Segurança, Controle e Auditoria de Dados

Apresentação em tema: "Segurança, Controle e Auditoria de Dados"— Transcrição da apresentação:

1 Segurança, Controle e Auditoria de Dados
2 – Conceitos

2 Conceitos Campo: Objeto a ser fiscalizado; Período de fiscalização,
Entidade completa (pública ou privada); Uma parte selecionada da entidade; Uma função da entidade Período de fiscalização, Mês, ano... A gestão de algum administrador. Natureza da auditoria Operacional; Financeira; Legalidade; etc.

3 Conceitos Âmbito: Amplitude e exaustão dos processos de auditoria;
Limitação racional dos trabalhos executados; Definirá: Aprofundamento das tarefas de auditoria; Grau de abrangência.

4 Conceitos Área de Verificação:
Formado pelo campo e âmbito da auditoria; Delimita de forma precisa os temas da auditoria. Campo Objeto Natureza Período Área de verificação Sub 1 Sub 2 Sub 3 Campo Âmbito

5 Conceitos Controle: Fiscalização exercida sobre as:
Atividades; Órgãos; Departamentos; Produtos. O objetivo é que estes não se desviem das normas; Três tipos de controle: Preventivo; Detectivo; Corretivo.

6 Conceitos Controle Preventivo: Controle Detectivo: Controle Corretivo:
Prevenção de erros, omissões ou atos fraudulentos. Controle Detectivo: Detectar os erros, omissões ou atos fraudulentos; Relatar sua ocorrência. Controle Corretivo: Usados para reduzir impactos ou corrigir os erros detectados (planos de contingência).

7 Conceitos Controle Preventivo: Controle Detectivo: Controle Corretivo:
Prevenção de erros, omissões ou atos fraudulentos. Controle Detectivo: Detectar os erros, omissões ou atos fraudulentos; Relatar sua ocorrência. Controle Corretivo: Usados para reduzir impactos ou corrigir os erros detectados (planos de contingência).

8 Conceitos Objetivos de Controle: Metas de controle a serem alcançadas;
Efeitos negativos a serem evitados em: Transações; Atividades; Funções. Para serem alcançados, são traduzidos em diversos procedimentos de auditoria.

9 Conceitos Procedimentos de Auditoria:
Formam um conjunto de verificações que permitem obter e analisar as informações necessárias à formulação de opiniões no auditor; É necessário estabelecer estes procedimentos antes da auditoria iniciar, pois aumenta a produtividade e a qualidade do trabalho do auditor; Alguns órgãos têm manuais contendo os procedimentos padrões utilizados para as auditorias.

10 Conceitos Achados de Auditoria: Fatos observados pelo auditor;
Não necessariamente são falhas e/ou irregularidades, podem também ser pontos fortes da organização; Somente deve constar no relatório se for, de fato, algo relevante, e se for baseado em fatos e evidências irrefutáveis.

11 Conceitos Papéis de Trabalho:
Registros dos atos e fatos observados pelo auditor; Podem ser documentos, planilhas, tabelas, listas de verificações, arquivos informatizados, imagens, etc; Dão suporte ao relatório de auditoria; Contém o registro de metodologia adotada, procedimentos, verificações, fontes de informação, testes, entre outras informações relacionadas ao trabalho de auditoria.

12 Conceitos Recomendações de Auditoria:
Realizada na fase final da auditoria; Medidas corretivas possíveis, sugeridas pela instituição fiscalizadora, por meio do auditor; Podem ser (mas não necessariamente serão) transformadas em determinações a serem cumpridas.

13 Conceitos Natureza da Auditoria: Não existe classificação padrão;
As classificações mais comuns são: Quanto ao órgão fiscalizador, Quanto à forma de abordagem do tema; Quanto ao tipo ou área envolvida.

14 Conceitos Quanto ao órgão fiscalizador: Auditoria Interna:
Realizada por um setor ou departamento interno da organização avaliada; Esse setor/departamento deve ser um específico, encarregado de avaliar e verificar os sistemas e procedimentos internos; Tem como objetivo reduzir as probabilidades de: Erros, Fraudes, Práticas ineficientes ou ineficazes; Deve ser independente e prestar contas diretamente à direção da organização.

15 Conceitos Quanto ao órgão fiscalizador: Auditoria Externa:
Realizada por uma instituição externa e independente da organização avaliada; Emite pareceres sobre: Gestão de recursos; Situação financeira; Legalidade e regularidade das operações.

16 Conceitos Quanto ao órgão fiscalizador: Auditoria Articulada:
Utiliza ambos modos de auditoria: interna e externa; Beneficiada pela superposição de tarefas e responsabilidades; Caracteriza-se pelo: Uso comum de recursos; Comunicação recíproca dos resultados. Custo mais alto; Falhas na comunicação afetariam o processo e, como conseqüência, o resultado.

17 Conceitos Quanto à Forma de Abordagem do Tema: Auditoria Horizontal:
Um único tema; Avalia-se várias entidades ou serviços paralelamente. Auditoria Orientada: Auditoria focada em uma atividade; Esta atividade pode ser uma qualquer, como também pode ser (mais provável e recomendável) uma com fortes indícios de erros ou fraudes.

18 Conceitos Quanto ao Tipo ou Área Envolvida:
Auditoria de Programas de Governo: Acompanhamento, exame e avaliação da execução de programas e projetos governamentais específicos; Preocupa-se também com a efetividade das medidas governamentais. Auditoria Administrativa: Engloba o plano da organização: Procedimentos; Documentos. Avalia os elementos que dão suporte à tomada de decisão.

19 Conceitos Quanto ao Tipo ou Área Envolvida:
Auditoria do Planejamento Estratégico: Verifica se: Os principais objetivos da organização são atingidos; As políticas e estratégias de aquisição, utilização e alienação de recursos são respeitadas. Auditoria Contábil: Relativa à salvaguarda dos ativos e à fidedignidade das contas da instituição; Fornece certa garantia de que as operações e o acesso aos ativos se efetuem de acordo com as devidas autorizações; Realizada em intervalos razoáveis de tempo; Exige medidas corretivas adequadas, caso sejam detectadas falhas.

20 Conceitos Quanto ao Tipo ou Área Envolvida:
Auditoria Financeira (ou de Contas): Analisa as contas, a situação financeira, legalidade e regularidade das operações e aspectos contábeis, financeiros, orçamentários e patrimoniais; Verifica se todas as operações foram corretamente autorizadas, liquidadas, ordenadas, pagas e registradas; Averigua se foram tomadas as medidas necessárias para registrar com exatidão e proteger todos os ativos; Confere se todas as operações registradas (assim como o próprio registro) estão em conformidade com a legislação em vigor.

21 Conceitos Quanto ao Tipo ou Área Envolvida: Auditoria Operacional:
Incide em todos os níveis de gestão; Atua nas fases de programação, execução e supervisão; Tem como ponto de vista a economia, eficiência e eficácia; Pode ser conhecida também como “de Eficiência”, “de Gestão”, “de Resultados”, “de Práticas de Gestão”; Audita todos os sistemas e métodos utilizados pelo gestor para tomar decisões; Analisa a execução das decisões tomadas e aprecia até que ponto os resultados pretendidos foram atingidos.

22 Conceitos Quanto ao Tipo ou Área Envolvida: Auditoria de integrada:
Inclui, simultaneamente, a auditoria financeira e a operacional. Auditoria de Legalidade: Também conhecida como “de Regularidade” ou “de Conformidade”; Analisa a legalidade e regularidade das atividades, funções, operações ou gestão de recursos; Verifica se todos esses elementos estão em conformidade com a legislação vigente.

23 Conceitos Quanto ao Tipo ou Área Envolvida:
Auditoria de Tecnologia da Informação: Auditoria essencialmente operacional; Analisa os sistemas de informática, o ambiente computacional, a segurança de informações, e o controle interno da entidade fiscalizada; Identifica os pontos fortes e fracos da organização; Pode ser conhecida também como Auditoria “Informática”, “Computacional” ou “de Sistemas”.

24 Conceitos Auditoria de Tecnologia da Informação:
Analisa a gestão de recursos, com foco na eficiência, eficácia, economia e efetividade; Pode abranger diversos aspectos, dependendo do enfoque do auditor: O ambiente de informática como todo: analisando aspectos que influencias a segurança dos outros controles, como segurança física e lógica, planejamento de contingencias... A organização do departamento como um todo, analisando: aspectos administrativos, como políticas, padrões e procedimentos organizacionais, gerencia de pessoal e planejamento de capacidades .

25 Conceitos Auditoria de Tecnologia da Informação:
Pode envolver controles sobre banco de dados, redes de comunicação e de microcomputadores e controles sobre os aplicativos; Não exige uma classificação padronizada de sub-áreas; Aqui usaremos as seguintes: Auditoria de Segurança de Informações; Auditoria de Tecnologia da Informação; Auditoria de Aplicativos.

26 Conceitos Auditoria de Tecnologia da Informação:
Auditoria de Segurança de Informações; Determina a postura da organização em relação à segurança; Avalia a política de segurança e os controles a ela relacionados, principalmente de modo global; Envolve: Avaliação da política de segurança; Controles de acesso lógico; Controles de acesso físico; Controles ambientais; Plano de contingências e continuidade de serviços.

27 Conceitos Auditoria de Tecnologia da Informação:
Abrange aspectos da Auditoria de Segurança de Informações; Além deles, têm também outros controles, que podem também influenciar a segurança, estes controles são: Organizacionais; De mudanças; De operação dos sistemas; Sobre banco de dados; Sobre microcomputadores; Sobre ambientes cliente-servidor.

28 Conceitos Auditoria de Tecnologia da Informação:
Auditoria de Aplicativos: Está voltada para a segurança de aplicações específicas, incluindo elementos intrinsecos da área que o aplicativo atende, como orçamento, contabilidade, estoque, venda, pessoal etc. Esta auditoria compreende: Controle sobre o desenvolvimento de sistemas aplicativos; Controles de entrada, processamento e saída de dados; Controles sobre o conteúdo e funcionamento do aplicativo, em relação à área por ele atendida.

29 Conceitos Acesso Lógico
Está relacionado com o acesso ao conteúdo da informação. Abrange aspectos como: acesso de pessoas a terminais e outros equipamentos de computação, manuseio de listagens (uma questão também de acesso físico), funções autorizadas dentro do ambiente informatizado (transações e programas que pode executar), arquivos aos quais tenham acesso, etc. Mesmo que as informações não estejam armazenadas em computadores, valem os mesmos conceitos de segurança de acesso lógico.

30 Conceitos Propriedade da Informação
O conceito deriva do direito de posse direta ou delegada sobre os ativos de informações, exercido em nome da organização. Em princípio, a propriedade de um ativo pertence a quem dele faz uso em função de uma necessidade funcional. Normalmente, quem faz uso de um determinado ativo é o seu criador, a pessoa que recebeu autorização do mesmo. Também recebe o nome de gestão, sendo o responsável pela administração das informações conhecido também como gestor.

31 Conceitos Custódia da Informação
Refere-se à pessoa ou organização responsável pela guarda de um ativo de propriedade de terceiros, sendo o conceito estendido ao domínio das informações. A área de informática, ao contrário da visão clássica ainda bastante aceita, é custodiante dos ativos de informações das áreas usuárias, os legítimos proprietários dos mesmos. Geralmente, uma vez recebida do proprietário, a custódia não pode ser delegada. Implica a responsabilidade do receptor quanto à integridade dos ativos custodiados.

32 Conceitos Controle de Acesso
Está relacionado diretamente ao acesso concedido. Sua função é garantir que o acesso seja feito somente dentro dos limites estabelecidos. Esse controle é exercido por meio de mecanismos como senhas, listas de acesso, categorias, níveis de acesso, privilégios de acesso, etc. Senhas Constituem o mecanismo de controle de acesso mais antigo usado pelo ser humano para impedir acessos não autorizados. Foram e ainda são muito usadas como forma de se controlar o acesso a recursos de informação. Modernamente, tendem a ser usadas apenas como mecanismo de autenticação de identidade de usuários, através da atribuição de uma senha exclusiva para cada chave de acesso ou identificação de usuários individuais. Á medida que evolui a tecnologia, as senhas tendem a ser substituídas por alguma característica físico-biométrica do usuário, como a imagem da íris, a impressão digital, a voz, etc.

33 Conceitos Controle de Acesso Chaves de acesso ou identificações
Códigos de acesso atribuídos a usuários; cada um recebe uma chave de acesso única e individual. A cada chave de acesso é associada uma senha destinada a autenticar a identidade do usuário que possui essa chave. Listas de acesso Constitui uma espécie de tabela onde constam o tipo e o nome do recurso, ao qual são associadas as identificações de usuários com os tipos de operações permitidas aos mesmos.

34 Conceitos Controle de Acesso Operações
Determinam o que cada usuário pode fazer em relação a determinado recurso. Normalmente, consistem no seguinte: Leitura - o usuário pode somente consultar informações; Gravação - o usuário pode incluir informações; Alteração - o usuário pode alterar informações existentes; Exclusão - o usuário pode excluir informações existentes; Eliminação - o usuário pode eliminar o meio físico de suporte das informações; Execução - em ambientes informatizados, permite que o usuário possa executar comandos ou programas contidos em arquivos.

35 Conceitos Acesso Físico
Acesso ou posse de um ativo do ponto de vista físico é o uso que se faz de determinado recurso. No caso de informações, está representado pelo acesso ao meio de registro ou suporte que abriga as informações; Normalmente, os riscos relacionados com o acesso físico afetam os meios de registro e suporte das informações, ao passo que os riscos relacionados com o acesso lógico afetam o conteúdo.

36 Conceitos Plano de contingência
Um plano global destinado a manter o ambiente de informações da organização totalmente seguro contra quaisquer ameaças a sua integridade e disponibilidade. Consiste em procedimentos de recuperação pré-estabelecidos, com a finalidade de minimizar o impacto sobre as atividades da organização no caso de ocorrência de um dano ou desastre que os procedimentos de segurança não conseguiram evitar. Estatísticas européias demonstram que mais de três quartos das empresas que sofreram um desastre envolvendo a perda de seu ambiente de informações fecham imediatamente ou no máximo em dois anos.

37 Conceitos Preservação e recuperação de informações
O conceito de preservação está ligado à necessidade de sobrevivência dos acervos de informações, evitando eventos que causem sua destruição. O conceito de recuperação aplica-se a recursos que tenham sido destruídos ou danificados, permitindo que os mesmos sejam novamente disponibilizados para uso