COBIT Components — 7 ส่วนของ Governance System#

ISACA’s COBIT framework ระบุว่า governance system ต้องมี 7 components ที่เชื่อมกัน:

1. Processes — กระบวนการที่ design ไว้
2. Organizational Structures — โครงสร้างที่กำหนด accountability
3. Principles, Policies, Procedures — กฎที่ทุกคนต้องตาม (เราคุยใน ตอน 15 แล้ว)
4. Information — data ที่ขับเคลื่อนการตัดสินใจ
5. Culture, Ethics and Behavior — บรรยากาศองค์กร
6. People, Skills and Competencies — ทรัพยากรบุคคล
7. Service, Infrastructure and Applications — เทคโนโลยี

ที่น่าสังเกตคือ 7 components นี้ครอบคลุมทั้งสิ่งที่จับต้องได้ (process, structure, infrastructure) และ สิ่งที่จับต้องไม่ได้ (culture, ethics, principles) governance ไม่ใช่แค่ “กฎ + คนทำ” แต่รวม “ค่านิยม + วัฒนธรรม” ด้วย

Trap ที่ exam ออก: คนที่จำแค่ “ProcessXOrgStructure” ตอบไม่ได้เมื่อถามถึง Culture/Ethics — ที่ ISACA เน้นมากคือ tone at the top ผู้บริหารเป็นแบบอย่างของ ethics หรือเปล่า เพราะ governance system ที่ขาด ethical culture = process แข็งแรงแต่ไม่ทำงาน

Figure 2.1 ของ CRM แสดงทั้ง 7 components เป็นวงกลมที่ล้อมรอบ “Governance System” เน้นว่าทุกอันต้องประสานกัน

IT Governance = Corporate Governance Subset#

พอรู้ corporate governance แล้ว IT governance คือ corporate governance ที่ apply กับ IT-related decisions โดยเฉพาะ:

• IT strategy alignment กับ business strategy
• IT investment decisions
• IT risk management
• IT performance + value delivery

หลักการเดียวกัน 7 components — แต่ context = IT

นี่คือ entry point เข้าสู่ EGIT

EGIT คืออะไร?#

EGIT = Enterprise Governance of Information and Technology — กรอบที่ board และ executive management ใช้ ทำให้แน่ใจ ว่า IT ของบริษัท สนับสนุน เป้าหมายธุรกิจ และ ขยาย ความสามารถขององค์กร

จุดที่อยากให้สังเกตในนิยาม: “board และ executive management” ไม่ใช่ “CIO” ไม่ใช่ “ฝ่าย IT”

นี่คือ trap ใหญ่อันแรกเลยครับ:

EGIT = หน้าที่ของ board ไม่ใช่หน้าที่ของ IT department

ทำไมถึง trap? เพราะคนทั่วไปเห็นคำว่า “IT” แล้วคิดอัตโนมัติว่า “เรื่องของฝ่าย IT” เถ้าแก่หลายคนเซ็นมอบเรื่อง EGIT ให้ CIO ไปจัดการเอง แล้วก็หายไปไม่มาเช็คอีก

ถ้า board ไม่ engage กับ EGIT จริงๆ EGIT ก็เป็นแค่กระดาษที่ CIO เขียนคนเดียวเอามาแขวนข้างฝา

ทำไม EGIT ต้องเป็นของ Board?#

ลองคิดดู IT investment ของบริษัทขนาดกลางอยู่ระดับ 5-15% ของ revenue ทั้งบริษัท เป็นค่าใช้จ่ายที่ใหญ่เป็นอันดับต้นๆ

ถ้า board ไม่ดู:

• IT investment อาจไม่ตรงกับทิศทางธุรกิจ → ลงทุนใน technology ที่ไม่ generate value
• IT risk (data breach, system failure) อาจไม่ถูก escalate ขึ้น → board รู้ตัวก็ตอนเกิดเหตุ
• ไม่มีคนถามว่า “เงินที่ลงไปคืนมายังไง” ROI ของ IT หายไปในระบบ

EGIT ที่ดี = board ตอบคำถาม 4 ข้อนี้ได้:

1. Strategic Alignment — IT strategy ของเรา align กับ business strategy ที่ board approve มั้ย
2. Value Delivery — IT investment สร้าง value จริงมั้ย
3. Risk Management — IT risk อยู่ในระดับที่ board ยอมรับมั้ย
4. Resource Management — IT resource (คน เงิน เครื่อง) ถูกใช้คุ้มค่ามั้ย

(สังเกตว่ามันคือ balance ของ benefits, risk, resources — ไม่ใช่แค่ “ระบบ IT ดีหรือไม่ดี”)

นิยามตาม COBIT#

Governance = ประเมินความต้องการของ stakeholder กำหนดทิศทาง monitor performance board เป็นคนทำ

Management = วางแผน สร้าง รัน monitor ตามทิศทางที่ governance วางไว้ CIO และทีมเป็นคนทำ

ถ้านึกไม่ออก ลองเปรียบเทียบกับโรงเรียนที่เคยใช้ใน ตอน 14:

คำถามที่ทดสอบความเข้าใจ:

• ใครเป็นคนกำหนด risk appetite ของ IT? → Board (governance)
• ใครเป็นคนตัดสินใจซื้อ firewall ยี่ห้อไหน? → CIO (management)
• ใครรับผิดชอบสุดท้ายถ้า data breach? → Board (accountability ที่หาคนแทนไม่ได้)
• ใครต้อง execute incident response? → CISO + ทีม (management)

Trap ที่เจอตลอด: “EGIT = หน้าที่ของ CIO” — ผิดครับ CIO รัน IT ตามทิศทางที่ board วาง ส่วน EGIT คือกระบวนการที่ board วางทิศทาง + ตรวจสอบ

3 Lines คืออะไร?#

1
First Line  → operational management ที่ owns risk
2
Second Line → risk + compliance functions ที่ monitor
3
Third Line  → internal audit ที่ provide assurance อย่างอิสระ

แต่ละ Line มีบทบาทต่างกัน — และต้อง ไม่ทำหน้าที่ของกันและกัน

First Line — คนทำงาน + คุม risk ของตัวเอง#

First Line คือ operational management — คนที่ทำงานจริง

เช่น:

• ฝ่ายขายต้อง own risk ของการเก็บข้อมูลลูกค้า
• ฝ่ายผลิตต้อง own risk ของระบบ MES ของตัวเอง
• ฝ่าย IT operation ต้อง own risk ของระบบที่ตัวเอง maintain

First Line ไม่ใช่ “พนักงานระดับล่าง” นะครับ แต่หมายถึง “คนที่รับผิดชอบ risk ในงานของตัวเอง” ใครก็ตามที่ทำงาน + ตัดสินใจประจำวัน อยู่ใน First Line

Second Line — คนกำกับ risk + compliance#

Second Line = ฝ่ายที่ monitor ว่า First Line จัดการ risk ดีมั้ย

เช่น:

• ฝ่าย Risk Management
• ฝ่าย Compliance (ตามกฎหมาย/regulation)
• CISO + ทีม Information Security
• Quality Assurance

Second Line ไม่ใช่คนทำเอง แต่ คอยช่วย + ตรวจ + report ขึ้นไปที่ผู้บริหาร

Third Line — Internal Audit (Independent Assurance)#

Third Line = internal audit / IS audit — ทีมที่ provide independent assurance ต่อ board ว่า First Line + Second Line ทำงานจริงมั้ย

ลักษณะสำคัญที่เราเรียนใน D1:

• รายงานตรงต่อ audit committee (ไม่ใช่ CFO ไม่ใช่ CIO)
• มี Audit Charter ที่ board approve
• มี independence ทั้งทาง structural และ attitude

คำถามคลาสสิก: IS audit อยู่ Line ไหน? → Third Line

Trap: Auditor ทำงานเป็น Line อื่นแทน#

ใน scenario ของข้อสอบ ISACA ชอบเล่นกับ trap นี้:

Scenario: ฝ่าย IT ขอให้ internal audit ช่วยออกแบบ control ใหม่ + train พนักงานใช้ — auditor ตกลงไหม?

คำตอบ: ไม่ครับ เพราะ auditor ที่ออกแบบ control + train = ทำหน้าที่ของ Second Line (และ First Line) → independence หายเมื่อต้องกลับมาตรวจ control ที่ตัวเองออกแบบ

(ยกเว้นใน CSA — Control Self-Assessment ที่ auditor เป็น facilitator ไม่ใช่ owner — ดู ตอน 04)

Pattern ที่เจอบ่อย#

หลายบริษัทมองว่า security = หน้าที่ของ CISO + IT board ไม่ engage

ผลลัพธ์: ถ้าไม่มี breach board ก็ไม่รู้ว่า security ดีหรือไม่ดี ถ้ามี breach board ก็ตอบ stakeholder ไม่ได้ เพราะไม่เคยเข้าใจ security posture ของตัวเอง

Information Security Governance ที่ดี#

• Board = อนุมัติ risk appetite ของ security, รับ report เป็นรายไตรมาส (ไม่ใช่ปีละครั้ง)
• CEO = accountable ต่อ security outcomes ทั้งบริษัท
• CISO = implement security strategy, report ขึ้น board
• IS audit = ประเมินความเหมาะสมของ governance + control

CISO Reporting Line — Trap#

Trap: CISO รายงานต่อ CIO

ทำไม trap? เพราะ CIO มีแรงจูงใจให้ระบบ uptime สูงสุด (ผลงาน CIO) แต่ security บางทีต้อง take down ระบบเพื่อแก้ vulnerability ถ้า CISO รายงาน CIO โดยตรง CISO อาจถูกบีบให้ลด priority security เพื่อรักษา uptime

Best practice: CISO รายงาน CEO หรือ board ไม่อยู่ใต้ CIO

(แต่ในความเป็นจริง บริษัทขนาดกลางหลายแห่ง CISO ยังอยู่ใต้ CIO — กรณีนั้น auditor ต้องดู compensating control เช่น CISO มี dotted line รายงานตรงต่อ audit committee เป็นรายไตรมาส)