? определение (формирование) процесса и его разработка в организации;
? обеспечение разработки ИТ-сервисов, при которой достигнутые Уровни Сервиса (в Плане Доступности, Надежности, Обслуживания и Способности к Восстановлению) будут соответствовать согласованным уровням;
? составление отчетов;
? оптимизация доступности ИТ-инфраструктуры с целью обеспечения рентабельного улучшения сервиса, предоставляемого бизнесу.
14.6. Проблемы и затраты
14.6.1. Проблемы
Большинство проблем данного процесса связано с организационными вопросами. Среди возможных проблем могут быть следующие:
? руководство распределяет ответственность за доступность сервисов по нескольким направлениям – между линейными руководителями, руководителями процессов. Каждый руководитель отвечает за свое направление, что приводит к отсутствию общей координации;
? ИТ-руководство не понимает той добавочной стоимости, которую дают Процессы Управления Инцидентами, Проблемами и Изменениями;
? существующий Уровень Доступности считается достаточным;
? отсутствует понимание необходимости назначения одного руководителя, несущего ответственность за процесс;
? у руководителя процесса нет достаточных полномочий.
Даже если имеется достаточная поддержка со стороны руководства, проблемы все равно могут возникать по следующим причинам:
? недооценка необходимых ресурсов;
? недостаток эффективных инструментальных средств измерения и составления отчетов;
? недостаточный Уровень Зрелости других процессов, таких как Управление Уровнем Сервиса, Управление Конфигурациями и Управление Проблемами.
Эти проблемы решаемы при должной поддержке со стороны ИТ-руководства, опытном руководителе процесса, несущего за него полную ответственность, при наличии необходимых инструментальных средств, быстром и эффективном разрешении имеющихся проблем.
При нерациональном использовании Процесса Управления Доступностью могут возникнуть следующие проблемы:
? трудности при определении соответствующих стандартов доступности;
? трудности в руководстве и координации внешних и внутренних поставщиков;
? трудности при определении и сравнении стоимости доступности и недоступности;
? если стандарты доступности не учитывались на этапе проектирования, то последующие модификации, выполняемые с целью достижения соответствия стандартам, могут оказаться очень дорогостоящими;
? несоответствие стандартам доступности может привести к невозможности достижения поставленных бизнес-целей;
? может понизиться Уровень Удовлетворенности Заказчика.
Другой потенциальной проблемой является нацеленность на сверхвысокую доступность сервиса. В этом случае резко возросшие затраты не будут окупаться полученными преимуществами. Все же всегда имеется вероятность возникновения простоя. Процесс Управления Доступностью играет важную роль в разрешении таких нежелательных ситуаций.
14.6.2. Затраты
Затраты на процесс состоят из:
? затрат на внедрение процесса;
? затрат на персонал;
? затрат на устройства;
? затрат на инструментальные средства измерения и составления отчетов.
Для улучшения показателей доступности необходимо уже на ранних этапах определить необходимый Уровень Инвестиции в этот процесс. Всегда должен выполняться анализ рентабельности, так как обычно улучшение доступности связано с ростом затрат. Найти оптимальное решение этой проблемы — важная задача Процесса Управления Доступностью. Как показывает опыт, оптимальное решение можно найти, используя разумные ресурсы без крупных дополнительных инвестиций.
При обсуждении стоимости и преимуществ внедрения процесса следует руководствоваться тем, какими могли бы быть затраты, если полностью игнорировать Процесс Управления Доступностью и оказаться в ситуации, когда не будут выполнены согласованные требования по сервиса.
Такая ситуация может иметь следующие последствия для:
? снижение производительности;
? уменьшение оборота бизнеса и прибыли;
? затраты на восстановление;
? возможные претензии третьих сторон и т. д.
Перечисленные ниже аспекты трудно представить в количественном выражении, тем не менее они очень важны:
? потеря престижа и заказчиков;
? потеря репутации и доверия;
? потеря мотивации персонала и удовлетворенности работой.
Процесс Управления Доступностью может помочь ИТ-организации избежать этих потерь и достичь поставленных целей путем предоставления заказчикам необходимых услуг по приемлемой и обоснованной цене.
Глава 15 Управление Информационной Безопасностью
15.1. Введение
Существование многих бизнес-процессов невозможно без информационного обеспечения. Фактически все больше и больше бизнес-процессов состоят исключительно из одной или нескольких информационных систем. Управление Информационной Безопасностью – важный вид деятельности, целью которого является контроль процессов обеспечения информацией и предотвращение ее несанкционированного использования.
В течение многих лет проблемы Управления Информационной Безопасностью в значительной степени игнорировались. Ситуация меняется. Безопасность сейчас считается одной из главных проблем менеджмента на предстоящие годы. Интерес к этому предмету повышается из-за растущего использования сети Интернет и особенно электронной коммерции. Все больше видов бизнеса открывают электронные шлюзы к своей деятельности. Это вызывает опасность постороннего вмешательства и поднимает некоторые важные для бизнеса вопросы. Какие риски мы хотим контролировать и какие меры мы должны предпринять сейчас и в течение следующего бюджетного цикла? Руководство высшего уровня должно принимать решения, а это возможно только при глубоком анализе рисков. Этот анализ должен предоставить входную информацию для Процесса Управления Информационной Безопасностью, необходимую для определения требований безопасности.
Требования бизнеса к информационной безопасности оказывают воздействие на поставщиков ИТ-услуг и должны быть заложены в Соглашениях об Уровне Сервиса. Задачей Процесса Управления Информационной Безопасностью является постоянное обеспечение безопасности услуг на согласованном с заказчиком уровне. Безопасность в настоящее время является важнейшим показателем качества менеджмента.
Процесс Управления Информационной Безопасностью способствует интеграции аспектов безопасности в ИТ-организацию с точки зрения поставщика услуг. Сборник практических рекомендаций по Управлению Информационной Безопасностью (BS 7799) дает руководство для разработки, введения и оценки мер безопасности.
15.1.1. Основные понятия
Процесс Управления Информационной Безопасностью входит в сферу компетенции общей информационной безопасности, задачей которой является обеспечение сохранности информации. Сохранность означает защищенность от известных рисков и, по возможности, уклонение от неизвестных рисков. Инструментом обеспечения этого является безопасность. Целью является защита ценной информации. Ценность информации влияет на необходимый Уровень Конфиденциальности, целостности и доступности.
? Конфиденциальность – защита информации от несанкционированного доступа и использования.
? Целостность – точность, полнота и своевременность информации.
? Доступность – информация должна быть доступна в любой момент предварительного согласованного временного интервала. Это зависит от непрерывности работы систем обработки информации.
Вторичные аспекты включают приватность (конфиденциальность и целостность частной информации), анонимность и проверяемость (возможность проверки правильного использования информации и эффективности мер безопасности).
15.2. Цели процесса
В последние десятилетия почти все виды бизнеса стали более зависимыми от информационных систем. Использование компьютерных сетей также возросло, они не ограничиваются рамками одной организации, они соединяют бизнес-партнеров и обеспечивают связь с внешним миром. Возрастающая сложность ИТ-инфраструктуры означает, что бизнес становится более уязвимым по отношению к техническим сбоям, человеческим ошибкам, злоумышленным действиям, хакерам и взломщикам, компьютерным вирусам и т. д. Эта растущая сложность требует унифицированного управленческого подхода. Процесс Управления Информационной Безопасностью имеет важные связи с другими процессами. Некоторые виды деятельности по обеспечению безопасности осуществляются другими процессами библиотеки ITIL, под контролем Процесса Управления Информационной Безопасностью.
Процесс Управления Информационной Безопасностью имеет две цели:
