1. 控制框架
1.1. COBIT
1.1.1. COBIT的含義
COBIT（Control Objectives for Information and related Technology）是目前國際上通用的信息系統(tǒng)審計的標(biāo)準(zhǔn)，由信息系統(tǒng)審計與控制協(xié)會在1996年公布。這是一個在國際上公認(rèn)的、權(quán)威的安全與信息技術(shù)管理和控制的標(biāo)準(zhǔn)，目前已經(jīng)更新至第三版。它在商業(yè)風(fēng)險、控制需要和技術(shù)問題之間架起了一座橋梁，以滿足管理的多方面需要。該標(biāo)準(zhǔn)體系已在世界一百多個國家的重要組織與企業(yè)中運用，指導(dǎo)這些組織有效利用信息資源，有效地管理與信息相關(guān)的風(fēng)險。
COBIT將IT過程，IT資源及信息與企業(yè)的策略與目標(biāo)聯(lián)系起來，形成一個三維的體系結(jié)構(gòu)。
其中，IT準(zhǔn)則維集中反映了企業(yè)的戰(zhàn)略目標(biāo)，主要從質(zhì)量、成本、時間、資源利用率、系統(tǒng)效率、保密性、完整性、可用性等方面來保證信息的安全性、可靠性、有效性；IT資源維主要包括以人、應(yīng)用系統(tǒng)、技術(shù)、設(shè)施及數(shù)據(jù)在內(nèi)的信息相關(guān)的資源，這是IT治理過程的主要對象；IT過程維則是在IT準(zhǔn)則的指導(dǎo)下，對信息及相關(guān)資源進(jìn)行規(guī)劃與處理，從信息技術(shù)的規(guī)劃與組織、采集與實施、交付與支持、監(jiān)控等四個方面確定了34個信息技術(shù)處理過程，每個處理過程還包括更加詳細(xì)的控制目標(biāo)和審計方針對IT處理過程進(jìn)行評估。
COBIT是一個非常有用的工具，也非常易于理解和實施，可以幫助在管理層、IT與審計之間交流的鴻溝上搭建橋梁，提供了彼此之間溝通的共同語言。幾乎每個機(jī)構(gòu)都可以從COBIT中獲益，來決定基于IT過程及他們所支持的商業(yè)功能的合理控制。當(dāng)我們知道這些商業(yè)功能是什么，其對企業(yè)的關(guān)鍵到什么程度時，就能對這些事件進(jìn)行良好的分類。所有的信息系統(tǒng)審計、控制及安全專業(yè)人員應(yīng)該考慮采用COBIT原則。
1.1.1. COBIT的優(yōu)點
¡ 通過實施COBIT，增加了管理層對控制的感知及支持。COBIT幫助管理層懂得控制如何影響商業(yè)功能。COBIT提供的實施工具包括優(yōu)秀的案例資料（提供模板商業(yè)過程，使得優(yōu)秀范例能夠迅速移植），幫助向管理層很好地表述IT管理概念。管理層在基于控制實踐基礎(chǔ)上做出正確決策的能力亦得到了提高。
¡ COBIT使IT管理工作簡易并量化，減輕對復(fù)雜信息系統(tǒng)管理工作的難度，并且可以應(yīng)用在每天都在發(fā)生的各種新問題中。對于那些不具有廣博IT知識的人來講，是一個認(rèn)清信息技術(shù)的有價值的工具。它也使得信息系統(tǒng)審計師具有與IT專業(yè)人員相同的專業(yè)廣度，并且可以詢問IT工程相關(guān)的問題。
¡ COBIT提供了一種國際通用的IT管理及問題解決方案，普遍適用于各種不同的商業(yè)項目和審計，并且它既包容了當(dāng)前的情況，也提供將來可能會使用到的指導(dǎo)方針。
¡ COBIT有助于提高信息系統(tǒng)審計師的影響力，依據(jù)COBIT出具的信息系統(tǒng)審計報告更容易得到管理層的肯定。
¡ COBIT框架可以幫助決定過程責(zé)任，提高IT治理水平。通過采用該框架作為對一個責(zé)任矩陣分析的基礎(chǔ)，可以做到基于角色的IT管理，定義過程措施，確保客戶利益。
1.1. COBIT
1.1.1. COBIT的含義
COBIT（Control Objectives for Information and related Technology）是目前國際上通用的信息系統(tǒng)審計的標(biāo)準(zhǔn)，由信息系統(tǒng)審計與控制協(xié)會在1996年公布。這是一個在國際上公認(rèn)的、權(quán)威的安全與信息技術(shù)管理和控制的標(biāo)準(zhǔn)，目前已經(jīng)更新至第三版。它在商業(yè)風(fēng)險、控制需要和技術(shù)問題之間架起了一座橋梁，以滿足管理的多方面需要。該標(biāo)準(zhǔn)體系已在世界一百多個國家的重要組織與企業(yè)中運用，指導(dǎo)這些組織有效利用信息資源，有效地管理與信息相關(guān)的風(fēng)險。
COBIT將IT過程，IT資源及信息與企業(yè)的策略與目標(biāo)聯(lián)系起來，形成一個三維的體系結(jié)構(gòu)。
其中，IT準(zhǔn)則維集中反映了企業(yè)的戰(zhàn)略目標(biāo)，主要從質(zhì)量、成本、時間、資源利用率、系統(tǒng)效率、保密性、完整性、可用性等方面來保證信息的安全性、可靠性、有效性；IT資源維主要包括以人、應(yīng)用系統(tǒng)、技術(shù)、設(shè)施及數(shù)據(jù)在內(nèi)的信息相關(guān)的資源，這是IT治理過程的主要對象；IT過程維則是在IT準(zhǔn)則的指導(dǎo)下，對信息及相關(guān)資源進(jìn)行規(guī)劃與處理，從信息技術(shù)的規(guī)劃與組織、采集與實施、交付與支持、監(jiān)控等四個方面確定了34個信息技術(shù)處理過程，每個處理過程還包括更加詳細(xì)的控制目標(biāo)和審計方針對IT處理過程進(jìn)行評估。
COBIT是一個非常有用的工具，也非常易于理解和實施，可以幫助在管理層、IT與審計之間交流的鴻溝上搭建橋梁，提供了彼此之間溝通的共同語言。幾乎每個機(jī)構(gòu)都可以從COBIT中獲益，來決定基于IT過程及他們所支持的商業(yè)功能的合理控制。當(dāng)我們知道這些商業(yè)功能是什么，其對企業(yè)的關(guān)鍵到什么程度時，就能對這些事件進(jìn)行良好的分類。所有的信息系統(tǒng)審計、控制及安全專業(yè)人員應(yīng)該考慮采用COBIT原則。
1.1.1. COBIT的優(yōu)點
¡ 通過實施COBIT，增加了管理層對控制的感知及支持。COBIT幫助管理層懂得控制如何影響商業(yè)功能。COBIT提供的實施工具包括優(yōu)秀的案例資料（提供模板商業(yè)過程，使得優(yōu)秀范例能夠迅速移植），幫助向管理層很好地表述IT管理概念。管理層在基于控制實踐基礎(chǔ)上做出正確決策的能力亦得到了提高。
¡ COBIT使IT管理工作簡易并量化，減輕對復(fù)雜信息系統(tǒng)管理工作的難度，并且可以應(yīng)用在每天都在發(fā)生的各種新問題中。對于那些不具有廣博IT知識的人來講，是一個認(rèn)清信息技術(shù)的有價值的工具。它也使得信息系統(tǒng)審計師具有與IT專業(yè)人員相同的專業(yè)廣度，并且可以詢問IT工程相關(guān)的問題。
¡ COBIT提供了一種國際通用的IT管理及問題解決方案，普遍適用于各種不同的商業(yè)項目和審計，并且它既包容了當(dāng)前的情況，也提供將來可能會使用到的指導(dǎo)方針。
¡ COBIT有助于提高信息系統(tǒng)審計師的影響力，依據(jù)COBIT出具的信息系統(tǒng)審計報告更容易得到管理層的肯定。
¡ COBIT框架可以幫助決定過程責(zé)任，提高IT治理水平。通過采用該框架作為對一個責(zé)任矩陣分析的基礎(chǔ)，可以做到基于角色的IT管理，定義過程措施，確保客戶利益。