1. Cobit의 개념
COBIT(Control Objectives for information and related technology)은 IT 보안 및 통제 부문에서의 모범적인 업무 수행 방법에 대하여 일반적으로 적용 가능하고 인정되는 기준으로 개발되었다 - COBIT은 새롭고 혁신적인 IT 관리 도구이다. COBIT은 정보시스템감사통제재단(Information Systems Audit and Control Foundation: ISACF)이 기존에 보유하고 있던 통제 목적(Control Objective)이라는 기준을 기반으로 기존 및 새로운 범세계적인 기술적, 전문적, 법규적 기준과 특정 산업의 기준들을 수용하여 향상시킨 것이다.
2. Cobit 진화
■ 1st Edition : (1996. ISACF), Control Objectives
■ 2nd Edition : (1998. ISACF), Implementation Tool Set
■ 3rd Edition : (2000, ISACA), Management Guideline
■ 4th Edition : (2005, ISACA/ITGI), IT Governance
※ Cobit4는 ITIL(Information Techno-logy Infrastructure Library), CMM(Capability Maturity Model), COSO(Committee of Sponsoring Organiza-tions of the Treadway Commission), PMBOK(Project Management Body of Knowledge), ISF(Information Security Forum), ISO27001 등을 적극 수용하였으며, 관리 지침 내용을 보다 강화했다.
3. Cobit의 구성
■ Executive Summary : 경영진이 COBIT의 주요한 개념과 원칙 이해
■ Framework : COBIT의 IT통제 모델 정의
■ Detailed Control Objectives : 세부적이고, 구체적인 통제목적 제시
■ Audit Guidelines : 감사 지침서(Detailed Control Objectives에 대한 감사 작업단계 제시)
■ Management Guidelines
- Maturity Models(성숙도 모델) : IT경영, 보안, 통제에 대한 “측정표”
- Critical Success Factors(핵심성공요소) : 경영자에게 IT와 프로세스의 통제 구현 방향제시
- Key Global Indicators(주요목표지표) : “기업의 목표”를 달성하기 위해 필요한 “IT의 목표”
- Key Performace Indicators(주요성과지표) : “IT의 목표”가 잘 수행되고 있는가에 대한 지표
4. Cobit 프레임워크
4.1 Cobit 프레임워크 기본원칙
COBIT 프레임워크의 기본 개념은 경영 목적이나 요구사항을 지원하는데 필요한 정보를 검토하고, IT 프로세스를 통해서 관리할 필요가 있는 IT 자원들을 적용한 결과로 생성된 정보를 검토함으로써 IT에 대한 통제를 통해 IT를 관리하는데 목적이 있다.
[경영자를 위한 종합적인 통제모델 구현]
4.2 개념적인 프레임워크
■ 세가지 관점에서 접근 : 정보기준, IT 자원, IT 프로세스
■ 경영자 : 품질, 주주에 대한 수탁 책임, 보안적인 측면 강조
■ IT 관리자 : 분야별 IT 자원에 대한 평가 강조
■ 업무프로세스 책임자, IT전문가 : IT프로세스 또는 활동/작업에 관심
■ 감사인 : 통제 강조
4.3 Cobit 프레임워크 구성
COBIT 4.0은 4가지 프로세스 도메인으로 34개의 IT 프로세스, 318개의 세부적인 통제목표를 포함하고 있다. 4가지의 프로세스 도메인은 IT 생명주기에 따라 ▲계획 수립과 조직화 ▲도입과 구축 ▲운영과 지원 ▲모니터링과 평가로 구분되어 있다.
■ Plan and Organize : 계획수립 및 조직화
■ Acquire and Implement : 도입 및 구축
■ Deliever and Support : 운영 및 지원
■ Monitor and Evaluate : 모니터링 및 평가
5. Cobit의 성공요인
■ 경영환경 변화에 따른 IT통제 가능
■ 경영층의 기업목표에 따른 IT 측정지표 수립
■ 경영진의 핵심 비즈니스에 대한 위험인식과 명확한 이해
■ 경영통제모델과 IT통제모델 결합된 하나의 체계구현(비즈니스 계획과 IT 계획 연계)
■ 이해 관계자(경영자, 사용자, 감사인)의 필요에 따른 최적의 방법론 제공
■ Sarbanes-Oxley Act와 BaselⅡ 법안에 대응하는 IT 체계 마련
