Son Haberler
Buradasınız: Anasayfa / COBIT ITIL ve ISO27001 / CobiT nedir? | Tuzla Bilgisayar
CobiT nedir? | Tuzla Bilgisayar

CobiT nedir? | Tuzla Bilgisayar

Türkiye’de son yıllarda özellikle finans sektöründe bir CobiT rüzgârı almış başını gidiyor. Geçen birkaç yıl içerisinde bu rüzgâr finans sektörüyle de sınırlı kalmayıp üretimden eğlenceye, büyük holding şirketlerinden kobilere pek çok farklı alanda görülmeye başladı. Peki, nedir bu CobiT? Yazımda sizlere CobiT’i tanıtmaya ve nasıl kullanabileceğinizi göstermeye çalışacağım.

 

CobiT’in tanımı

Tanım olarak CobiT, “Control Objectives for Information and Related Technology” nin kısaltılmış halidir. Türkçe ifade etmek gerekirse “Bilgi ve ilgili teknoloji için kontrol hedefleri”.  Bu tanım, CobiT’in amacını ifade etmesi açısından önemlidir. CobiT, Bilgi Teknolojileri yönetiminde ulaşılması gereken hedefleri ortaya koymaktadır.

 

 image001image002 

 

Benzer standartlardan farkı nedir?

CobiT’i, ITIL, CMMI ve ISO standartlarından ayıran en büyük özelliği tüm BT fonksiyonlarını kapsayan bir çerçeve sunmasıdır.  Farklı şekilde ifade etmek gerekirse CobiT içerisinde yer alan 34 süreci bir arada değerlendirdiğinizde BT yönetiminin her alanını kapsama almış olursunuz. Bu nedenle diğer standartlardan farklı şekilde, CobiT’in tek veya grup halinde BT süreçlerine değil BT’nin yönetilmesine odaklandığını söylemek doğru olur.

CobiT’in diğer bir özelliği de, içerisindeki süreçlerin nasıl uygulanması gerektiğine dair detaylı çözüm yöntemleri içermemesidir.  Esas olarak kontrol hedeflerinden oluşmaktadır ve bu hedefler o süreç içerisinde sağlanması gereken en iyi uygulamaları açıklamaktadır. Fakat birkaç istisna dışında bu süreçlerin hiçbiri için kontrol hedeflerine ulaşılmasını sağlayacak bir yöntem, şablon veya tasarım önermemektedir.  Örnek vermek gerekirse, DS5 Sistem Güvenliğinin Sağlanması sürecinde sistemlere ve bilgiye erişen kişilerin kimliklerinden emin olunması gerektiği belirtilir. Ancak bunun yapılması için kullanılabilecek yöntemlerden (kullanıcı adı/şifre, biyometrik kimlik doğrulama, token, fiziksel sınırlama vb) bahsedilmez. Uygulama sırasında bu tür kontrol örneklerine ihtiyaç duyulabileceği göz önünde bulundurularak ISACA tarafından “CobiT Control Practices” adında CobiT’e ek bir kılavuz dokümanı yayınlanmıştır.

 

Öne çıkan özellikleri

CobiT aşağıdaki genel özellikleri gösterir:

·         Bilgi Teknolojileri’nin şirketin iş (ticari) amaçlarına hizmet etmesi gerektiğini benimser,

·         BT stratejisi ile iş stratejisinin uyumunu sağlamaya çalışır,

·         Bu özellikleriyle modern BT Yönetiminin kabul görmüş kurallarını içerir,

·         İçerisindeki 34 süreç ile neredeyse tüm BT fonksiyonlarını kapsar,

·         Diğer BT yönetimi standartları ile (ISO, ITIL, CMMI, MOF, vb) uyumludur,

·         Her sektörden ve her boyuttaki şirket tarafından kullanılabilir,

·         Denetim, süreç iyileştirme, süreç yönetimi, ölçüm, karşılaştırma vb farklı kullanım amaçları vardır.

 

CobiT süreçleri

CobiT içerisinde 4 ana başlık altında toplam 34 süreç bulunmaktadır. Yukarıda da belirttiğimiz gibi bu 34 süreç, pek çok şirket için BT fonksiyonlarının hemen hepsini kapsar. CobiT içerisinde aşağıdaki süreçler bulunmaktadır:

 

Planlama ve Organizasyon

PO 1 Stratejik BT planının tanımlanması

PO 2 Bilgi mimarisinin tanımlanması

PO 3 Teknolojik yönün belirlenmesi

PO 4 BT süreçlerinin organizasyonunun ve ilişkilerinin tanımlanması

PO 5 BT yatırımlarının yönetimi

PO 6 Yönetimin amaçlarının iletilmesi

PO 7 BT İnsan kaynakları yönetimi

PO 8 BT Kalite yönetimi

PO 9 BT riskinin değerlendirilmesi ve yönetimi

PO 10 Proje yönetimi

 

Edinim ve Kurulum

AI 1 Çözümlerin belirlenmesi

AI 2 Uygulama yazılımının geliştirilmesi ve bakımı

AI 3 Teknoloji alt yapısının oluşturulması ve bakımı

AI 4 Operasyon ve kullanımın sağlanması

AI 5 BT kaynaklarının satın alınması

AI 6 Değişiklik yönetimi

AI 7 Çözümlerin ve değişikliklerin uygulanması ve akredite edilmesi

 

Hizmet ve Destek

DS 1 Hizmet seviyelerinin tanımlanması ve yönetimi

DS 2 Üçüncü kişilerden alınan hizmetlerin yönetimi

DS 3 Performans ve kapasite yönetimi

DS 4 Hizmet sürekliliğinin sağlanması

DS 5 Sistem güvenliğinin sağlanması

DS 6 Maliyetlerin belirlenmesi ve dağıtılması

DS 7 Kullanıcıların eğitimi

DS 8 Hizmet sunumu yönetimi ve olay yönetimi

DS 9 Konfigürasyon yönetimi

DS 10 Problem yönetimi

DS 11 Veri yönetimi

DS 12 Fiziksel çevre yönetimi

DS 13 Operasyon yönetimi

 

İzleme ve Değerlendirme

ME 1 Bilgi sistemleri performansının izlenmesi ve değerlendirilmesi

ME 2 İç kontrolün izlenmesi ve değerlendirilmesi

ME 3 Mevzuata uyumun sağlanması

ME 4 Bilgi sistemlerine ilişkin kurumsal yönetişimin temini

 

İçeriği

CobiT içerisinde, yukarıdaki her bir süreç için aşağıdakiler bulunmaktadır:

1.       Sürecin tanımı

Süreç tanımı, her CobiT sürecinin ilk sayfasında bulunur ve sürecin genel hatlarını belirler. İçerisinde şu bilgiler bulunur:

·         İlgili süreç hedefleri

o   Etkinlik

o   Verimlilik

o   Gizlilik

o   Bütünlük

o   Erişilebilirlik

o   Uyum

o   Güvenilirlik

·         Sürecin amacı

·         Sürecin, iş süreçleri açısından önemi

·         Odaklanılan konular

·         İçerisindeki temel faaliyetler

·         Başarı göstergeleri

·         İlgili BT yönetişimi alanları

o   Stratejik uyum

o   Değer üretimi

o   Risk yönetimi

o   Performans ölçümü

o   Kaynak yönetimi

·         İlgili BT unsurları

o   Uygulama

o   Bilgi

o   Altyapı

o   İnsan

Süreç tanımı, CobiT’in en çok kullanılan ve en faydalı alanlarından birisidir. Kullanımına örnek olarak her iş yerinde bulunan bir süreci ele alalım: “Performans ve kapasite yönetimi”. Elbette sistemlerimizin performans ve kapasitesini yönetiyoruz, peki şu soruların yanıtlarını verebiliyor muyuz?

·         Kapasite ve performans yönetimi ne demektir?

·         Biz bu süreci daha iyi işletince şirketin ticari faaliyetleri bundan nasıl yarar sağlamaktadır?

·         Sürecin ana adımları nelerdir?

·         Süreçte nelere odaklanılmalıdır?

·         Performans ve kapasite yönetimini ne kadar iyi yaptığımızı nasıl ölçebiliriz?

 

2.       Detaylı kontrol hedefleri

Detaylı kontrol hedeflerinde sürecin işletilmesi ile ulaşılması gerekli hedefler yani iyi uygulamalar bulunmaktadır. Detaylı kontrol hedefleri, her süreç için farklı şekilde kategorilere göre ayrılmıştır. Bu bölüm ayrıca, CobiT esaslı denetimlerde uyulması gerekli bir kriter listesi olarak kullanılır. Benzer şekilde CobiT uyumluluğunun sağlanması amacıyla gerçekleştirilen süreç iyileştirme çalışmalarının da dayanak noktası detaylı kontrol hedefleridir.

Örnek olarak “DS3 Performans ve Kapasite Yönetimi” süreci üzerinden ilerlemek istersek, içerisinde şu kategoriler altında, ulaşılması gerekli hedefler bulunmaktadır:

·         DS3.1 Performans ve kapasite planlaması

·         DS3.2 Mevcut kapasite ve performans

·         DS3.3 Gelecekteki kapasite ve performans

·         DS3.4 BT kaynaklarının erişilebilirliği

·         DS3.5 İzleme ve raporlama

 

 

3.       Yönetim kılavuzları

Bu sayfada, sürecin yönetilmesi için gerekli bilgilere yer verilmektedir. İçerisinde şu konularda bilgiler bulunur:

·         Süreç girdileri ve çıktıları: Sürece girdi olabilecek bilgiler, dokümanlar veya diğer faaliyet sonuçları ile bu sürecin sonunda diğer süreçlere girdi olacak unsurlar.

·         Süreçteki roller ve sorumluluklar (RACI tablosu): Her bir süreçle ilgili öne çıkan faaliyetler ve bu faaliyetlerin gerçekleştirilmesi sırasında işletimden sorumlu, hesap vermekten sorumlu, danışılan ve bilgi verilen organizasyonel roller.

·         Süreç hedefleri ve ölçüm kriterleri: Sürecin hangi şartlar gerçekleştiğinde başarılı sayılacağı ve sürecin ne kadar iyi işletildiğinin nasıl ölçülebileceği.


 

4.       Olgunluk modeli (Toplam bir sayfa)

CobiT, ayrıca her bir sürecin ne kadar olgun şekilde yönetildiğinin belirlenebilmesi ve benzer şirketlerle karşılaştırılabilmesi için bir olgunluk modeli sunmaktadır. Olgunluk modeli 0 ile 5 arasında 6 lı bir skala içermektedir ve her bir seviyeye ulaşılması için sağlanması gerekli kriterler, her bir sürece özel olarak detaylı şekilde belirtilmiştir. Olgunluk modelinde şu seviyeler bulunmaktadır:

Olgunluk seviyesi

Açıklama

0. Tanımlanmamış

 

Süreç konusunda şirket bünyesinde herhangi bir bilinç bulunmamaktadır. Yönetim sürecin varlığından/gerekliliğinden haberdar değildir.

1. Düzensiz

Sürecin gerekliliği bilinmektedir ancak düzenli şekilde uygulanmamaktadır

2. Tekrarlanabilir

Süreç tekrarlanabilir şekilde uygulanmaktadır ancak sürecin kriterleri ve uygulama esasları tanımlanmamıştır

3. Tanımlı

Süreç tanımlanmıştır ve tanımlandığı şekilde işletilmektedir

4. Ölçülebilir

Sürecin ne kadar iyi işletildiği ölçülmektedir

5. Optimize edilmiş

Süreç, sürekli olarak iyileştirilmektedir

               

 

Bilgi Teknolojileri süreç eşleştirme tabloları

CobiT içerisinde ayrıca, iş hedeflerinin bilgi teknolojileri hedefleri ile bağlantılarının kurulabilmesi amacıyla kılavuz olabilecek üç farklı tablo sunulmaktadır.

i)                    İlk tabloda iş hedefleri, bilgi teknolojileri hedefleri ve CobiT bilgi kriterleri ile eşleştirilmiştir. Bu tablo kullanılarak, örnek iş hedefleri için, bu hedefleri destekleyen bilgi teknolojiler hedefleri ve ilgili CobiT bilgi kriterleri görülebilir.

ii)                   İkinci tablo, CobiT içerisindeki BT süreçleri ile genel BT hedefleri ve bilgi kriterlerinin eşleştirilmesini içerir.

iii)                 Üçüncü tabloda ise her bir BT süreci için desteklenen BT hedefleri tersten gösterilmiştir.

 

Kullanım alanları

CobiT pek çok farklı amaçlar için kullanılabilir. Günümüzde en yaygın görünen kullanım amaçları şunlardır:

 

Denetim: CobiT, içerisinde karşılaştırma yapılabilecek iyi uygulamaları barındırması nedeniyle bir denetim aracı olarak kullanılabilir. Ayrıca, BT süreçlerinin listelenmesi sayesinde denetim kapsamının belirlenmesinde kolaylık sağlamaktadır. Bu özellikleriyle, birden fazla denetçi tarafından farklı şirketlerde yapılan denetimlerin kapsamlarının ve uyum kriterlerinin aynı şekilde değerlendirilebilmesini sağlar.

 

BT Süreç yönetimi: CobiT’in hemen hemen tüm BT fonksiyonlarını içeren bir çerçeve sunduğundan bahsetmiştik. Bu çerçeve sayesinde BT yöneticileri aşağıdaki soruların yanıtlarını CobiT’te bulabilir:

–          Hangi süreçleri oluşturmalıyım?

–          Bu süreçlerde hangi adımlara yer vermeliyim?

–          Rol ve sorumlulukları nasıl dağıtmalıyım?

–          Bu süreçleri ne kadar iyi uyguladığımı nasıl ölçebilirim?

 

İyi uygulamalar: CobiT, detaylı kontrol hedefleri sayesinde, her bir BT süreci için dünyada kabul görmüş en iyi uygulamaları da içermektedir. İyi uygulamalar, süreçte bulunması gerekli faaliyetleri, sorumlulukları, oluşturulması gereken rolleri, süreçlerin işlem sıralarını, süreçlerde kullanılması gereken girdileri ve oluşturulması gereken çıktıları ve buna benzer bilgileri içerir. Ek olarak, “CobiT control practices” dokümanında daha detaylı örnek alınabilecek kontrol tanımları bulunmaktadır.

 

Karşılaştırma aracı: İçerisindeki olgunluk modeli ile her bir BT sürecinin ne kadar olgun işletildiğinin belirlenmesi ve benzer şirketler ile karşılaştırılmasına da imkân vermektedir.

 

Türkiye’de CobiT

Türkiye’de CobiT’in kamuoyuna ilk yansıması BDDK’nın, bazı bankaları CobiT esaslı bir özel denetime tabi tutmasıyla gerçekleşti. Benzer bir çalışmanın 2006 yılında tüm bankalara genişletilerek zorunlu tutulması ve her iki yılda bir kez tekrar edilmesi sonucunda tüm bankalar CobiT ile tanışmış oldu. Başlangıçta yaşanan zorlukların ardından, bugün bakıldığında bankalar BT süreçlerini bir standarda uygun olarak yürütmenin meyvelerini daha kontrollü, verimli ve etkin bir BT şeklinde toplamaktalar.

Aslına bakarsanız, BDDK’nın denetim şartının çok öncesinde BT süreçlerini CobiT’e uygun şekilde yöneten bankalar bulunmaktaydı.

Fakat bankacılık CobiT’in görülebildiği tek yer değil elbette. Bankalara ek olarak, finans ve üretim sektörlerinde “olgun” sayılabilecek pek çok şirkette CobiT’i süreç yönetimi için kullanmakta. Bu konuda hem şirketlerdeki bilinç hem de bankacılık dışındaki sektörlere yönelik düzenlemeler de hızla gelişiyor.

 

CobiT sertifikasyonu

Gün itibariyle şirketler için bir CobiT’e uyum sertifikası yoktur. Ancak ISACA’nın CobiT 5.0 versiyonu ile birlikte bir uyum sertifikası oluşturma ve düzenleme planı bulunduğu gelen duyumlar arasında.

 

CobiT kaynakları

CobiT, kâr amacı gütmeyen bir kuruluş olan ISACA (“Information Systems Audit and Control Association”) ve ISACA tarafından kurulmuş olan ITGI (“IT Governance Institute”) tarafından yayınlanmaktadır.

CobiT’in en önemli kaynağı, ISACA tarafından yayınlanan CobiT 4.1 kitapçığıdır. Bu kitapçığın pdf versiyonu isaca.org/cobit adresinden ücretsiz olarak indirilebilir.

Ayrıca ISACA tarafından yayınlanan aşağıdaki kaynaklar bulunmaktadır:

 

CobiT Online: Isaca.org üzerinden üye olunarak ulaşılabilen ve CobiT ile ilgili tüm bilgilere ulaşılabilecek bir web sitesi

 

CobiT Control practices: Süreçlerin oluşturulması sırasında, CobiT Kontrol hedeflerinin sağlanabilmesi için oluşturulabilecek örnek kontroller

 

CobiT Assurance Guide: CobiT denetimlerinde sorgulanabilecek alanlar ve soru örnekleri

 

CobiT Quickstart: CobiT’in bütününün yerine deha kısıtlı bir versiyonunun uygulanması gereken durumlarda (kaynak sıkıntısı, süreç olgunluklarının çok düşük olması vb.) kullanılabilecek bir hızlı başlangıç versiyonu

 

CobiT eşleştirmeleri (mapping): CobiT’in farklı pek çok standart ile karşılaştırılması ve hangi alanların örtüştüğünün belirlenebilmesi için oluşturulmuş çeşitli dokümanlar

 

CobiT’in geleceği

CobiT’in şu andaki en son versiyonu CobiT 4.1’dir. Ancak, yaklaşık iki yıl önce başlayan çalışmalar sonucunda 5.0 versiyonunun yayınlanmasına çok yaklaşılmıştır. 2011 yılında yayınlanması beklenen yeni versiyon ile ISACA tarafından yayınlanan Risk IT ve Val IT’nin CobiT içerisinde birleştirilmesi, CobiT sertifikasyonunun mümkün hale getirilmesi gibi pek çok yenilik bekleniyor.

Türkiye’de ise her geçen gün farklı sektörlerdeki pek çok şirkette CobiT’in kullanıldığına şahit oluyoruz. Yasal düzenlemeler tarafında ise BDDK’nın yanı sıra  Hazine Müsteşarlığı ve SPK’nın da gelişmeleri izlediği ve BT’ye yönelik düzenlemelerinde CobiT’i göz önünde bulundurduğu bilinen konular.

Sonuç olarak, CobiT tüm dünyada olduğu gibi Türkiye’de de her geçen gün daha fazla şirket tarafından tanınıyor ve uygulanıyor. CobiT’in diğer standartlar ile uyumu, gözle görülebilen faydaları ve kendine özgü yaklaşımı ile bu gelişme hız kesmeyecek gibi.

sizlere tuzlabilgisayarci.net farkıyla sunulmuştur. Tuzla BilgisayarGökyüzü Bilgisayar

Hakkında ates_kqual202

Cevapla

Scroll To Top