Auditoria e Segurança de Sistemas – Cód

Apresentação em tema: "Auditoria e Segurança de Sistemas – Cód"— Transcrição da apresentação:

1 Auditoria e Segurança de Sistemas – Cód. 30135
Prof. MSc. Ronnison Reges Vidal

2 Auditoria e Segurança de Sistemas – Aula 2
Controles Organizacionais Mater Christi 08/11/2018

3 Roteiro Responsabilidades Organizacionais
Políticas, Padrões e Procedimentos Gerência de Recursos Humanos Gerência de Recursos Computacionais Outsourcing, e Contratação de Consultoria Externa Riscos Inerentes ao Controle Organizacional Inadequado Lista de Verificações Roteiro Mater Christi 08/11/2018

4 Na auditoria da TI é analisado um conjunto de controles gerenciais e procedimentos que afetam todo ambiente de informática Ponto de partida por conter características mais genéricas e administrativas Auditoria de TI Mater Christi 08/11/2018

5 Auditoria de TI Esses controles relacionam-se com:
Infraestrutura de TI Seus procedimentos Políticas E práticas Oferecem uma estrutura básica de controle de todas as atividades de TI e segurança da informação São políticas, procedimentos e estrutura organizacional estabelecidos para definir as responsabilidades de todos os envolvidos nas atividades da área de informática. Auditoria de TI Mater Christi 08/11/2018

6 Controles Organizacionais
Abrangem todos os controles adotados pela gerência em termos administrativos e institucionais Controles Responsabilidades organizacionais Políticas, padrões e procedimentos Gerência de recursos humanos Gerência de recursos computacionais Outsourcing e contratação de consultoria externa Controles Organizacionais Mater Christi 08/11/2018

7 Controles Organizacionais
Responsabilidades Organizacionais Mater Christi 08/11/2018

8 Responsabilidades Organizacionais
O departamento de TI deve ter um estrutura organizacional bem definida Responsabilidades Unidades Documentos Esse departamento deve possuir suficiente importância na estrutura da empresa As empresas estão cada vez mais dependentes da tecnologia Em geral esse departamento é vinculado a presidência ou tem status de diretoria Responsabilidades Organizacionais Mater Christi 08/11/2018

9 Responsabilidades Organizacionais
Estabelecer objetivos estratégicos e ter certa independência Unidades internas têm de ser bem definidas com níveis de autoridade e responsabilidade Descrições dos cargos e habilidades técnicas devem ser estabelecidas Avaliação de desempenho dos funcionários Responsabilidades Organizacionais Mater Christi 08/11/2018

10 Responsabilidades Organizacionais
Problemas Falta de prestigio Reconhecimento dos serviços Falta de recursos Riscos a segurança Baixa qualidade de serviços Responsabilidades Organizacionais Mater Christi 08/11/2018

11 Controles organizacionais
Políticas, Padrões e Procedimentos Mater Christi 08/11/2018

12 Políticas, Padrões e Procedimentos
São a base para: Planejamento gerencial Controle Avaliação Devem ser estabelecidos pela alta gerência (pelo menos as Políticas e Padrões) Para ser consideradas na prática pelas gerências intermediárias Políticas definem diretrizes institucionais e o relacionamento entre os diversos departamentos Políticas, Padrões e Procedimentos Mater Christi 08/11/2018

13 Políticas, Padrões e Procedimentos
Devem ser estabelecidos pela alta gerência (pelo menos as Políticas e Padrões) A partir das políticas são estabelecidos padrões e então definidos os procedimentos Quanto mais efetivo o cumprimento das políticas, maior a probabilidade dos controles serem eficazes Padrões Padrões de aquisição de recursos Projeto, desenvolvimento, alteração e documentação de sistemas Operações do centro de informática e prestação de serviços Políticas, Padrões e Procedimentos Mater Christi 08/11/2018

14 Políticas, Padrões e Procedimentos
Procedimentos – descrevem a forma como as atividades deverão ser executadas Considera-se que cada entidade tem objetivos diferentes Políticas, padrões e procedimentos Flexibilidade Particularidades Recomendações Políticas, Padrões e Procedimentos Mater Christi 08/11/2018

15 Políticas, Padrões e Procedimentos
Plano diretor de Informática Deve-se ter formalizado um estratégia para TI A falta desse plano pode levar a tomada de decisões erradas e investimentos equivocados Riscos Desenvolvimento de sistemas que não satisfaçam os objetivos de negócio Perdas econômicas e investimentos sem resultado Políticas, Padrões e Procedimentos Mater Christi 08/11/2018

16 Políticas, Padrões e Procedimentos
Plano diretor de Informática Tamanho da organização Importância da informática Continuidade dos negócios Sobrevivência Relacionamento entre a estratégia de negócios e a estratégia de informática Previsões de mudança a curto e médio prazo Avaliação e aprovação pela alta gerência Políticas, Padrões e Procedimentos Mater Christi 08/11/2018

17 Políticas, Padrões e Procedimentos
Política sobre documentação Deve-se ter padrões de qualidade Classificações para documentação quanto ao acesso (confidencialidade) Documentos secretos, confidenciais, uso interno, uso restrito Padrões Edição Formatação Apresentação visual Estrutura básica Regras Classificação, aprovação e alteração – nos documentos existentes Políticas, Padrões e Procedimentos Mater Christi 08/11/2018

18 Políticas, Padrões e Procedimentos
Política sobre documentação Políticas inadequadas podem comprometer manutenção dos sistemas Disponibilidade dos serviços de TI Documentação adequada Identificar causas de erros (Tarefa complexa e demorada) Evita-se a repetição de erros Praticas não autorizadas pelos desenvolvedores Facilita a auditoria Políticas, Padrões e Procedimentos Mater Christi 08/11/2018

19 Controles organizacionais
Gerência de Recursos Humanos Mater Christi 08/11/2018

20 Gerência de Recursos Humanos
Funcionários da própria instituição são os principais causadores de: Acesso não autorizado Perda de dados Pane nos sistemas Erros Omissões Sabotagens Extorsão Invasões Gerência de Recursos Humanos Mater Christi 08/11/2018

21 Gerência de Recursos Humanos
O principais protagonistas são funcionários mal intencionados, insatisfeitos ou ex-funcionários Disponibilidade e liberdade Conhecimento Espionagem – funcionários insatisfeitos Ex-funcionários Conhecem procedimentos de segurança, forma de atuação, hábitos e vulnerabilidades Para reduzir esses riscos é necessários políticas, procedimentos e controles focados em RH Gerência de Recursos Humanos Mater Christi 08/11/2018

22 Gerência de Recursos Humanos
Atividades controladas por: Procedimentos de operação e supervisão documentados Plano de contratação e desenvolvimento de pessoal Políticas adequadas de seleção Treinamento Avaliação de desempenho Rodízio de cargos e férias Segregação de funções Interrupção do contrato de trabalho Gerência de Recursos Humanos Mater Christi 08/11/2018

23 Gerência de Recursos Humanos
Plano de contratação e desenvolvimento de pessoal Manter a equipe preparada tecnicamente para atender aos objetivos do departamento Políticas adequadas de seleção Composição de equipe confiável com nível técnico compatível com as atividades Garantia de qualidade do trabalho e redução dos riscos de erros Treinamento Atualização dos conhecimentos e melhor desempenho de funções atuais e futuras de acordo com o Plano estratégico Gerência de Recursos Humanos Mater Christi 08/11/2018

24 Gerência de Recursos Humanos
Avaliação de desempenho De acordo com as responsabilidades do cargo e dos padrões preestabelecidos Rodízio de cargos e férias Controle preventivo contra fraudes e/ou atividades não autorizadas Segregação de funções Evita que todas as fase de um processo estejam no controle de um só funcionário Interrupção do contrato de trabalho Defini as medidas a serem tomadas no caso de término de contrato Gerência de Recursos Humanos Mater Christi 08/11/2018

25 Controles organizacionais
Gerência de Recursos Computacionais Mater Christi 08/11/2018

26 Gerência de Recursos Computacionais
Os recursos computacionais devem ser gerenciados de tal forma que atendam às necessidades e objetivos da organização Deve-se levar em conta Economia Eficiência Eficácia Controles: Aquisição de Equipamentos e Software Manutenção de Hardware e Software Gerência de Recursos Computacionais Mater Christi 08/11/2018

27 Gerência de Recursos Computacionais
Aquisição de Equipamentos e Software Análise de desempenho atual Demanda reprimida de serviços de informática Planejamento de capacidade Plano estratégico de informática Padrões de contratação Regras estabelecidas em leis Comparar preços e requisitos técnicos Seleção baseada na economia, eficiência, eficácia, efetividade e qualidade Manutenção de Hardware e Software Gerência de Recursos Computacionais Mater Christi 08/11/2018

28 Controles organizacionais
Outsourcing, Terceirização, e Contratação de Consultoria Externa Mater Christi 08/11/2018

29 Outsourcing, Terceirização, e Contratação de Consultoria Externa
Principais motivos Custos Restrições de fluxos de caixa Mão-de-obra especializada Resolução de problemas Rapidez no desenvolvimento de sistemas Outsourcing, Terceirização, e Contratação de Consultoria Externa Mater Christi 08/11/2018

30 Outsourcing, Terceirização, e Contratação de Consultoria Externa
Deve ser um decisão bem embasada e cuidadosamente tomada Em geral empresas que optam pela terceirização não retornam a atividade terceirizada Contratos devem ser cuidadosamente elaborados Os custos devem ser bem avaliados A empresa terceira deve seguir as políticas, padrões e procedimentos estabelecidos Outsourcing, Terceirização, e Contratação de Consultoria Externa Mater Christi 08/11/2018

31 Outsourcing, Terceirização, e Contratação de Consultoria Externa
Riscos envolvidos Perda parcial de controle Incompatibilidade de políticas e padrões Dependência extrema do terceiro Diminuição da experiência e habilidade dos técnicos próprios Outsourcing, Terceirização, e Contratação de Consultoria Externa Mater Christi 08/11/2018

32 Controles organizacionais
Riscos Inerentes ao Controle Organizacional Inadequado Mater Christi 08/11/2018

33 Riscos Inerentes ao Controle Organizacional Inadequado
Violação de segurança Planejamento inadequado do crescimento computacional Equipes insatisfeitas ou ressentida Equipes ineficientes e pouco responsável Perda de dados e informações Políticas inadequadas de documentação Perda de controle sobre dados e aplicações Riscos Inerentes ao Controle Organizacional Inadequado Mater Christi 08/11/2018

34 Controles organizacionais
Lista de Verificações Mater Christi 08/11/2018

35 Lista de Verificações Controles Organizacionais
Estabelecer e divulgar um plano estratégico de informática compatível com as estratégias de negócios de instituição, o qual deve ser periodicamente traduzido em planos operacionais que estabeleçam metas claras de curto prazo Estabelecer, documentar e divulgar a todos os funcionários, as políticas de informática e os padrões a serem adotados na instituição Atender às obrigações legais e contratuais, em relação a aspectos administrativos e de segurança Lista de Verificações Mater Christi 08/11/2018

36 Lista de Verificações Controles Organizacionais
Definir as responsabilidades de cada unidade organizacional e seus cargos hierárquicos para que os serviços de informática possam ser prestados adequadamente Instituir políticas de contratação e treinamento de pessoal Monitorar e avaliar o desempenho dos funcionários Evitar a centralização excessiva de poderes e atividades Instituir segregação de funções Estabelecer procedimentos de controle na interrupção de contratos de trabalho Lista de Verificações Mater Christi 08/11/2018

37 Lista de Verificações Controles Organizacionais
Na contratação de serviços terceirizados, estabelecer critérios rígidos para seleção, treinamento, controle de acesso a informações corporativas, controle de atividades e aceitação de produtos Estabelecer claramente em contrato os direitos e os deveres do prestador de serviços, os padrões de qualidade e de segurança a serem seguidos Definir uma política sobre documentação, estabelecendo padrões de qualidade e classificação quanto à confidencialidade Lista de Verificações Mater Christi 08/11/2018

38 Lista de Verificações Controles Organizacionais
Manter uma documentação atualizada dos sistemas, aplicativos e equipamentos utilizados Elaborar manuais de instrução para o desempenho das atividades no departamento de informática Elaborar plano de aquisição de equipamentos baseado na análise de desempenho dos sistemas atuais, na demanda reprimida dos usuários e nos avanços tecnológicos imprescindíveis para a continuidade dos negócios Obedecer aos prazos recomendados de manutenção preventiva dos equipamentos e aplicar nos pacotes de software Lista de Verificações Mater Christi 08/11/2018

39 Lista de Verificações Controles Organizacionais
Estabelecer acordos de nível de serviço quanto à disponibilidade dos recursos computacionais e seu desempenho em condições normais e emergenciais Revisar e incorporar as listas de verificações propostas nos outros tópicos de carácter genérico, tais como segurança de informações, controles de acesso, planejamento de contingências e continuidade de serviços Lista de Verificações Mater Christi 08/11/2018