INFOCHIEF ACADEMY · COBIT 5 KNOWLEDGE SERIES
Sử dụng DSS để quản lý vận hành, dịch vụ, sự cố và an toàn thông tin.
DSS nối vận hành và hỗ trợ với tính liên tục, an toàn thông tin và kiểm soát nghiệp vụ. Nhìn dịch vụ từ công việc người dùng giúp doanh nghiệp khôi phục có kiểm chứng và duy trì kết quả hằng ngày.
Biên soạn: Infochief Academy · Chuyên đề: Quản trị IT theo COBIT 5
Một dịch vụ có thể được báo cáo hoạt động bình thường trong khi người dùng vẫn không hoàn thành công việc. Máy chủ chạy, kết nối thông, nhưng giao dịch bị thiếu, yêu cầu bị chuyển vòng quanh hoặc quyền truy cập chưa đúng. Nhìn từng thành phần kỹ thuật sẽ khó thấy toàn bộ vấn đề.
DSS trong COBIT 5 giúp đặt vận hành, hỗ trợ, xử lý sự cố, khả năng liên tục, an toàn thông tin và kiểm soát nghiệp vụ vào cùng bối cảnh dịch vụ. Mục tiêu là giữ hoạt động doanh nghiệp có thể thực hiện với mức kiểm soát phù hợp, thay vì chỉ duy trì trạng thái tốt của hạ tầng.
Bắt đầu từ công việc dịch vụ phải hỗ trợ
DSS là Deliver, Service and Support: cung cấp, phục vụ và hỗ trợ. Trong COBIT 5, miền này có sáu quy trình quản lý. Phạm vi vượt khỏi các thao tác của đội vận hành vì có cả yêu cầu người dùng, xử lý vấn đề, tính liên tục và kiểm soát trong quy trình kinh doanh.
Điểm bắt đầu nên là dịch vụ và nhóm sử dụng. Cần biết dịch vụ hỗ trợ công việc nào, thời điểm nào quan trọng, các thành phần phụ thuộc và người chịu trách nhiệm kết quả. Thông tin này giúp xác định tác động khi một thành phần lỗi, thay vì mặc định máy chủ quan trọng nhất luôn tạo ưu tiên cao nhất.
Ví dụ giả định: hệ thống đặt hàng vẫn truy cập được nhưng luồng chuyển thông tin sang kho bị dừng. Nếu chỉ theo dõi khả năng truy cập, dịch vụ có vẻ tốt. Từ góc nhìn công việc, đơn hàng chưa thể được thực hiện đầy đủ. Giám sát cần phản ánh cả luồng và dữ liệu tại điểm giao nhận.
Người quản lý có thể tham khảo chương trình Quản lý Dịch vụ IT – ITSM để phát triển cách tổ chức phục vụ theo nhu cầu và kết quả. Trong áp dụng DSS, việc thống nhất dịch vụ với nghiệp vụ giúp các quy trình kỹ thuật có chung căn cứ để phối hợp.
Vận hành cần kiểm soát các việc thường ngày
DSS01 quản lý hoạt động vận hành. Những việc như giám sát, thực hiện tác vụ định kỳ, theo dõi nhà cung cấp và kiểm tra kết quả cần được tổ chức theo điều kiện của dịch vụ. Một lịch tác vụ đầy đủ chưa chứng minh vận hành tốt nếu nhóm không biết sản phẩm của tác vụ có được tạo đúng hay không.
Với luồng đơn hàng, người vận hành cần nhìn dấu hiệu truyền dữ liệu, độ đầy đủ của kết quả và các trường hợp cần xử lý. Cảnh báo nên chỉ rõ tác động dự kiến và đầu mối hành động. Nếu mọi cảnh báo đều được gửi cùng mức, thông tin quan trọng sẽ bị chìm trong khối lượng tín hiệu ít giá trị.
Quy trình vận hành cần có điều kiện đầu vào, quyền thực hiện, cách xác nhận và đường xử lý ngoại lệ. Không nên để hướng dẫn chỉ mô tả thao tác rồi kết thúc khi hệ thống báo thành công. Một tác vụ sao lưu hay đồng bộ có thể hoàn thành về kỹ thuật nhưng vẫn chưa đáp ứng nhu cầu khôi phục hoặc đối soát.
Năng lực duy trì hạ tầng và thực hiện kiểm tra có thể được củng cố qua chương trình Quản trị Vận hành IT. Khi đưa vào doanh nghiệp, hướng dẫn phải phản ánh môi trường thực tế và được kiểm tra bởi người có quyền, thay vì chỉ dựa vào tài liệu chung của công cụ.
Khôi phục sự cố rồi tiếp tục xử lý nguyên nhân
DSS02 quản lý yêu cầu dịch vụ và sự cố; DSS03 quản lý vấn đề. Sự cố cần được xử lý để khôi phục khả năng sử dụng, còn vấn đề cần được xem xét để hiểu và kiểm soát nguyên nhân. Hai mục tiêu liên quan nhưng không nên trộn, vì có lúc phục hồi cần đi trước việc hoàn tất điều tra.
Với sự cố luồng đơn hàng, nhóm phải xác định phạm vi ảnh hưởng, ưu tiên theo tác động và tổ chức đầu mối phối hợp. Khôi phục có thể cần xử lý kết nối, nhưng cũng cần kiểm tra đơn đã được chuyển đầy đủ. Đóng ticket khi màn hình không còn lỗi có thể bỏ sót phần công việc nghiệp vụ đang chờ.
Nếu lỗi tái diễn, thông tin sự cố cần được nối sang xử lý vấn đề. Diễn biến, thay đổi gần thời điểm lỗi, dữ liệu giám sát và phương án tạm đều là đầu vào. Một nhận định nguyên nhân chưa có kiểm chứng nên được ghi là giả thuyết, tránh chọn biện pháp lâu dài chỉ vì lời giải thích nghe hợp lý.
Yêu cầu dịch vụ cần luồng cung cấp riêng phù hợp. Cấp quyền, cung cấp thiết bị hoặc hỗ trợ một nhu cầu đã xác định không phải lúc nào cũng là sự cố. Phân loại đúng giúp giữ phê duyệt cần thiết và cách đo phù hợp, thay vì dùng việc tạo ticket chung để che khác biệt về mục tiêu xử lý.
Liên tục, an toàn và kiểm soát nghiệp vụ cần nối nhau
DSS04 quản lý tính liên tục. Doanh nghiệp cần xác định hoạt động phải duy trì, mức gián đoạn có thể chấp nhận và điều kiện phục hồi. Sao lưu là một phần, nhưng kế hoạch còn cần nhân sự, liên lạc, hạ tầng, đối tác và việc kiểm tra khả năng thực hiện trong tình huống phù hợp.
DSS05 quản lý các dịch vụ an toàn thông tin, bao gồm việc thực hiện những kiểm soát vận hành để bảo vệ thông tin và môi trường xử lý. Cần phân biệt nội dung này với APO13 về quản lý an toàn thông tin ở tầng tổ chức. Chính sách và định hướng cần được chuyển thành kiểm soát có người thực hiện, giám sát và xử lý ngoại lệ.
DSS06 quản lý các kiểm soát quy trình kinh doanh. Điều này nhắc doanh nghiệp rằng dữ liệu phải được xử lý hợp lệ, đầy đủ, chính xác và theo quyền phù hợp, không chỉ được truyền qua hạ tầng hoạt động. Chủ nghiệp vụ và chủ dữ liệu cần tham gia, vì IT không thể tự xác nhận mọi ý nghĩa của giao dịch.
| Nội dung DSS | Câu hỏi với luồng đặt hàng | Bằng chứng cần giữ |
|---|---|---|
| DSS01: vận hành | Tác vụ và luồng có thực hiện đúng? | Kết quả, cảnh báo và xử lý ngoại lệ |
| DSS02: yêu cầu, sự cố | Người dùng đã được phục vụ hoặc khôi phục? | Tác động, diễn biến và xác nhận kết quả |
| DSS03: vấn đề | Lỗi lặp đang được giải thích và kiểm soát? | Giả thuyết, kiểm chứng và hành động |
| DSS04: liên tục | Có thể phục hồi công việc quan trọng? | Kế hoạch và kết quả diễn tập phù hợp |
| DSS05: an toàn | Kiểm soát bảo vệ có hoạt động? | Quyền, giám sát và việc xử lý sai lệch |
| DSS06: kiểm soát nghiệp vụ | Đơn hàng được xử lý đúng và đầy đủ? | Đối soát, phê duyệt và ngoại lệ giao dịch |
Bảng là công cụ rà soát đề xuất theo tình huống, không thay thế mô tả chi tiết các quy trình COBIT 5. Nhóm có thể dùng để xác định nội dung nào đang thiếu người hoặc thiếu bằng chứng. Cùng một dữ liệu có thể phục vụ nhiều nội dung, nhưng cần giữ rõ mục đích sử dụng.
Chương trình Quản lý Bảo mật Thông tin là hướng tham khảo để phát triển năng lực tổ chức kiểm soát và trách nhiệm bảo vệ. Trong vận hành, quyền truy cập và ngoại lệ phải được xem trong nhu cầu công việc, không chỉ theo khả năng kỹ thuật có thể cấp.
Một sự cố được khôi phục nhưng chưa hoàn tất
Tình huống giả định: luồng chuyển đơn hàng sang kho gián đoạn sau một thay đổi cấu hình. Nhóm kỹ thuật phục hồi kết nối, còn bộ phận hỗ trợ chuẩn bị thông báo hoàn tất. Tuy nhiên, kho cho biết chưa nhận đủ các đơn phát sinh trong khoảng bị ảnh hưởng. Dịch vụ đã chạy lại, nhưng công việc tồn chưa được giải quyết.
Cách tiếp cận DSS yêu cầu nhìn cả phần phục hồi lẫn giao dịch. Nhóm vận hành xác nhận trạng thái luồng; nhóm hỗ trợ giữ đầu mối thông tin; chủ nghiệp vụ đối soát đơn thiếu và quyết định cách xử lý theo quyền. Việc gửi lại dữ liệu cần được kiểm soát để tránh tạo trùng, không thực hiện vội chỉ vì muốn giảm thời gian đóng sự cố.
Sau khi đối soát, người sử dụng xác nhận có thể tiếp tục công việc. Dữ liệu sự cố được giữ để xem nguyên nhân và điều kiện khiến thay đổi gây tác động. Nếu phương án tạm đang được dùng, phải có người theo dõi và thời điểm xem lại. Khôi phục không xóa trách nhiệm xử lý nguy cơ tái diễn.
Tình huống cũng cần thông tin ngược về kế hoạch và thay đổi. Nếu cấu hình không được kiểm tra đúng phụ thuộc, công việc cải thiện có thể thuộc cơ chế quản lý thay đổi. Nếu thiếu khả năng giám sát, kế hoạch năng lực cần được bổ sung. DSS vì thế cung cấp đầu vào cho các miền khác thay vì phải tự giải quyết mọi vấn đề trong vận hành.
Đo dịch vụ để biết cần điều chỉnh ở đâu
Các chỉ số cần phục vụ lựa chọn quản lý. Thời gian phục hồi, lượng yêu cầu tồn, diễn biến lỗi lặp và khả năng hoàn tất giao dịch có thể cho thấy những phần khác nhau của dịch vụ. Một chỉ số tổng hợp tốt có thể che khuất một nhóm khách hàng hoặc thời điểm kinh doanh đang chịu ảnh hưởng lớn.
Định nghĩa đo phải rõ phạm vi và điểm thời gian. Tính từ lúc IT nhận thông báo sẽ khác tính từ lúc công việc bị gián đoạn. Cần thống nhất mục đích trước khi chọn cách tính, rồi giữ cách đo nhất quán. Không nên điều chỉnh định nghĩa chỉ để báo cáo thuận lợi hơn.
Đo kiểm soát cũng cần nhìn hiệu lực, không chỉ số việc đã làm. Tỷ lệ rà quyền hoàn tất chưa nói người không còn cần quyền đã được thu hồi hay chưa. Số buổi diễn tập không cho biết tổ chức đã khắc phục các điểm không thực hiện được. Bằng chứng phải giúp xác nhận kiểm soát đang bảo vệ điều gì.
Khi dữ liệu cho thấy sai lệch, người quản lý chọn hành động trong quyền được giao. Vấn đề làm thay đổi cam kết hoặc vượt mức rủi ro cần được trình theo cơ chế phù hợp. Đừng dùng một dashboard nhiều chỉ số để thay cho việc xác định người có quyền và thời hạn cần quyết định.
Rà một dịch vụ trước khi mở rộng quy trình
Doanh nghiệp có thể bắt đầu bằng một dịch vụ quan trọng và đi theo sáu câu hỏi trong bảng. Xác định người sở hữu, những bằng chứng đang có và khoảng trống cần xử lý. Chọn phần có tác động rõ để cải thiện trước, thay vì đồng loạt tạo thêm biểu mẫu cho mọi hoạt động.
Chương trình COBIT 5 Foundation là hướng tham khảo để đặt DSS trong mô hình quản trị và quản lý chung. Khi vận dụng, nên nối kết quả vận hành với APO, BAI, MEA và cơ chế giám sát phù hợp, để thông tin dịch vụ tiếp tục tác động đến kế hoạch và lựa chọn đầu tư.
Một dịch vụ đáng tin không chỉ có hệ thống chạy. Nó có người dùng hoàn thành công việc, dữ liệu được xử lý đúng, sự cố được phục hồi có kiểm chứng và ngoại lệ có người theo dõi. Khi những điều đó trở thành căn cứ quản lý, DSS giúp IT bảo vệ kết quả doanh nghiệp trong từng ngày vận hành.