Аудит в ИТ

Захар Кириллов, MSc

[email protected]

Mainori Krgkool

2010

Организационные вопросы

4 встречи по 6 часов

3.10, ???, 28.11, 17.12

Экзамен - дата уточняется

50% - тест в Moodle

50% - защита и обсуждение домашней работы

Домашняя работа

Проведение аудита в организации :)

Если нет организации – доклад (реферат) по малоизученной теме курса Темы курса IT Governance (IT valitsemine) Стандартизация в ИТ Аудит: терминология, принципы, методики Фреймворки ISKE, COBIT и ITIL Пранирование, проведение и документирование аудита, представление и обсуждение результатов Ожидаемые результаты Понимать философию IT governance Знать терминологию аудита в ИТ, роли участников, их цели и задачи Ориентироваться в существующих отраслевых стандартах, в т.ч. COBIT и ITIL Уметь поэтапно планировать и проводить аудит, предоставлять его результаты Как можно применить знания курса аудита в ИТ?

Свой бизнес в области консалтинга, разработки ПО,...

При устройстве на работу на должность руководителя по ИТ (IT juht) в аудиторские фирмы (KPMG, Deloitte, PWC, Ernst & Young) Устроившись в орагнизацию "айтишником"...

и оказавшись в ней единственным (для знакомства с организацией и управления её ИКТ) и попав в большой коллектив (100+) большой организации Не в ИТ-сфере: для внедрения новых технологий Чтобы не остаться без работы в случае...

недальновидного начальства, самодуров, "гидры" внешнего ИТ-аудита, желающего вас "разоблачить" Что читать самостоятельно?

Никлас Карр: Блеск и нищета ИТ Билл Гейтс: Дорога в будущее; Бизнес со скоростью мысли Фредерик Брукс: Мифический человекомесяц Что-нибудь несложное про ITIL и COBIT (например, "ITIL at a Glance" или "COBIT for Dummies" – google it :) IT governance Что такое IT governance?

В двух словах: как внедрить использование ИКТ с максимальной пользой для бизнеса?

тесная интеграция ИКТ с бизнеспроцессами, целями и задачами организации использование ИКТ для поддержки бизнеса управление качеством и производительностью в ИКТ риск-менеджмент использования ИКТ в бизнесе Руководители "верхнего уровня" зачастую некомпетентны в ИКТ, вследствие чего...

Пытаются рулить ИТ сами: инвестиции, выбор и внедрение технологий, обучение сотрудников Делегируют руление ИТ "сисадмининам и программистам" (без обид! :) Результаты Нерациональная трата ресурсов (все занимаются ерундой и тратят много денег зря) Начальство ругает и меняет "айтишников" Как должно быть в идеале?

Каждая сторона вносит посильный вклад в рамках своей компетенции Руководство (совет директоров) Финансовый отдел (бухгалтерия) Все внутренние потребители ИКТ-услуг Отдел ИКТ (сисадмины и программисты) Гарантировать целенаправленное использование выделенных на развитие и поддержку ИКТ ресурсов Сделать возможным не только измерение расходов на ИКТ, но и измерение достигнутых при их помощи доходов или экономии Учесть имеющиеся риски и минимизировать негативные последствия в случае возникнования внештатных ситуаций Как же добиться эффективности?

Прекратить считать ИКТ чьей-то блажью Составить бюджет и действовать в его Определить ответственных за каждый элемент ИТ-инфраструктуры Движение информации в организации Правила, стандарты, политики Пользователи (права и обязанности) Технологии (приложения, оборудование) Из чего состоит IT Governance?

Asset Management - имущество Security Assessment - безопасность Portfolio Management - инвестиции Enterprise Architechture - архитектура Project Management - проекты Service Management - услуги Как включить ИКТ в поддержку стратегических целей Использование ИКТ становится критичным в конкурентной борьбе даже не в ИТ-отраслях Ожидания от ИТ расходятся с реальной их отдачей (забивание гвоздей микроскопом) ИТ живёт своей жизнью Инвестиции в ИТ не обоснованы потребностями организации в ИКТ услугах В случае форс-мажора нет ответственных или же отвечают за всё только "айтишники" Что должно получиться?

ИКТ тесно интегрированы в бизнес-процессы (а не существуют отдельно в подвале организации, как герои сериала IT Crowd) Все знают, чем и для чего занимаются ребята из отдела ИТ Расходы на ИКТ запланированы исходя из бизнес-целей и контролируются Риски, связанные с использованием (или неиспользованием) ИКТ учтены и организация способна реагировать в случае форс-мажора Каркас для IT Governance Цикл развития IT Governance (1/2) Цикл развития IT Governance (2/2) Stakeholder Value Drivers – руководство (владельцы) организации определяют, какой отдачи (от бизнеса) они хотят?

IT Strategic Alignment – проекция бизнесцелей на ИКТ: чем ИКТ могут помочь?

IT Value Delivery – пытаемся помочь, оставаясь при этом в рамках бюджета :) Risk Management – обеспечиваем работоспособность и отказоустойчивость Performance Measurement – оцениваем эффективность внедренных решений Проекция бизнес-целей на ИТ Проекция – это процесс (постоянное, повторяющееся действие) Необходимо выполнять каждый раз после корректировки или изменения бизнес-целей Заставляем ИТ помогать бизнесу Начальство оценивает результат субъективно Хотя у нас есть объективные показатели Из которых сложно извлечь влияние ИТ Оценка и управление рисками Прозрачность относительно рисков: все знают, что может случиться и чем это грозит Для чего делать бэкапы и как часто?

Отчает имеющий обязательства, если их нет – то его начальник Оценка рисков – это выгодно (посчитали и сравнили рентабельность затрат) Управление рисками должно быть проактивными (на чужих ошибках, а не на Оценка эффективности ИКТ С т.з. Финансов: совокупные расходы на ИТ не превышают извлекаемой выгоды С т.з. Пользователей: какие нужды пользователей должны удовлетворить ИКТ?

С т.ч. Руководства и владельца: как изменилилась конкурентноспособснось, рентабельность и репутация организации после задействования ИКТ?

Balanced Scorecard для оценки эффетивности ИКТ Управление ИТ как процесс управления Модель "зрелости" ИКТ в организации Как использовать "модель зрелости"?

Собраться всем вместе и определить, где сейчас находится ораганизация? (сравнив с действующими стандартами и лучшими практиками) Определить долгосрочные и краткосрочные цели (например, "догнать и перегнать") Выяснить, что нуждается в изменении, сколько они будут стоить и что нужно для их проведения Приоритезировать работы и сделать их Подождать и повторить с первого пункта Пример ИТ-группы банка терминология, принципы, Консультационная услуга Независимый анализ или обзор текущего использования средств ИКТ в организации Проверка или тестирование эффективности, достаточности, надёжности и целесообразности использования конкретных ИКТ в организации Аттестирование персонала, процессов и документации по поддержке, обслуживанию и действиям в нештатных ситуациях Выявить потенциально уязвимые компоненты инфосистемы Проверить добропорядочность поставщиков оборудования, подрядчиков, персонала Оценить компетентность персонала и дать рекомендации по её повышению Проверить полноту документации, особенно – сценарий действий в случае форс-мажора Рассказать руководству понятным языком, как обстоят дела с ИКТ в их фирме (эффективность, безопасность, доступность) и что можно/нужно сделать иначе (сэкономить денег, снизить риски, повысить конкурентноспособность). Письменно!

Что изучается при аудите?

Всё – чем больше, тем лучше Аудит может быть точечным: по аспектам Безопасность и доступность инфосистем Защищённость данных (физическая среда) Соответствие законодательству, стандартам Полнота и достаточность документации и правил Инвентаризация оборудования и лицензий Code review (рефакторинг кода) Сертификация персонала Веб-сайт организации Независимый специалист или компания Не должен быть одним из подрядчиков или поставщиков оборудования или услуг Сертификат CISA, CISM, CGEIT Входит в ассоциацию ISACA или её локальное подразделение (www.isaca.ee) Образование: обычно финансы/инфотехнология/юриспруденция и их комбинации (учёная степень, MBA) Опыт работы: от 5 лет (желательно) Аудиторские организации "Большая четвёрка" PriceWaterhouseCoopers Государственные департаменты Finantsinspektsioon Andmekaitse inspektsioon Аудит – это проект со всеми вытекающими Ознакомиться с организацией, её структурой, наличием и полномочиями ИТотдела Определить границы аудита (обзора) и его Договориться о единои контактнои лице с каждой строны, регулярных встречах, формате и сроке предоставления отчёта Проверить наличие доступа ко всем изучаемым объектам и достаточность прав Получить документацию и тщательно её изучить Если мы имеем дело с "самодельной" инфосистемой / ПО – начать им пользоваться с разными ролями и правами Делать заметки с самого начала Отчёт для заказчика писать на человеческом языке, рекомендации для ИТ-специалистов – на техническом Режим работы инфосистемы (5х8, 24х7х365) и как он обеспечен?

Что случится, если режим нарушится? Кто, как быстро и какие действия должен предпринять (время реагирование, допустимое время простоя, "план пожаротушения")? Знают ли ответственные и исполнители о своих обязанностях?

Доступны ли они? Есть ли у них всё необходимое оборудование и доступ?

Проводился ли ранее аудит (обзор) инфосистемы? Кем, когда, каковы его результаты? Какие меры по ним приняты?

Какие важные изменения в среде произошли после проведения аудита?

Кто является разработчиком ИС, кто её обслуживает, поддерживает пользователей?

Какова их репутация, опыт, история?\ Из чего состоит ИС (железо, софт, версии) и нуждается ли в критическом обновлении?

Какие бизнес-процессы будут нарушены изза недоступности ИС? Как можно их дублировать с/без использования ИКТ? Как потом измененные/добавленные данные попадут в ИС после восстановления её работоспособности?

Какие другие ИС зависят от "упавшей" ИС или от доступности каких других ИС зависит доступность исследуемой системы?

Кого и как следует извещать о проблемах ИС разного уровня критичности?

Насколько опытны пользователи ИС? Какие есть возможности для предотвращения проблем, вызванных их некомпетентностью?

Существует ли в ИС возможность отката сделанных изменений или лог?

Доступна ли пользователям самая свежая документация по ИС на понятном им языке?

Ведётся ли FAQ по обращениям пользователей, лог типичных проблем и способах их устранения?

Кто и как обслуживает аппаратную часть ИС? Заключен ли с ним договор со временем реагированием и ответственностью за простой?

Какова лицензионная политика ИС, соблюдена ли она, как обеспечивается контроль за сроком действием лицензий, продление и отзыв лицензий?

Установлены ли самые минимальные права дял каждого из пользователей / группы?

Есть ли в ИС противоречия здравому смыслу, несоответствие законодательству или бизнес-целям организации?

Ведётся ли лог программых/аппаратных ошибок, как он хранится и защищается? Как часто и кем просматривается, принимаются ли какие-то действия?

Требования к способу авторизации, паролям, частоте их смене, процедура получения, смены и отзыва доступа Импорт/экспорт данных Резервное копирование и восстановление данных, частота, период хранения копий Значения по умолчанию, границы настроек (персонализации) Проблема аудита ИС с точки зрения безопасти Три аспекта безопасности Доступность (kideldavus, availability) в часах или % от заявленного времени доступности Если мы заявляем, что "наша инфосистема работает круглосуточно с доступностью 99%" то какой максимальный downtime в год мы можем Достаточно ли будет его для переустановки ОС?

Если нет, то как обеспечить заявленную Какова фактическая доступность нашей ИС, если мы вынуждены отключать её каждую ночь Три аспекта безопасности Целостность (terviklus, integrity) - бинарна:

она либо есть, либо её нет, хотя можно проводить некоторые параллели с фрагментацией диска):

собственно сами данные правила обработки данных связи между всем вышеперечисленным Пример: RAID-контроллер (режим 0, 1, 5) Конфиденциальность (konfidentsiaalsus, confidentiality) – данные доступны только тем людям, которые имеют на это соответствующее право И даже эти люди не могут своим правом злоупотребить!

Или хотя бы останется след злоупотребления!

• Зависимость (sltumisvrsus, dependability) • Надёжность (tkindlus, reliability) – MTBF (Mean Time Before Failure – среднее время наработки на отказ) • Безопасность (ohutus, safety) • Защищённость (turvalisus, security) • Угроза (ohu, threat) • Уязвимость (nrkus, vulnerability) • Риск (risk, risk) • Дыра в защите (turbekadu, security loss) • Мера безопасности (turbemeetmed, security measures) Каждая мера безопасности стоит денег $ Меры безопасности уменьшают угрозу Но устранить её полностью слишком дорого Поэтому всегда существует некий остаточный риск Это нормально Иначе организация может стать неконкурентноспособной Расходы на безопасность убыток в результате инцидента Turberiski tenosus 100 % Не существует "серебряной пули" – универсального способа устранить все Мы можем только снижать риски, используя комплексные меры безопасности При этом остаётся смириться с остаточным риском и признать вероятность возникновения определенных угроз Задача аудита – определить эти угрозы и оценить эффективность сделанных (планируемых) капиталовложений Фреймворк ISKE Трёхуровневый каркас эталонных мер безопасности для инфосистем Разработан в Эстонии (RIA) на основе немецкого стандарта IT-Grundschutz (IT Baseline Protection Manual) в 2003 году Обязателен для использования в государственных структурах Эстонии, но подходит и для других организаций Обновляется (почти) каждый год, текущая версия – 5.01 (июнь 2010) Домашняя страница: http://www.ria.ee/iske Обеспечить достаточную защиту обрабатываемых ИС данных Описывает эталонные меры для каждого из трёх уровней безопасности:

Оптимальный уровень защиты обычно тут Критерии: требования к конфиденциальности, целостности, доступности и скорости восстановления ISKE turbejuhend - основной документ, руководство по мерам безопасности ISKE kataloogid – приложение (более страниц), в котором подробно описаны все компоненты ИС, угрозы и возможные атаки ISKE audiidi junend – руководство по аудиту Класс H – обязательный аудит 1 раз в 2 года Класс M – обязательный аудит 1 раз в 3 года Класс L – обязательный аудит 1 раз в 4 года Аспекты безопасности по ISKE Доступность – K Целостность – T Т1 – запрещено несанкционированное изменение данных Т2 – известен автор изменений Т3 – подтверждение автора изменений третьим лицам Конфиденциальность – S S1 – возможен материальный или моральный ущерб S2 – угроза функционированию учреждения / приватность граждан S3 – угроза функционированию гос-ва / угроза хаоса и анархии Уровень 0 (K0, T0, S0) – аспект не имеет значения Примеры эталонных мер ISKE Оповещение о переполнении накопителя призаполнении его объёма на 75% 1 сервер = 1 услуга Регулярный поиск wifi honeypot Безопасные форматы файлов (txt, jpg, gif), потенциально опасные и запрещенные Название WiFi не должно ссылаться на владельца и не должно работать с DHCP Скринсеверы с паролем через 5 мин неактивности Изменения в топологии сети документируются в течение 2 часов При выносе сменных носителей из здания информация на них должна быть зашифрована Стандартизация в ИТ Если аудитируемая организация утверждает, что придерживается тех или иных стандартов – проверить Если не утверждает – обратить внимание на то, какие аспекты деятельности можно стандартизировать и как Стандарт – друг аудитора :) Кто определяет стандарты?

ISO – International Organization for Standardization IETF – Internet Engineering Task Force Технические стандарты и протоколы, RFC W3C – World Wode Web Consortium OASIS - Organization for the Advancement of Structured Information Standards EVS – Eesti Standardikeskus ISO/IEC 19770 Software Asset Management ISO/IEC 20000 IT Service Management (ITSM) ISO/IEC 24762 Disaster Recovery Guidelines ISO/IEC 27000 Information Security ISO/IEC 31000 Risk Management ISO 9000 Quality Management ISO 14001 Environmental Management (Green IT) EN 16001 Energy Management Mobile Web (Geolocation, UI, widgets) Voice Browsing (VoiceXML) Internationalization (i18n, l10n) Security Meta Formats (RDF, OWL) Privacy (P3P) Accessibility (WAI, WCAG) BCM — Business Centric-Methodology CAP — Common Alerting Protocol CAM — Content Assembly Mechanism CIQ — Customer Information Quality DocBook — A markup language for technical documentation EML — Election Markup Language EDXL - Emergency Data Exchange Language, oBIX — open Building Information Exchange OpenDocument SAML — Security Assertion Markup Language, XACML — eXtensible Access Control Markup Language EVS-ISO 2382 Infotehnoloogia snastik EVS 8:2008 Infotehnoloogia reeglid eesti keele ja kultuuri keskkonnas Правила для информационных технологий в эстонской языковой и культурной среде EVS JUHEND - Standardi EVS 8: rakendusjuhend Разделитель дробной части – запятая (,).

Например: 543, Разряды группируются с конца по 3 цифры и разделяются пробелом.

Например: 1 Числа до 9999 не группируются В отрицательных числах знак минуса не отделяется от числа.

Например:

- Округляются [0;4] до предыдущего, [5;9] – до следующего.

Разделитель дробной части – точка.

Правила группировки такие же, как и у чисел.

Международное обозначение валюты – EEK и EUR, пишется перед суммой и отделяется от нее пробелом Внутреннее обзначение – kr, euro, € - пишется после суммы, отделяется пробелом, точка не ставится.

Округление: [1;2] до 0, [3;7] до 5, [8;9] до следующего Например:

-543.21 € или 543.21 kr Первый день недели – понедельник День месяца всегда отделяется остальной части даты точкой Формат даты: день.месяц.год Ноль перед днем месяца может не ставиться Сокращения дней недели – однобуквенные (E,T,K,N,R,L,P) Сокращения месяцев: jaan, veebr, mrts, aprill, mai, juuni, juuli, aug, sept, okt, dets laupev, 21. veebruar 2004. a 24-часовая система времени Формат времени: ч:мин:сек,мс Разделитель времени – двоеточие Например:

22:45:36, 07: 21.02.2004 12: Кодовые страницы ISO/IEC 8859-15, 8859-1, 8859-4, 8859-13;

MS Windows-1257 Baltic, Windows-1252 CE;

Знак номера - слово “Nr” (№,# не используется) Знак деления – “:” или “/” Знак параграфа - §, а не Знак препинания не отделяется пробелом от предыдущего слова, предложения отделяются одним пробелом, «красная строка» не используется (вместо неё «пустая строка») Вложенность кавычек: “Text «Text»” Дефис, минус, тире – разные знаки (-, –, —) Формат: Имя Фамилия Отчество не используется Допустим инициал имени Используются обороты “hrra”, “proua”, “preili” и их сокращения – hr, pr Личный код формата GYYMMDDoooC EVS 8:2008 – почтовый адрес Standardiamet Jaan Tamm 10317 Tallinn Karu kla, Saue vald Внутри – без кодов;

международный формат +код, отделен пробелом Цифры группируются по 2,3 или по 4 с конца Можно выделять «логическую часть»

Например +372 EVS 8:2008 – код страны Трехбуквенный EST Выберите организацию Вы устраиваетесь на работу в IT-helpdesk в сеть продуктовых магазинов сеть автозаправок сеть аптек сеть библиотек сеть страховых агенств задача – задав 10 вопросов 3 контатным лицам организации выяснить максимум информации об использовании ИКТ Генеральный директор Главный бухгалтер Руководитель ИТ Веб-мастер сайта Системный администратор Начальник IT helpdesk Сотрудник IT helpdesk Директор одного из отделений сети Работник одного из отделений сети Фреймворк COBIT COBIT (Control OBjectives for Information and related Technology) - методология управления, контроля и аудита информационных систем.

Разработан в 1996 г Международной ассоциацией аудита и контроля за информационными системами (ISACA) Делит всю деятельность ИТ на 4 домена (сферы деятельности), 34 высокоуровневых процесса и 318 детальных задач управления Текущая версия – 4.1 (в разработке - 5.0) Исследование, разработка, реклама и продвижение международного набора авторитетных, отвечающих современным требованиям, общепризнанных задач управления ИТ.

Связующее звено между бизнес-рисками, задачами управления и технической инфраструктурой.

Ориентирован прежде всего на ИТменеджеров, руководителей предприятий и владельцев бизнес-процессов.

Организовать мониторинг работы служб ИТ, привязанный к целям и задачам бизнеса Осуществлять сравнение уровня развития ИТ с другими предприятиями отрасли Представить виды деятельности ИТ в виде логичной управляемой структуры процессов Помочь сфокусироваться на контроле, а не на исполнении (оптимизация инвестиций в ИТ, обеспечить непрерывное предоставление услуг, предложить инструмент измерения эффективности и корректирующие меры).

Финансы доход/расход, ROI, активы, интрессы, риски Клиенты Качество обслуживания, потребности в услугах Внутренние процессы Соответствие законам, интеграция и автоматиз.

Обучение и развитие Инновации, мотивация персонал, база знаний планирование и организация (ИТ-процессов и услуг отдела ИТ) комплектование и внедрение предоставление и поддержка мониторинг и отчётность С одной стороны связан с доменом, с другой — с целью (ИТ-цель и бизнес-цель) Для каждого процесса определены:

Ключевые индикаторы достижения цели (KGI).

а были ли достигнуты ИТ-процессом бизнестребования?

Ключевые показатели эффективности (KPI) насколько хорошо работает ИТ-процесс для обеспечения достижения целей?

Степень зрелости процесса по шкале от 0 (отсутствует) до 5 (внедрены Документы COBIT ("книги") «Резюме для руководства» - введение в остальные разделы стандарта. Cодержит общие сведения о стандарте, определяет миссию COBIT и понятие системы управления «Концептуальное ядро COBIT» - набор основополагающих принципов и понятий, модель управления ИТ «Руководство по менеджменту» - описывает разработку стратегии управления ИТ, контроль над использованием информационных ресурсов, их мониторинг и оценку Документы COBIT ("книги") «Набор инструментов внедрения» - разъясняет ключевые концепции, предлагая пошаговое описание и примеры внедрения «Детальные задачи управления» - каждая задача управления (всего - 318) содержит формулировку ожидаемых результатов, которые необходимо достигнуть путем реализации конкретных процедур управления.

«Руководство по аудиту» - облегчает использование концептуального ядра и основных принципов управления COBIT при проведении ИТ-аудита.

бизнес-цели и их приоритет (справа – ссылки на связанные цели ИТ-отдела) Пример COBIT: цели отдела ИТ (справа – ссылки на связанные ИТ-процессы) Пример COBIT: приоритетные ИТ-процессы проектирование и разработка приложений проектирования и разработки приложений который удовлетворяет требованию бизнеса к ИТ по обеспечению доступности приложений, соответствующих бизнестребованиями в срок и по приемлемой цене создании и поддержании регулярного и рентабельного процесса разработки 1) переноса бизнес-требований в Технические Задания 2) следования стандартам разработки для всех изменений 3) разделения мероприятий по разработке, тестированию и эксплуатации а) количеством проблем на одно приложение, приводящих к наблюдаемым простоям системы б) процентом пользователей, удовлетворенных предоставленной функциональностью закупки ИТ-ресурсов который удовлетворяет требованию бизнеса к ИТ по повышению рентабельности ИТ и их вкладу в доходность бизнеса приобретении и поддержании компетенций в ИТ, отвечающих за реализацию стратегии по осуществлению закупок интегрированной и стандартизованной инфраструктуры и сокращение закупочных рисков 1) получения профессионального сопровождения по юридическим и контрактным вопросам 2) определения процедур и стандартов закупок 3) приобретения требуемого оборудования, ПО и услуг в соответствии с определенными процедурами а) количеством споров по вопросам закупок б) снижением закупочных цен в) процентом заинтересованных лиц, удовлетворенных поставщиками Куб COBIT Фреймворк ITIL ITIL (IT Infrastructure Library) - единый набор лучших практических методов по планированию и управлению ИТ, опробованных государственными и частными организациями всего мира Разработана в 1980-х годах в Англии, издаётся британским правительственным агентством Office of Government Commerce (принадлежит Королеве :) и является зарегистрированной торговой маркой Последняя версия – v3 (2007 г) соответствует ISO предоставление услуг более высокого качества обоснование качества услуг с точки зрения соответствие услуг требованиям бизнеса, заказчика и пользователя интеграция и централизация процессов знание всеми работниками своих ролей и обязанностей в ходе предоставления услуг извлечение уроков из прошлого опыта мониторинг показателей эффективности Структура и состав ITIL Стратегия услуг (Service Strategy) Проектирование услуг (Service Design) Преобразование услуг (Service Transition) Эксплуатация услуг (Service Operation) Постоянное улучшение услуг (Continual Service Improvement) Процесс управления инцидентами Процесс управления проблемами Процесс управления конфигурациями Процесс управления изменениями Процесс управления релизами Процесс управления доступностью Процесс управления непрерывностью Процесс управления финансами Процесс управления уровнем услуг Процесс управления мощностями единая точка контакта между пользователем и ИТ прием, регистрация обращений пользователей по вопросам ИТ;

идентификация и обработка инцидентов и запросов на обслуживание;

начальная поддержка пользователей;

информирование пользователей о текущем статусе обращений;

накопление базы знаний по решенным инцидентам;

диспетчеризация инцидентов специалистам более высокой квалификации;

контроль сроков решения инцидентов;

эскалация инцидентов;

управление жизненным циклом инцидента;

участие в различных процессах поддержки и предоставления услуг информирование пользователей о проведении плановых работ