Controles para Sistemas de Informações Informatizados

Apresentação em tema: "Controles para Sistemas de Informações Informatizados"— Transcrição da apresentação:

1 Controles para Sistemas de Informações Informatizados
SIC / SIG Controles para Sistemas de Informações Informatizados

2 1. Conceito Controles para sistemas informatizados são procedimentos realizados ou diretamente ligados à tecnologia da informação. Sistemas são por sua natureza vulneráveis, compostos de várias partes : componentes eletrônicos, programas, pessoas, processos além de fatores externos apresentam enorme possibilidade de falha, para tal devem ser implementados além dos controles gerais para sistemas (capítulo anterior), controles para sistemas informatizados

3 Vulnerabilidade da rede de telecomunicação

4 Classificação dos Controles em Computação
Os controles gerais são criados e implementados para garantir que o ambiente de controle de uma empresa seja estável e bem gerenciado, para fortalecer a eficácia dos controles de aplicação. Os controles de aplicação são criados e implementados para prevenir, detectar e corrigir erros e irregularidades em transações passando pela entrada de dados, seu processamento e a produção de relatórios.

5 2. Controles gerais no ambiente informatizado
As características da administração são um fator significativo do ambiente interno de uma organização. Elas ajudam a estabelecer o nível de "conscientização do controle" que é fundamental para o ambiente de controle - quadro em que o sistema opera. Códigos formais de conduta e diretrizes éticas contribuem para disciplinar o ambiente de controle. Todas as empresas devem adotar códigos formais de conduta que incluem a conduta relativa aos recursos de informática.

6 Objetivos gerais do controle do computador
Os dois principais objetivos dos controles de uma organização sobre seu ambiente de processamento de dados são fornecer razoável garantia de que: (1) o desenvolvimento ou alteração de programas de computador são autorizados, testados e aprovados antes de serem usados e (2) o acesso a arquivos de dados seja restrito a usuários e programas autorizados.

7 cinco tipos de controles em ambientes de informática.
2.1. Controles de pessoal 2.2. Controles de segurança de arquivo 2.3. Sistemas tolerantes a falha 2.4. Controles de recursos de computação 2.5. Acesso a arquivos de computador

8 2.1. Controles de pessoal Um SIG depende muito de pessoas para a criação, a entrada de dados no sistema, a supervisão do processamento de dados, a distribuição dos processados e o uso de controles aprovados para garantir que as tarefas mencionadas sejam realizadas adequadamente.

9 Os controles gerais em ambientes informatizados que afetam o quadro de pessoal incluem
Uso de contas de computador - contas de computador separadas que são atribuídas a usuários individuais ou grupos de usuários. Somente usuários com senhas válidas têm acesso a outros recursos de computador. Conhecimento informal dos funcionários. - Um conhecimento informal dos funcionários e de suas atividades pode ser um elemento-chave na detecção de atividade fraudulenta. Separação de funções;

10 Separação de funções Nos ambientes informatizados, a separação de funções pode ser planejada e implementada de duas maneiras: (1) separando os subsistemas ou departamentos de administração/contabilidade do de processamento de informações (T.I.) (2) separando as responsabilidades dentro do ambiente de informática. .

11 Função análise de sistema
Função análise de sistema. Envolve analise das necessidades de informações,assim como a criação de modificação de programas aplicativos. Função controle de dados. Essa função é realizada por meio do uso do grupo de controle de dados. Função de programação. Alterações em programas devem exigir autorizações formais Função operações de computador. Os operadores de computador devem exigir rodízio entre funções para evitar que um único operador sempre supervisione o funcionamento do mesmo aplicativo. Além disso, eles não devem ter acesso à documentação ou lógica do programa Função de programação. Alterações em programas devem exigir autorizações formais. Além disso, alterações em programas devem ser completamente testadas antes de implementadas. Função operações de computador. Os operadores de computador devem exigir rodízio entre funções para evitar que um único operador sempre supervisione o funcionamento do mesmo aplicativo. Além disso, eles não devem ter acesso à documentação ou lógica do programa.

12 2.2. Controles de segurança de arquivo
É essencial que um SIC informatizado proteja as mídias onde os arquivos estão armazenados contra erros acidentais e intencionais. Razões para proteger arquivos Fundamentais para o funcionamento Ativo intangível valioso Difíceis de recuperar mesmo se perdido pequena parte

13 2.3. Sistemas tolerantes a falha
São sistemas projetados para tolerar falhas ou erros. Os sistemas que toleram falha são geralmente baseados no conceito de redundância. Muitas organizações implementam alto grau de tolerância em seus sistemas de computador, porque falhas nos computadores podem corromper dados e desorganizar totalmente as operações.

14 Planejamento de contingência
O planejamento de contingência inclui o desenvolvimento de um plano formal de recuperação de desastre. Tais planos são necessários porque muitos desastres imprevistos podem impedir o funcionamento de um centro de processamento de dados. Exemplos desses desastres incluem eventos naturais como incêndios, enchentes e terremotos, assim como catástrofes provocadas pelo homem, como o atentado terrorista a bomba no World Trade Center em New York em 1993.

15 2.3.1 – Como desenvolver um plano de recuperação pós-desastre
Certifique-se de que você tenha apoio e suporte da alta administração para garantir a obediência às regras. Faça uma análise do impacto para identificar os sistemas mais críticos e o impacto que uma interrupção do serviço causaria, se possível quantifique. Determine o tempo máximo que se consegue sobreviver sem seus sistemas que partes precisam ser restauradas em primeiro lugar. Avalie qual é o risco de determinados desastres, como enchentes, interrupção do fornecimento de energia elétrica, fogo, assalto, ataques ou outros. Determine o grau de possibilidade para acontecimento de cada um desses problemas e aplique esse grau à análise feita no item 1 deste. Identifique as aplicações de missão crítica da empresa, os arquivos que utilizam e onde estão localizados esses arquivos.

16 2.3.1 – Como desenvolver um plano de recuperação pós-desastre(cont.)
Desenvolva um plano de ação para administrar aplicações críticas como usar processos manuais ou executar essas ações em uma empresa prestadora de serviços , ou em sistemas de informação de backup sediados em outro lugar ou outras possibilidades que possa sugerir. Lembre-se, sempre que possível, apresente valores para cada possibilidade aplicada a cada tipo de desastre. Descreva brevemente as responsabilidades individuais dos pessoal e os procedimentos a seguir durante um desastre, incluindo como localizar funcionários ou parceiros e como comunicar-se com eles. Teste o plano de recuperação pós-desastre pelo menos uma vez por ano. Use processo e metodologia de planejamento consistentes, de modo que todos entendam as regras fundamentais e como o planejamento será financiado.

17 2.4. Controles de recursos de computação
Como qualquer outro investimento, os ativos físicos do centro de processamento de dados (como a CPU, os periféricos e a fita e os arquivos de disco da biblioteca do computador) merecem proteção; a destruição ou danificação desses ativos representa um perigo real e uma importante área do controle dos sistemas de computação. Escolha de um local seguro para o centro de processamento de dados. Limite o acesso de funcionários.

18 2.5. Acesso a arquivos de computador
Um importante tipo de controle geral envolve o acesso a arquivos de computador. Aqui, não nos referimos ao acesso físico, mas ao acesso “lógico” ou utilização - por exemplo, via terminal remoto. Esse acesso lógico permitiria que um usuário pedisse para imprimir informações confidenciais da empresa (por exemplo, projeções de vendas ou salários dos executivos) e permitiria acesso a programas de computador da empresa. Assim, a regulamentação de quem tem acesso lógico aos arquivos de computador é um controle geral importante para proteger informações confidenciais e programas.

19 3. Controles de aplicações ambientes informatizados
Enquanto os controles gerais focalizam o modelo em que os sistemas contábeis informatizados operam, os controles de aplicações ocupam-se de prevenir, detectar e corrigir erros e irregularidades. O trabalho de processamento de dados tem três estágios: acumulação dos dados de entrada, processamento dos dados e acumulação de dados processados em alguma forma de relatório.

20 3.1 Controles de entradas O estágio de processamento de dados em que existe o maior envolvimento humano é a fase de entrada. Por isso, o risco de erros e irregularidades não detectados costuma ser maior nessa fase. É aconselhável testar os dados de entrada em termos de atributos de validade, exatidão e integridade o mais cedo possível no trabalho de processamento de dados.

21 Observação e registro de dados: Um desses controles é a introdução de um mecanismo de retorno. Um exemplo comum desse tipo de mecanismo para coleta de dados seria o uso de uma nota de confirmação na preparação de um pedido. Transcrição de dados: Refere-se a preparação de dados para o processamento por computador. Em SIC informatizados, os dados devem ser organizados em documentos fontes de tal maneira que facilite o processo de transcrição. Testes de edição: Os programas e sub-rotinas em um ambiente informatizado que conferem se os dados são válidos e corretos depois de serem digitados e registrados num arquivo que pode ser lido pela maquina são chamados rotinas de validação de entradas (ou programas de edição). Os tipos específicos de checagem que as rotinas de validação de entradas realizam são chamados de testes de edição (ou revisão).

22 3.2 Controles de processamento
Controles de processamento focalizam a manipulação de dados contábeis depois que são, registrados no sistema de computador: (1) controles relativos ao processamento no momento de acessar os dados - Preparar um documento de controle de lote especial para servir de controle sobre os conteúdos de cada lote (2) controles que envolvem basicamente a manipulação de dados - numa fase posterior das atividades de processamento. - consiste em verificar se os programas de processamento fazem a manipulação completa dos dados (Interação). Geralmente isso é feito pelo exame da documentação do programa.

23 3.3 Controles de saídas de informações
Garantir a validade, exatidão e integridade do resultado de um processamento. Dois tipos principais de controles de saídas nos ambientes informatizados são : Validação de resultados de processamento - podem ser verificadas por meio da preparação de listagens (ou prova) de atividade Que documentam a atividade de processamento. Essas listagens fornecem Informações completas, detalhadas sobre todas as alterações dos arquivos-mestre e assim contribuem para uma boa trilha de auditoria. Controle de Impressos - Distribuição de relatórios onde relatórios produzidos freqüentemente contêm informações confidenciais que devem ter a disponibilidade controladas. Assim como, quando não forem mais necessários, é importante destruí-los adequadamente.

24 4. Controles Específicos da era da informação
Riscos específicos do ambiente de micro: o uso de microcomputadores apresenta riscos especiais além dos que afetam os computadores de maior porte em duas áreas básicas: Equipamento. Como os microcomputadores são portáteis, eles podem ser facilmente roubados ou destruídos. Dados e programas - Dados e programas são fáceis de acessar, modificar, copiar ou destruir e, portanto, difíceis de controlar. Uma pessoa com conhecimento razoável de computação que tenha acesso a um micro pode acessar todos os dados e programas que estão na máquina.

25 Conceitue plano de contingência e monte um plano de recuperação de desastre para a implementação que você desenvolveu. Entrega dia xx / xx – aula dia xx será dedicada para finalizar o trabalho