INFO5990-Week6-Lecture-Summary
一、本周整体框架
Week 6 Lecture 围绕 IT Governance（IT 治理） 展开，是本课程从"个人能力"（沟通、团队合作）和"项目技能"（信息、估算）转向组织层面的关键一讲。
整体结构分为以下几个模块：
- What is IT Governance?（什么是 IT 治理）
- Why IT Governance Matters（为什么 IT 治理重要）
- COBIT 2019 Framework（COBIT 2019 框架）
- ITIL 4 / ITSM Framework（ITIL 4 / IT 服务管理框架）
- ISO/IEC 38500 Framework（ISO/IEC 38500 框架）
- Comparing Frameworks（框架对比）
- IT Governance in Practice（治理实践）
- Case Studies（案例研究）
核心逻辑链：
治理（Governance）回答 "what should be done"，管理（Management）回答 "how to do it"。治理框架确保 IT 投资支持业务目标、控制风险、满足合规，是 IT 专业人员必须理解的顶层设计。
二、What is IT Governance?（IT 治理的定义）
2.1 定义
IT Governance 是一种战略框架（strategic framework），确保组织的 IT 投资支持业务目标（business objectives），同时有效管理风险并遵守法规。
核心关键词：alignment（对齐）、accountability（问责）、risk（风险）、compliance（合规）。
2.2 IT 治理的五大支柱
| 支柱 | 含义 |
|---|---|
| Strategic Alignment（战略对齐） | 确保 IT 支持并驱动业务目标 |
| Value Delivery（价值交付） | 确保 IT 交付与战略一致的收益，优化成本和资源 |
| Risk Management（风险管理） | 识别、管理和缓解 IT 风险 |
| Resource Management（资源管理） | 最大化人员、流程和技术的使用效率 |
| Performance Measurement（绩效度量） | 提供指标和成熟度模型以度量 IT 效能 |
2.3 Corporate Governance vs IT Governance
- Corporate Governance（公司治理）：关注整个组织的方向、控制和问责；涉及董事会、股东和管理层的关系。
- IT Governance（IT 治理）：是公司治理的子集，专注于 IT 资源的有效使用，确保 IT 与业务战略对齐。
类比：公司治理是"船的方向盘"，IT 治理是"引擎的控制面板"。
三、Why IT Governance Matters（为什么 IT 治理重要）
3.1 治理失败案例：Equifax 2017 数据泄露
这是 Lecture 中反复强调的核心案例：
- 事件：2017 年 Equifax（美国三大信用评级机构之一）遭受数据泄露，1.43 亿条个人记录被泄露。
- 根因：已知的 Apache Struts 漏洞未及时修补（governance failure — 缺乏有效的补丁管理策略）。
- 后果：超过 7 亿美元的和解金，CEO 辞职，品牌声誉严重受损。
- 教训：如果有适当的 IT 治理框架（如定期漏洞扫描、补丁管理政策、风险评估流程），这次事件本可避免。
3.2 IT 治理的核心好处
- Better Decision-Making（更好的决策）：为 IT 投资提供结构化决策流程。
- Risk Reduction（降低风险）：通过系统化的风险管理减少安全漏洞和运营故障。
- Regulatory Compliance（法规合规）：确保遵守 GDPR、SOX 等法规要求。
- Cost Efficiency（成本效率）：消除冗余支出，优化 IT 预算。
- Strategic Alignment（战略对齐）：确保 IT 项目与业务优先级一致。
- Accountability & Transparency（问责与透明）：明确角色与职责，提升可追溯性。
四、COBIT 2019 Framework
4.1 概述
COBIT = Control Objectives for Information and Related Technologies，由 ISACA 开发和维护。
COBIT 是一个治理与管理框架（governance and management framework），关注的是 "what should be done"——即 IT 应该做什么以对齐业务目标。
4.2 COBIT 版本演变
| 版本 | 年份 | 侧重 | 关键思想 |
|---|---|---|---|
| COBIT 1 | 1996 | Control & Audit | IT 控制目标用于审计 |
| COBIT 2 | 1998 | Management | 扩展到 IT 管理指导 |
| COBIT 3 | 2000 | Alignment & Risk | 将 IT 与业务目标和风险管理关联 |
| COBIT 4/4.1 | 2005/2007 | Governance + Integration | 结合治理与管理，对齐 ITIL/ISO |
| COBIT 5 | 2012 | Full Governance Framework | 引入 5 条原则和端到端治理 |
| COBIT 2019 | 2019 | Flexibility & Customisation | 增加设计因素、40 个目标、可适配框架 |
4.3 COBIT 5 → COBIT 2019 的关键变化
- 治理原则扩展：从 5 条 → 6 条原则。
- 流程数量增加：从 37 → 40 个治理/管理目标（新增如 "Managed Assurance"、"Managed Projects"、"Managed Data"）。
- "Enablers" 更名为 "Components"：更灵活的结构性术语。
- 开源模式：COBIT 2019 接受从业者反馈，由指导委员会定期更新。
4.4 COBIT 2019 的 6 条治理系统原则
- Provide Stakeholder Value（提供利益相关者价值）
- Holistic Approach（整体方法）
- Dynamic Governance System（动态治理体系）
- Governance Distinct from Management（治理与管理分离）
- Tailored to Enterprise Needs（根据企业需求定制）
- End-to-End Governance System（端到端治理体系）
4.5 COBIT 2019 的 5 大域和 40 个目标
| 域 | 全称 | 性质 |
|---|---|---|
| EDM | Evaluate, Direct and Monitor | 治理域 |
| APO | Align, Plan and Organise | 管理域 |
| BAI | Build, Acquire and Implement | 管理域 |
| DSS | Deliver, Service and Support | 管理域 |
| MEA | Monitor, Evaluate and Assess | 管理域 |
4.6 COBIT 2019 的 11 个设计因素与 4 个关注领域
11 个设计因素（Design Factors）：帮助企业定制化治理体系，包括企业战略、目标、风险概况、IT 相关议题等。
4 个关注领域（Focus Areas）： - Small and Medium Enterprises（中小企业） - Cybersecurity（网络安全） - Digital Transformation（数字化转型） - Cloud Computing（云计算）
4.7 COBIT 的目的（Purpose of COBIT）
- Strategic Alignment：确保 IT 支持并驱动业务目标
- Value Delivery：确保 IT 交付与战略一致的收益
- Risk Management：识别、管理和缓解 IT 风险
- Resource Optimisation：最大化人员、流程和技术的效率
- Performance Measurement：提供指标和成熟度模型
4.8 COBIT 用例：大学在线学习系统
场景：某大学扩展在线学习系统，需确保学生数据隐私、系统可靠性和政府法规合规。
COBIT 原则的应用：
- Provide Stakeholder Value：学生获得可靠的学习平台和公正的数字化评估；教职员获得设计和交付在线课程的工具；监管机构满足数据保护和认证标准。
- Holistic Approach：流程（安全考试监考和评分系统）、人员（学术人员数字教学培训）、技术（多因素认证和加密平台）、信息（数据分类和保留策略）。
- Dynamic Governance System：随着新教育技术工具出现（AI 监考、自适应学习），政策定期更新；网络安全措施适应针对高等教育的新型威胁。
- Governance vs Management：治理（大学评议会/董事会）设定学术诚信、IT 使用风险偏好和合规要求的政策；管理（CIO 和 IT 团队）实施学习管理系统（Canvas/Blackboard），确保正常运行时间和安全控制。
- Tailored to Enterprise Needs：针对保护敏感学生数据、平衡创新（AI 工具、在线考试）与合规（GDPR、本地隐私法）、使用可扩展数字平台应对大量学生群体。
- End-to-End Governance System：治理覆盖所有院系，不仅仅是 IT 部门，包括 HR（员工培训）、Research（研究数据安全处理）、Administration（学生档案）。
五、ITSM 与 ITIL 框架
5.1 什么是 ITSM？
IT Service Management（IT 服务管理） 是将 IT 作为一组服务来管理的学科和实践，向内部或外部客户交付价值。
ITSM 不只关注技术本身，而是聚焦： - Processes（流程）：IT 如何交付 - People（人员）：谁使用和支持 IT - Services（服务）：IT 为业务提供的成果
5.2 COBIT vs ITIL（核心区别）
| 维度 | COBIT | ITIL |
|---|---|---|
| 全称 | Control Objectives for Information and Related Technologies | Information Technology Infrastructure Library |
| 类型 | Governance & Management Framework | Best Practice Framework |
| 关注点 | "What should be done"（应该做什么） | "How services should be delivered"（服务如何交付） |
| 所有者 | ISACA | AXELOS（UK Cabinet Office & Capita 的合资企业） |
简记：COBIT = What，ITIL = How。
5.3 ITSM 的历史演变
| 时代 | 关键事件 |
|---|---|
| 1960s | IT 以硬件为中心，技术导向，支持是临时性的，没有正式流程 |
| 1980s | 组织意识到 IT 需要可靠和标准化；英国 CCTA 创建 ITIL v1——第一套 IT 管理最佳实践集 |
| 1990s | ITIL v2 简化流程为 Service Support 和 Service Delivery；成为 ITSM 全球标准；ISO/IEC 20000（2005）成为第一个 ITSM 国际标准 |
| 2000s | ITIL v3（2007）引入 Service Lifecycle 模型；ITSM 从 IT 支持扩展到与业务对齐的 IT 交付 |
| 2010s | ITIL 2011 优化 v3；ITIL 4（2019） 整合 Agile 原则，从刚性流程转向与客户共创价值 |
| Today | ITSM 聚焦云服务（AWS, Azure, SaaS）、自动化与 AI（聊天机器人、自助门户）、用户体验（UX），不再仅是"IT 运营"，而是赋能数字业务战略 |
5.4 ITIL v3 Service Lifecycle（服务生命周期）
| 阶段 | 目的 | 关注领域 |
|---|---|---|
| Service Strategy | 定义 IT 作为战略服务提供者 | 业务成果、价值创造、服务组合、财务管理、风险管理 |
| Service Design | 设计满足业务需求的 IT 服务和流程 | 服务目录、可用性、容量、安全、连续性、合规 |
| Service Transition | 安全地构建、测试和部署 IT 服务 | 变更管理、发布管理、知识管理、服务验证 |
| Service Operation | 高效运行和支持 IT 服务 | 事件管理、问题管理、请求处理、监控、服务台 |
| Continual Service Improvement | 持续度量和改进服务 | KPI 监控、服务审查、经验教训、流程改进 |
5.5 ITIL v4（价值与灵活性）
ITIL v4 是 ITSM 框架的最新版本，由 AXELOS 于 2019 年发布。核心特点： - Value-driven（价值驱动） - Flexible（灵活） - Designed for modern digital environments（为现代数字环境设计） - 整合 Agile、Lean、DevOps 理念 - 从 ITIL v3 的刚性流程 → 灵活的、价值驱动的、数字优先的方法
5.6 ITIL v4 – Service Value System（SVS）
SVS 确保所有组件和活动协同共创价值（co-create value）。包含 5 大组件：
- Guiding Principles（指导原则）：通用的决策建议
- Governance（治理）：监督与合规
- Service Value Chain (SVC)（服务价值链）：创造价值的运营模型
- Practices（实践）：34 项 ITIL 实践取代旧的"流程"
- Continual Improvement（持续改进）：服务和实践的持续改进
5.7 ITIL v4 – 七大指导原则
- Focus on Value（聚焦价值）：所有活动必须向利益相关者交付价值
- Start Where You Are（从现有出发）：有效利用现有资源和流程
- Progress Iteratively with Feedback（迭代推进并收集反馈）：小步增量改进优于大规模冒险变更
- Collaborate and Promote Visibility（协作并促进透明）：确保团队协作和信息透明
- Think and Work Holistically（整体思考与工作）：考虑组织和服务的所有方面
- Keep It Simple and Practical（保持简单和务实）：避免不必要的复杂性
- Optimize and Automate（优化与自动化）：精简流程并利用技术
5.8 ITIL v4 – Service Value Chain（SVC）
这是核心运营模型，展示如何通过端到端活动创造价值。包含 6 项关键活动：
- Plan（规划）：理解愿景、现状和方向
- Improve（改进）：持续改进服务、实践和流程
- Engage（参与）：与利益相关者互动以理解需求
- Design & Transition（设计与转换）：构建和部署新的或变更的服务
- Obtain/Build（获取/构建）：采购或构建服务组件
- Deliver & Support（交付与支持）：运行服务并支持用户
5.9 ITIL v4 – 34 项实践
取代 ITIL v3 的"流程"概念，分为 3 大类：
| 类别 | 数量 | 示例 |
|---|---|---|
| General Management Practices | 14 | Strategy, Risk Management, Continual Improvement, Knowledge Management, Portfolio Management |
| Service Management Practices | 17 | Incident Management, Problem Management, Change Enablement, Service Desk, Service Level Management, Availability Management |
| Technical Management Practices | 3 | Deployment Management, Software Development & Management, Infrastructure & Platform Management |
5.10 ITIL 版本演变
| 版本 | 年份 | 侧重 | 关键思想 |
|---|---|---|---|
| ITIL v1 | 1980s | Documentation | IT 服务管理的基本指南 |
| ITIL v2 | 2000 | Process-focused | 引入结构化流程（Incident, Problem, Change） |
| ITIL v3 | 2007 | Service Lifecycle | IT 作为生命周期（Strategy→Design→Transition→Operation→Improvement） |
| ITIL 4 | 2019 | Value & Flexibility | 聚焦价值、Agile、DevOps 和持续改进 |
5.11 ITIL 流程如何协同工作
典型的端到端服务生命周期活动链：
Incident occurs → Incident Management Root cause identified → Problem Management Change required → Change Enablement Update deployed → Deployment Management Service measured → Continual Improvement
5.12 ITIL v4 实践案例：航空公司订票系统
场景：一家国际航空公司发布新的在线订票和值机系统。上线第一天，客户反馈支付失败和值机错误，导致航班延误和旅客不满。
ITIL v4 的应用：
- Service Operation (Incident Management)：启动中央服务台，记录所有客户投诉。事件被优先排序，实施临时变通方案，同时 IT 修复系统。
- Service Transition (Change Enablement)：根因追溯到部署过程中配置错误的支付网关。提出变更请求以修正配置而不影响在线服务。
- Continual Service Improvement：危机过后进行事后审查，分析指标（平均恢复时间、客户投诉解决率），制定新政策：所有重大发布必须在暂存环境中进行端到端测试。
六、ISO/IEC 38500 Framework
6.1 概述
ISO/IEC 38500 是一项国际标准，为董事会层面的 IT 治理提供原则和指导。
特点： - 适用于所有类型和规模的组织 - 关注高层（board-level）治理，而非操作层 - 提供原则导向而非详细操作指南
6.2 六大原则
- Responsibility（责任）：明确 IT 相关的职责分工
- Strategy（战略）：IT 战略与业务战略对齐
- Acquisition（采购）：IT 采购基于充分的分析和决策
- Performance（绩效）：IT 支持组织并提供所需服务水平
- Conformance（合规）：IT 符合所有适用法律法规
- Human Behaviour（人类行为）：IT 政策和实践尊重人类行为因素
6.3 Evaluate-Direct-Monitor 模型
这是 ISO/IEC 38500 的核心治理模型：
- Evaluate（评估）：审视当前和未来的 IT 使用
- Direct（指导）：制定计划和政策以确保 IT 满足业务目标
- Monitor（监控）：监控 IT 政策的执行情况和绩效
七、框架对比
7.1 三大框架的定位
| 框架 | 最适用场景 |
|---|---|
| COBIT 2019 | 需要全面的治理和业务对齐的组织 |
| ITIL 4 | IT 服务管理和运营优化 |
| ISO/IEC 38500 | 董事会层面的高层治理原则 |
7.2 COBIT vs ITIL 详细对比
| 维度 | COBIT | ITIL |
|---|---|---|
| Type | Governance Framework | Best Practice Framework |
| Focus | Alignment, control, value, risk | Implementing ITSM processes |
| Scope | Governance + Management | Service Lifecycle |
| Level | Strategic & Tactical | Operational & Tactical |
八、IT Governance in Practice（治理实践）
8.1 治理政策
- Acceptable Use Policy（可接受使用政策）：规定 IT 资源的允许使用范围
- Data Classification Policy（数据分类策略）：按敏感度对数据分级
- BYOD Policy（自带设备策略）：管理个人设备在工作环境中的使用
- Incident Response Policy（事件响应策略）：定义安全事件的处理流程
8.2 风险管理
- 系统化识别、评估和缓解 IT 风险
- 包括技术风险、运营风险、合规风险和战略风险
8.3 合规要求
| 法规 | 适用范围 |
|---|---|
| GDPR | 欧盟数据保护（General Data Protection Regulation） |
| SOX | 美国企业财务合规（Sarbanes-Oxley Act） |
| HIPAA | 美国医疗信息保护（Health Insurance Portability and Accountability Act） |
| PCI-DSS | 支付卡行业数据安全标准（Payment Card Industry Data Security Standard） |
8.4 绩效指标
- SLAs（服务级别协议）：定义服务交付的承诺水平
- KPIs（关键绩效指标）：度量 IT 绩效的量化指标
- Uptime（正常运行时间）：系统可用性指标
8.5 关键角色
| 角色 | 职责 |
|---|---|
| CIO（首席信息官） | 负责整体 IT 战略和治理 |
| CISO（首席信息安全官） | 负责信息安全策略和执行 |
| IT Steering Committee（IT 指导委员会） | 监督 IT 投资和优先级决策 |
| Data Protection Officer（数据保护官） | 确保数据保护法规合规（如 GDPR 要求） |
九、Case Study：悉尼大学 LMS 实施
9.1 场景
悉尼大学计划实施一个新的学习管理系统（Learning Management System, LMS），以提升学生参与度和教职员工协作。
背景信息： - 过去的 IT 项目经历过延期和预算超支 - 部分教职员工因不熟悉新工具而抗拒采用 - IT 团队计划使用 COBIT 2019 进行治理、ITIL v4 进行 ITSM、以及 Agile 实践进行开发
9.2 案例讨论问题
- 使用 COBIT，IT 团队应该实施哪些治理实践以确保项目与大学目标对齐？
- IT 团队会应用哪些 ITIL v4 Service Value Chain 活动来确保 LMS 的顺利部署？
- 建议三项能改善教职员工和学生采用率的 ITIL v4 实践。
- 整合 COBIT 治理与 ITIL v4 实践如何帮助在此场景中共创价值？
十、End of Lecture Questions
- Explain why IT Governance is critical for IT professionals.（解释为什么 IT 治理对 IT 专业人员至关重要。）
- List three benefits of ITSM.（列出 ITSM 的三个好处。）
- Describe the difference between COBIT and ITIL.（描述 COBIT 和 ITIL 之间的区别。）
- Name the seven guiding principles of ITIL v4.（说出 ITIL v4 的七大指导原则。）
- Briefly explain the Service Value Chain activities in ITIL v4.（简要解释 ITIL v4 中的服务价值链活动。）
十一、核心考点速查
必记概念
| 项目 | 要点 |
|---|---|
| IT Governance 定义 | 确保 IT 投资支持业务目标的战略框架 |
| Governance vs Management | Governance = What should be done；Management = How to do it |
| COBIT 所有者 | ISACA |
| ITIL 所有者 | AXELOS |
| COBIT 类型 | Governance & Management Framework |
| ITIL 类型 | Best Practice Framework for ITSM |
| COBIT 2019 目标数 | 40 个（跨 5 大域） |
| ITIL v4 实践数 | 34 项（3 大类） |
| ITIL v4 指导原则数 | 7 条 |
| SVC 活动数 | 6 项 |
| ISO 38500 原则数 | 6 条 |
| ISO 38500 模型 | Evaluate-Direct-Monitor |
| Equifax 案例 | 2017 年，1.43 亿记录泄露，$700M+ 和解 |
必记框架选择指南
- 需要全面治理和业务对齐 → COBIT 2019
- 需要IT 服务管理和运营优化 → ITIL 4
- 需要董事会层面高层治理原则 → ISO/IEC 38500
- 实际项目中通常组合使用：COBIT 做治理层、ITIL 做服务管理层、ISO 38500 做原则层