto lo statuto di norma internazionalmente riconosciuta; l’Unione Europea ha indicato COBIT come uno dei tre standard utilizzabili per garantire la sicurezza dei sistemi d’informazioni (cfr. ad es. Gazzetta Ufficiale dell’Unione Europea L077 pag. 6, 23 marzo 2005).
COBIT fornisce ai manager, agli auditor e agli utenti dei sistemi IT una griglia di riferimento costituita da una struttura dei processi della funzione IT, rispetto alla quale si è venuto formando il consenso degli esperti del settore, una serie di strumenti teorici e pratici collegati ai processi con l’obiettivo di valutare se è in atto un efficace governo della funzione IT (IT governance) o di fornire una guida per instaurarlo.
COBIT è stato pubblicato per la prima volta nel 1996. La sua missione dichiarata è quella di “ricercare, sviluppare, pubblicizzare e promuovere un insieme internazionale di obiettivi di controllo di accettazione generale per l’utilizzo giornaliero da parte di manager e auditor”.
Le aziende devono soddisfare i requisiti di qualità, affidabilità e di sicurezza della loro organizzazione IT perseguendo obiettivi di efficacia, devono cioè:
- controllare la funzione IT affinché fornisca le informazioni necessarie all’azienda
- gestire i rischi che gravano sulle risorse IT
- assicurarsi che la funzione IT raggiunga i propri obiettivi e che questi siano in sintonia con gli obiettivi aziendali
Devono inoltre perseguire obiettivi di efficienza, valutando la maturità dei processi e misurando le prestazioni della funzione IT.
Il modello COBIT si propone di rispondere a questi bisogni:
- Fornendo un collegamento tra gli obiettivi della funzione IT e gli obiettivi aziendali
- Organizzando le attività della funzione IT secondo un modello di processi generalmente accettato
- Definendo gli obiettivi di controllo da utilizzare nella gestione
- Fornendo un modello di maturità rispetto al quale valutare la maturità dei processi IT
- Definendo obiettivi misurabili (goal) secondo metriche basate sui principi delle Balanced Scorecard
La versione corrente di COBIT (la 4.1 – rilasciata nel maggio 2007) divide il controllo della funzione IT in quattro domini:
- Pianificazione e Organizzazione (Plan and Organise),
- Acquisizione e Implementazione (Acquire and Implement),
- Erogazione ed Assistenza (Deliver and Support),
- Monitoraggio e Valutazione (Monitor and Evaluate).
Nei quattro domini sono collocati un totale di 34 processi, ai quali fanno capo, nella versione 4.1, un totale di 210 obiettivi di controllo; questi ultimi rivestono un’importanza centrale nel COBIT, al punto di dare il nome al modello stesso.
Il dominio Pianificazione e Organizzazione (Plan and Organise) copre gli aspetti strategici e tattici e si propone di individuare il modo migliore in cui la funzione IT può contribuire al raggiungimento degli obiettivi aziendali. Lo scopo è di comprendere se gli obiettivi della funzione IT sono noti a tutti all’interno dell’organizzazione, se la funzione IT è in linea con la strategia aziendale, se l’azienda sta utilizzando le proprie risorse in modo ottimale gestendo correttamente i rischi e fornendo la qualità richiesta.
I processi nel dominio Erogazione ed Assistenza (Deliver and Support) si occupano dell’erogazione effettiva dei servizi, il che comprende anche il controllo della disponibilità, del rispetto dei livelli di servizio e della sicurezza del servizio stesso, così come il supporto agli utenti e la gestione dei dati e dell’ambiente fisico.
I processi del dominio si assicurano che i servizi IT vengano erogati in linea con le priorità aziendali, che venga effettuata una gestione ottimale dei costi, che il personale sia in grado di utilizzare i sistemi con cognizione di causa e in sicurezza e che le informazioni siano protette negli aspetti di riservatezza, integrità, confidenzialità che sono loro propri.
I seguenti processi fanno parte di questo dominio:
- DS1 Definire e gestire i livelli di servizio
- DS2 Gestire i servizi di terze parti
- DS3 Gestire le prestazioni e la capacità produttiva
- DS4 Assicurare la continuità di servizio
- DS5 Garantire la sicurezza dei sistemiy
- DS6 Identificare e attribuire i costi
- DS7 Formare e addestrare gli utenti
- DS8 Gestione del service desk e degli incidenti
- DS9 Gestire la configurazione
- DS10 Gestire i problemi
- DS11 Gestire i dati
- DS12 Gestire l’ambiente fisico
- DS13 Gestire le operazioni
I processi nel dominio di Monitoraggio e Valutazione (Monitor and Evaluate) si occupano di verificare se le prestazioni della funzione IT sono in linea con le aspettative del vertice aziendale, se il sistema di controlli interni è ben congegnato, se sono saldi i legami tra le prestazioni della funzione IT e gli obiettivi aziendali e se è garantita la conformità a leggi e regolamenti.
I seguenti processi fanno parte di questo dominio:
- ME1 Monitorare e valutare le prestazioni dell’IT
- ME2 Monitorare e valutare i controlli interni
- ME3 Garantire la conformità ai regolamenti
- ME4 Istituzione dell’IT governance
Per ogni processo sono definiti degli obiettivi di controllo specifici. Inoltre vi sono due insiemi di obiettivi di controllo “generali” applicabili a ciascun processo:
- il primo insieme riguarda i processi medesimi (si tratta controlli identificati con la sigla PCn – Process control n)
- il secondo insieme riguarda i dati in ingresso e uscita ai processi (si tratta controlli identificati con la sigla ACn – Application Control n)
Secondo il modello, il raggiungimento degli obiettivi di controllo garantisce un ragionevole livello di confidenza riguardo al raggiungimento degli obiettivi aziendali connessi al processo e alla prevenzione dei rischi associati al processo stesso.
Il modello non impone necessariamente il raggiungimento di ogni obiettivo di controllo. Il management aziendale può decidere quali sono i controlli applicabili ad ogni singolo processo all’interno dell’azienda, quali andranno implementati e con quali modalità, o viceversa può accollarsi il rischio di non implementarli.
La norma COBIT (nella versione inglese) è pubblica e scaricabile gratuitamente (nel sito dell’
ISACA). Per chi fosse interessato ad approfondirne il contenuto e’ consigliabile iniziare dal documento
COBIT 4.1 Executive Summary and Framework, scaricabile anch’esso dal sito dell’
ISACA.
Nel Sito 
