INFOCHIEF ACADEMY · COBIT 5 KNOWLEDGE SERIES

Kết hợp COBIT, ITIL và ISO/IEC 27001 trong hệ thống quản trị và quản lý IT.

Tích hợp ba nguồn cần thể hiện ở quyết định, giao nhận và bằng chứng thực tế. Dùng chung phần phù hợp, giữ yêu cầu riêng và thử trên một dịch vụ giúp giảm trùng lặp mà vẫn bảo đảm hiệu lực quản lý.

Biên soạn: Infochief Academy · Chuyên đề: Quản trị IT theo COBIT 5

← Trở về thư viện bài viết

Minh họa biên tập: nhóm quản trị, dịch vụ và an toàn thông tin thiết kế các điểm phối hợp.

Một thay đổi hệ thống đi qua ba luồng: hồ sơ dự án, quy trình dịch vụ và hồ sơ an toàn thông tin. Mỗi nhóm yêu cầu một bộ dữ liệu khác nhau, nhưng không ai chắc thông tin đã được giao nhận đầy đủ. Tổ chức có nhiều khung quản lý mà quyết định vẫn thiếu căn cứ thống nhất.

Kết hợp COBIT, ITIL và ISO/IEC 27001 cần giải quyết tình trạng ấy bằng mục tiêu, trách nhiệm và bằng chứng dùng được. Không nên chỉ đặt ba tên trong một sơ đồ hoặc gộp mọi tài liệu vào một thư mục. Sự tích hợp phải thể hiện ở cách công việc được thực hiện và kết quả được xác nhận.

Hiểu vai trò mà không chia thành ba thế giới

COBIT cung cấp cách nhìn quản trị và quản lý thông tin, công nghệ ở cấp doanh nghiệp. Trong bài này, nền tảng COBIT 5 được dùng để nối nhu cầu, mục tiêu, quyền và các điều kiện thực hiện. Khung giúp đặt công việc kỹ thuật trong lựa chọn về lợi ích, rủi ro và nguồn lực.

ITIL hỗ trợ quản lý sản phẩm và dịch vụ, kết nối nhu cầu với cách thiết kế, cung cấp, hỗ trợ và cải tiến. Phạm vi không chỉ là bàn hỗ trợ. Doanh nghiệp cần xác định phiên bản tài liệu ITIL đang sử dụng trước khi ánh xạ chi tiết, vì thuật ngữ và cấu trúc giữa các phiên bản không hoàn toàn giống nhau.

ISO/IEC 27001 là tiêu chuẩn yêu cầu cho hệ thống quản lý an toàn thông tin, thường gọi ISMS. Hệ thống hướng tới bảo vệ tính bí mật, toàn vẹn và sẵn sàng bằng cách quản lý rủi ro trong bối cảnh tổ chức. Không nên hiểu tiêu chuẩn chỉ là danh sách công cụ bảo mật hoặc một bộ quy trình riêng của đội kỹ thuật.

Ba cách nhìn có thể bổ trợ, nhưng không có ranh giới cứng rằng COBIT chỉ ở lãnh đạo, ITIL chỉ ở vận hành và ISO chỉ ở bảo mật. Chúng có những phần giao nhau về quản lý, trách nhiệm và cải tiến. Tích hợp cần tận dụng phần chung đồng thời giữ mục đích và yêu cầu riêng của từng nguồn.

Nền tảng trong chương trình COBIT 5 Foundation là hướng tham khảo để xây cách nhìn bao quát. Doanh nghiệp vẫn cần đọc đúng tài liệu của các khung và tiêu chuẩn được chọn, thay vì dựa vào một bảng tóm tắt để kết luận mọi yêu cầu đã được đáp ứng.

Chọn một dịch vụ làm điểm nối

Điểm bắt đầu phù hợp là một dịch vụ có ý nghĩa kinh doanh và phạm vi đủ rõ. Xác định người sử dụng, công việc được hỗ trợ, chủ dịch vụ, thông tin xử lý và các bên tham gia. Từ đó xem quyết định và luồng công việc hiện tại đang đứt ở đâu.

Tình huống giả định: doanh nghiệp triển khai cổng tiếp nhận hồ sơ khách hàng. Lãnh đạo cần bảo đảm đầu tư hỗ trợ mục tiêu phục vụ; nhóm dịch vụ cần tổ chức tiếp nhận và xử lý; người quản lý an toàn thông tin cần kiểm soát rủi ro đối với dữ liệu. Cả ba cùng nhìn một dịch vụ, không phải ba dự án độc lập.

Khung quản trị giúp xác lập kết quả và mức đánh đổi; cách quản lý dịch vụ giúp thiết kế giao nhận, hỗ trợ và xác nhận sử dụng; ISMS giúp tổ chức đánh giá rủi ro và các biện pháp bảo vệ. Kết quả tích hợp phải là cách làm mà người thực hiện có thể sử dụng, không chỉ bảng ánh xạ giữa các thuật ngữ.

Có thể đi theo luồng từ yêu cầu, thiết kế, kiểm thử, triển khai tới vận hành và cải tiến. Ở từng điểm, ghi người cần quyết định, thông tin họ cần và bằng chứng sau thực hiện. Cách đi này làm lộ sự trùng lặp và khoảng trống trước khi chọn tài liệu cần gộp.

Dùng chung trách nhiệm và bằng chứng đúng phạm vi

Một hoạt động có thể đáp ứng nhiều mục đích. Đánh giá tác động thay đổi hỗ trợ quyết định triển khai, bảo vệ cam kết dịch vụ và xử lý rủi ro thông tin. Có thể dùng chung hồ sơ nếu nó giữ được nội dung, người xác nhận và bằng chứng cần cho từng mục đích.

Dùng chung không có nghĩa xóa mọi khác biệt. Yêu cầu chứng minh tuân thủ một tiêu chuẩn có thể cần phạm vi và tiêu chí riêng. Một báo cáo vận hành được dùng trong đánh giá chỉ khi nguồn, thời kỳ và chất lượng phù hợp; không tự trở thành bằng chứng đầy đủ vì cùng liên quan một hệ thống.

Điểm nối đề xuất	Nội dung cần thống nhất	Nội dung cần giữ riêng
Mục tiêu và phạm vi	Dịch vụ, người sở hữu và kết quả	Phạm vi áp dụng của từng hệ thống quản lý
Rủi ro và thay đổi	Tác động, quyết định và điều kiện	Tiêu chí đánh giá và nghĩa vụ liên quan
Dữ liệu và bằng chứng	Nguồn, phiên bản và trách nhiệm	Kết luận mà bằng chứng có thể hỗ trợ
Theo dõi và cải tiến	Chủ hành động và kiểm tra hiệu lực	Yêu cầu đánh giá riêng khi áp dụng

Bảng là công cụ tích hợp đề xuất, không phải ánh xạ chính thức hoặc xác nhận đáp ứng ISO/IEC 27001. Nhóm nên thử trên hồ sơ thật, hỏi liệu người nhận có dùng được thông tin và còn thiếu tiêu chí nào. Một dòng “đã liên kết” trong bảng không thay thế kết quả kiểm tra.

Năng lực tổ chức cung cấp và cải tiến dịch vụ có thể được phát triển qua chương trình Quản lý Dịch vụ IT – ITSM. Khi áp dụng, chủ dịch vụ cần phối hợp với nghiệp vụ và an toàn thông tin để giữ trách nhiệm rõ trên toàn luồng.

Đặt kiểm soát an toàn thông tin vào công việc

Với ISMS, cần xác định rủi ro và lựa chọn biện pháp phù hợp thay vì áp dụng kiểm soát chỉ vì có trong một danh sách tham khảo. Phương án xử lý, người chấp nhận và bằng chứng phải phản ánh phạm vi tổ chức. Những kiểm soát được chọn cần có cách thực hiện và theo dõi, không chỉ xuất hiện trong tài liệu.

Trong cổng hồ sơ giả định, quyền truy cập phải phù hợp vai trò, dữ liệu chuyển giao cần được bảo vệ và việc hỗ trợ phải giữ giới hạn thông tin. Các nội dung này tác động tới thiết kế dịch vụ và hướng dẫn người dùng. Nếu bảo mật chỉ được xem ở cuối dự án, nhóm có thể phải sửa nhiều phần hoặc chấp nhận thiếu hụt sát ngày triển khai.

Cần nối sự cố dịch vụ với sự kiện an toàn thông tin bằng cơ chế phối hợp. Một dấu hiệu kỹ thuật có thể cần vừa khôi phục hoạt động vừa giữ bằng chứng và xử lý rủi ro thông tin. Các nhóm phải biết đầu mối, quyền và điều kiện chuyển cấp, tránh tự xử lý trong luồng riêng rồi báo quá muộn.

Chương trình Quản lý Bảo mật Thông tin là hướng tham khảo để phát triển năng lực tổ chức kiểm soát và trách nhiệm. Trong tích hợp, cần giữ chuyên môn an toàn thông tin nhưng đặt việc thực hiện trong các luồng công việc mà tổ chức thực sự sử dụng.

Một luồng triển khai được tổ chức lại

Trong tình huống giả định, nhóm dịch vụ ban đầu xác nhận sẵn sàng vì chức năng chạy, còn nhóm an toàn thông tin chưa hoàn tất kiểm tra quyền. Người bảo trợ hiểu chữ “sẵn sàng” bao gồm mọi điều kiện. Sự khác nhau về phạm vi xác nhận tạo rủi ro ngay trước quyết định triển khai.

Nhóm thống nhất hồ sơ sẵn sàng với các phần rõ: nghiệp vụ xác nhận khả năng hoàn tất công việc; vận hành xác nhận hỗ trợ và phục hồi; an toàn thông tin xác nhận điều kiện thuộc phạm vi; người có quyền tổng hợp lựa chọn. Mỗi phần giữ bằng chứng và những thiếu hụt còn lại, thay vì dùng một chữ ký chung không rõ ý nghĩa.

Nếu quyền chưa phù hợp, tổ chức có thể hoãn, thu hẹp phạm vi hoặc xử lý thiếu hụt trước triển khai. Quyết định cần người đúng thẩm quyền, lý do và điều kiện theo dõi. Không nên dùng việc dự án đã được duyệt như thể mọi rủi ro phát sinh sau đó đều đã được chấp nhận.

Sau triển khai, thông tin từ hỗ trợ và giám sát được dùng để kiểm tra giả định. Nếu người dùng cần quyền khác với thiết kế, chủ nghiệp vụ và an toàn thông tin cùng xem nhu cầu và rủi ro. Tích hợp có hiệu lực khi các nhóm cùng xử lý một vấn đề theo vai trò, thay vì mỗi nơi chỉ cập nhật trạng thái hồ sơ của mình.

Kiểm tra kết quả tích hợp bằng công việc thực

Doanh nghiệp nên chọn phạm vi thử trước khi mở rộng. Với một dịch vụ, ghi mục tiêu, các luồng chung, người sở hữu và dữ liệu cần giữ. Theo dõi xem thời gian giao nhận có rõ hơn, quyết định có đủ căn cứ và việc xử lý ngoại lệ có tới đúng người hay không.

Năng lực điều phối nhiều trách nhiệm có thể được củng cố qua chương trình Trưởng Phòng IT – IT Manager. Trong doanh nghiệp, người điều phối cần quyền yêu cầu các chủ thể xác nhận phần việc, nhưng không thay họ đưa ra kết luận chuyên môn ngoài phạm vi của mình.

Cũng cần rà chi phí duy trì. Một cơ chế tích hợp quá nhiều trường thông tin có thể làm người thực hiện quay về cách làm riêng. Chỉ giữ dữ liệu phục vụ quyết định hoặc bằng chứng cần thiết, đồng thời bảo đảm nguồn dùng chung có người cập nhật và kiểm tra. Đơn giản hóa phải giữ hiệu lực, không chỉ giảm số biểu mẫu.

Kết hợp ba nguồn có ý nghĩa khi doanh nghiệp ra quyết định nhất quán hơn, cung cấp dịch vụ có kiểm soát và bảo vệ thông tin trong hoạt động thực tế. Khi các đầu ra được sử dụng, trách nhiệm được thực hiện và kết luận giữ đúng phạm vi, sự tích hợp đã đi xa hơn một sơ đồ chứa ba tên gọi.