Auditoria de Sistemas de Informática ou Riscos Tecnológicos é uma atividade independente que tem como missão o gerenciamento de risco operacional envolvido e avaliar a adequação das tecnologias e sistemas de informação utilizados na organização através da revisão e avaliação dos controles, desenvolvimento de sistemas, procedimentos de TI, infraestrutura, operação, desempenho e segurança da informação que envolve o processamento de informações críticas para a tomada de decisão.
Objetivos A auditoria de sistemas é um processo realizado por profissionais capacitados e consiste em reunir, agrupar e avaliar evidências para determinar se um sistema de informação suporta adequadamente um ativo de negócio, mantendo a integridade dos dados, e realiza os objetivos esperados, utiliza eficientemente os recursos e cumpre com as regulamentações e leis estabelecidas.
Permite detectar de forma automática o uso dos recursos e dos fluxos de informação dentro de uma empresa e determinar qual informação é crítica para o cumprimento de sua missão e objetivos, identificando necessidades, processos repetidos, custos, valor e barreiras que impactam fluxos de informação eficientes.
Deve compreender não somente os equipamentos de processamento de dados ou algum procedimento específico, mas sim suas entradas, processos, controles, arquivos, segurança e extratores de informações, além disso, deve avaliar todo o ambiente envolvido: Equipamentos, Centro de processamento de dados e Software.
Auditar consiste principalmente em avaliar mecanismos de controle que estão implantados em uma empresa ou organização, determinando se os mesmos são adequados e cumprem com seus determinados objetivos ou estratégias, estabelecendo as mudanças necessárias para a obtenção dos mesmos. Os mecanismos de controle podem ser de prevenção, detecção, correção ou recuperação após uma contingência.
Os objetivos da auditoria de sistemas são a emissão de um parecer (ou uma nota) sobre: O controle da Área de Tecnologia; A análise da eficiência dos Sistemas de Informação; A verificação do cumprimento das legislações e normativos a qual estão sujeitos; A gestão eficaz dos recursos de informática.
A Auditoria de sistemas contribui para a melhoria constante do negócio suportado pela Tecnologia, nos seguintes aspectos:
Desempenho; Confiabilidade; Integridade; Disponibilidade; Segurança; Confidencialidade; Privacidade.
Geralmente pode-se desenvolvê-la em foco ou em combinação entre as seguintes áreas:
Governança Corporativa; Administração do Ciclo de Vida dos Sistemas; Serviços de Entrega e Suporte; Proteção de Dados e Segurança da Informação; Planos de Continuidade de Negócio e Recuperação de Desastres.
O auditor de sistemas O auditor de sistemas verifica a eficácia dos controles e procedimentos de segurança existentes, a eficiência dos processos em uso, a correta utilização dos recursos disponíveis, assessorando a administração na elaboração de planos e definição de metas, colaborando no aperfeiçoamento dos controles internos, apontando deficiências e irregularidades que possam comprometer a segurança e o desempenho organizacional.
Com a larga utilização da tecnologia para o armazenamento das informações contábeis, financeiras e operacionais, o auditor de sistemas tem de se aprimorar no campo de atuação (processos) da organização para extrair, analisar banco de dados envolvidos e suportar decisões das demais áreas de auditoria.
A necessidade global de referências nesse assunto, para o exercício dessa profissão, promoveram a criação e desenvolvimento de melhores práticas como COBIT, COSO, ISO 27001 e ITIL
Atualmente a certificação CISA – Certified Information Systems Auditor, oferecida pela ISACA – Information Systems and Control Association é uma das mais reconhecidas e avaliadas por organismos internacionais, já que o processo de seleção consta de uma prova extensa que requer conhecimentos avançados, além de experiência profissional e a necessidade de manter-se sempre atualizado, através de uma política de educação continuada (CPE) na qual o portador da certificação deve acumular carga horária de treinamento por período estabelecido.
A formação acadêmica do auditor de sistemas pelos motivos acima acaba sendo multidisciplinar: análise de sistemas, ciência de computação, administração com ênfase em TI, advocacia com foco em Direito da informática - direito digital e correlatos.
Tipos de auditoria Existem diversos tipos de Auditorias de Sistemas, sendo os principais, mas não se limitando a:
Auditoria de Planejamento e Gestão: Contratação de bens e serviços de TI, documentações, orçamentos, projetos, etc.
Auditoria Legal ou Regulatória: Atendimento a regulamentações locais e internacionais, exemplos: Lei Sarbanes-Oxley, Basileia II, Comissão de Valores Mobiliários, etc.
Auditoria de Integridade de Dados: Classificação dos dados, atualização, bancos de dados, aplicativos, acessos, estudo dos fluxos (entradas e saídas) de transmissão, controles de verificação qualidade e confiabilidade das informações.
Auditoria em segurança da informação: Métodos de autenticação, autorização, criptografia, gestão de certificados digitais, segurança de redes, gestão dos usuários, configuração de antivírus, atualizações, políticas, normas, manuais operacionais.
Auditoria de Segurança Física: Avaliação de localidades e riscos ambientais: vidas (capital intelectual), furto/roubo, acesso, umidade, temperatura, acidentes, desastres, etc. e as proteções: perímetros de segurança, câmeras, sensores, guardas, dispositivos, proteções do ambiente.
Auditoria de Desenvolvimento de Sistemas: Validação dos processos de gestão de projetos, cumprimento de metodologia de qualidade, orçamentos previstos e realizados e avaliação de desvios.
Auditoria da Infra Estrutura e Operações de TI: Processos para averiguar disponibilidade e robustez do ambiente a erros, acidentes e fraudes das operações em servidores, estações, software, hardware e canais de comunicação.
Padrões de Auditoria Podemos classificar os diferentes tipos de auditoria de segurança em três grandes blocos, dependendo do objeto a auditar e das técnicas aplicadas. Sendo estes:
Auditorias de boas práticas em Segurança da informação: Uso de quadros de referência ou frameworks a nível nacional ou internacional caracterizados por cobrir de forma eficaz cada aspeto que possa implicar para os ativos de uma entidade, como os mais conhecidos: International Organization for Standardization (ISO 27000),National Institute of Standards and Technology (NIST) e Esquema Nacional de Segurança (ENS). É normal a definição de quadros de referência próprios adaptados às necessidades da própria entidade. Auditorias de cumprimento legal e regulamentar em Segurança da Informação: A realização deste tipo de auditorias, avalia-se o cumprimento de leis e regulamentos relacionados com a segurança, como as mais importantes: Lei Orgânica de Proteção de Dados de Carácter Pessoal ; Regulamento Geral de Proteção de Dados; Lei de Serviços da Sociedade da Informação; Lei de Propriedade Intelectual; Lei de Proteção de Infraestruturas Críticas; Lei de Prevenção de Riscos Laborais; Esquema Nacional de Segurança. Nesse tipo de auditoria, ela simula o comportamento dos brincalhões da rede de forma realista e por meio de ferramentas e meios técnicos para testar a robustez da infraestrutura técnica, principalmente a robustez do sistema de informação. Auditorias de Hacking Ético: Podemos diferenciar entre; auditorias de vulnerabilidades, testes de intrusão e exercícios de Red Team. Sendo estes com suas especificações e restrições características, tais como o alcance ou o tipo de meios técnicos a utilizar. O objetivo destes é encontrar possíveis vulnerabilidades ou falhas de segurança na infraestrutura tecnológica da organização; Neste tipo de auditorias, conta-se com metodologias e normas para assegurar resultados eficazes. Sendo utilizadas metodologias como; Open Source Security Methodology Manual (OSSTMM), Center for Internet Security (CIS), Open Web Application Security Project (OWASP) e MITRE ATT&CK; Para este tipo de auditoria, sõa necessáriops de profissionais de TI especializados em cybersegurança, com perfis elevados de conhecimento em programação e segurança de sistemas.
Auditores podem ser destinados a nichos específicos da organização e segurança de uma empresa, como a auditoria em:
Processo de inovação tecnológica; Inovação comparada; Auditoria de posição técnologica; Sistemas e aplicativos; Instalações de processamento de informações; Gestão de TI e arquitetura; Cliente, servidores, telecomunicações, intra e extranet.
Materialidade, GRC e Análise de Risco Enquanto planeja o calendário anual e cada trabalho de auditoria o auditor-chefe decide o nível de risco de auditoria (ou seja, o risco de chegar a uma conclusão indevida baseada nas evidências) que está disposto a aceitar. Quanto mais efetivo e extensivo o trabalho de auditoria for, menor o risco de uma fraqueza no processo passar despercebida no relatório final de auditoria. O Risco de auditoria é dependente da análise dos níveis de risco inerentes ao processo, ou seja, a possibilidade de impacto material ao processo: financeiro, operacional ou imagem, se a área auditada cometer erros por controles ineficazes ou inexistentes. Estes riscos são determinados quando o auditor realiza ou obtém a análise de risco da organização.
Adicionalmente, para avaliar se uma auditoria de TI obteve o êxito esperado, o auditor deve primeiro identificar o escopo e objetivos de teste, para verificar o grau de aderência aos processos e sistemas avaliados. Para atender aos objetivos da auditoria e garantir que os recursos empregados para seu trabalho são utilizados de forma eficiente, o auditor deverá definir níveis de materialidade. O auditor deve considerar aspectos qualitativos e quantitativos para determinar a materialidade. A avaliação do risco deve ser realizada para prover certo grau de conforto que todos os itens de materialidade relevante serão devidamente cobertos pelos trabalhos de auditoria. Essa análise deve identificar áreas que têm alto risco de existência de problemas com materialidade relevante ao negócio.
Materialidade
Avaliando impacto material, o Auditor de Sistemas deve considerar: O nível de erros aceitáveis à gestão do processo, auditorias internas, auditorias externas, agências reguladoras e legislações. O potencial de efeito cumulativo de pequenos erros ou fraquezas tornarem-se materiais, nesse caso, de relevância significativa.
Enquanto estabelece a materialidade o auditor pode estar realizando auditorias de itens não-financeiros, como Controle de acesso físico, lógico, sistemas de gestão de pessoas, gestão de recursos, desenvolvimento, controle de qualidade, geração de senhas.
Nesse caso, deve-se identificar materialidade, com foco nos objetivos esperados do processo de negócio avaliado para que este atinja seus objetivos de controle interno. Quando não existem transações financeiras envolvidas, pode se utilizar outras formas de medir a materialidade:
Nível de criticidade do processo suportado pelas operações ou sistemas avaliados. Custo do sistema ou operação (hardware, software, contratos com fornecedores). Custo potencial de erros ou falhas aos quais sistemas ou operação estão sujeitos. Número de acessos/transações/requisições processadas por período. Multas por falhas no cumprimento de requisitos legais e contratuais.
GRC e Análise de Risco