AUDITORIA DE SISTEMAS IMPORTÂNCIA DA AUDITORIA DE SISTEMAS  Altos investimentos das organizações em sistemas computadorizados  Necessidade de garantir.

Apresentação em tema: "AUDITORIA DE SISTEMAS IMPORTÂNCIA DA AUDITORIA DE SISTEMAS  Altos investimentos das organizações em sistemas computadorizados  Necessidade de garantir."— Transcrição da apresentação:

1 AUDITORIA DE SISTEMAS IMPORTÂNCIA DA AUDITORIA DE SISTEMAS  Altos investimentos das organizações em sistemas computadorizados  Necessidade de garantir a segurança dos computadores e seus sistemas  Garantia do alcance da qualidade dos sistemas computadorizados  Auxiliar a organização a avaliar e validar o ciclo administrativo

2 AUDITORIA DE SISTEMAS CONCEITOS DE AUDITORIA AUDITORIA É uma atividade que engloba o exame das operações, processos, sistemas e responsabilidades gerenciais de uma determinada entidade, com o intuito de verificar sua conformidade com certos objetivos e políticas institucionais, orçamentárias, regras, normas ou padrões.

3 AUDITORIA DE SISTEMAS CONCEITOS DE AUDITORIA Compreende 3 fases Planejamento Execução Relatório

4 AUDITORIA DE SISTEMAS CONCEITOS DE AUDITORIA ALGUNS CONCEITOS BÁSICOS relacionados com qualquer tipo de auditoria CAMPO Compõe-se de aspectos como Objeto a ser fiscalizado, período e natureza da auditoria

5 AUDITORIA DE SISTEMAS CONCEITOS DE AUDITORIA CONTROLE É a fiscalização exercida sobre as atividades de pessoas, órgãos, departamentos ou sobre produtos, para que não se desviem das normas preestabelecidas.

6 AUDITORIA DE SISTEMAS CONCEITOS DE AUDITORIA Controles Preventivos Prevenir erros (senhas de acesso) Controles Detectivos Detectar erros, omissões ou atos fraudulentos (tentativas de acessos não autorizados) Controles Corretivos Reduzir impacto ou corrigir erros detectados

7 AUDITORIA DE SISTEMAS CONCEITOS DE AUDITORIA PROCEDIMENTOS DE AUDITORIA Lista de pontos a serem verificados durante a auditoria (manuais de auditoria – TCU)

8 AUDITORIA DE SISTEMAS CONCEITOS DE AUDITORIA ACHADOS DE AUDITORIA Fatos significativos observados pelo auditor durante a execução da auditoria.  Não só falhas e irregularidades, mas também pontos fortes. Para que conste no relatório, deve ser relevante e baseado em fatos e evidências irrefutáveis.

9 AUDITORIA DE SISTEMAS CONCEITOS DE AUDITORIA PAPEIS DE TRABALHO São registros que evidenciam atos e fatos observados pelo auditor (planilhas, tabelas, etc.) RELATÓRIO São feitas as recomendações da auditoria.

10 AUDITORIA DE SISTEMAS CONCEITOS DE AUDITORIA NATUREZA DA AUDITORIA Auditoria Interna Realizada por departamento interno responsável pela verificação e avaliação de sistemas e procedimentos internos de uma entidade. Deve ser independente e prestar contas diretamente à direção da instituição

11 AUDITORIA DE SISTEMAS CONCEITOS DE AUDITORIA Auditoria Externa Realizada por instituição externa e independente da entidade fiscalizada Auditoria Articulada Trabalho conjunto de auditorias internas e externas.

12 AUDITORIA DE SISTEMAS CONCEITOS DE AUDITORIA FORMA DE ABORDAGEM Auditoria Horizontal Com tema específico realizada em várias entidades ou serviços paralelamente. Auditoria Orientada Focada em uma atividade específica qualquer ou em atividade com fortes indícios de erros ou fraudes.

13 AUDITORIA DE SISTEMAS CONCEITOS DE AUDITORIA PONTO DE CONTROLE Situação do ambiente computacional considerada pelo auditor como sendo de interesse para validação e avaliação

14 AUDITORIA DE SISTEMAS CONCEITOS DE AUDITORIA CONTROLE INTERNO Verificação e validação dos seguintes parâmetros do Sistema de Informação: –Fidelidade da informação em relação ao dado –Segurança física –Segurança lógica –Confidencialidade –Obediência à legislação em vigor –Eficiência –Eficácia –Obediência às políticas e às regras de negócio da organização

15 AUDITORIA DE SISTEMAS CONCEITOS DE AUDITORIA QUANTO AO TIPO OU ÁREA ENVOLVIDA Auditoria contábil Auditoria programas de governo Auditoria planejamento estratégico Auditoria administrativa Auditoria de sistemas

16 AUDITORIA DE SISTEMAS CONCEITOS DE AUDITORIA DE SISTEMAS CONCEITO AUDITORIA DE SISTEMAS Avaliação dos procedimentos de controle e segurança vinculados ao processamento eletrônico das informações

17 AUDITORIA DE SISTEMAS OBJETIVOS DA AUDITORIA DE SISTEMAS OBJETIVOS As informações são corretas e oportunas Existem um processamento adequado das operações As informações estão protegidas contra as fraudes Existe a proteção das instalações e equipamentos Existe a proteção contra situações de emergência

18 AUDITORIA DE SISTEMAS OBJETIVOS DA AUDITORIA DE SISTEMAS Tem como função promover a adequação, revisão, avaliação e recomendações para o aprimoramento dos controles internos nos sistemas de informação da empresa, bem como avaliar a utilização dos recursos humanos, materiais e tecnológicos envolvidos no processamento dos mesmos.

19 AUDITORIA DE SISTEMAS OBJETIVOS DA AUDITORIA DE SISTEMAS Deve atuar em qualquer sistema de informação da empresa, quer no nível estratégico, quer no gerencial, quer no operacional.

20 AUDITORIA DE SISTEMAS PAPEL DO AUDITOR DE SISTEMAS PAPEL DO AUDITOR DE SISTEMAS  Validação do fluxo administrativo (planejamento, execução e controle)  Ênfase nos processos computacionais  Comprovação da efetividade dos sistemas computadorizados  Garantia da segurança lógica e física e da confidencialidade dos sistemas

21 AUDITORIA DE SISTEMAS PERFIL DO AUDITOR DE SISTEMAS PERFIL DO AUDITOR DE SISTEMAS  Ser independente às áreas a serem auditadas  Ter formação em auditoria de computação, conhecendo o ambiente a ser auditado

22 AUDITORIA DE SISTEMAS NECESSIDADES NA ÁREA AUDITORIA DE SISTEMAS NECESSIDADES NA ÁREA DE AUDITORIA DE SISTEMAS  Fortalecimento das técnicas de auditoria de sistemas para atuação em ambientes computacionais complexos  Criação de metodologias de auditoria de sistemas  Estudo do custo / benefício  Ampliação do campo de atuação da auditoria de sistemas

23 AUDITORIA DE SISTEMAS ETAPAS DA ATUAÇÃO DO AUDITOR DE SISTEMAS ETAPAS DA ATUAÇÃO DO AUDITOR DE SISTEMAS  Compreensão do ambiente  Análise do ambiente e determinação das situações mais sensíveis  Elaboração de uma massa de testes  Análise das simulações  Emissão da opinião quanto ao ambiente auditado  Debate com os profissionais da área auditada para discussão das alternativas recomendadas  Acompanhamento da implantação da solução proposta  Auditoria da solução implantada  Novas auditorias no ambiente

24 AUDITORIA DE SISTEMAS OBJETIVOS DA AUDITORIA DE SISTEMAS Auditoria de Sistemas é o ramo da auditoria que revisa e avalia os controles internos informatizados, objetivando:

25 AUDITORIA DE SISTEMAS OBJETIVOS DA AUDITORIA DE SISTEMAS VERIFICAR A EFICIÊNCIA No tocante a eficiência, verifica-se a utilização de recursos de computação alocados aos sistemas. Esses recursos dizem respeito tanto ao uso de Sistemas ("Software") e de Equipamentos ("Hardware"), quanto ao trabalho dos profissionais envolvidos, atentando principalmente, para geração de resultados corretos, no tempo programado e pelo custo esperado.

26 AUDITORIA DE SISTEMAS OBJETIVOS DA AUDITORIA DE SISTEMAS CONSTATAR A EFICÁCIA A eficácia compreende a validação dos resultados gerados pelos sistemas, cujos produtos oferecidos, deverão ter condições de atender adequadamente as necessidades de seus usuários

27 AUDITORIA DE SISTEMAS OBJETIVOS DA AUDITORIA DE SISTEMAS ATESTAR A SEGURANÇA Segurança Física As instalações, equipamentos, suprimentos, documentação, dados, pessoal, e outros recursos. Segurança Lógica Os sistemas ("software") e informações. Segurança em Comunicação A veiculação de dados por meios de comunicação

28 AUDITORIA DE SISTEMAS FUXO DA INFORMAÇÃO NAS ORGANIZAÇÕES

29 AUDITORIA DE SISTEMAS FUNÇÃO DO AUDITOR DE SISTEMAS Necessita conhecimentos na área de auditoria, Sistemas de Informação e Processamento Eletrônico de Dados (PED). Impõe treinamento constante e forte embasamento cultural. O auditor de sistemas deverá:

30 AUDITORIA DE SISTEMAS FUNÇÃO DO AUDITOR DE SISTEMAS Ao auditar sistemas em operação, conhecer: Documentação de sistemas; Fluxogramação; Uma linguagem de programação.

31 AUDITORIA DE SISTEMAS FUNÇÃO DO AUDITOR DE SISTEMAS Ao auditar sistemas em desenvolvimento, conhecer: – Metodologia de desenvolvimento de sistemas; – Técnicas de prototização; – Elaboração de Plano Diretor de Informática.

32 AUDITORIA DE SISTEMAS FUNÇÃO DO AUDITOR DE SISTEMAS Ao auditar centros de computação, conhecer: – Apuração de custos em centro de computação; – Normas administrativo-técnico-operacinais; – Funções e mecânica operacional da área de computação; – Contratos de hardware e software.

33 AUDITORIA DE SISTEMAS ALGUNS CONCEITOS O que é Tecnologia da Informação? O termo “Tecnologia da Informação”, serve para designar o conjunto de hardware e software usado por uma organização para armazenar, processar, transmitir, e disseminar informações.

34 AUDITORIA DE SISTEMAS ALGUNS CONCEITOS Por que usar Sistemas de Informação? Algumas das razões que levaram a disseminação do uso dos sistemas de informação: – Única maneira de fazer determinado trabalho; – Melhorar a eficiência; – Aplicar controles melhores; – Reduzir custos.

35 AUDITORIA DE SISTEMAS ALGUNS CONCEITOS O principal benefício que a tecnologia da informação traz para as organizações e a sua capacidade de melhorar a qualidade e a disponibilidade de informações e conhecimentos importantes para a empresa, seus clientes e fornecedores. Os sistemas de informação mais modernos oferecem às empresas oportunidades sem precedentes para a melhoria dos processos internos e dos serviços prestados ao consumidor final.

36 AUDITORIA DE SISTEMAS ALGUNS CONCEITOS O sucesso das empresas passou a depender de sua capacidade de inovar das áreas de produtos, serviços, canais e processos. Nesse contexto, a tecnologia da informação assume papel crítico, permitindo às empresas modificar-se rapidamente e levar essas inovações até o mercado.

37 AUDITORIA DE SISTEMAS ALGUNS CONCEITOS Como funciona o departamento de Tecnologia da Informação? O Departamento de Tecnologia da Informação é responsável por todas as funções de informática de uma organização. Os termos “Sistemas de Informação” ou “Tecnologia da Informação”, substituíram o título “Processamento de Dados”, que tende a ser associado a leitoras de cartão perfurados e antigas máquinas de teleprocessamento.

38 AUDITORIA DE SISTEMAS ALGUNS CONCEITOS O departamento de TI precisa ter uma estrutura organizacional bem definida, com as responsabilidades de suas unidades organizacionais claramente estabelecidas, documentadas e divulgadas, e políticas de pessoal adequadas, quanto à seleção, segregação de funções, treinamento e avaliação de desempenho. Esta estrutura é necessária para que se gerencie racionalmente os recursos computacionais da organização, de modo a suprir as necessidades corporativas de informação de forma eficiente e econômica.

39 AUDITORIA DE SISTEMAS ALGUNS CONCEITOS O Departamento de Tecnologia da Informação de uma empresa de grande porte apresenta tipicamente, as seguintes divisões: Administração A administração do departamento de TI já é vista como uma divisão corporativa separada, com seu próprio diretor executivo. Desenvolvimento e suporte de aplicação Divisão dedicada ao projeto, desenvolvimento e manutenção de software aplicativo. Pode englobar muitas equipes de desenvolvimento, formadas por analistas de sistemas, projetistas de sistemas e programadores.

40 AUDITORIA DE SISTEMAS ALGUNS CONCEITOS Suporte de produção Faz a interligação entre o usuário e as demais divisões de TI, prestando serviços na determinação de problemas, registro de defeitos, etc. Este grupo também pode prover serviços de administração de banco de dados. Software de sistemas Divisão responsável pela instalação e manutenção do software de sistemas, e pelo serviço de suporte de natureza técnica para o resto do pessoal de TI e usuários finais. Estão encarregados de providenciar para que o hardware e software do sistema operem com um desempenho ótimo.

41 AUDITORIA DE SISTEMAS ALGUNS CONCEITOS Comunicação de dados Esta divisão oferece serviços para os usuários de sistema que estejam experimentando problemas de teleprocessamento ou desejem comunicar-se com dispositivos ou usuários remotos. Eles são responsáveis pelo desenvolvimento e manutenção de rede de comunicação da organização.

42 AUDITORIA DE SISTEMAS LINHAS MESTRAS DE ATUAÇÃO D AUDITORIA AUDITORIA EM SISTEMAS EM PRODUÇÃO Abrange os procedimentos e resultados dos sistemas de informação já implantados (características preventivas, detectivas e corretivas)

43 AUDITORIA DE SISTEMAS LINHAS MESTRAS DE ATUAÇÃO D AUDITORIA AUDITORIA DURANTE O DESENVOLVIMENTO DE SISTEMAS Abrange todo o processo de construção de sistemas de informação, desde a fase de levantamento do sistema a ser informatizado até o teste e implantação (característica preventiva)

44 AUDITORIA DE SISTEMAS LINHAS MESTRAS DE ATUAÇÃO D AUDITORIA AUDITORIA DO AMBIENTE DE TECNOLOGIA DA INFORMAÇÃO Abrange a análise do ambiente de informática em termos de estrutura orgânica, contratos de software e hardware, normas técnicas e operacionais, custos, nível de utilização dos equipamentos e planos de segurança e de contingência

45 AUDITORIA DE SISTEMAS LINHAS MESTRAS DE ATUAÇÃO D AUDITORIA AUDITORIA DE EVENTOS ESPECÍFICOS Abrange a análise da causa, da conseqüência e da ação corretiva cabível, de eventos localizados que não se encontram sob auditoria, detectados por outros órgãos e levados ao seu conhecimento (característica corretiva)

46 AUDITORIA DE SISTEMAS CICLO DE VIDA DE UM SI UM SISTEMA TEM O CICLO DE VIDA CONSTITUÍDO DE DUAS FASES:  DESENVOLVIMENTO  PRODUÇÃO

47 AUDITORIA DE SISTEMAS CICLO DE VIDA DE UM SI O desenvolvimento do SI compreende:  Aplicar recursos financeiros, humanos, materiais e tecnológicos  Processá-los através da aplicação de métodos e técnicas de análise e desenvolvimento de sistemas  Gerar, como produto final, um sistema de informação

48 AUDITORIA DE SISTEMAS CICLO DE VIDA DE UM SI Geralmente, a análise e o desenvolvimento de sistemas de informação computadorizados compõe-se das seguintes etapas:  Levantamento do sistema atual;  Estudo de viabilidade;  Anteprojeto do novo sistema, também conhecido como projeto lógico;  Detalhamento do projeto;  Programação e depuração, também conhecidos como projeto físico;  Implantação do sistema

49 AUDITORIA DE SISTEMAS CICLO DE VIDA DE UM SI A produção do sistema consiste em:  Ter como entrada os dados;  Processá-los, mantendo-os em arquivos magnéticos e/ou banco de dados;  Divulgar as informações úteis.

50 AUDITORIA DE SISTEMAS CICLO DE VIDA DE UM SI Está relacionada a todas as etapas do fluxo da informação. Requisitos para garantir proteção da informação: Sigilo – proteção contra a divulgação indevida de informações. Integridade – proteção contra a modificação não autorizada de informação. Autenticidade – garantia de que a informação seja proveniente da fonte à qual ela é atribuída. Disponibilidade – garantia de que a informação e serviços importantes estejam disponíveis para os usuários quando requisitados.

51 AUDITORIA DE SISTEMAS SEGURANÇA DA INFORMAÇÃO ASPECTOS QUE HOJE AUMENTAM A PREOCUPAÇÃO SOBRE A SEGURANÇA DAS OPERAÇÕES NAS EMPRESAS COM A IMPLANTAÇÃO DE SIG Ausência de papel Aprovações eletrônicas Diminuição da quantidade de recursos humanos Complexidade de operações Autorizações especiais (superusuários) Política de segurança versus prática

52 AUDITORIA DE SISTEMAS SEGURANÇA DA INFORMAÇÃO AMEAÇAS Prestadores de Serviços Funcionários insatisfeitos Falta de políticas Crime organizado Falta de conscientização Tecnologia com proteção inadequada Hacker Falta de legislação Falhas de desenvolvimento

53 AUDITORIA DE SISTEMAS SEGURANÇA DA INFORMAÇÃO CRENÇAS Não é preciso controlar o acesso Todos os usuários são honestos A empresa vai ganhar dinheiro O pessoal da informática resolve tudo Não precisamos porquê temos o equipamento X Isso não se aplica a nós Hacker atacam empresas grandes e famosas Meu sistema não possui falhas Tenho 100% de segurança

54 AUDITORIA DE SISTEMAS SEGURANÇA DA INFORMAÇÃO PRINCIPAIS CAUSAS Sinistros naturais e provocados (incêndios/enchentes/explosões/desabamentos/que da de energia) Fraudes e sabotagens (uso indevido da informação: espionagem, venda, vírus) Falhas de transmissão de dados Erros de hardware

55 AUDITORIA DE SISTEMAS SEGURANÇA DA INFORMAÇÃO PRINCIPAIS CAUSAS Erros de lógica Erros de operação Erros de entrada de dados Erros de arredondamento Erros intencionalmente desconsiderados

56 AUDITORIA DE SISTEMAS SEGURANÇA DA INFORMAÇÃO PLANOS DE SEGURANÇA - RECOMENDAÇÕES FÍSICA DO SISTEMA E BASE DE DADOS Construção em local adequado Construção adequada Equipamentos de identificação e combate à incêndio Duplicidade de componentes vitais e locais diferentes Cópias de segurança de sistemas

57 AUDITORIA DE SISTEMAS SEGURANÇA DA INFORMAÇÃO PLANOS DE SEGURANÇA - RECOMENDAÇÕES QUANTO AO ACESSO FÍSICO  Uso de cofres para guarda de backup  Bloqueios de acesso a pessoas não autorizadas QUANTO AO ACESSO LÓGICO  Uso e controle de senhas  Determinação de normas para criação de senhas

58 AUDITORIA DE SISTEMAS SEGURANÇA DA INFORMAÇÃO PLANOS DE SEGURANÇA - RECOMENDAÇÕES PROCESSO DE TRANSMISSÃO DE INFORMAÇÕES – Sistemas detectores de espionagem – Sistemas detectores de erros de transmissão – Sistemas de criptografia