COBIT ITIL ve ISO27001

CobiT nedir?


Türkiye’de son yıllarda özellikle finans sektöründe bir CobiT rüzgârı almış başını gidiyor. Geçen birkaç yıl içerisinde bu rüzgâr finans sektörüyle de sınırlı kalmayıp üretimden eğlenceye, büyük holding şirketlerinden kobilere pek çok farklı alanda görülmeye başladı. Peki, nedir bu CobiT? Yazımda sizlere CobiT’i tanıtmaya ve nasıl kullanabileceğinizi göstermeye çalışacağım.


 


CobiT’in tanımı


Tanım olarak CobiT, “Control Objectives for Information and Related Technology” nin kısaltılmış halidir. Türkçe ifade etmek gerekirse “Bilgi ve ilgili teknoloji için kontrol hedefleri”.  Bu tanım, CobiT’in amacını ifade etmesi açısından önemlidir. CobiT, Bilgi Teknolojileri yönetiminde ulaşılması gereken hedefleri ortaya koymaktadır.


 


 image001

image002 


 


Benzer standartlardan farkı nedir?


CobiT’i, ITIL, CMMI ve ISO standartlarından ayıran en büyük özelliği tüm BT fonksiyonlarını kapsayan bir çerçeve sunmasıdır.  Farklı şekilde ifade etmek gerekirse CobiT içerisinde yer alan 34 süreci bir arada değerlendirdiğinizde BT yönetiminin her alanını kapsama almış olursunuz. Bu nedenle diğer standartlardan farklı şekilde, CobiT’in tek veya grup halinde BT süreçlerine değil BT’nin yönetilmesine odaklandığını söylemek doğru olur.


CobiT’in diğer bir özelliği de, içerisindeki süreçlerin nasıl uygulanması gerektiğine dair detaylı çözüm yöntemleri içermemesidir.  Esas olarak kontrol hedeflerinden oluşmaktadır ve bu hedefler o süreç içerisinde sağlanması gereken en iyi uygulamaları açıklamaktadır. Fakat birkaç istisna dışında bu süreçlerin hiçbiri için kontrol hedeflerine ulaşılmasını sağlayacak bir yöntem, şablon veya tasarım önermemektedir.  Örnek vermek gerekirse, DS5 Sistem Güvenliğinin Sağlanması sürecinde sistemlere ve bilgiye erişen kişilerin kimliklerinden emin olunması gerektiği belirtilir. Ancak bunun yapılması için kullanılabilecek yöntemlerden (kullanıcı adı/şifre, biyometrik kimlik doğrulama, token, fiziksel sınırlama vb) bahsedilmez. Uygulama sırasında bu tür kontrol örneklerine ihtiyaç duyulabileceği göz önünde bulundurularak ISACA tarafından “CobiT Control Practices” adında CobiT’e ek bir kılavuz dokümanı yayınlanmıştır.


 


Öne çıkan özellikleri


CobiT aşağıdaki genel özellikleri gösterir:


·         Bilgi Teknolojileri’nin şirketin iş (ticari) amaçlarına hizmet etmesi gerektiğini benimser,


·         BT stratejisi ile iş stratejisinin uyumunu sağlamaya çalışır,


·         Bu özellikleriyle modern BT Yönetiminin kabul görmüş kurallarını içerir,


·         İçerisindeki 34 süreç ile neredeyse tüm BT fonksiyonlarını kapsar,


·         Diğer BT yönetimi standartları ile (ISO, ITIL, CMMI, MOF, vb) uyumludur,


·         Her sektörden ve her boyuttaki şirket tarafından kullanılabilir,


·         Denetim, süreç iyileştirme, süreç yönetimi, ölçüm, karşılaştırma vb farklı kullanım amaçları vardır.




 


CobiT süreçleri


CobiT içerisinde 4 ana başlık altında toplam 34 süreç bulunmaktadır. Yukarıda da belirttiğimiz gibi bu 34 süreç, pek çok şirket için BT fonksiyonlarının hemen hepsini kapsar. CobiT içerisinde aşağıdaki süreçler bulunmaktadır:


 


Planlama ve Organizasyon



PO 1 Stratejik BT planının tanımlanması


PO 2 Bilgi mimarisinin tanımlanması


PO 3 Teknolojik yönün belirlenmesi


PO 4 BT süreçlerinin organizasyonunun ve ilişkilerinin tanımlanması


PO 5 BT yatırımlarının yönetimi


PO 6 Yönetimin amaçlarının iletilmesi


PO 7 BT İnsan kaynakları yönetimi


PO 8 BT Kalite yönetimi


PO 9 BT riskinin değerlendirilmesi ve yönetimi


PO 10 Proje yönetimi


 


Edinim ve Kurulum


AI 1 Çözümlerin belirlenmesi


AI 2 Uygulama yazılımının geliştirilmesi ve bakımı


AI 3 Teknoloji alt yapısının oluşturulması ve bakımı


AI 4 Operasyon ve kullanımın sağlanması


AI 5 BT kaynaklarının satın alınması


AI 6 Değişiklik yönetimi


AI 7 Çözümlerin ve değişikliklerin uygulanması ve akredite edilmesi


 


Hizmet ve Destek


DS 1 Hizmet seviyelerinin tanımlanması ve yönetimi


DS 2 Üçüncü kişilerden alınan hizmetlerin yönetimi


DS 3 Performans ve kapasite yönetimi


DS 4 Hizmet sürekliliğinin sağlanması


DS 5 Sistem güvenliğinin sağlanması


DS 6 Maliyetlerin belirlenmesi ve dağıtılması


DS 7 Kullanıcıların eğitimi


DS 8 Hizmet sunumu yönetimi ve olay yönetimi


DS 9 Konfigürasyon yönetimi


DS 10 Problem yönetimi


DS 11 Veri yönetimi


DS 12 Fiziksel çevre yönetimi


DS 13 Operasyon yönetimi


 


İzleme ve Değerlendirme



ME 1 Bilgi sistemleri performansının izlenmesi ve değerlendirilmesi


ME 2 İç kontrolün izlenmesi ve değerlendirilmesi


ME 3 Mevzuata uyumun sağlanması


ME 4 Bilgi sistemlerine ilişkin kurumsal yönetişimin temini


 


İçeriği


CobiT içerisinde, yukarıdaki her bir süreç için aşağıdakiler bulunmaktadır:


1.       Sürecin tanımı



Süreç tanımı, her CobiT sürecinin ilk sayfasında bulunur ve sürecin genel hatlarını belirler. İçerisinde şu bilgiler bulunur:


·         İlgili süreç hedefleri


o   Etkinlik


o   Verimlilik


o   Gizlilik


o   Bütünlük


o   Erişilebilirlik


o   Uyum


o   Güvenilirlik


·         Sürecin amacı


·         Sürecin, iş süreçleri açısından önemi


·         Odaklanılan konular


·         İçerisindeki temel faaliyetler


·         Başarı göstergeleri


·         İlgili BT yönetişimi alanları


o   Stratejik uyum


o   Değer üretimi


o   Risk yönetimi


o   Performans ölçümü


o   Kaynak yönetimi


·         İlgili BT unsurları


o   Uygulama


o   Bilgi


o   Altyapı


o   İnsan


Süreç tanımı, CobiT’in en çok kullanılan ve en faydalı alanlarından birisidir. Kullanımına örnek olarak her iş yerinde bulunan bir süreci ele alalım: “Performans ve kapasite yönetimi”. Elbette sistemlerimizin performans ve kapasitesini yönetiyoruz, peki şu soruların yanıtlarını verebiliyor muyuz?


·         Kapasite ve performans yönetimi ne demektir?


·         Biz bu süreci daha iyi işletince şirketin ticari faaliyetleri bundan nasıl yarar sağlamaktadır?


·         Sürecin ana adımları nelerdir?


·         Süreçte nelere odaklanılmalıdır?


·         Performans ve kapasite yönetimini ne kadar iyi yaptığımızı nasıl ölçebiliriz?


 


2.       Detaylı kontrol hedefleri



Detaylı kontrol hedeflerinde sürecin işletilmesi ile ulaşılması gerekli hedefler yani iyi uygulamalar bulunmaktadır. Detaylı kontrol hedefleri, her süreç için farklı şekilde kategorilere göre ayrılmıştır. Bu bölüm ayrıca, CobiT esaslı denetimlerde uyulması gerekli bir kriter listesi olarak kullanılır. Benzer şekilde CobiT uyumluluğunun sağlanması amacıyla gerçekleştirilen süreç iyileştirme çalışmalarının da dayanak noktası detaylı kontrol hedefleridir.


Örnek olarak “DS3 Performans ve Kapasite Yönetimi” süreci üzerinden ilerlemek istersek, içerisinde şu kategoriler altında, ulaşılması gerekli hedefler bulunmaktadır:


·         DS3.1 Performans ve kapasite planlaması


·         DS3.2 Mevcut kapasite ve performans


·         DS3.3 Gelecekteki kapasite ve performans


·         DS3.4 BT kaynaklarının erişilebilirliği


·         DS3.5 İzleme ve raporlama


 


 


3.       Yönetim kılavuzları



Bu sayfada, sürecin yönetilmesi için gerekli bilgilere yer verilmektedir. İçerisinde şu konularda bilgiler bulunur:


·         Süreç girdileri ve çıktıları: Sürece girdi olabilecek bilgiler, dokümanlar veya diğer faaliyet sonuçları ile bu sürecin sonunda diğer süreçlere girdi olacak unsurlar.


·         Süreçteki roller ve sorumluluklar (RACI tablosu): Her bir süreçle ilgili öne çıkan faaliyetler ve bu faaliyetlerin gerçekleştirilmesi sırasında işletimden sorumlu, hesap vermekten sorumlu, danışılan ve bilgi verilen organizasyonel roller.


·         Süreç hedefleri ve ölçüm kriterleri: Sürecin hangi şartlar gerçekleştiğinde başarılı sayılacağı ve sürecin ne kadar iyi işletildiğinin nasıl ölçülebileceği.




 


4.       Olgunluk modeli (Toplam bir sayfa)



CobiT, ayrıca her bir sürecin ne kadar olgun şekilde yönetildiğinin belirlenebilmesi ve benzer şirketlerle karşılaştırılabilmesi için bir olgunluk modeli sunmaktadır. Olgunluk modeli 0 ile 5 arasında 6 lı bir skala içermektedir ve her bir seviyeye ulaşılması için sağlanması gerekli kriterler, her bir sürece özel olarak detaylı şekilde belirtilmiştir. Olgunluk modelinde şu seviyeler bulunmaktadır:

























Olgunluk seviyesi


Açıklama


0. Tanımlanmamış


 


Süreç konusunda şirket bünyesinde herhangi bir bilinç bulunmamaktadır. Yönetim sürecin varlığından/gerekliliğinden haberdar değildir.


1. Düzensiz


Sürecin gerekliliği bilinmektedir ancak düzenli şekilde uygulanmamaktadır


2. Tekrarlanabilir


Süreç tekrarlanabilir şekilde uygulanmaktadır ancak sürecin kriterleri ve uygulama esasları tanımlanmamıştır


3. Tanımlı


Süreç tanımlanmıştır ve tanımlandığı şekilde işletilmektedir


4. Ölçülebilir


Sürecin ne kadar iyi işletildiği ölçülmektedir


5. Optimize edilmiş


Süreç, sürekli olarak iyileştirilmektedir


               


 


Bilgi Teknolojileri süreç eşleştirme tabloları



CobiT içerisinde ayrıca, iş hedeflerinin bilgi teknolojileri hedefleri ile bağlantılarının kurulabilmesi amacıyla kılavuz olabilecek üç farklı tablo sunulmaktadır.


i)                    İlk tabloda iş hedefleri, bilgi teknolojileri hedefleri ve CobiT bilgi kriterleri ile eşleştirilmiştir. Bu tablo kullanılarak, örnek iş hedefleri için, bu hedefleri destekleyen bilgi teknolojiler hedefleri ve ilgili CobiT bilgi kriterleri görülebilir.


ii)                   İkinci tablo, CobiT içerisindeki BT süreçleri ile genel BT hedefleri ve bilgi kriterlerinin eşleştirilmesini içerir.


iii)                 Üçüncü tabloda ise her bir BT süreci için desteklenen BT hedefleri tersten gösterilmiştir.


 


Kullanım alanları


CobiT pek çok farklı amaçlar için kullanılabilir. Günümüzde en yaygın görünen kullanım amaçları şunlardır:


 


Denetim: CobiT, içerisinde karşılaştırma yapılabilecek iyi uygulamaları barındırması nedeniyle bir denetim aracı olarak kullanılabilir. Ayrıca, BT süreçlerinin listelenmesi sayesinde denetim kapsamının belirlenmesinde kolaylık sağlamaktadır. Bu özellikleriyle, birden fazla denetçi tarafından farklı şirketlerde yapılan denetimlerin kapsamlarının ve uyum kriterlerinin aynı şekilde değerlendirilebilmesini sağlar.


 


BT Süreç yönetimi: CobiT’in hemen hemen tüm BT fonksiyonlarını içeren bir çerçeve sunduğundan bahsetmiştik. Bu çerçeve sayesinde BT yöneticileri aşağıdaki soruların yanıtlarını CobiT’te bulabilir:


          Hangi süreçleri oluşturmalıyım?


          Bu süreçlerde hangi adımlara yer vermeliyim?


          Rol ve sorumlulukları nasıl dağıtmalıyım?


          Bu süreçleri ne kadar iyi uyguladığımı nasıl ölçebilirim?



 


İyi uygulamalar: CobiT, detaylı kontrol hedefleri sayesinde, her bir BT süreci için dünyada kabul görmüş en iyi uygulamaları da içermektedir. İyi uygulamalar, süreçte bulunması gerekli faaliyetleri, sorumlulukları, oluşturulması gereken rolleri, süreçlerin işlem sıralarını, süreçlerde kullanılması gereken girdileri ve oluşturulması gereken çıktıları ve buna benzer bilgileri içerir. Ek olarak, “CobiT control practices” dokümanında daha detaylı örnek alınabilecek kontrol tanımları bulunmaktadır.


 


Karşılaştırma aracı: İçerisindeki olgunluk modeli ile her bir BT sürecinin ne kadar olgun işletildiğinin belirlenmesi ve benzer şirketler ile karşılaştırılmasına da imkân vermektedir.


 


Türkiye’de CobiT


Türkiye’de CobiT’in kamuoyuna ilk yansıması BDDK’nın, bazı bankaları CobiT esaslı bir özel denetime tabi tutmasıyla gerçekleşti. Benzer bir çalışmanın 2006 yılında tüm bankalara genişletilerek zorunlu tutulması ve her iki yılda bir kez tekrar edilmesi sonucunda tüm bankalar CobiT ile tanışmış oldu. Başlangıçta yaşanan zorlukların ardından, bugün bakıldığında bankalar BT süreçlerini bir standarda uygun olarak yürütmenin meyvelerini daha kontrollü, verimli ve etkin bir BT şeklinde toplamaktalar.


Aslına bakarsanız, BDDK’nın denetim şartının çok öncesinde BT süreçlerini CobiT’e uygun şekilde yöneten bankalar bulunmaktaydı.


Fakat bankacılık CobiT’in görülebildiği tek yer değil elbette. Bankalara ek olarak, finans ve üretim sektörlerinde “olgun” sayılabilecek pek çok şirkette CobiT’i süreç yönetimi için kullanmakta. Bu konuda hem şirketlerdeki bilinç hem de bankacılık dışındaki sektörlere yönelik düzenlemeler de hızla gelişiyor.


 


CobiT sertifikasyonu


Gün itibariyle şirketler için bir CobiT’e uyum sertifikası yoktur. Ancak ISACA’nın CobiT 5.0 versiyonu ile birlikte bir uyum sertifikası oluşturma ve düzenleme planı bulunduğu gelen duyumlar arasında.


 


CobiT kaynakları


CobiT, kâr amacı gütmeyen bir kuruluş olan ISACA (“Information Systems Audit and Control Association”) ve ISACA tarafından kurulmuş olan ITGI (“IT Governance Institute”) tarafından yayınlanmaktadır.


CobiT’in en önemli kaynağı, ISACA tarafından yayınlanan CobiT 4.1 kitapçığıdır. Bu kitapçığın pdf versiyonu isaca.org/cobit adresinden ücretsiz olarak indirilebilir.


Ayrıca ISACA tarafından yayınlanan aşağıdaki kaynaklar bulunmaktadır:


 


CobiT Online: Isaca.org üzerinden üye olunarak ulaşılabilen ve CobiT ile ilgili tüm bilgilere ulaşılabilecek bir web sitesi


 


CobiT Control practices: Süreçlerin oluşturulması sırasında, CobiT Kontrol hedeflerinin sağlanabilmesi için oluşturulabilecek örnek kontroller


 


CobiT Assurance Guide: CobiT denetimlerinde sorgulanabilecek alanlar ve soru örnekleri


 


CobiT Quickstart: CobiT’in bütününün yerine deha kısıtlı bir versiyonunun uygulanması gereken durumlarda (kaynak sıkıntısı, süreç olgunluklarının çok düşük olması vb.) kullanılabilecek bir hızlı başlangıç versiyonu


 


CobiT eşleştirmeleri (mapping): CobiT’in farklı pek çok standart ile karşılaştırılması ve hangi alanların örtüştüğünün belirlenebilmesi için oluşturulmuş çeşitli dokümanlar


 


CobiT’in geleceği


CobiT’in şu andaki en son versiyonu CobiT 4.1’dir. Ancak, yaklaşık iki yıl önce başlayan çalışmalar sonucunda 5.0 versiyonunun yayınlanmasına çok yaklaşılmıştır. 2011 yılında yayınlanması beklenen yeni versiyon ile ISACA tarafından yayınlanan Risk IT ve Val IT’nin CobiT içerisinde birleştirilmesi, CobiT sertifikasyonunun mümkün hale getirilmesi gibi pek çok yenilik bekleniyor.


Türkiye’de ise her geçen gün farklı sektörlerdeki pek çok şirkette CobiT’in kullanıldığına şahit oluyoruz. Yasal düzenlemeler tarafında ise BDDK’nın yanı sıra  Hazine Müsteşarlığı ve SPK’nın da gelişmeleri izlediği ve BT’ye yönelik düzenlemelerinde CobiT’i göz önünde bulundurduğu bilinen konular.


Sonuç olarak, CobiT tüm dünyada olduğu gibi Türkiye’de de her geçen gün daha fazla şirket tarafından tanınıyor ve uygulanıyor. CobiT’in diğer standartlar ile uyumu, gözle görülebilen faydaları ve kendine özgü yaklaşımı ile bu gelişme hız kesmeyecek gibi.

İlgili Makaleler

Bir yanıt yazın

E-posta adresiniz yayınlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir

Başa dön tuşu