پشت هر سؤال فیدورا، یک منطق تخصصی وجود دارد
از استانداردهای بین‌المللی و بهترین روش‌های مدیریتی تا تجربه واقعی ارزیابی فناوری اطلاعات
وقتی یک مدیر فناوری اطلاعات به پرسشی در یک سامانه ارزیابی پاسخ می‌دهد، شاید در نگاه اول با یک سؤال ساده روبه‌رو باشد:
«آیا سازمان دارای برنامه مشخص برای مدیریت ریسک‌های فناوری اطلاعات است؟»
اما آیا تا به حال فکر کرده‌ایم که چنین سؤالی از کجا آمده است؟
چه کسی تشخیص داده که این موضوع باید ارزیابی شود؟ چرا مدیریت ریسک اهمیت دارد؟ چه معیارهایی وضعیت مطلوب را مشخص می‌کنند؟ و از کجا می‌توان مطمئن شد که پاسخ به این سؤال، واقعاً به شناخت وضعیت فناوری اطلاعات سازمان کمک می‌کند؟
این پرسش‌ها به موضوعی اساسی اشاره دارند که معمولاً در ظاهر سامانه‌های ارزیابی دیده نمی‌شود:
اعتبار یک ارزیابی، پیش از آنکه به نمودارها، امتیازها و گزارش‌های آن وابسته باشد، به اعتبار منابع و منطق طراحی پرسش‌های آن وابسته است.
یک سؤال ساده، پشتوانه‌ای از دانش و تجربه
تصور کنید قرار است وضعیت فناوری اطلاعات ۵۰ شرکت زیرمجموعه یک هلدینگ ارزیابی شود.
اگر پرسش‌ها صرفاً بر اساس تجربه شخصی چند کارشناس طراحی شده باشند، چه تضمینی وجود دارد که همه ابعاد مهم فناوری اطلاعات بررسی شده‌اند؟
آیا ممکن است موضوعی مهم از قلم افتاده باشد؟
آیا ممکن است به موضوعی کم‌اهمیت، بیش از اندازه توجه شده باشد؟
آیا نتایج چنین ارزیابی‌ای قابلیت دفاع در جلسات مدیریتی را خواهند داشت؟
برای پاسخ به این چالش، ارزیابی حرفه‌ای باید بر پایه منابع معتبر، چارچوب‌های شناخته‌شده و روش‌شناسی مشخص طراحی شود.
این دقیقاً همان نگاهی است که در شکل‌گیری فیدورا مورد توجه قرار گرفته است.
فیدورا حاصل تبدیل تجربه مستمر یک تیم تخصصی در ارزیابی فناوری اطلاعات سازمان‌های مختلف به یک پلتفرم ساختاریافته است؛ تجربه‌ای که طی حدود ۱۳ سال فعالیت در صنایع پتروشیمی، نفت و گاز، انرژی، دارویی، سیمان و سایر حوزه‌های صنعتی شکل گرفته است.
اما تجربه عملی، تنها یکی از پایه‌های این مسیر است.
پایه دیگر، دانش تخصصی انباشته‌شده در استانداردها، چارچوب‌ها و بهترین روش‌های بین‌المللی فناوری اطلاعات است.
وقتی دانش جهانی به زبان ارزیابی تبدیل می‌شود
در دنیای فناوری اطلاعات، سازمان‌های تخصصی و نهادهای استانداردسازی طی سال‌ها تلاش کرده‌اند پاسخ پرسش‌های مهم مدیریتی و فنی را تدوین کنند.
چگونه فناوری اطلاعات باید راهبری شود؟
چگونه ریسک‌های امنیتی مدیریت شوند؟
خدمات فناوری اطلاعات چگونه ارائه و بهبود پیدا کنند؟
معماری سامانه‌های سازمانی چگونه طراحی شود؟
داده‌ها چگونه مدیریت شوند؟
و سازمان‌ها چگونه مسیر تحول دیجیتال و هوشمندسازی را طی کنند؟
حاصل این تلاش‌ها، مجموعه‌ای از استانداردها و چارچوب‌های معتبر است که هرکدام بخشی از دانش حرفه‌ای فناوری اطلاعات را ساختارمند کرده‌اند.
فیدورا در طراحی رویکرد ارزیابی خود از مفاهیم و اصول چنین منابعی بهره می‌گیرد.
COBIT؛ فناوری اطلاعات چگونه باید راهبری شود؟
چارچوب COBIT که توسط ISACA توسعه یافته، یکی از مراجع شناخته‌شده در حاکمیت و مدیریت اطلاعات و فناوری سازمانی است.
این چارچوب به موضوعاتی مانند همسویی فناوری اطلاعات با اهداف کسب‌وکار، مدیریت ریسک، استفاده بهینه از منابع، تحقق منافع و پایش عملکرد می‌پردازد.
وقتی در یک ارزیابی درباره ساختار تصمیم‌گیری فناوری اطلاعات، مسئولیت‌ها، سیاست‌ها یا نحوه نظارت بر عملکرد سؤال می‌شود، مفاهیم COBIT می‌توانند پشتوانه ارزشمندی برای طراحی معیارهای سنجش باشند.
ITIL؛ خدمات فناوری اطلاعات چگونه باید مدیریت شوند؟
ITIL یکی از شناخته‌شده‌ترین مجموعه‌های بهترین روش‌ها در مدیریت خدمات فناوری اطلاعات است.
این چارچوب به سازمان‌ها کمک می‌کند خدمات خود را بر اساس ارزش‌آفرینی، مدیریت رخدادها، مدیریت مشکلات، مدیریت تغییرات، پاسخ‌گویی به درخواست‌ها و بهبود مستمر سازمان‌دهی کنند.
به همین دلیل، ارزیابی واحد پشتیبانی فناوری اطلاعات نباید صرفاً به تعداد کارکنان یا ابزارهای مورد استفاده محدود شود؛ بلکه باید کیفیت فرایندها و اثربخشی خدمات نیز بررسی شود.
ISO/IEC 27001 و NIST CSF؛ امنیت فراتر از خرید تجهیزات است
امنیت اطلاعات تنها به داشتن فایروال، آنتی‌ویروس یا تجهیزات امنیتی محدود نمی‌شود.
استاندارد ISO/IEC 27001 الزامات سیستم مدیریت امنیت اطلاعات را مشخص می‌کند و چارچوب NIST CSF 2.0 نیز رویکردی ساختاریافته برای حاکمیت، شناسایی، حفاظت، تشخیص، پاسخ‌گویی و بازیابی در امنیت سایبری ارائه می‌دهد.
این منابع کمک می‌کنند امنیت به‌عنوان مجموعه‌ای از فرایندها، مسئولیت‌ها، کنترل‌ها و توانمندی‌های سازمانی دیده شود؛ نه صرفاً فهرستی از تجهیزات خریداری‌شده.
TOGAF؛ آیا سامانه‌ها و زیرساخت‌ها از یک معماری مشخص پیروی می‌کنند؟
TOGAF چارچوبی شناخته‌شده برای معماری سازمانی است.
این چارچوب به سازمان‌ها کمک می‌کند میان معماری کسب‌وکار، داده، برنامه‌های کاربردی و فناوری ارتباطی منسجم برقرار کنند.
وقتی سازمان دارای سامانه‌های متعدد، اطلاعات جزیره‌ای یا زیرساخت‌های ناهمگون است، مفاهیم معماری سازمانی می‌توانند برای شناسایی شکاف‌ها و بررسی مسیر توسعه آینده بسیار ارزشمند باشند.
DAMA-DMBOK؛ داده یک دارایی سازمانی است
در بسیاری از سازمان‌ها، داده تولید می‌شود، ذخیره می‌شود و در گزارش‌ها مورد استفاده قرار می‌گیرد؛ اما لزوماً به‌درستی مدیریت نمی‌شود.
راهنمای DAMA-DMBOK مجموعه‌ای از حوزه‌های دانشی مدیریت داده را معرفی می‌کند؛ از حاکمیت و کیفیت داده تا معماری، امنیت، فراداده و یکپارچه‌سازی.
این مفاهیم برای ارزیابی آمادگی سازمان در تحلیل داده، هوش تجاری و هوشمندسازی اهمیت دارند.
زیرا هوش مصنوعی بدون داده قابل اعتماد، نمی‌تواند به‌تنهایی تصمیم‌گیری قابل اعتماد ایجاد کند.
اعتبار ارزیابی در ترکیب درست منابع است
هیچ استاندارد یا چارچوبی به‌تنهایی نمی‌تواند تمام ابعاد فناوری اطلاعات یک سازمان را پوشش دهد.
COBIT بر حاکمیت و مدیریت تمرکز دارد.
ITIL به مدیریت خدمات می‌پردازد.
ISO/IEC 27001 و NIST CSF در مدیریت امنیت و ریسک سایبری کاربرد دارند.
TOGAF به معماری سازمانی می‌پردازد.
DAMA-DMBOK دانش مدیریت داده را ساختارمند می‌کند.
و منابع دیگری مانند ISO 22301، ISO/IEC 20000-1، ISO/IEC 38500 و CMMI نیز می‌توانند در حوزه‌های مرتبط، مبنای طراحی معیارهای ارزیابی قرار گیرند.
هنر طراحی یک نظام ارزیابی جامع، صرفاً کنار هم قرار دادن نام این منابع نیست؛ بلکه انتخاب، تفسیر و تبدیل مفاهیم مرتبط آن‌ها به پرسش‌هایی روشن، قابل سنجش و متناسب با واقعیت سازمان‌هاست.
پرسش خوب باید مشخص کند چه توانمندی یا کنترلی را می‌سنجد، چرا آن موضوع اهمیت دارد و چه شواهدی می‌تواند وضعیت واقعی سازمان را نشان دهد.
از استانداردهای جهانی تا واقعیت سازمان‌های ایرانی
چارچوب‌های بین‌المللی منابع ارزشمندی هستند؛ اما استفاده مؤثر از آن‌ها نیازمند شناخت محیط واقعی سازمان است.
یک شرکت پتروشیمی با یک بانک، یک مؤسسه خدماتی یا یک شرکت دارویی، از نظر مأموریت، ریسک‌ها و وابستگی به فناوری اطلاعات یکسان نیست.
به همین دلیل، تبدیل دانش بین‌المللی به یک نظام ارزیابی کاربردی، نیازمند تجربه میدانی و شناخت تفاوت‌های سازمانی است.
تجربه تیم فیدورا در ارزیابی فناوری اطلاعات صنایع مختلف، این فرصت را فراهم کرده است که مفاهیم تخصصی در کنار مسائل واقعی سازمان‌ها دیده شوند.
برای مثال، اهمیت تداوم خدمات در یک مجموعه تولیدی، مدیریت امنیت در یک سازمان دارای اطلاعات حساس یا یکپارچگی داده در یک هلدینگ بزرگ، باید متناسب با ماهیت فعالیت آن‌ها تحلیل شود.
استانداردها به ما می‌گویند چه موضوعاتی اهمیت دارند؛ تجربه عملی کمک می‌کند بفهمیم این موضوعات را در هر سازمان چگونه باید بررسی کنیم.
شفافیت منابع؛ گامی مهم در اعتماد به ارزیابی
یکی از پرسش‌های طبیعی مدیران فناوری اطلاعات هنگام مواجهه با یک نظام ارزیابی این است:
«مبنای این سؤال چیست؟»
پاسخ معتبر نباید صرفاً این باشد که «کارشناسان ما این سؤال را مهم تشخیص داده‌اند.»
یک نظام ارزیابی حرفه‌ای باید بتواند منابع و منطق تخصصی پرسش‌های خود را توضیح دهد.
در توسعه فیدورا نیز توجه به همین موضوع اهمیت ویژه‌ای دارد: ایجاد ارتباط روشن‌تر میان پرسش‌های ارزیابی و منابع تخصصی مرتبط با آن‌ها.
به این ترتیب، کاربر می‌تواند علاوه بر مشاهده سؤال، با استانداردها، چارچوب‌ها و مفاهیمی که پشتوانه آن موضوع هستند نیز آشنا شود.
این رویکرد دو ارزش مهم ایجاد می‌کند.
نخست، شفافیت و قابلیت دفاع از معیارهای ارزیابی افزایش پیدا می‌کند.
دوم، خود فرایند ارزیابی به فرصتی برای یادگیری و آشنایی مدیران و کارشناسان با بهترین روش‌های شناخته‌شده تبدیل می‌شود.
البته اشاره به یک منبع، به‌تنهایی به معنای انطباق کامل پرسش با آن یا تأیید رسمی ارزیابی از سوی نهاد تدوین‌کننده نیست. اعتبار علمی این ارتباط زمانی تقویت می‌شود که نگاشت پرسش‌ها به بندها، فرایندها و مفاهیم منابع، مستند و قابل بررسی باشد.
فیدورا؛ حاصل پیوند دانش، تجربه و فناوری
فیدورا تلاش می‌کند سه عنصر اساسی را در یک ساختار منسجم گرد هم آورد:
دانش تخصصی:
استفاده از مفاهیم استانداردها، چارچوب‌های بین‌المللی و بهترین روش‌های شناخته‌شده فناوری اطلاعات.
تجربه عملی:
بهره‌گیری از سال‌ها تجربه ارزیابی و آسیب‌شناسی فناوری اطلاعات در سازمان‌ها و صنایع مختلف.
فناوری و تحلیل:
تبدیل داده‌های ارزیابی به نتایج قابل مقایسه، تحلیل روند تغییرات، شناسایی نقاط ضعف و پشتیبانی از تصمیم‌گیری مدیریتی.
این ترکیب به فیدورا کمک می‌کند ارزیابی را از یک پرسشنامه ساده فراتر ببرد و آن را به فرایندی ساختاریافته برای شناخت وضعیت فناوری اطلاعات تبدیل کند.
برای یک وزارتخانه یا هلدینگ، چنین رویکردی اهمیت ویژه‌ای دارد.
زیرا وقتی قرار است وضعیت ده‌ها سازمان و شرکت بررسی شود، مدیران باید بتوانند به روش ارزیابی اعتماد کنند، مبنای نتایج را بشناسند و از اطلاعات حاصل برای تصمیم‌گیری استفاده کنند.
سخن پایانی؛ به یک امتیاز اعتماد کنیم یا به منطق پشت آن؟
فرض کنید دو سامانه ارزیابی، وضعیت فناوری اطلاعات یک شرکت را بررسی کرده‌اند.
هر دو در پایان، امتیازی از ۱۰۰ ارائه می‌کنند.
اما در یکی، مشخص نیست پرسش‌ها بر چه مبنایی طراحی شده‌اند و در دیگری، منطق ارزیابی، منابع تخصصی و معیارهای سنجش قابل توضیح هستند.
کدام نتیجه برای تصمیم‌گیری مدیریتی قابل دفاع‌تر است؟
پاسخ روشن است.
ارزش یک امتیاز، به عددی که نمایش می‌دهد نیست؛ به کیفیت پرسش‌ها، اعتبار معیارها، شواهد گردآوری‌شده و روش تحلیل پشت آن وابسته است.
فیدورا بر این باور شکل گرفته که ارزیابی فناوری اطلاعات باید بر پایه دانش معتبر، تجربه تخصصی و روش‌شناسی روشن انجام شود.
زیرا وقتی قرار است نتایج یک ارزیابی مبنای تصمیم‌های مهم مدیریتی، تخصیص بودجه و تعریف پروژه‌های فناوری اطلاعات قرار گیرند، دیگر نمی‌توان به پرسش‌های سلیقه‌ای و تحلیل‌های بدون پشتوانه اکتفا کرد.
فیدورا؛ جایی که تجربه ارزیابی فناوری اطلاعات با دانش و بهترین روش‌های بین‌المللی پیوند می‌خورد.