Správa a řízení IS – ICT regulace BIVŠ

Osnova 1.Úvod 2.Externí standardy 3.Interní standardy 1.celopodnikové 2.útvarové 3.projektové 4.Compliance SW

1. Úvod Standardy/Regulace jsou přijaté zásady nebo zavedené vzory pro činnosti, procesy, chování, zařízení; obvykle definují povinné požadavky pro určitý aspekt řízení IS/IT Jsou základem pro porovnávání, zlepšování, hodnocení Pomáhají zavést a udržet určitou úroveň kvality a jednotnosti IT standardy jsou obvykle vnímány velmi negativně (vyžadují náklady a omezují kreativitu, flexibilitu)

Výhody Regulace: – Podporují zavádění a dosahování manažerských cílů – Podporují rozšiřování IS/IT – Slouží jako míra pro hodnocení kvality – Podporují komunikaci mezi různými stranami (stakaholdery) – Zlepšují účelnost a účinnost IS/IT

Nevýhody Regulace: Nesmí být neměnné Současné standardy se mohou stát překážkou pro přijímání jiných standardů Omezují uživatele – obtížný přechod na jiné standardy Jsou příliš obecné a pomalé Je potřeba kontrolovat, jak se dodržují

Klasifikace standardů 1 Aspekt původu vzniku: – reaktivní standard: reakce na problém, situaci – progresivní standard: vytváří prostředí pro budoucí aktivity – retrospektivní standard: vytváří se na základě analýzy historických dat a zklušenosti Aspekt platnosti: – standardy “de jure – standardy “de facto Aspekt formy: – Omezení: – Omezení určité činnosti, aspektu (např. rozpočet) – Procedura: – Jasná specifikace pořadí, časování činností v rámci procesu (např. formální hodnocení zaměstnanců)

Klasifikace standardů (pokr.) – Návody (guidelines) – Technické specifikace (protokoly) sada pravidel určujících formát pro komunikaci mezi systémy (e.g. HTTP) – Metodologie: systém principů, pravidel a postupů pro určitou oblast činností (PMBOK in project management, ASAP) – “Best practice”: nejlepší poznaný a ověřený postup plnění úkolů (Cobit, ITIL). – Model: vzor, rámec prezentace složitého problému (procesní model) – Projekt: sada činností vedoucích je splnění cílu – Politika : popsání směru a postoje k určitým aspektům řízení IT (např. politika pro využívání internetu, mailu mobilních zařízení,….

Klasifikace standardů 3 Aspekt předmětu: – IT/IS řídící standardy – Auditní standardy – Standardy kvality – Standardy bezpečnosti – Komunikační standardy,….. Aspekt rozsahu platnosti: – Interní standardy Celopodnikové Útvarové Projektové – Externí standardy mezinárodní Regionální Národní Průmyslové Místní/lokální

Formální požadavky 1.Obecný popis (seznam standardů, pravidla identifikace – číslování může označovat hierarchii, platnost, předmět) 2.Dokumentace každého standardu (číslo, jméno, kategorie, odkazy, účel a cíl, rozsah, definice, politiky, praktiky, odpovědnosti, datum vydání, datum revize, datum ukončení platnosti, odkaz na odpovědnou osobu, atd.)

Postup zavádění standardu 1.Porozumění internímu a externímu prostředí 2.Studium existující business a IT strategie (IT Governance) 3.Studium existujících standardů (externích, interních) 4.Provedení analýzy 1.Formalní aspekty (číslování, unifikovaná struktura, revize) 2.Obsahové aspekty (platné standardy vs. existujících standardy) 5.Výsledky: 1.Účelné a účinném standardy – hodnocení jejich dodržování 2.Neefektivní nebo chybějící standardy vytvoření nových nebo změna 6.Zahájení akceptační procedury 7.Školení a komunikace 8.Kontrola dodržování

2. External standards ( IT Governance model - Integrated Framework) ISO 20000

3. Interní standardy Na základě mezinárodních externím standardů je možné stanovit sadu interních standardů Zahrnují specifika odvětví, kulturu organizace, strategii, atd. Druhy IS/IT interních standardů: Celopodnikové interní standardy: platné pro celou organizaci Útvarové standardy: platné uvnitř útvaru IT Projektové standardy: platné pro určitý projekt IS/IT

3.1 Celopodnikové standardy Vhodné oblasti: – Pravidla využívání internetu – Pravidla využívání u – Využívání e-learningu – Bezpečnost IT – Licenční politika a copyright – Zálohování a obnova – Pravidla vývoje koncovými uživateli – Rámec pro reporting projektů – Archivace dokumentů – Pravidla vytváření webů – Ochrana duševního vlastnictví – Využívání sociálních sítí – Využívání mobilních zařízení – Využívání cloudových služeb, …..

Příklady siti/ siti/

3.2 Interní útvarové standardy (1) Standardy pro komunikaci ( výbor pro plánování IT, informační centrum, on-line help, hlášení poruch, hlášení změn,….. Standardy IT služeb ( garantovaná doba údržby, doba odezvy, výpadky systémů, cena za člověkohodiny práce,….) Personální standardy (standardy pro přijímání nových zaměstnanců, školení, pravidelné hodnocení, přesčasové hodiny, pružná pracovní doba,….) Standardy pro plánování (odpovědné role, postupy sestavování plánu, povinnost ukládat do systému údaje, postupy pro odsouhlasení plánu, postupy pro změny plánu, Interní standardy kontrolních systémů (documenty COBIT, SAC, COSO, SAS94; popis interního kontrolního systému, komponenty, klasifikace, rizika,…)

Interní útvarové standardy (2) Standardy pro dokumentaci (systémová, uživatelská, procesní, organizační struktura, slovník dat, metadata….) Finanční standardy (druhy rozpočtů, položky, postup pro tvorbu rozpočtu) Standardy pro software (souvisí s kompatibilitou a ekonomikou: licenční politika) Atd.

3.3 Interní projektové standardy Komunikační Dokumentační SDLC standard Standardy pro testování Standardy pro řízením změn Standardy pro řízení konfigurace Standardy pro řízení rizika Auditorské standardy Standardy pro integraci Atd.

4 Řízení souladu Počet standardů a regulací roste - CIO a CEO nejsou schopni uhlídat soulad Nové role: Chief Compliance Officer (CCO) – Odpovědnost: Mít přehled a dohlížet na souladem s regulatorními požadavky v organizaci – Znát regulace – Seznamovat s nimi zaměstnance – Dohlížet nad jejich dodržováním – Stanovení postihů za jejich nedodržování SW nástroje: roste trh se systémy podporujícími soulad s regulacemi Příklad: CMO Compliance management/ management/

Otázky: Jmenujte různé aspekty členění standardů, uveďte ke každé kategorii příklad z oblasti IS/IT Diskutujte výhody a nevýhody standardizace v oblasti řízení IT. Jaké jsou hlavní etapy při zavádění standardů do praxe? Dejte příklad a stručně popište obsah tří mezinárodních norem využitelných pro oblast řízení IS/IT Uveďte příklady alespoň pěti interních útvarových standardů (útvar IS/IT) a popište jejich cíle