Správa a řízení IS – ICT regulace BIVŠ

Osnova Úvod Externí standardy Interní standardy Compliance SW celopodnikové útvarové projektové Compliance SW

1. Úvod Standardy/Regulace jsou přijaté zásady nebo zavedené vzory pro činnosti, procesy, chování, zařízení; obvykle definují povinné požadavky pro určitý aspekt řízení IS/IT Jsou základem pro porovnávání, zlepšování, hodnocení Pomáhají zavést a udržet určitou úroveň kvality a jednotnosti IT standardy jsou obvykle vnímány velmi negativně (vyžadují náklady a omezují kreativitu, flexibilitu)

Výhody Regulace: Podporují zavádění a dosahování manažerských cílů Podporují rozšiřování IS/IT Slouží jako míra pro hodnocení kvality Podporují komunikaci mezi různými stranami (stakaholdery) Zlepšují účelnost a účinnost IS/IT

Nevýhody Regulace: Nesmí být neměnné Současné standardy se mohou stát překážkou pro přijímání jiných standardů Omezují uživatele – obtížný přechod na jiné standardy Jsou příliš obecné a pomalé Je potřeba kontrolovat, jak se dodržují

Klasifikace standardů 1 Aspekt původu vzniku: reaktivní standard: reakce na problém, situaci progresivní standard: vytváří prostředí pro budoucí aktivity retrospektivní standard: vytváří se na základě analýzy historických dat a zklušenosti Aspekt platnosti: standardy “de jure standardy “de facto Aspekt formy: Omezení: Omezení určité činnosti, aspektu (např. rozpočet) Procedura: Jasná specifikace pořadí, časování činností v rámci procesu (např. formální hodnocení zaměstnanců)

Klasifikace standardů (pokr.) Návody (guidelines) Technické specifikace (protokoloy) sada pravidel určujících formát pro komunikaci mezi systémy (e.g. HTTP) Methodologie: systém principů, pravidel a postupů pro určitou oblast činností (PMBOK in project management, accelerated methodology ASAP) “Best practice”: nejlepší poznaný a ověřený postup plnění úkolů (Cobit, ITIL). Model: vzor, rámec prezentace složitého problému (procesní model) Projekt: sada činností vedoucích je splnění cílu Politika : popsání směru a postoje k určitým aspektům řízení IT (např. politika pro využívání internetu, mailu mobilních zařízení,….

Klasifikace standardů 3 Aspekt předmětu: IT/IS řídící standardy Auditní standardy Standardy kvality Standardy bezpečnosti Komunikační standardy,….. Aspekt rozsahu platnosti: Interní standardy Celopodnikové Útvarové Projektové Externí standardy mezinárosní Regionální Národní Průmyslové Místní/lokální

Formální požadavky Obecný popis (seznam standardů, pravidla identifikace – číslování může označovat hierarchii, platnost, předmět) Dokumentace každého standardu (číslo, jméno, kategorie, odkazy, účel a cíl, rozsah, definice, politiky, praktiky, odpovědnosti, datum vydání, datum revize, datum ukončení platnosti, odkaz na odpovědnou osobu, atd.)

Postup zavádění standardu Porozumění internímu a externímu prostředí Studium existující business a IT strategie (IT Governance) Studium existujících standardů (externích, interních) Provedení analýzy Formalní aspekty (číslování, unifikovaná strukturaed structure, revize) Obsahové aspekty (platné standardy vs. existujícíc standardy) Výsledky: Účelné a účinném standardy – hodnocení jejich dodržování Neefektivní nebo chybějící standardy vytvoření nových nebo změna Zahájení akceptační procedury Školení a komunikace Kontrola dodržování

2. External standards ( IT Governance model - Integrated Framework) ISO 20000

3. Interní standardy Na základě mezinárodních externím standardů je možné stanovit sadu interních standardů Zahrnují specifika odvětví, kulturu organizace, strategii, atd. Druhy IS/IT interních standardů: Celopodnikové interní standardy: platné pro celou organizaci Útvarové standardy: platné uvnitř útvaru IT Projektové standardy: platné pro určitý projekt IS/IT

3.1 Celopodnikové standardy Vhodné oblasti: Pravidla využívání internetu Pravidla využívání e-mailu Využívání e-leraningu Bezpečnost IT Licenční politika a copyright Zálohování a obnova Pravidla vývoje koncovými uživateli Rámec pro reporting projektů Archivace dokumentů Pravidla vytváření webů Ochrana dušečvního vlastnictví Využívání sociálních sítí Využívání mobilních zařízení Využívání cloudových služeb, …..

Příklady http://its.virginia.edu/policy/ http://vc.vse.cz/o-centru/pravidla-pro-praci-v-siti/

3.2 Interní útvarové standardy (1) Standardy pro komunikaci ( výbor pro plánování IT, informační centrum, on-line help, hlášení poruch, hlášení změn,….. Standardy IT služeb ( garantovaná doba údržby, doba odezvy, výpadky systémů, cena za člověkohodiny práce,….) Personální standardy (standardy pro přijímání nových zaměstnanců, školení, pravidelné hodnocení, přesčasové hodiny, pružná pracovní doba,….) Standardy pro plánování (odpovědné role, postupy sestavování plánu, povinnost ukládat do systému údaje, postupy pro odsouhlasení plánu, postupy pro změny plánu, Interní standardy kontrolních systémů (documenty COBIT, SAC, COSO, SAS94; popis interního kontrolního systému, komponenty, klasifikace, rizika,…)

Interní útvarové standardy (2) Standardy pro dokumentaci (systémová, uživatelská, procesní, organizační struktura, slovník dat, metadata….) Finanční standardy (druhy rozpočtů, položky, postup pro tvorbu rozpočtu) Standardy pro software (souvisí s kompatibilitou a ekonomikou: licenční politika) Atd.

3.3 Interní projektové standardy Komunikační Dokumentační SDLC standard Standardy pro testování Standardy pro řízením změn Standardy pro řízení konfigurace Standardy pro řízení rizika Auditorské standardy Standardy pro integraci Atd.

4 Řízení souladu Počet standardů a regulací roste - CIO a CEO nejsou schopni uhlídat soulad Nové role: Chief Compliance Officer (CCO) Odpovědnost: Mít přehled a dohlížet na souladem s regulatorními požadavky v organizaci Znát regulace Seznamovat s nimi zaměstnance Dohlížet nad jejich dodržováním Stanovení postihů za jejich nedodržování SW nástroje: roste trh se systémy podporujícími soulad s regulacemi Příklad: CMO Compliance https://cmo-software.com/solutions/compliance-management/

Compliance management software Supports compliance professionals with the documentation, workflow, reporting and visualization of controls objectives, controls and associated risks, surveys and self-assessments, attestation, testing, and remediation At a minimum includes financial reporting compliance (SOX compliance), and also support other types of compliance (ISO 9000, Payment Card Industry, industry-specific regulations, SLAs, trading partner requirements and compliance with internal policies) Regulatory change management supports the ability to respond to changes in regulations When a rule is changed or a new one emerges, it enables a business impact analysis and supports the management of the change to related controls, risk assessments and policies. Example CMO Compliance https://cmo-software.com/solutions/compliance-management/

Otázky: Jmenujte různé aspekty členění standardů, uveďte ke každé kategorii příklad z oblasti IS/IT Co to je SOX? Popište jeho cíl a dopad na IT Diskutujte výhody a nevýhody stnadardizace v oblasti řízení IT. Jaké jsou hlavní etapy při zavádění standardů do praxe? Dejte příklad a stručně popište obsah tří mezinárodních norem využitelných pro oblast řízení IS/IT Uveďte příklady alespoň pěti interních útvarových standardů (útvar IS/IT) a popište jejich cíle