ITIL ve COBIT arasındaki ilişkiler

ITIL nedir?

1987’de İngiltere Ticaret Bakanlığı tarafından geliştirilen ITIL’ın, kelime anlamı Bilgi Teknolojisi Altyapı Kütüphanesi şeklindedir ve IT hizmetlerini eksiksiz ve en iyi kalitede yönetmek üzere geliştirilmiş bir hizmet yönetim metodolojisidir. ITIL, müşteri, tedarikçi, IT bölümü ve kullanıcıları arasında başarılı bir şekilde iletişim kurulmasını sağlamaktadır. 1989-96 yılında ilk yayınlanmasından sonra, kitap sayısı, ITIL v1 içerisinde hızla 30’dan fazla birim halinde büyüdü.  ITIL versiyon 2, 2001’de yayınlandı. 2007 yılında ise ITIL’ın üçüncü versiyonu beş kitap (Strateji, Dizayn, Geçiş, Operasyon ve Sürekli Hizmet Geliştirmesi), 84 kontrol listesi ve döküman şablonu ve 23 genel süreçten oluşmaktadır.

ITIL metodolojisi küçük ya da büyük ölçekli bütün firmalara uygulanabilir. Asıl işi IT olmayan firmalarda IT’yi para harcayan bir departman imajından çıkarmanın tek yolu verilen hizmetlerin ölçülebilir olması, süreçlerle yönetim ve iş tarafı ile  aynı dili konuşmaktan geçer.

ITIL’ın genel olarak amaç ve faydalarını aşağıdaki şekilde sıralayabiliriz:

• Maliyetleri Düşürmek
• Erişilebilirliği Arttırmak
• Kapasiteyi Ayarlamak
• İş Gücünü Arttırmak

COBIT nedir?

1996 yılında BT yönetimi ve BT denetimi için ISACA tarafından yaratılmış bir framework olan COBIT ise yöneticilerin kontrol gereksinimleri, teknik konular ve iş riskleri arasında köprü görevi gören bir destek aracı kümesidir. COBIT 4.1 34 tane üst düzey işleme sahiptir. Bunların kapsadığı 210 tane kontrol hedeflerinin de dört ana kategorisi bulunur: Planlama ve Organizasyon, Teknoloji Edinme ve Uygulama, Hizmet Saglama ve Destek, İzleme ve Değerlendirme. COBIT, yöneticilere, BT kullanıcılarına ve denetçilere çeşitli faydalar sağlar. Yöneticilerin COBIT’ten yararlanma nedeni, BT alanında daha etkili kararlar verme ve kuruluş için doğru yatırımlar yapma olarak açıklanabilir. İçerdigi stratejik BT planı, bilgi mimarisi, stratejiyi isletmek için gerekli BT donanım ve yazilimlari, sürekli hizmet saglamasi, ve BT performansını izleme sistemi ile COBIT karar vermeyi daha etkili hale getirmektedir. BT kullanıcılarının COBIT’ten yararlanma nedeni, kontrol, güvenlik ve süreç yönetimi güvencesi sağlanmasıdır. Denetçilere ise BT altyapısı içindeki sorunları kontrol esasları çerçevesinde belirlemelerine yardımcı olur. Ayrıca denetçilerin kendi denetim bulgularını onaylar.

COBIT’in uygulamaya geçirilmesinin yönetsel amaçları şunlardır:

• Varlıkların korunması
• Bilginin Doğruluk ve Bütünlüğü (Data Integrity)
• Etkinlik Denetimi
• Verimlilik Denetimi

ITIL ve COBIT arasındaki ilişki

ISO / IEC 27001 ISMS(Information Security Management System) standardı, aşağıda gösterildiği gibi iyi bilinen PDCA (Plan, Do, Check, Act) süreç yaklaşımını benimser.PDCA yaklaşımı, diğer adıyla sürekli geliştirme, yönetim sisteminin halâ efektif olan riskleri yönetmede başarılı olup olmadığını kontrol eder,eğer başarılı değilse daha gelişmiş kontroller implemente edilmelidir.

Information Security Management System için PDCA modeli

ISO 27001:2005 ve ITIL v3 bilgi güvenliği yönetimi için ITIL ve ISO/IEC 27001 hizmetlerinin entegrasyonu önemli ölçüde tamamlayıcı niteliktedir.

Bu standartların amacı en iyi pratikleri tanımlamaktır.ITIL, en iyi pratikler için hizmet yönetimine odaklanırken ISO 27001 bilgi güvenliğine odaklanmıştır. Ama her ikisi de Plan-Do-Check-Act (PDCA) modelini temel alır.Eğer bir organizasyon tüm güvenlik kontrollerini  ISO 27001:2005 kapsamında gönderirse ITIL proseslerinin büyük bir kısmı saklı olacaktır,özellikle de sistemlerin güvenliğini sağlayan bölüm bilgi güvenliği yönetimi. ITIL, ISO 2700x ailesi standartlarına dahil olan bir ISMS’i uygulamak için en iyi pratiklere sahip bilgi güvenliği yönetim sürecinin yapısının ve uygulanmasının detaylarını tanımlar. Bir ITIL perspektifinden bakıldığında ISO 27001’de tanımlanan güvenlik kontrollerinin çoğu zaten hizmet yönetiminin parçasıdır. ITIL özellikle ISO 27001 ve bir Bilgi Güvenliği Yönetim Sistemi’nin gereksinimlerine referans olur.Bundan dolayı, ITIL ve ISO/IEC 27001 sıralanabilir ve organizasyonların bilgi sistemlerini geliştirmek için beraber çalışabilir.İki standardın da konuları ve kontrol parametreleri arasındaki ilişki önceden tanımlanmıştır.

COBIT bu alanda nasıl bir karaktere sahip diye sorgulayacak olursak,COBIT’i ITIL, CMMI ve ISO standartlarından ayıran en büyük özelliği tüm IT fonksiyonlarını kapsayan bir çerçeve sunmasıdır. Farklı şekilde ifade etmek gerekirse COBIT içerisinde yer alan 34 süreci bir arada değerlendirdiğimizde IT yönetiminin her alanını kapsama almış oluruz. Bu nedenle diğer standartlardan farklı şekilde, COBIT’in tek veya grup halinde IT süreçlerine değil IT’nin yönetilmesine odaklandığını söylemek doğru olur.

Ancak hem CobiT’in, hem de ITIL’ın ortak bir problemi var. Her ikisi de BT yönetimi ile ilgileniyor ancak bu yapının sürekliliği ve kalıcılığı üzerine çalışmıyor. Bu nedenle her ikisine de yönetim sistemleri adına “standart” diyemiyoruz. Bu eksiği kapatacak çalışma yine İngiltere’den çıktı. 2000’lerin başında BT hizmet yönetimini esas alan İngiliz Standardı (British Standard – BS) hazırlandı ve “BS 15000” kodunu alarak yayınlandı. Bu standart, daha sonra 2005 yılında ISO/IEC 20000 kodu altında uluslar arası hale getirildi.

Hem CobiT, hem ITIL, hem de ISO/IEC 20000 bilgi teknolojileri (BT) hizmet yönetimini bir bütün olarak ele alıyor. Ancak bu konuların bilgi güvenliği ile ilişkisi esas olarak ISO/IEC 27001’in içinde yer buluyor. Standardın A.10.1 numaralı bölümü, kontrol hedefi olarak “Bilgi işleme olanaklarının doğru ve güvenli işletimini sağlamak” cümlesini kullanmış. Buradaki esas amaç bilginin elektronik ortamda saklandığı, işlendiği ve aktarıldığı ortamların doğru yönetilmelerini sağlamaktır.