Cos’è COBIT? Una guida pratica al framework di governance IT di ISACA

Le organizzazioni ricorrono a COBIT® quando le esigenze di governance abbracciano più domini, come qualità dei dati, gestione dei servizi e operazioni di sicurezza, invece di rientrare nettamente in uno solo. Il framework COBIT opera al fianco di framework più specializzati. È concepito specificamente per l’integrazione: per questo i team lo utilizzano come livello di governance aziendale, affidandosi a modelli specifici per dominio per la profondità operativa.

COBIT è il framework di ISACA per la governance e la gestione delle informazioni e della tecnologia aziendali. Non è un framework specifico per i dati. Il suo scopo è più ampio: aiutare le organizzazioni ad allineare l’IT agli obiettivi aziendali, gestire il rischio e ottimizzare le risorse attraverso un sistema di governance strutturato.

COBIT 2019 è la versione attuale e il successore di COBIT 5. A livello generale, COBIT mira ad aiutare le organizzazioni a creare valore dalle informazioni e dalla tecnologia, bilanciando la realizzazione dei benefici con il rischio e l’ottimizzazione delle risorse. Per questo abbraccia audit, architettura, sicurezza, compliance e operazioni, anziché restare confinato all’interno dei team dati.

Una ragione pratica della costante diffusione di COBIT 2019 è che è progettato per essere personalizzato. ISACA ha concepito il framework affinché un’organizzazione possa modellare il sistema di governance attorno al proprio contesto. Ciò significa tenere conto di variabili come la strategia aziendale, il profilo di rischio, il modello di sourcing, la taglia e l’approccio all’implementazione.

Anche per questo COBIT tende a collocarsi al di sopra dei framework specializzati. COBIT offre l’ombrello di governance che aiuta un’organizzazione a decidere come gli altri framework debbano essere diretti, monitorati e allineati agli obiettivi aziendali. Per esempio, COBIT completa framework come ITIL e TOGAF. Mentre TOGAF guida la progettazione dell’architettura aziendale e ITIL si concentra sul modo in cui i servizi vengono erogati e gestiti, COBIT assicura che entrambi siano allineati agli obiettivi di business, alla gestione del rischio e alla creazione di valore.

Il modo più semplice per comprendere COBIT 2019 è osservarne i tre livelli correlati: i principi che guidano il sistema di governance, i componenti che lo costituiscono e i domini e gli obiettivi che organizzano il lavoro concreto di governance e gestione.

Il primo livello è costituito dai principi del sistema di governance, che fungono da regole di progettazione per il funzionamento del sistema stesso. In COBIT 2019, i principi sono:

Il secondo livello è composto da sette componenti del sistema di governance, gli elementi costitutivi con cui un’organizzazione lavora nella pratica:

COBIT organizza il lavoro concreto di governance e gestione in 40 obiettivi di governance e gestione distribuiti su cinque domini. È questa la parte di COBIT con cui lavora la maggior parte dei team quando valuta la maturità, assegna le responsabilità o collega le aspettative di governance alle pratiche operative.

COBIT non è intercambiabile con i framework di data management come DAMA-DMBOK o DCAM. COBIT agisce come livello sovrapposto di strategia di governance per le informazioni e la tecnologia aziendali, mentre framework specializzati come DAMA-DMBOK e DCAM approfondiscono il modo in cui i dati vengono definiti, gestiti, misurati e amministrati a livello operativo.

COBIT considera i dati come elementi influenzati da architettura, sicurezza, accountability, operazioni e assurance, anziché come un dominio isolato con un proprio set di controlli separato. La data governance in COBIT è definita da APO14 (Managed Data) e da obiettivi correlati come APO01 (Manage the IT Management Framework), APO03 (Managed Enterprise Architecture), APO13 (Manage Security) e DSS05 (Manage Security Services).

Un consiglio di amministrazione, una funzione di audit o un ufficio di governance può utilizzare COBIT per definire le aspettative in materia di supervisione, accountability, reporting e controllo. I team dati utilizzano poi framework specializzati o standard operativi interni per definire più nel dettaglio le pratiche di stewardship, metadati, qualità e ciclo di vita. Quando i framework vengono utilizzati insieme, COBIT fa spesso emergere la lacuna di governance, mentre il framework dei dati aiuta a colmare il livello di processo sottostante.

Snowflake può supportare diversi obiettivi di COBIT.

Snowflake Horizon Catalog è un livello di governance e discovery che contribuisce ad applicare i controlli di accesso, identifica i dati sensibili tramite classificazione, supporta il mascheramento dinamico dei dati e le policy di accesso righe e visualizza la lineage. Questa combinazione è utile per rendere operativo APO14, perché la gestione dei dati dipende dalla capacità di identificare gli asset, associare un contesto di governance e applicare le policy in modo più coerente nei vari ambienti. Anche il monitoraggio della qualità dei dati di Snowflake supporta APO14, aiutando i team ad associare controlli misurabili agli asset di dati governati.

Il controllo degli accessi basato sui ruoli (RBAC), le network policy, il Dynamic Data Masking e l’applicazione delle policy a livello di riga sono strumenti integrati che aiutano a controllare gli accessi, supportare la protezione dei dati sensibili e rendere i controlli più verificabili. Queste funzionalità contribuiscono a supportare gli obiettivi di sicurezza e dei servizi di sicurezza, collocando le regole di accesso e protezione vicino ai dati governati stessi.

La vista ACCESS_HISTORY di Snowflake registra tutte le attività di lettura e scrittura ed è disponibile attraverso gli schemi ACCOUNT_USAGE e ORGANIZATION_USAGE. È inoltre disponibile una vista Account Usage per lo storico delle query degli ultimi 365 giorni. Lo schema ACCOUNT_USAGE fornisce anche dati storici di utilizzo e metadati degli oggetti a livello di account. Questo offre ai team di audit, governance e compliance un pratico layer di evidenze per monitorare la conformità di accessi e utilizzo alle policy.

I metadati condivisi, la lineage, il modello di permessi e i dati di utilizzo di Snowflake possono informare le attività di enterprise architecture, soprattutto quando i team devono capire dove risiedono i dati governati, come si spostano e quali meccanismi di controllo nativi esistono nella piattaforma. Si tratta di un vantaggio concreto, perché la governance dell’architettura dipende da informazioni accurate sulle piattaforme reali e sulle superfici di controllo.

Le organizzazioni utilizzano COBIT come un linguaggio di governance che si estende dalla supervisione del consiglio di amministrazione fino alle evidenze operative, distinguendo al tempo stesso la governance dalla gestione. Consente alle aziende di adattare il sistema al proprio contesto e lascia spazio a framework più specializzati al livello sottostante. È per questo che compare contemporaneamente nelle discussioni su audit, sicurezza, compliance, architettura e data governance.

Per i team di data governance, il modo più pratico di considerare COBIT è come il layer che indica al resto dell’organizzazione come la governance dei dati debba essere diretta, monitorata e collegata alla governance IT aziendale.