Реактивное управление фокусируется на анализе уже возникших инцидентов для поиска корневых причин и предотвращения повторов. Проактивное управление выявляет потенциальные проблемы через анализ данных мониторинга, прогнозирование перегрузок систем или аудит архитектуры. Второе тесно связано с управлениями доступностью и мощностью, требует отдельных методик и ресурсов. Смешение этих направлений в рамках одного процесса приводит к неэффективности — проактивные задачи необходимо выделять как самостоятельный процесс.

Проект по построению модели аллокации ИТ-затрат требует соблюдения определенных правил. Во-первых, зафиксируйте конечную цель аллокации до начала проектирования, так как от нее зависит выбор объектов отнесения затрат и правила классификации на прямые и косвенные. Во-вторых, проведите детальное обследование текущей практики учета, проверив источники данных, а не доверяя устным заверениям о наличии договоров, таймшитов или соответствия бухгалтерского учета и CMDB. В-третьих, определите, как аллокация ИТ-затрат будет интегрироваться в общекорпоративную систему, что влияет на состав затрат, структуру данных и алгоритмы расчетов. В-четвертых, моделируйте влияние аллокации на поведение сотрудников, учитывая, что результаты будут использованы для оценки деятельности. В-пятых, начните как можно раньше распространять информацию о назначении и принципах аллокации, чтобы дать время на адаптацию и внесение корректировок. В-шестых, явно закрепите ответственность за актуальность аллокационной модели, распределив ее между ИТ-департаментом и экономистами, чтобы контролировать справочники, исходные данные и правила аллокации.

Для минимизации злоупотребления статусом 'Ожидание' рекомендуется: ограничить круг лиц, которые могут переводить задачи в этот статус (пример: только руководители групп после получения объяснений от сотрудников); ввести обязательное указание конкретной причины перевода с четкими требованиями к формулировкам; организовать регулярный контроль количества задач в статусе 'Ожидание' с выборочной проверкой обоснованности; устанавливать максимальные допустимые сроки нахождения в данном статусе; внедрить автоматические оповещения о продлении срока ожидания. Эффективность повышается при сочетании строгих прав доступа и регулярного аудита.

В операционный аудит CMDB входит обработка сверок, то есть проверка соответствия данных в CMDB фактическому состоянию конфигурационных единиц в оперативном режиме, обычно в ходе выполнения других операций с конфигурационными единицами. Периодический аудит CMDB подразумевает выборочную или полную проверку данных с определенной периодичностью для обеспечения их точности и полноты. Оба вида аудита являются важными компонентами процесса сопровождения CMDB, направленными на поддержание данных в актуальном и достоверном состоянии. Эти задачи требуют определенных трудозатрат, которые необходимо учитывать при планировании ресурсов на сопровождение CMDB, особенно при широком охвате учета конфигурационных единиц.

Проактивный анализ позволяет выявить уязвимости до их эксплуатации, например, через аудит конфигураций, стресс-тестирование или сканирование уязвимостей. Это снижает вероятность инцидентов, особенно критических, и минимизирует затраты на их устранение. Например, обнаружение устаревшей версии программного обеспечения до кибератаки дает возможность обновить систему без прерывания бизнес-процессов.

Для обеспечения корректного взаимодействия процесса управления сервисными активами с другими ИТ-процессами необходимо описать связи и структуру взаимодействия со следующими процессами и функциями: управление основными средствами, управление проектами, управление разработкой и тестированием, управление изменениями и релизами, заказчики сервисов, внешние каналы взаимодействия (SPI), операционные функции включая Service Desk, управление взаимоотношениями с поставщиками. Ключевой момент - четко определить моменты передачи данных между процессами, например, при создании новых конфигурационных единиц, обновлении данных после изменений или аудитов, а также при закрытии жизненного цикла активов. Такое описание обеспечивает целостность информации в CMDB и поддерживает непрерывность бизнес-сервисов.

Документ об архитектурных и технологических стандартах для разработки новых информационных решений включает следующие аспекты: определение допустимых языков программирования и сред разработки, утверждённых платформ и систем управления базами данных (СУБД), стандарты и протоколы взаимодействия компонентов системы, механизмы развёртывания и настройки локаторов прикладных серверов и middleware, требования к интерфейсу пользователя и администратора системы, стандарты по резервному копированию и восстановлению данных, требования к системам мониторинга и журналирования событий, правила форматирования и хранения логов, возможные ограничения на периоды стабильности системы (freeze периоды), требования к безопасности и аудиту. Такой документ обеспечивает техническую согласованность разрабатываемых решений с существующей инфраструктурой и позволяет избежать использования подходов и технологий, которые создают сложности при эксплуатации или сопровождении системы.

Владелец процесса управления уровнем услуг отвечает за то, чтобы процесс соответствовал своему назначению (fit for purpose). Его обязанности включают постановку процесса, разработку политик и стандартов, обеспечение процесса необходимыми ресурсами, определение целевых показателей для процесса (не для SLA), настройку качественного взаимодействия с процессом управления взаимоотношениями с бизнесом, проведение периодических аудитов и улучшение процесса. Владелец процесса обеспечивает направление и контроль работы процесса, определяя общую стратегию.

Микросервисная архитектура усложняет обеспечение безопасности приложений, так как увеличивает поверхность атаки из-за большого числа взаимодействующих компонентов и точек обмена данными. Каждый микросервис должен иметь собственные механизмы аутентификации, авторизации и шифрования данных, что требует более тщательного проектирования безопасности на всех уровнях. Необходимо обеспечить безопасное взаимодействие между сервисами, защиту API, управление секретами и ключами. Каждый сервис должен соответствовать сквозным требованиям безопасности, что усложняет контроль и аудит системы. Требуется внедрение систем централизованного управления безопасностью, мониторинга угроз и анализа логов безопасности для всего набора микросервисов.

Рекомендуется воспринимать уровни зрелости процессов в COBIT исключительно как иллюстративный инструмент для визуализации текущего состояния или разницы между текущим и целевым состояниями. К ним не следует относиться слишком серьёзно, и они не должны становиться основной целью проекта. Вместо этого необходимо концентрироваться на улучшении конкретных процессов и контролирующих мероприятий. При обследовании процессов важно помнить, что уровень зрелости является побочным продуктом анализа, а не его главным результатом, поэтому основное внимание должно уделяться практическим результатам и улучшению реальных процессов.