Praxiswissen COBIT (eBook)

2Entwicklung und Bedeutung von COBIT

Dieses Kapitel stellt die Entwicklung des COBIT-Rahmenwerks und der komplementierenden Rahmenwerke Val IT und Risk IT sowie deren Integration in COBIT 5 und dessen Weiterentwicklung zu COBIT 2019 dar. Daneben wird die Rolle des internationalen Berufsverbandes ISACA und seiner Forschungseinrichtungen für COBIT beschrieben.

2.1ISACA und das IT Governance Institute

Die Information Systems Audit and Control Association (ISACA) ist ein internationaler Berufsverband der IT-Revisoren, IT-Sicherheitsmanager und IT-Governance-Experten. Primäres Ziel des Verbandes ist die Entwicklung und Verbreitung von Berufsstandards und Arbeitstechniken sowie die Zertifizierung und Weiterbildung von Fachleuten, die sich mit der Kontrolle und der Sicherheit sowie dem Management und der Steuerung von Informationssystemen befassen.

Der Berufsverband ISACA wurde ursprünglich 1969 als Berufsverband der IT-Revisoren – EDP Auditors Association (EDPAA) – gegründet. 1976 wurde von der EDPAA eine Forschungseinrichtung, die »EDP Auditors Foundation« (EDPAF), gegründet, die größere Forschungsvorhaben aus der Mitgliederorganisation herausgelöst vornehmen sollte. Erst im Jahr 1994 erhielt der Verband seinen heutigen Namen: »Information Systems Audit and Control Association« (ISACA). Die Forschungseinrichtung wurde entsprechend in »Information Systems Audit and Control Foundation« (ISACF) umbenannt.

Im Jahr 1998 wurde von der ISACA zusätzlich das »IT Governance Institute« (ITGI) als Forschungseinrichtung auf dem Gebiet des Informationsmanagements gegründet. Damit erweiterte sich auch das thematische Spektrum des Berufsverbandes von der IT-Revision über das IT-Management bis hin zur IT-Governance. Im Jahr 2003 ging die ISACF im ITGI auf, sodass das ITGI der alleinige Herausgeber der Rahmenwerke COBIT 4.0 bzw. COBIT 4.1 und Val IT wurde.

Inzwischen trägt der Berufsverband ISACA seiner erreichten Anerkennung über die IT-Prüfung hinaus Rechnung und nutzt die neutrale Plattform des ITGI immer seltener. Bereits das Rahmenwerk Risk IT wurde im November 2009 wieder unter der Herausgeberschaft der ISACA veröffentlicht. Für alle Veröffentlichungen von COBIT 5 und COBIT 2019 ist die ISACA der alleinige Herausgeber.

Dem Berufsverband ISACA gehörten zum Zeitpunkt der Entstehung dieses Buches weltweit über 150.000 Mitglieder an. Neben der zentralen Organisation in Rolling Meadows bei Chicago ist die ISACA dezentral in über 190 lokalen Chaptern organisiert. In Deutschland wird die ISACA durch den ISACA Germany Chapter e.V. vertreten. Das ISACA Germany Chapter war Ende 2018 mit knapp 3.000 Mitgliedern das siebtgrößte Chapter weltweit (vgl. Tab. 2–1).

Tab. 2–1Übersicht der deutschsprachigen Chapter der ISACA (Stand: 31.12.2018)

Die lokalen ISACA-Chapter bieten ergänzend zum zentralen Angebot der ISACA spezifische Fachinformationen, Weiterbildungs- und Qualifizierungsmaßnahmen sowie Veranstaltungen an, damit sich die Mitglieder ortsnah fortbilden und besser vernetzen können.

Neben COBIT haben auch die Berufszertifizierungen der ISACA weltweite Anerkennung gefunden. Die älteste Berufszertifizierung zum »Certified Information Systems Auditor« (CISA) trugen Mitte 2019 weltweit über 90.000 Personen, davon allein 2.074 Personen in Deutschland. Deutlich zugelegt hat auch die Anzahl der Inhaber der Berufszertifizierung zum »Certified Information Security Manager«. Diese Berufszertifizierung hatten in Deutschland Mitte 2019 fast 1.000 Personen erworben (vgl. Tab. 2–2).

Tab. 2–2Übersicht der Berufszertifizierungen der ISACA (Stand: 31.07.2019)

Weitere Informationen zu den vier Berufszertifizierungen erhalten Sie über die Internetseite der ISACA (www.isaca.org). Die lokalen Chapter bieten in der Regel Vorbereitungskurse für die Zertifizierungsprüfungen an. Das Seminarangebot des deutschen Chapter finden Sie unter www.isaca.de.

2.2Entstehung und Entwicklung von COBIT

Das Akronym COBIT steht als Kurzwort für »Control Objectives for Information and Related Technology«. Die Wurzeln von COBIT liegen in der IT-Revision, inzwischen hat sich COBIT aber zu einem umfassenden IT-Governance- und Management-Rahmenwerk für Information und die sie verarbeitende Technologie entwickelt. Dieser Anspruch wird durch die aktuelle Version von COBIT noch deutlicher unterstützt: Explizites Ziel des Einsatzes der aktuellen Versionen von COBIT ist, einen optimalen Wertbeitrag aus Investitionen in Information und in die dazu benötigte Technologie zum Nutzen aller Anspruchsgruppen zu erhalten.

Die ursprüngliche Basis des Rahmenwerks COBIT war ein Standardwerk, in dem das Wissen und der Erfahrungsschatz des Berufsstandes der IT-Revisoren gebündelt war: »Control Objectives – Controls in an Information Systems Environment: Objectives, Guidelines und Audit Procedures«. Dieses Werk wurde bereits im Jahr 1976 erstmals von der EDPAF (später ISACF) herausgegeben und von dieser ständig weiterentwickelt. Im April 1992 erschien die vierte und letzte Ausgabe [EDPAF 1992], in der die allgemeinen IT-Kontrollen in Kontrollen

• des Managements (Management Controls),
• der IT-Systementwicklung, Beschaffung und Wartung (Information System Development, Acquisition, and Maintenance Controls) sowie
• des Betriebs (Information System Operations Controls)

gegliedert worden sind, was bereits im Wesentlichen der späteren Domänenstruktur von COBIT entsprach. Daneben gab es noch eine Darstellung der Anwendungskontrollen (Application Controls) sowie einen eigenen Abschnitt mit technologieorientierten Kontrollen (Technology Specific Controls). Dieser Abschnitt ist aufgrund seiner Technikorientierung nicht in das Rahmenwerk COBIT mit eingeflossen.

Die ISACA hat im Jahr 1993 begonnen, auf Basis der bestehenden Sammlung von Kontrollzielen und Kontrollen ein eigenständiges Rahmenwerk zu erarbeiten. Dazu wurde von der ISACA ein internationales Gremium eingesetzt (COBIT Steering Committee), das die erste Version von COBIT entwickeln sollte. An der Entwicklung des neuen Rahmenwerks waren auch die Free University of Amsterdam, die California Polytechnic University und die University of New South Wales beteiligt.

Die erste Version von COBIT wurde im April 1996 von der damaligen ISACA-Forschungseinrichtung ISACF (Information Systems Audit and Control Foundation) veröffentlicht. »COBIT 1« beinhaltete neben einem konzeptionellen Rahmen bereits ein Prozessmodell mit generell anwendbaren und international akzeptierten IT-prozessbezogenen Anforderungen (Control Objectives). Das COBIT-Prozessmodell umfasste damals 32 Prozesse mit 271 detaillierten Anforderungen. Diese detaillierten Anforderungen sollten in einer Organisation beachtet und umgesetzt werden, um eine verlässliche Anwendung der Informationstechnologie zu gewährleisten. Die Idee dahinter: Erst wenn die Prozesse richtig organisiert sind, werden die Geschäftsprozesse die an sie gestellten Anforderungen erfüllen [ISACF 1996].

Zum Zeitpunkt der Veröffentlichung dieser ersten Version von COBIT waren die nächsten Schritte der Weiterentwicklung bereits klar definiert. Die Control Objectives sollten nochmals auf Basis weiterer Referenzmaterialien überarbeitet werden und vor allem sollten noch Richtlinien zur Selbsteinschätzung und Metriken für das Management entwickelt werden. Im April 1998 erschien die überarbeitete und erweiterte zweite Version mit 302 detaillierten Anforderungen (Control Objectives) in 34 Prozessen [ISACF 1998] sowie einem zusätzlichen »Implementation Tool Set«, bestehend aus einer Anleitung zur Implementation von COBIT und unterstützenden Materialien.

Das Rahmenwerk COBIT wurde anfangs hauptsächlich von der internen und externen Revision verwendet, da COBIT für das gesamte Spektrum der IT-Aktivitäten eines Unternehmens homogene Anforderungen (Control Objectives) als »Good Practices« beschrieb. Diese guten Praktiken konnten als Sollvorgaben zur Beurteilung der...