Auditoria Em T.I

Auditoria de Tecnologia da Informação

Introdução • Auditoria de TI = Auditoria de Sistemas.

Nesse tipo de auditoria é analisado um conjunto de controles gerenciais e procedimentos que afetam o ambiente de informática. • Itens de verificação: • Padrões e políticas adotadas pela organização. • Operações sobre sistemas e dados. • Disponibilidade e manutenção do ambiente computacional. • Utilização dos recursos computacionais. • Gerência de banco de dados e rede. • Aspectos relacionados à segurança de informações.

Controles Organizacionais • São políticas, procedimentos e estrutura organizacional estabelecidos para definir as responsabilidades dos envolvidos nas atividades relacionadas à área de informática. • São o ponto de partida das auditorias de sistemas. • O auditor, na fase de planejamento, deve analisar a estrutura adotada pela entidade auditada, seus componentes e relacionamentos com outros setores da organização. • Responsabilidades Organizacionais – o Departamento de Informática deve ter uma estrutura organizacional bem definida. • Importância em relação a outros setores. Não quer dizer que deva se considerar “superior”. • As descrições dos cargos e as habilidades técnicas para exerce-los devem estar estabelecidas e documentadas.

Controles Organizacionais •Responsabilidades Organizacionais – Deve existir um canal de relacionamento entre a alta gerência, sobretudo para assegurar os recursos necessários à implantação e manutenção da segurança, além do próprio comprometimento do desempenho do deptº. • Políticas, Padrões e Procedimentos – São a base para o planejamento gerencial, o controle e a avaliação do DI. • Políticas e padrões implementados pela alta gerência são mais considerados na prática. • A partir das políticas, são estabelecidos padrões, por exemplo, para aquisição de recursos (humanos ou computacionais), projetos, desenvolvimentos, etc.. • Procedimentos descrevem a forma como as atividades deverão ser executadas. Podem ser definidas pelo DI e aprovados pela gerência.

Controles Organizacionais • Estratégia de Informática – É um documento também conhecido como Plano Diretor de Informática ou PDTI. Serve como base para qualquer investimento na área de informática, traçando os objetivos e projetos futuros da organização. • A falta de uma estratégia de informática é o desenvolvimento de sistemas que não satisfaçam os objetivos do negócio da organização. • Na auditoria, também são verificados se os objetivos da Estratégia da Informática estão sendo seguidos, onde estão sendo modificados e onde não há nenhuma correspondência entre o proposto e o real. • Política sobre documentação – Define padrões de qualidade e classificação dos documentos. Para a auditoria e a segurança, a documentação serve de fonte primária de informações sobre sistemas auditados e o ambiente computacional.

Controles Organizacionais • Gerência de RH – As causas mais freqüentes de acesso não autorizado ,perdas de dados ou pane dos sistemas, são erros, omissões, sabotagem ou invasões feitas por pessoas contratadas pela própria organização. • Funcionários mal intencionados têm tempo disponível e liberdade para vasculhar mesas, ler e copiar documentos e informações. Sabem também como a organização funciona e que tipo de informação poderia ser valiosa para a concorrência. • Ex-funcionários são igualmente interessantes para a concorrência, pois podem servir como fontes de informações. • Para reduzir esses riscos, a organização tem que adotar políticas, controles e critérios para a contratação de pessoal. Após a contratação, as atividades do funcionário devem ser monitoradas e supervisionadas.

Controles Organizacionais • Plano de Contratação e Desenvolvimento de Pessoal – Visa manter a equipe tecnicamente preparada, para operar o ambiente computacional atual e acompanhar os avanços tecnológicos. • O desenvolvimento técnico motiva os funcionários para o desempenho de suas atividades. • Seleção de pessoal – As políticas de seleção devem ser definidas de tal maneira que a equipe seja composta de pessoas confiáveis, com nível técnico compatível e de preferência, satisfeitas profissionalmente. Isso garante uma qualidade no trabalho e reduz os riscos. • Muitas vezes, como é o caso de órgãos públicos, o processo se torna mais rígido, com a aplicação de concursos públicos e da apresentação de documentação comprobatória de escolaridade. • A análise de referências profissionais, experiências profissionais, antecedentes, etc.. também são importantes na seleção.

Controles Organizacionais • Treinamento – Visa manter a equipe tecnicamente preparada, para operar o ambiente computacional atual e acompanhar os avanços tecnológicos. • Estímulo a troca de experiências com os demais membros da equipe, como forma de multiplicar o conhecimento. • Avaliação de desempenho – os funcionários devem ser regularmente avaliados de acordo com padrões estabelecidos e o cargo ocupado. • Como pode envolver aspectos emotivos e de relacionamento entre avaliador e avaliado, o processo de avaliação deve ser mais objetivo possível. • Rodízios de Cargos e Férias – podem servir como controles preventivos de fraudes ou atividades não autorizadas. Um funcionário, sabendo que outra pessoa pode exercer suas funções, ficará inclinado a não praticar atos desautorizados.

Controles Organizacionais • Segregação de Funções – Visa evitar que um indivíduo detenha todo o controle de todas as fases do processo e caia na tentação de praticar algum ato ilícito. • Segregação significa que os estágios de uma transação ou processo são distribuídos a pessoas diferentes, para que um não tenha todo o controle do início ao fim. • Provoca também um controle mútuo das atividades, ao mesmo tempo que, para ocorrer algum problema, tem que haver a conivência de mais pessoas. • A detecção de erros pode ser mais freqüente, pois quem os comete, normalmente não os percebe. • A limitação de pessoal pode ser fator proibitivo à segregação, cabendo à organização adaptar-se ou buscar outros controles, para compensar a falta de segregação. • Interrupção do Contrato de Trabalho – tão importantes quanto a contratação é o procedimento para desligar funcionários. Políticas que estabeleçam medidas no caso de afastamento,