การนำ COBIT Framework มาใช้ในการควบคุมภายในสำหรับงาน เทคโนโลยีสารสนเทศ

การนำ COBIT Framework มาใช้ในการควบคุมภายในสำหรับงานเทคโนโลยีสารสนเทศ Worapat Paireekreng

หัวข้อ • บทนำ • ตัวแบบและกฎเกณฑ์สำหรับการควบคุมทางด้าน เทคโนโลยีสารสนเทศ • แนวทางการใช้งานกรอบแนวคิดในการกำกับดูแลเทคโนโลยีสารสนเทศ • ตัวอย่างกระบวนการ AI3 • สรุป

1. บทนำ • มีการนำ IT เข้ามาใช้ในงานธุรกิจ เพื่อเพิ่มประสิทธิภาพและประสิทธิผลในการทำงาน • ถ้าไม่มีการนำกรอบแนวคิดมาควบคุมการใช้ IT จะทำให้ต้นทุนสูง และไม่สนับสนุนเป้าหมายทางธุรกิจ • ต้องทำให้เป็น IT Governance สามารถตรวจสอบการใช้งาน IT ในองค์กรได้

2. ตัวแบบและกฎเกณฑ์สำหรับการควบคุมทางด้าน เทคโนโลยีสารสนเทศ • กฎหมายเกี่ยวกับการควบคุมภายใน เช่น Sarbanes-Oxley Act (SOX) • COSO เป็นตัวแบบการควบคุมทางด้าน เทคโนโลยีสารสนเทศ โดยมุ่งเน้นรายงานไปที่บอร์ดผู้บริหาร เป็นกระบวนการควบคุม ประกอบไปด้วย องค์ประกอบ 5 ด้าน คือ • Control environment • Risk assessment • Control activities • Information and communication • Monitoring

2. ตัวแบบและกฎเกณฑ์สำหรับการควบคุมทางด้าน เทคโนโลยีสารสนเทศ • ITILเป็นกรอบแนวคิด ที่มุ่งเน้นในการควบคุมกระบวนการทางด้าน เทคโนโลยีสารสนเทศ ที่เน้นไปในเรื่องของการจัดการ การบริการ ประกอบไปด้วย • การนำส่งบริการ • การสนับสนุนการบริการ • การวางแผนเพื่อนำการจัดการบริการไปใช้ • การจัดการความมั่นคง • การจัดการโครงสร้างพื้นฐานทางด้านเทคโนโลยีสารสนเทศและการสื่อสาร • มุมมองของธุรกิจ • การจัดการโปรแกรมประยุกต์ • การจัดการทรัพย์สินทางด้านชุดคำสั่ง

2. ตัวแบบและกฎเกณฑ์สำหรับการควบคุมทางด้าน เทคโนโลยีสารสนเทศ • ISO 17799:2005 เป็นมาตรฐานในเรื่องของการรักษาความปลอดภัยของข้อมูลที่นำเสนอมาในปี 2005 โดยได้ให้แนวทางปฏิบัติที่ดีที่สุดในการแนะนำในเรื่องของ การบริหารการรักษาความปลอดภัยของข้อมูลที่ใช้โดยผู้ที่รับผิดชอบ ประยุกต์ใช้งานในส่วนของระบบบริหารการรักษาความมั่นคง

2. ตัวแบบและกฎเกณฑ์สำหรับการควบคุมทางด้าน เทคโนโลยีสารสนเทศ • ตัวแบบวุฒิภาวะความสามารถแบบบูรณาการ (Capability Maturity Model Integration)เป็นมาตรฐานเพื่อใช้สำหรับวัดระดับความสามารถขององค์กรว่าอยู่ในระดับใดแบ่งได้เป็น 5 ระดับ คือ • ระดับที่ 1 เรียกว่า แรกเริ่ม (Initial) • ระดับที่ 2 เรียกว่า มีการจัดการ (Managed) • ระดับที่ 3 เรียกว่า มีการกำหนด (Defined) • ระดับที่ 4 เรียกว่า มีการจัดการเชิงจำนวน (Quantitatively Managed) • ระดับที่ 5 เรียกว่า เหมาะสมที่สุด (Optimizing)

2. ตัวแบบและกฎเกณฑ์สำหรับการควบคุมทางด้าน เทคโนโลยีสารสนเทศ COBIT • เป็นกรอบแนวคิดในการที่จะใช้สำหรับการควบคุมทางด้านเทคโนโลยีสารสนเทศ การใช้ COBIT • เป็นตัวช่วยในด้านการควบคุมภายในของเทคโนโลยีสารสนเทศ • เป็นการเชื่อมโยงระหว่างเป้าหมายทางธุรกิจและเป้าหมายทางเทคโนโลยีสารสนเทศเข้าด้วยกัน • มุ่งเน้นที่ตัวแบบกระบวนการ ซึ่งพยายามทำให้เทคโนโลยีสารสนเทศอยู่ภายใต้การควบคุมให้ได้ • COBIT จะนำเสนอ ตัวแบบกระบวนการทั่วไปที่เป็นกระบวนการที่พบได้ในงานทางด้าน IT

2. ตัวแบบและกฎเกณฑ์สำหรับการควบคุมทางด้าน เทคโนโลยีสารสนเทศ COBIT การทำ IT Governance มุ่งเน้นใน 5 ด้าน คือ • การจัดวางกลยุทธ์ (Strategic Alignment) • การนำเสนอคุณค่า (Value Delivery) • การจัดการทรัพยากร (Resource Management) • การจัดการความเสี่ยง (Risk Management) • การวัดผลการดำเนินงาน (Performance Measurement)

2. ตัวแบบและกฎเกณฑ์สำหรับการควบคุมทางด้าน เทคโนโลยีสารสนเทศ COBIT • มีขอบเขตของกระบวนการ 4 ด้านหลักด้วยกัน คือ • การวางแผนและการจัดองค์กร (Planning and Organization : PO) • การจัดหาและนำไปใช้ (Acquisition and Implementation : AI) • การนำส่งและสนับสนุน (Delivery and Support : DS) • การตรวจสอบและประเมินผล (Monitoring and Evaluation : ME) • โดยที่แต่ละด้านนั้นจะมีกระบวนการย่อยอยู่ภายใน ซึ่งจะมีกระบวนการรวมทั้งหมด 34 กระบวนการ

2. ตัวแบบและกฎเกณฑ์สำหรับการควบคุมทางด้าน เทคโนโลยีสารสนเทศ COBIT • โดยกรอบแนวคิด จะอธิบายว่ากระบวนการทาง เทคโนโลยีสารสนเทศ จะนำข้อมูลข่าวสารไปให้กับความต้องการทางธุรกิจได้อย่างไร จึงจะบรรลุวัตถุประสงค์ที่ได้ตั้งไว้ และการนำส่งนี้มีการควบคุมผ่าน วัตถุประสงค์การควบคุมระดับสูงในแต่ละกระบวนการ กรอบแนวคิดนี้จะระบุว่า ข้อมูลข่าวสารหลักทั้ง 7 ด้านที่ได้ คือ ประสิทธิภาพ (effectiveness) , ประสิทธิผล (efficiency), การเป็นความลับ (confidentiality) , ความสมบูรณ์ (integrity), การมีอยู่ (availability) , การปฏิบัติตาม (compliance) และ ความเชื่อถือได้ (reliability) ด้วยทรัพยากรทาง เทคโนโลยีสารสนเทศ ได้แก่ คน (people) , โปรแกรมประยุกต์ (applications), เทคโนโลยี (technology) , สิ่งอำนวยความสะดวก (facilities) และ ข้อมูล (data)

3. แนวทางการใช้งานกรอบแนวคิดในการกำกับดูแลเทคโนโลยีสารสนเทศ 3.1 การแบ่งระดับการนำมาใช้ • Level 0 :ระดับกฎหมาย • Level 1 :ระดับนโยบาย • Level 2 :ระดับการควบคุม • Level 3 :ระดับปฏิบัติการ

3. แนวทางการใช้งานกรอบแนวคิดในการกำกับดูแลเทคโนโลยีสารสนเทศ 3.1 การแบ่งระดับการนำมาใช้ ภาพ แสดงระดับและขอบเขตในการนำตัวแบบต่างๆ มาใช้งาน

3. แนวทางการใช้งานกรอบแนวคิดในการกำกับดูแลเทคโนโลยีสารสนเทศ 3.2 แนวทางประยุกต์ใช้ COBIT ให้เข้ากับธุรกิจ • ในกรอบแนวคิดของ COBIT จะมีรูปแบบแนวทางการบริหารจัดการ ซึ่งจะมีองค์ประกอบย่อยๆ ที่อยู่ภายใน ทำให้ธุรกิจสามารถที่จะเชื่อมโยงและได้รับข้อมูลสารสนเทศที่จำเป็นสำหรับการบรรลุเป้าหมายขององค์กร • COBIT สนับสนุนการทำงานทางด้าน IT Governance การบริหารงาน การควบคุม • COBIT จะเป็นเครื่องมือที่ช่วยให้ผู้บริหารเชื่อมโยงช่องว่างระหว่าง ความต้องการในการควบคุม เรื่องทางด้านเทคนิค กับความเสี่ยงทางธุรกิจได้ พร้อมทั้งสื่อสารให้ผู้ที่เกี่ยวข้องรับทราบ

3. แนวทางการใช้งานกรอบแนวคิดในการกำกับดูแลเทคโนโลยีสารสนเทศ 3.2 แนวทางประยุกต์ใช้ COBIT ให้เข้ากับธุรกิจ • เริ่มต้น ให้ความต้องการทางธุรกิจแก่กระบวนการทางด้านเทคโนโลยีสารสนเทศต่างๆ • ให้กระบวนการทางด้านเทคโนโลยีสารสนเทศมีการทำงานให้ได้ตามเป้าหมายของระดับกิจกรรม • วัดผลได้โดย KPIs (Key Performance Indicators) เป็นตัววัดผลการดำเนินงาน และใช้ KGI (Key Goal Indicators) ซึ่งเป็นการวัดผลได้ในกระบวนการ • วัดระดับความสามารถขององค์กร ว่าอยู่ในขั้นใด (ระดับ 0 – 5 ) ซึ่งโดยสามารถใช้ COBIT เป็นแนวทาง และทราบได้ว่าอยู่ระดับใดในแต่ละกระบวนการ

3. แนวทางการใช้งานกรอบแนวคิดในการกำกับดูแลเทคโนโลยีสารสนเทศ 3.2 แนวทางประยุกต์ใช้ COBIT ให้เข้ากับธุรกิจ ภาพ แสดงความสัมพันธ์ขององค์ประกอบ COBIT ที่มา COBIT 4.0

3. แนวทางการใช้งานกรอบแนวคิดในการกำกับดูแลเทคโนโลยีสารสนเทศ 3.2 แนวทางประยุกต์ใช้ COBIT ให้เข้ากับธุรกิจ • ความเชื่อมโยงที่เกิดขึ้น คือ สามารถจัดกลุ่มขององค์ประกอบที่เกี่ยวข้องกับ ปัจจัยทางด้าน สารสนเทศ โดยมีองค์ประกอบหลักคือ เป้าหมายทางธุรกิจ • มีตัวผลักดันในเรื่องของการกำกับดูแลเข้ามาเกี่ยวข้อง โดยจะดูจากผลลัพธ์ที่เกิดขึ้นทางธุรกิจ • ตัวผลักดันนั้นจะมาจากกระบวนการทางเทคโนโลยีสารสนเทศ • กระบวนการทางเทคโนโลยีสารสนเทศนี้จะมีการใช้ทรัพยากรทั้ง 4 ด้านที่เกี่ยวข้อง คือ โปรแกรมประยุกต์ ข้อมูลสารสนเทศ โครงสร้างพื้นฐาน และคน เป็นตัวผลักดันให้ทำงานได้ • มี KPIs เป็นตัววัดผลสำเร็จของกระบวนการ

3. แนวทางการใช้งานกรอบแนวคิดในการกำกับดูแลเทคโนโลยีสารสนเทศ 3.2 แนวทางประยุกต์ใช้ COBIT ให้เข้ากับธุรกิจ ภาพ แสดงการการจัดการของ COBIT, การควบคุม, การจัดวางและการตรวจสอบดูแลที่มา COBIT 4.0

3. แนวทางการใช้งานกรอบแนวคิดในการกำกับดูแลเทคโนโลยีสารสนเทศ 3.2 แนวทางประยุกต์ใช้ COBIT ให้เข้ากับธุรกิจ • จากลูกบาศก์ COBIT จะเห็นได้ว่าความต้องการของธุรกิจจะมีอยู่ 7 ด้าน ก็คือ ประสิทธิผล ประสิทธิภาพ การเป็นความลับ ความสมบูรณ์ การมีใช้งาน การปฏิบัติตามกฎ และความเชื่อถือได้ • มีการใช้ทรัพยากรทางด้าน IT เข้าไปเพื่อทำให้การทำงานในกระบวนการต่างๆ ของ IT สามารถที่จะให้ข้อมูลสารสนเทศตรงนี้ออกมาได้ และจะได้วัดใน 7 ด้านทางธุรกิจด้วย • กระบวนการทางด้าน IT จะมีขอบเขตที่เกี่ยวข้องอยู่ ดูว่าสิ่งที่ทำ อยู่ในขอบเขตเรื่องใด และแบ่งออกเป็นกระบวนการต่างๆ จากนั้น ก็จะมีการแบ่งย่อยในระดับกิจกรรมด้วยว่าแต่ละกระบวนการจำเป็นต้องทำกิจกรรมใดบ้าง

3. แนวทางการใช้งานกรอบแนวคิดในการกำกับดูแลเทคโนโลยีสารสนเทศ 3.2 แนวทางประยุกต์ใช้ COBIT ให้เข้ากับธุรกิจ ภาพ แสดงลูกบาศก์ของ COBIT ที่มา COBIT 4.0

3. แนวทางการใช้งานกรอบแนวคิดในการกำกับดูแลเทคโนโลยีสารสนเทศ 3.3 การนำไปใช้ • มีแนวคิดการทำ IT Governance เปิดเผยข้อมูลตามที่กฎหมายกำหนด • นำแนวทางในการบริหารจัดการต่างๆ ของ COSO มาใช้เพื่อที่จะวางแนวทางการปฏิบัติงานทั้ง 5 ด้าน ผู้บริหารจะได้ดูแลงานได้ถูกด้าน • ใช้แนวทางของ COBIT มาช่วยสร้างความเชื่อมโยงทางด้านเป้าหมายทางธุรกิจ กับเป้าหมายทางด้าน เทคโนโลยีสารสนเทศ • การนำมาใช้นั้นไม่จำเป็นจะต้องนำมาทั้งหมด แต่ให้เลือกกระบวนการที่เกี่ยวข้องกับเป้าหมายทางธุรกิจเป็นหลักก่อน

3. แนวทางการใช้งานกรอบแนวคิดในการกำกับดูแลเทคโนโลยีสารสนเทศ 3.3 การนำไปใช้ ภาพ แสดงขั้นตอนการใช้ COBIT ในแต่ละกระบวนการ

3. แนวทางการใช้งานกรอบแนวคิดในการกำกับดูแลเทคโนโลยีสารสนเทศ 3.3 การนำไปใช้ • เริ่มต้นที่การควบคุมในระดับบน ซึ่งหมายถึงภาพรวมของกระบวนการนั้นๆ และทราบว่ากระบวนการที่เกี่ยวข้องกับเทคโนโลยีสารสนเทศนี้ จะต้องทำอะไร เพื่อที่จะตอบสนองความต้องการด้านธุรกิจด้านไหน รวมถึงทราบตัววัดโดยรวมด้วยว่า จะวัดผลการดำเนินการของกระบวนการนี้ด้วย ว่าจะใช้ตัวชี้วัดหลักใด มาวัดผลสำเร็จของกระบวนการ

3. แนวทางการใช้งานกรอบแนวคิดในการกำกับดูแลเทคโนโลยีสารสนเทศ 3.3 การนำไปใช้ • ทราบว่า ทรัพยากรใดที่เกี่ยวข้องกับกระบวนการนี้ • ในแต่ละกระบวนการเองนั้น ก็จะมีเรื่องของ IT Governance เข้ามาเกี่ยวข้องด้วย คือ ทาง COBIT เองก็จะบอกว่า เป็นการกำกับดูแลเทคโนโลยีสารสนเทศทางด้านใด ซึ่งจะมีอยู่ด้วยกัน 5 ด้าน และบอกต่อด้วยว่า ด้านใดเป็นด้านหลัก และด้านใดเป็นด้านสนับสนุน

3. แนวทางการใช้งานกรอบแนวคิดในการกำกับดูแลเทคโนโลยีสารสนเทศ 3.3 การนำไปใช้ ภาพ แสดงความสัมพันธ์ระหว่างกระบวนการ , เป้าหมาย และตัววัด (ตัวอย่างกระบวนการ DS5) ที่มา COBIT 4.0

4. ตัวอย่างกระบวนการAI3 : Acquire and Maintain Technology Infrastructure

AI3 : Acquire and Maintain Technology Infrastructure 1. High-level Control Objectives Objectives • Organisations should have processes for the acquisition, implementation and upgrade of the technology infrastructure. • This requires a planned approach to acquisition, maintainance and protection of infrastructure in line with with agreed technology strategies and the provision of development and test environments. • This ensures that there is ongoing technological support for business applications.

AI3 : Acquire and Maintain Technology Infrastructure 1. High-level Control Objectives

AI3 : Acquire and Maintain Technology Infrastructure 1. High-level Control Objectives Control over the IT process of • Acquire and maintain technology infrastructure that satisfies the business requirement for IT of • acquiring and maintaining an integrated and standardised IT infrastructure by focusing on • providing appropriate platforms for the business applications in line with the defined IT architecture and technology standards

AI3 : Acquire and Maintain Technology Infrastructure 1. High-level Control Objectives is achieved by • Producing a technology acquisition plan that aligns to the technology infrastructure plan • Planning infrastructure maintenance • Implementing internal control, security and auditability measures and is measured by • Percent of platforms that are not in line with the defined IT architecture and technology standards • Number of critical business processes supported by obsolete (or soon to be) infrastructure • Number of infrastructure components that are no longer supportable (or will not be in the near future)

AI3 : Acquire and Maintain Technology Infrastructure 2. Detailed Control Objectives • AI3.1 Technological Infrastructure Acquisition Plan • AI3.2 Infrastructure Resource Protection and Availability • AI3.3 Infrastructure Maintenance • AI3.4 Feasibility Test Environment

AI3 : Acquire and Maintain Technology Infrastructure 2. Detailed Control Objectives • AI3.1 Technological Infrastructure Acquisition Plan • Produce a plan for the acquisition, implementation and maintenance of the technological infrastructure that meets established business functional and technical requirements and is in accord with the organisation’s technology direction. • The plan should consider future flexibility for capacity additions, transition costs, technical risks and the lifetime of the investment for technology upgrades. • Assess the complexity costs and the commercial viability of the vendor and product when adding new technical capability.

AI3 : Acquire and Maintain Technology Infrastructure 2. Detailed Control Objectives • AI3.2 Infrastructure Resource Protection and Availability • Implement internal control, security and auditability measures during configuration, integration and maintenance of hardware and infrastructural software to protect resources and ensure availability and integrity. • Responsibilities for using sensitive infrastructure components should be clearly defined and understood by those who develop and integrate infrastructure components. • Their use should be monitored and evaluated.

AI3 : Acquire and Maintain Technology Infrastructure 2. Detailed Control Objectives • AI3.3 Infrastructure Maintenance • Develop a strategy and plan for infrastructure maintenance and ensure that changes are controlled in line with the organisation’s change management procedure. • Include periodic review against business needs, patch management and upgrade strategies, risks, vulnerabilities assessment and security requirements. • AI3.4 Feasibility Test Environment • Establish development and test environments to support effective and efficient feasibility and integration testing of applications and infrastructure in the early stages of the acquisition and development process. • Consider functionality, hardware and software configuration, integration and performance testing, migration between environments, version control, test data and tools, and security.

AI3 : Acquire and Maintain Technology Infrastructure 3. Management Guidelines INPUT PROCESS OUTPUT

AI3 : Acquire and Maintain Technology Infrastructure 3. Management Guidelines

AI3 : Acquire and Maintain Technology Infrastructure 3. Management Guidelines Business Goals IT Goals Define Goals Process Goals KPIs Activity Goals

AI3 : Acquire and Maintain Technology Infrastructure Activity Goal Process Goal IT Goal Business Goal DEFINE GOALS 3. Management Guidelines

AI3 : Acquire and Maintain Technology Infrastructure 4. Maturity Model

AI3 : Acquire and Maintain Technology Infrastructure 4. Maturity Model • 0 Non-existent when • Managing the technology infrastructure is not recognised as a sufficiently important topic to be addressed.

AI3 : Acquire and Maintain Technology Infrastructure 4. Maturity Model • 1 Initial/ Ad Hoc when • There are changes made to infrastructure for every new application, without any overall plan. • Although there is an awareness that the IT infrastructure is important, there is no consistent overall approach. • Maintenance activity reacts to short-term needs. • The production environment is the test environment.

AI3 : Acquire and Maintain Technology Infrastructure 4. Maturity Model • 2 Repeatable but Intuitive when • There is a consistency among tactical approaches when acquiring and maintaining the IT infrastructure. • Acquisition and maintenance of IT infrastructure is not based on any defined strategy and does not consider the needs of the business applications that must be supported. • There is an understanding that the IT infrastructure is important, supported by some formal practices. • Some maintenance is scheduled, but it is not fully scheduled and co-ordinated. • For some environments, a separate test environment exists.

AI3 : Acquire and Maintain Technology Infrastructure 4. Maturity Model • 3 Defined Process when • A clear, defined and generally understood process exists for acquiring and maintaining IT infrastructure. • The process supports the needs of critical business applications and is aligned to IT and business strategy but it is not consistently applied. • Maintenance is planned, scheduled and co-ordinated. • There are separate environments for test and production.

AI3 : Acquire and Maintain Technology Infrastructure 4. Maturity Model • 4 Managed and Measurable when • The acquisition and maintenance process for technology infrastructure has developed to the point where it works well for most situations, is followed consistently and is focused on reusability. • The IT infrastructure adequately supports the business applications. • The process is well organised and proactive. • The cost and lead time to achieve the expected level of scalability, flexibility and integration are partially optimised.

AI3 : Acquire and Maintain Technology Infrastructure 4. Maturity Model • 5 Optimised when • The acquisition and maintenance process for technology infrastructure is proactive and closely aligned with critical business applications and the technology architecture. • Good practices regarding technology solutions are followed and the organisation is aware of the latest platform developments and management tools. Costs are reduced by rationalising and standardising infrastructure components and by using automation. A high level of technical awareness can identify optimum ways to proactively improve performance, including consideration of outsourcing options. • The IT infrastructure is seen as the key enabler to leveraging the use of IT.

AI3 : Acquire and Maintain Technology Infrastructure 4. Maturity Model

AI3 : Acquire and Maintain Technology Infrastructure 5. Link to Business

5. สรุป • COBIT เป็นกรอบแนวคิดที่ช่วยเชื่อมโยงการดำเนินธุรกิจกับการใช้งานทางด้าน เทคโนโลยีสารสนเทศ ให้มีความสอดคล้องกัน โดยเริ่มต้นที่ตั้งวัตถุประสงค์ทางธุรกิจ และมีแนวคิดในการนำ เทคโนโลยีสารสนเทศ มาใช้งานซึ่งจะต้องมีการกำกับดูแล ให้ชัดเจนและมีวัตถุประสงค์ในการกำกับดูแลควบคุมไว้ด้วย การจะควบคุมได้นั้นก็จะต้องมีข้อมูลสารสนเทศที่จำเป็นจะต้องใช้ • ซึ่งจะทำให้การควบคุมการใช้งาน เทคโนโลยีสารสนเทศ ในองค์กรเป็นไปอย่างถูกต้องและมีประสิทธิผล และสุดท้ายส่งผลให้ตรงกับความต้องการทางธุรกิจและบรรลุเป้าหมายทางธุรกิจที่ได้วางเอาไว้ได้

การนำ COBIT Framework มาใช้ในการควบคุมภายในสำหรับงาน เทคโนโลยีสารสนเทศ