Segurança Da Informação - Fundamentos em Auditoria

Fundamentos em auditoria
Professor André Campos
Uma visão mais ampla sobre segurança da informação poderá

ser obtida no livro Sistema de Segurança da Informação –
Controlando os riscos, de André Campos, Editora Visual
Books.
Fundamentos em auditoria
Este material foi produzido como apoio didático para disciplinas de
graduação e pós-graduação relacionadas com Tecnologia da Informação.
O uso é permitido a todo e qualquer docente ou discente das referidas

disciplinas, ou correlatas, desde que sejam respeitados os direitos autorais,
ou seja, que os créditos sejam mantidos.
Este material não pode ser vendido. Seu uso é permitido sem qualquer
custo.
Diversas figuras foram obtidas a partir do acesso em sites de imagens.

Estas imagens foram utilizadas em seu estado original, com 72DPI.
Algumas imagens foram obtidas da obra "Sistema de Segurança da

Informação Controlando Riscos".
Todas as imagens são utilizadas para fins exclusivamente acadêmicos e não

visam a obtenção de lucro.
Informações específicas sobre segurança da informação podem ser obtidas

na obra Sistemas de segurança da informação Controlando Riscos;
Campos, André; Editora Visual Books, 2007.
A auditoria
O objetivo de uma auditoria é garantir a

efetividade dos processos e ativos de uma
determinada organização.
A auditoria poderá dedicar-se a comprovar a

eficácia, a comprovar a eficiência, ou a
comprovar a efetividade.
A auditoria
Consiste basicamente da comparação do

estado dos processos e dos ativos contra um
critério de auditoria.
Desta comparação, são possíveis os

seguintes resultados:
• Conforme
• Não conforme (Oportunidade de Melhoria)
Em ambos os casos, é possível haver

observações.
A auditoria
As conformidades e não conformidades são

aplicadas com base nas evidências de
auditoria, ou seja, em registros, apresentação
de fatos ou outras informações que

corroborem as evidências.
A auditoria não pode ser baseada em opiniões

ou avaliações pessoais dos indivíduos
envolvidos na auditoria.
A auditoria
Os personagens de uma auditoria são o

auditado, que é a organização que recebe a
auditoria, os auditores, que são os que
realizam a auditoria, os especialistas, que são

as pessoas que fornecem conhecimento ou
experiência específicos para a equipe de
auditoria, e o cliente de auditoria, que nem
sempre é o auditado; muito comum em caso
de qualificação de fornecedores.
A auditoria
Para a realização de uma auditoria, é

importante haver um programa de auditoria
que preveja a realização de diversas
auditorias, integradas ou não a outros

sistemas auditores, e para cada auditoria um
plano de auditoria. A equipe de auditores
precisa ter a competência adequada para a
auditoria.
A auditoria
Existem basicamente 3 tipos de auditoria;
Auditoria de primeira parte é a auditoria

interna, que objetiva garantir a implementação

correta de controles.
Auditoria de segunda parte é a auditoria

contratada para verificar se a auditoria interna
foi realizada adequadamente.
Auditoria de terceira parte é a auditoria

contrata para aferir certificação com base em
determinado critério de auditoria.
A auditoria
Uma auditoria deve basear-se em alguns

elementos essenciais, que proporcionarão
confiabilidade a todo o processo.
É importante que a auditoria seja pautada pela

ética, pela justiça, pelo zêlo profissional, pela
imparcialidade, e por uma abordagem
baseada em evidências.
A auditoria
A conduta ética do profissional de auditoria

fará com que ele seja uma pessoa confiável,
íntegra, discreta e que mantém a
confidencialidade das informações as quais

tem acesso.
A auditoria
A apresentação justa refere-se a obrigação

de informar verazmente e precisamente a
respeito das constatações de auditoria, dos
relatórios e das conclusões. Mesmo as

divergências entre a equipe de auditoria e o
auditado que não forem resolvidas, devem ser
claramente relatadas.
A auditoria
O cuidado profissional refere-se ao trabalho

zeloso e a aplicação do julgamento correto na
atividade de auditoria, considerando a
relevância e a responsabilidade que um

auditor tem.
A auditoria
A independência refere-se ao trabalho

imparcial que deve ser realizado pela equipe
de auditoria. Para tanto, os auditores não
podem ser subordinados ou dependentes do

auditado direto.
Os auditores precisam manter a mente aberta

e estarem livres da tendência de conflito de
interesses.
A auditoria
A abordagem baseada em evidências

refere-se ao método científico para gerar as
conclusões de auditoria, de modo que estas
sejam confiáveis e reproduzíveis.
A utilização de amostragem é aceitável para

reduzir o tempo de auditoria, mas deve
garantir a confiabilidade necessária aos
resultados obtidos.
Critérios de auditoria
Existem diversos critérios de auditoria,

dependendo do tipo da auditoria e dos
resultados esperados.
Um critério de auditoria é um conjunto de

políticas, procedimentos ou requisitos.
Vejamos alguns destes critérios e seus

principais objetivos.
Existem diversos critérios de auditoria,

dependendo do tipo da auditoria e dos
resultados esperados.
Um critério de auditoria é um conjunto de

políticas, procedimentos ou requisitos.
Vejamos alguns destes critérios e seus

principais objetivos.
A ISO 27.001 é um critério específico para

auditorias de segurança da informação.
O objetivo deste critério é garantir que a

informação na organização esteja preservada
quanto a sua confidencialidade,
disponibilidade e integridade.
Ela aborda temas tais como Política de

Segurança, Classificação da Informação,
Segurança Física, Segurança de Acesso
Lógico, Segurança em Sistemas, entre outros.
A Sarbanes-Oxley (SARBOX / SOX) é um

critério específico para auditorias de
segurança relacionadas com as atividades
financeiras da organização.
Trata-se de uma lei americana criada por Paul

Sarbanes e Michael Oxley com o objetivo de
garantir transparência das operações
financeiras altamente baseadas em sistemas
de informação. Ela estabelece regras de
segurança e auditoria, que inclui a criação de
comitês e comissões de supervisão.
Sarbanes-Oxley (SARBOX / SOX)
Seção Seção 302 Seção 404 Seção 409
Requisitos A seção Corporate A seção management A seção real-time issuer
Responsibility for Financial assessment of internal disclosures determina que a
Reports determina que controls determina que a organização elabore um
CEOs e CFOs devem organização documente, teste relatório claro sobre
assinar documentos e relatorie sua estrutrua material changes to the

trimestralmente e interna de controles; financial condition or
anualmente certificando Auditories externos devem operations em no máximo
que seus relatórios atestar a qualidade destes 48 horas.
financeiros estão corretos controles.
e precisos.
Aspectos Garante que os executivos Garante a existência de Garante que o

principais tenham avaliado a controles internos para os monitoramento financeiro
efetivadade dos controles sistemas finaceiros existentes está altamente
internos 90 dias antes do e outros grandes sistemas automatizado e suportado
relatório atual. corporativos. por um grande número de
diferentes sistemas.
Principais Quem na organização é Entre os controles internos, Quanto será a material

preocupaçoes responsável por garantir a estão inclusos o Plano de changes monitorada quando
dos executivos integridade e a Continuidade de Negócio e as os sistemas de
disponibilidade dos respectivas considerações de monitoramento estiverem
sistemas financeiros? recuperação de desastres? for a do ar para manutenção
ou upgrade?
A metodologia ITIL é um critério específico

itSMF, ou simplesmente, Gerenciamento de
serviços de TI. Contém os seguintes livros:
Service Delivery, Service Support, The Business

Perspective - the IS View of Delivering Services to the
Business, Planning to Implement IT Service
Management, Software Asset Management, Security
Management, ITIL Small-scale Implementation,
Applications Management, ICT Infrastructure
Management, Gerenciamento de Serviços de TI na
Prática - Uma abordagem com base na ITIL
A metodologia COBIT é um critério específico

para gestão de TI.
Grande foco no alinhamento estratégico, no

planejamento e acompanhamento dos planos
e retorno sobre os investimentos em
Tecnologia da Informação.
A norma ISO 12.207 é um critério específico

sobre o ciclo de vida do software.
A norma se preocupa com a aquisição ou

desenvolvimento do software, seu suporte
durante o período de uso, e os processos de
gestão e melhoria contínua.
Há ainda foco na questão dos treinamentos e

infra necessários para utilização adequada do
software.
A norma ISO 9.126 é um critério específico

sobre a qualidade do software.
A norma se preocupa com aspectos tais como

funcionalidade adequada, confiabilidade,
usabilidade, eficiência, manutenibilidade, e
portabilidade.
A ISO 14.598 é uma norma de apoio a

avaliação da qualidade de software.
O modelo CMMI é um critério específico para

a melhoria contínua do processo de
desenvolvimento de software.
Trata-se de um modelo de maturidade, ou

seja, que permite a organização evoluir ao
passo que implementa os procedimentos
propostos.
Naturalmente existem outras normas e

metodologias que podem ser adotadas como
critério de uma auditoria. As normas e
metodologias apresentadas neste documento

são meramente ilustrativos.
Competência dos auditores
Boa parte da estabilidade e dos resultados

obtidos pela atividade de auditoria dependem
da competência do auditor.
Esta competência é uma composição entre os

atributos pessoais, os conhecimentos e
habilidades, e a educação e experiência
profissional.
O auditor precisa ter competência em

auditoria, e competência específica para o tipo
de auditoria que pretende conduzir.
Os atributos pessoais estão muito

relacionados com os princípios essenciais de
uma auditoria, que já foi visto.
Portanto, o auditor precisa ser ético, ter a

mente aberto, ser diplomático, observador,
perceptivo, versátil, persistente, racional, e
auto confiante.
Estes atributos não são todos facilmente

encontrados em uma só pessoa, mas podem
ser desenvolvidos.
Quanto aos conhecimentos e habilidades,

isto tem a ver com uma grande diversidade de
aspectos.
É importante possuir conhecimentos gerais,

tais como técnicas de auditoria, sistema de
gestão, conhecimento de negócio, leis e
regulamentos.
Competência para liderar equipes de auditoria

é necessário.
Conhecer o critério de auditoria específico é

fundamental.
A educação e experiência profissional, se

relacionam com a competência para cada
autor da auditoria.
O auditor precisa ter treinamento em auditoria

e conhecer bem o critério de auditoria.
O auditor líder precisa ter uma competência

superior a dos demais auditores, em
conhecimento e em experiência.
Parâmetro Auditor Auditor Líder
Educação Mínimo: nível Idem.

médio.
Experiência 5 anos para NM Idem.
total e 1 ano para
NS.
Experiência Mínimo de 2 Idem.
específica anos.
Treinamento 40h. Idem.
em auditoria
Experiência 4 auditorias, 3 auditorias,
em auditoria mínimo 20 mínimo 15
dias. dias, como
líder.
A competência do auditor precisa ser sempre

melhorada, e que mesmo as competências
existentes sejam mantidas através da
participação regular em auditorias.
Os auditores pode se certificar pelo RAC (Registro de

Auditores Certificados). Visite o site
http://www.cic.org.br.
Níveis de certificação:
•Auditor
•Auditor Aspirante
•Auditor Interno
•Auditor Líder
Programa de auditoria
Um programa de auditoria pode envolver

uma ou mais auditorias, e estas auditorias
pode ser combinadas ou em conjunto.
Quando diferentes sistemas de gestão

(qualidade, segurança da informação,
ambiente) são auditados juntos, isto é
chamado de auditoria combinada.
Quando duas ou mais organizações de

auditoria cooperam para auditar um único
auditado, isto é chamado de auditoria
conjunta.
A ações fundamentais que contribuem para o

êxito das estratégias de negócio da
organização devem ser fortemente apoiadas e
patrocinadas pela Alta Direção.
Não é diferente no caso do programa de

auditoria em Tecnologia da Informação,
Segurança da Informação, Governança em TI,
Gestão de Serviços em TI, ou qualquer outra
considerada estratégica.
De fato, os programas de auditoria precisam

ser geridos, e para tal, a organização deve
estabelecer um processo contínuo para este
fim.
Como todos os processos de qualidade, o de

auditoria também precisa garantir a melhoria
contínua, e para tanto, um ciclo P-D-C-A,
demonstrado no próximo slide.
Existe uma norma específica que estabelece

uma proposta de P-D-C-A para o programa de
auditoria.
Esta mesma norma propõe uma metodologia

para as atividades de auditoria, e para as
competências dos auditores.
Esta norma é a NBR ISO 19.011 – Diretrizes

para auditorias.
Estabelecendo o programa
PLAN
- Objetivos e abrangência
ACT
Melhorando o programa de
auditoria - Responsabilidades
- Recursos
- Procedimentos
Monitorando e analisando Implementando o programa

CHECK
- Monitoração e análise crítica - Programando auditorias

- Avaliando auditores
DO
- Necessidade de ações corretivas

- Necessidade de ações - Selecionando equipes
preventivas - Dirigindo auditorias
- Oportunidades de melhoria - Mantendo registros
Um primeiro passo é definir o objetivo do

programa de auditoria, que pode estar
relacionado com questões estratégicas,
aspectos comerciais, requisitos do próprio

SGSI, dos clientes, ou das leis e
regulamentos, entre outros.
Por exemplo, “Satisfazer requisitos da norma

X”, “Conformidade com contratos”, e “Ober
confiança do cliente” seriam objetivos
válidos.
Em seguida deve-se definir a

abrangência deste programa, que será
influenciado pelo tamanho e complexidade
da organização, frequência das auditorias,

requisitos normativos, preocupações das
partes interessadas, mudanças
significativas na organização, entre outros.
O próximo passo é definir as

responsabilidades do programa de
auditoria.
O programa de auditoria deve ser

gerenciado por um ou mais colaboradores
que compreendam os princípios de
auditoria, que possam avaliar os auditores,
e que tenham compreensão técnica e
capacidade gerencial, especialmente da
gestão de projetos.
Os recursos necessários para o programa

de auditoria precisam ser reservados.
É importante lembrar que os recursos se

referem não apenas aos aspectos
financeiros, mas também aos recursos
técnicos, ao processo de obtenção
manutenção das competências dos
auditores, recursos humanos
(disponibilidade), tempo e dinheiro para
viagens, hospedagens e coisas do gênero.
Os procedimentos de auditoria deve ser

definidos, e podem fazer parte da Política de
Segurança da Informação (PSI).
Devem abranger o planejamento das

auditorias, a manutenção das competências,
a seleção das equipes, a realização das
auditorias, as ações de acompanhamento, o
registro, a monitoramento do programa, e o
processo de comunicação com a Alta Direção
a respeito dos resultados.
Implementando o programa
Implementar o programa é, de fato,

fazer acontecer tudo o que foi planejado.
Isto envolve comunicar as partes

interessadas, coordenar as auditorias,
avaliar continuamente a competência
dos auditores, selecionar e monitorar as
equipes, garantir os recursos,
gerenciar o cronograma de auditoria,
analisar os riscos, e manter a
qualidade do programa.
Em qualquer processo de auditoria, os
registros são de fundamental
importância. São a evidência de que o
programa existe.
Sendo assim, são três as principais

categorias de registro:
1 – Relativos a auditoria;
2 – Relativos a análise crítica do

programa;
3 – Relativos ao pessoal de auditoria.

Os registros relativos as auditorias
incluem:
1 - Planos de auditoria;
2 - Relatórios de auditoria;
3 - Relatórios de não conformidade;
4 - Relatórios de ação corretiva;
5 - Relatórios de acompanhamento.
Os registros relativos as análise crítica
incluem:
1 – Atas de reunião;
2 – Registro de informações consideradas;
3 – Relatório de propostas.
Os registros relativos a equipe de
auditoria incluem:
1 – Competência do auditor;
2 – Avaliação de desempenho;
3 – Seleção das equipes;
4 – Experiência adquirida;
5 – Treinamentos realizados.
Monitorando o programa
A própria implementação do programa

precisa ser monitorada. Pode parecer
estranho, já que o programa criado para
auditar precisa também ser auditado.
As informações obtidas neste

monitoramente devem ser estruturadas
de maneira didática e repassadas para a
Alta Direção.
Mas como monitorar a implantação de

um programa de auditoria?
O acompanhamento do cronograma de
implantação é uma bom começo. Os
resultados obtidos em termos de
documentos gerados, procedimentos
escritos, e implementados, devem ser
considerados.
No entanto, um método efetivo é criar

indicadores de desempenho que
possam monitorar características tais
como:
A habilidade da equipe de auditoria em

implementar o plano de auditoria;
A conformidade com o programa de

auditoria e as programações;
A realimentação dos clientes de auditoria,

auditados e auditores.
Melhorando o programa
O objetivo da análise crítica do

programa de auditoria é considerar
todas as informações possíveis a
respeito do programa, de modo que seja

possível avaliar a situação atual, definir
uma situação futura desejada, e propor
melhorias que garantam o
preenchimento da lacuna entre a
situação atual e a desejada.
Melhorando o programa
A análise crítica deve considerar, por
exemplo:
1 - resultados e tendências apresentadas
pelo monitoramento;
2 - A conformidade com os
procedimentos;
3 - A evolução de necessidades e
expectativas das partes interessadas;
4 - Os registros do programa de auditoria
(já mencionados);
5 - A consistência no desempenho entre
equipes de auditoria.
BIBLIOGRAFIA
ABNT. Norma ABNT NBR ISO/IEC 17799:2005 – Tecnologia da informação –

Técnicas de segurança – Código de práticas para a gestão da segurança da
informação; Associação Brasileira de Normas Técnicas (ABNT), Brasil, 2005.
ABNT. Norma ABNT NBR ISO/IEC 17799:2005 – Tecnologia da informação –

Técnicas de segurança – Código de práticas para a gestão da segurança da
informação; Associação Brasileira de Normas Técnicas (ABNT), Brasil, 2005.
Campos, André. Sistema de Segurança da Informação – Controlando o

Risco; Editora Visual Books, Brasil, 2005.
Hansche, Susan; Berti, John; Hare, Chris. Official (ISC2) Guide to the CISSP
Exam; Estados Unidos, 2003.
NIST. An Introduction to Computer Security: The NIST handbook; National

Institute of Standards and Technology; Estados Unidos, 2003.
PMI. Project Management Book of Knowledge – PMBOK; Project Management

Institute, Estados Unidos, 2005.

Segurança Da Informação - Fundamentos em Auditoria

Enviado por

Dados do documento

Título original

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Segurança Da Informação - Fundamentos em Auditoria

Enviado por

Direitos autorais:

Formatos disponíveis

Fundamentos em auditoria

Professor André Campos

Professor André Campos

Uma visão mais ampla sobre segurança da informação poderá

O uso é permitido a todo e qualquer docente ou discente das referidas

ou seja, que os créditos sejam mantidos.

Diversas figuras foram obtidas a partir do acesso em sites de imagens.

Algumas imagens foram obtidas da obra "Sistema de Segurança da

Todas as imagens são utilizadas para fins exclusivamente acadêmicos e não

Informações específicas sobre segurança da informação podem ser obtidas

O objetivo de uma auditoria é garantir a

A auditoria poderá dedicar-se a comprovar a

Consiste basicamente da comparação do

Desta comparação, são possíveis os

Em ambos os casos, é possível haver

As conformidades e não conformidades são

de fatos ou outras informações que

A auditoria não pode ser baseada em opiniões

Os personagens de uma auditoria são o

realizam a auditoria, os especialistas, que são

Para a realização de uma auditoria, é

auditorias, integradas ou não a outros

Existem basicamente 3 tipos de auditoria;

Auditoria de primeira parte é a auditoria

interna, que objetiva garantir a implementação

Auditoria de segunda parte é a auditoria

Auditoria de terceira parte é a auditoria

Uma auditoria deve basear-se em alguns

É importante que a auditoria seja pautada pela

A conduta ética do profissional de auditoria

confidencialidade das informações as quais

A apresentação justa refere-se a obrigação

relatórios e das conclusões. Mesmo as

O cuidado profissional refere-se ao trabalho

relevância e a responsabilidade que um

A independência refere-se ao trabalho

podem ser subordinados ou dependentes do

Os auditores precisam manter a mente aberta

A abordagem baseada em evidências

sejam confiáveis e reproduzíveis.

A utilização de amostragem é aceitável para

Existem diversos critérios de auditoria,

Um critério de auditoria é um conjunto de

Vejamos alguns destes critérios e seus

Existem diversos critérios de auditoria,

Um critério de auditoria é um conjunto de

Vejamos alguns destes critérios e seus

A ISO 27.001 é um critério específico para

O objetivo deste critério é garantir que a

Ela aborda temas tais como Política de

A Sarbanes-Oxley (SARBOX / SOX) é um

Trata-se de uma lei americana criada por Paul

assinar documentos e relatorie sua estrutrua material changes to the

Aspectos Garante que os executivos Garante a existência de Garante que o

Principais Quem na organização é Entre os controles internos, Quanto será a material

A metodologia ITIL é um critério específico

Service Delivery, Service Support, The Business

A metodologia COBIT é um critério específico

Grande foco no alinhamento estratégico, no

A norma ISO 12.207 é um critério específico

A norma se preocupa com a aquisição ou

Há ainda foco na questão dos treinamentos e

A norma ISO 9.126 é um critério específico