一、什么是COBIT？

COBIT（Control Objectives for Information and related Technology）：即信息系统和技术控制目标。成立于1969年的美国信息系统审计与控制协会(ISACA)，于1996推出了用于“IT审计”的知识体系COBIT。“IT审计”已经成为众多国家的政府部门、企业对IT的计划与组织、采购与实施、服务提供与服务支持、监督与控制等进行全面考核与认可的业界标准。相应地，“注册信息系统审计师”（CISA）日益成为世界各国发展信息化过程中，争相发展的新兴职业和领域。作为IT治理的核心模型， COBIT包含34个信息技术过程控制，并归集为四个控制域：IT规划和组织（Planning and Organization）、系统获得和实施（Acquisition and Implementation）、交付与支持（Delivery and Support）以及信息系统运行性能监控（Monitoring）。 COBIT目前已成为国际上公认的IT管理与控制标准。

COBIT 5于2012年6月发行，它巩固并集合了COBIT 4.1， Val IT 2.0和RISK IT框架，同时从BMIS和ITAF中汲取了部分内容。它为企业IT治理和管理提供的新一代指引，是以来自商务、IT、风险、安全和鉴证团体的众多企业和用户对 COBIT 超过 15 年的实际使用和应用为依据而构建的，COBIT 5提供一种全面的框架，以支持企业实现其企业 IT 治理和管理的目标。简而言之，就是帮助企业通过维持实现利益、优化风险等级及资源利用之间的平衡，从而创造源自于 IT 的最佳价值。COBIT 5 能够为整个企业使 IT 在整体上得以治理和管理，并承担整个端到端业务和 IT 功能区域的责任，同时兼顾内外部利益相关者与IT 相关的利益。COBIT 5 通用和实用于各种规模的机构，无论是商务、非营利、或公共机构。

COBIT标准认证机构网站网址：http://www.isaca.org/

 

 二、COBIT的主要组件

• 框架(Framework)：按IT领域和流程组织IT治理目标和良好实践，并将其与业务需求联系起来。
• 流程描述(Process descriptions)：组织中每个人的参考流程模型和通用语言。 流程映射到计划，构建，运行和监视的职责区域。
• 控制目标(Control objectives)：提供一套完整的高级要求，供管理层考虑以有效控制每个IT流程。
• 管理准则(Management guidelines)：帮助分配职责，达成目标，衡量绩效并说明与其他流程的相互关系。
• 成熟度模型(Maturity models)：评估每个流程的成熟度和能力，并帮助弥补差距。

 

三、 COBIT 5的原则

COBIT 5基于对企业IT的有效管理和治理必不可少的五项原则：

将其翻译成中文：

• 原则1：满足利益相关者的需求
• 原则2：涵盖企业的端到端
• 原则3：应用单个集成框架
• 原则4：采用整体方法
• 原则5：将治理与管理分开

这五项原则使组织可以建立基于七个“推动者”（enablers）的IT治理和管理的整体框架：

1. 人员，政策和框架
2. 工艺流程
3. 组织架构
4. 文化，道德与行为
5. 信息
6. 服务，基础架构和应用
7. 人员，技能和能力

这些原则和促成因素共同使组织能够使其IT投资与其目标保持一致，以实现这些投资的价值。

 

四、企业使用COBIT的原因

　   COBIT型是企业战略目标和信息技术战略目标的桥梁，使得信息技术目标和企业战略目标之间实现互动。

　　该框架的意义在于：COBIT实现了企业目标与IT治理目标之间的桥梁作用。

　　首先，COBIT考虑了企业自身的战略规划，对业务环境和企业总的业务战略进行分析定位，并将战略规划所产生的目标、政策、行动计划作为信息技术的关键环境，并由此确定IT准则。

　　IT为企业战略提供了基于技术的解决方案，为满足业务战略需求提供了技术与工具。在IT准则的指导下，利用控制目标模型，分别从规划与组织、获取与实施、交付与支持、监控等过程进行控制、管理信息资源。在IT管理的同时，引入审计指南，从而保证IT资源管理的安全性、可靠性和有效性。

　　COBIT实现可跟踪的业绩衡量，通过平衡记分卡可以在财务（企业资源管理）、客户（客户关系管理）、过程（内部网，工作流工具）、学习（知识管理）等方面维持平衡，评价企业目标的实现情况以及IT绩效，并调整业务目标和IT战略，进行持续的IT管理。

　　COBIT采用成熟度模型，可以定位自己企业的IT管理目前在业界所处的位置，以及未来努力的方向，通俗地说就是给IT管理“打分”。

　　COBIT还提供了目前最佳案例和关键成功因素（CSF），供企业和组织借鉴。

　　从内容上看，COBIT覆盖了从分析＆设计到开发＆实施到运营、维护的整个过程。对于分析＆设计，重点目标是IT与业务的需求，根据业务目标细化IT战略，确定待开放的IT系统，进行相应的系统分析和设计。在分析与设计这样一个流程范围中，比我们传统所说的信息系统的分析与设计要宽广得多，它强调的是 IT的战略要符合业务的战略，任何信息系统的开发都应该与业务战略保持精确的校准。从业务战略的高度来分析和设计信息系统。提供这个阶段主要是考察组织的需求，同时根据这些需求设计合理的资源组合，设立合理的服务级别、目标，提供满足客户需求的IT服务。这个阶段对IT应用已上升到IT服务管理的阶段。主要解决下面的问题，为满足客户的需要提供哪些资源，这些资源之间的成本是多少，如何在服务成本和服务的效益间达到一个恰当的平衡点。在支持这个层面，主要是如何满足客户提出的IT需求，以支持服务的需求。 COBIT上层是对IT运行进行外部控制和内部审计，以确保IT与业务实现精确校准，同时实现对IT应用持续不断的应用和改进。COBIT覆盖整个信息系统的全部生命周期，其视野是最为开阔的。