Hoje em dia, há diversas categorias e tipos de auditorias em tecnologias, cada uma com seu próprio foco e método específico. As auditorias de TI (Tecnologia da Informação) visam verificar e assegurar que os sistemas, processos e controles de TI estejam operando corretamente, de maneira segura, eficaz e de acordo com as políticas e normas estabelecidas. Segue uma lista das principais auditorias possíveis em diversas áreas da tecnologia.
Auditoria de governança de TI
A auditoria de governança de TI analisa se a governança de TI está em consonância com as metas empresariais da empresa e se os procedimentos de administração de TI são eficientes. Ela faz a análise:
- Governança de TI: Se os processos e práticas estão claramente estabelecidos, é possível tomar decisões fundamentadas sobre TI.
- Estratégia de Tecnologia da Informação: Verificar se as estratégias de TI estão em sintonia com as metas de longo prazo da organização.
- Administração de riscos: Verifica se a organização administra corretamente os riscos tecnológicos e de tecnologia da informação.
- Performance e indicadores de Tecnologia da Informação: Se as métricas estão sendo empregadas para avaliar a eficácia e eficiência da TI.
Alguns exemplos de frameworks que podem ser utilizados para avaliar a governança de TI de uma entidade:
- COBIT (Control Objectives for Information and Related Technologies)
- ITIL (Information Technology Infrastructure Library)
- TOGAF (The Open Group Architecture Framework)
- ISO/IEC 38500
- Risk IT Framework (ISACA)
Auditoria de Segurança da Informação
A auditoria de segurança da informação analisa os mecanismos de proteção para salvaguardar informações confidenciais e evitar acessos não permitidos, perda ou alteração de dados. A auditoria pode incluir:
- Controle de acessos: Verificação de autenticação, permissão e administração de direitos de acesso.
- Defesa contra ciberataques: Análise de vulnerabilidades, análises de segurança em firewalls, antivírus e sistemas de detecção de intrusão (IDS).
- Políticas de segurança: Análise das políticas de segurança cibernética e a implementação de suas respectivas implementações.
- Criptografia: Verificação da utilização de criptografia para proteger dados sensíveis, tanto em trânsito quanto em repouso.
- Segurança em nuvem: Análise de controles de segurança em ambientes de computação em nuvem, se a empresa utilizar esse modelo.
- Alguns exemplos de frameworks que podem ser utilizados para avaliar a segurança da informação de TI de uma entidade:
- NIST Cybersecurity Framework (CSF)
- ISO/IEC 27001
- CIS Controls (Center for Internet Security)
- Cybersecurity Framework (CSF) de ISO/IEC 27032
- COBIT (Control Objectives for Information and Related Technologies)
- NIST SP 800-53 (Security and Privacy Controls for Information Systems and Organizations)
- ITIL Security Management
- SANS Critical Security Controls
Auditoria de Conformidade (Compliance Audit)
A auditoria de conformidade analisa se a organização está em conformidade com as leis, normas e diretrizes internas de Tecnologia da Informação. Incluem-se em certas auditorias de conformidade:
- Adesão à SOX: Exame dos controles internos de TI em conformidade com a Lei Sarbanes-Oxley para empresas públicas, com ênfase na proteção e confiabilidade das demonstrações financeiras.
- Aderência à LGPD (Lei Geral de Proteção de Dados): Exame dos mecanismos de privacidade e segurança de dados para assegurar a aderência à legislação brasileira de proteção de dados.
- Adesão ao GDPR: Análise das práticas de segurança e privacidade de dados pessoais em conformidade com o Regulamento Geral sobre a Proteção de Dados da União Europeia.
- Conformidade com PCI-DSS: Verificação da aderência aos padrões de segurança de dados da indústria de cartões de pagamento.
Alguns exemplos de frameworks/Regulações que podem ser utilizados para avaliar a conformidade regulatória de TI de uma entidade:
- COSO
- Sarbanes-Oxley (SOX)
- J-SOX
- SASAC
- PCI DSS (Payment Card Industry Data Security Standard)
- LGPD
- GDPR
- – HIPAA (Health Insurance Portability and Accountability Act)
Auditoria de Desempenho de TI
A avaliação de performance de TI analisa a eficiência e efetividade dos sistemas e procedimentos de TI. Uma auditoria pode abranger:
– Avaliação de desempenho: Exame do rendimento dos sistemas de tecnologia da informação, incluindo tempo de resposta, utilização de recursos e eficácia operacional.
– Análise de capacidade: Exame da capacidade da infraestrutura de TI (servidores, redes, etc.) para satisfazer as necessidades presentes e futuras da organização.
– Eficiência de procedimentos de TI: Análise da efetividade dos procedimentos de TI, abrangendo a gestão de incidentes, alterações e dificuldades.
Alguns exemplos de frameworks que podem ser utilizados para avaliar a desempenho de TI de uma entidade:
- ITIL (Information Technology Infrastructure Library)
- COBIT (Control Objectives for Information and Related Technologies)
- Balanced Scorecard (BSC)
- Six Sigma
- Lean IT
Auditoria de Terceiros (Fornecedores e Contratos)
A avaliação externa analisa a conexão da organização com os fornecedores de tecnologia e serviços. A auditoria tem a capacidade de avaliar:
- Segurança de fornecedores: Exame dos mecanismos de segurança dos fornecedores de tecnologia, particularmente para os que manipulam informações delicadas.
- Adesão de fornecedores: Assegurar que os fornecedores atendam aos requisitos legais e regulamentares, como o GDPR ou o PCI-DSS.
- Gestão contratual: Análise de como os contratos com fornecedores de tecnologia da informação são administrados e os perigos ligados a falhas nos serviços ou na entrega.
Alguns exemplos de frameworks que podem ser utilizados para avaliar a gestão de terceiros de TI de uma entidade:
- ITIL (Information Technology Infrastructure Library)
- COBIT (Control Objectives for Information and Related Technologies)
- Third-Party Risk Management Framework (TPRM)
- NIST SP 800-53 (Security and Privacy Controls for Information Systems and Organizations)
Portanto, ao identificar o tipo de auditoria de TI e o framework / regulamento que será empregado, é crucial planejar uma auditoria anual de tecnologia em uma organização para assegurar que os sistemas, processos e controles ligados à tecnologia da informação (TI) estejam operando de forma eficaz, segura e em conformidade com as políticas e regulamentos pertinentes. Segue um guia detalhado para organizar uma auditoria de tecnologia, independentemente do setor de atuação da organização:
1. Definir os Objetivos da Auditoria
Antes de iniciar a auditoria, é fundamental entender os objetivos que você deseja alcançar. Perguntas a serem feitas incluem:
- O que se espera alcançar com a auditoria? (ex.: identificar falhas de segurança, melhorar a eficiência de processos, verificar conformidade com regulamentações etc.)
- Quais áreas da TI são mais críticas para o negócio?
- Há algum risco específico de TI que a empresa precisa mitigar?
Esses objetivos guiarão todo o processo de auditoria e ajudarão a identificar as prioridades.
2. Identificar os Sistemas e Processos de TI Relevantes
É essencial entender quais sistemas e processos de TI precisam ser auditados. Isso pode incluir:
- Infraestrutura de rede (servidores, roteadores, firewalls, etc.)
- Sistemas de software e aplicativos corporativos (ERPs, CRMs, etc.)
- Políticas de segurança da informação (acesso de usuários, controle de identidade, criptografia, etc.)
- Gestão de dados (armazenamento, backups, recuperação de desastres)
- Processos de governança de TI e conformidade regulatória (como a Lei Geral de Proteção de Dados – LGPD, ou GDPR, dependendo da localidade)
- Integração com sistemas de terceiros (fornecedores, parceiros)
3. Analisar os Riscos e Definir o Escopo da Auditoria
Identifique os principais riscos associados aos sistemas de TI da empresa. Algumas categorias comuns de risco incluem:
- Riscos de segurança cibernética: como vazamento de dados, ataques de ransomware, acesso não autorizado.
- Riscos operacionais: falhas de sistemas, ineficiência nos processos, downtime (tempo de inatividade) dos sistemas.
- Riscos de conformidade: não conformidade com as regulamentações de segurança de dados e privacidade, como a LGPD ou GDPR.
- Riscos financeiros: sistemas de contabilidade ou financeiro com falhas que podem comprometer as finanças da empresa.
Com base nos riscos identificados, defina o escopo da auditoria. Isso inclui a escolha de quais áreas ou sistemas específicos serão auditados, o tempo disponível para a auditoria e os recursos necessários.
4. Formar a Equipe de Auditoria
A auditoria de TI pode ser realizada internamente ou com o apoio de auditores externos. A equipe de auditoria deve incluir:
- Auditores internos (se a auditoria for interna): Profissionais com conhecimento de TI, segurança da informação, governança de TI, e as operações do negócio.
- Auditores externos (se for o caso): Consultores especializados que podem trazer uma perspectiva externa.
- Gestores de TI: Para fornecer informações sobre os sistemas e processos utilizados pela empresa.
A equipe deve ter experiência em áreas como governança de TI, gerenciamento de riscos, controle interno, cibersegurança e conformidade regulatória.
5. Planejar a Metodologia da Auditoria
A auditoria de tecnologia pode ser realizada de diversas formas, e a metodologia vai depender dos objetivos e escopo definidos como as já mencionadas no início do artigo.
A metodologia também deve incluir a definição de técnicas específicas de auditoria, como entrevistas com colaboradores, análise de documentação, revisão de logs de sistema e testes técnicos (como varredura de vulnerabilidades ou testes de penetração).
6. Coletar Dados e Informações
Antes de realizar a auditoria, colete informações sobre os sistemas de TI da empresa. Isso pode incluir:
- Estrutura organizacional de TI (como equipes e responsabilidades).
- Diagramas de rede e arquitetura de sistemas.
- Políticas e procedimentos de segurança e governança de TI.
- Documentação sobre contratos com fornecedores de TI.
- Histórico de auditorias anteriores e relatórios de incidentes de TI.
Essa coleta de dados pode ser feita por meio de entrevistas com líderes de TI, análise de documentos, relatórios de incidentes de segurança e dados de sistemas.
7. Realizar a Auditoria
A execução da auditoria envolve a análise detalhada dos sistemas e processos de TI, conforme definido no escopo e na metodologia. Durante esta etapa, a equipe de auditoria deverá:
- Testar a segurança dos sistemas, realizando avaliações de vulnerabilidades.
- Verificar a conformidade com as políticas de segurança e os requisitos regulatórios.
- Avaliar a eficiência e eficácia dos processos e sistemas de TI.
- Identificar lacunas ou deficiências nos controles internos.
A auditoria pode ser dividida em várias fases, como:
- Fase preliminar: Coleta de informações gerais sobre os sistemas e operações de TI.
- Fase de testes (tanto desenho como efetividade dos controles) Avaliação de riscos específicos e testes em áreas críticas.
- Fase de revisão e análise: Análise dos dados coletados e identificação de problemas.
8. Documentar Resultados e Elaborar Relatório
Após a auditoria, é fundamental documentar todos os resultados encontrados. O relatório de auditoria deve ser claro, objetivo e conter:
- Sumário executivo: Principais descobertas e recomendações.
- Achados detalhados: Deficiências encontradas, como problemas de segurança, ineficiência ou não conformidade, severidade das deficiências identificadas etc.
- Recomendações: Sugestões de melhorias e ações corretivas a serem tomadas.
- Plano de ação: Definir os responsáveis, prazos e recursos necessários para implementar as melhorias.
Este relatório deve ser compartilhado com a alta administração, e pode ser utilizado como base para decisões futuras de investimento em TI.
9. Acompanhar a Implementação das Recomendações
Após a auditoria, é importante acompanhar a implementação das recomendações. Isso envolve:
- Acompanhamento da implementação das correções e melhorias sugeridas no relatório.
- Definição de um cronograma para monitoramento contínuo das áreas auditadas.
- Realização de reuniões periódicas com a equipe de TI para garantir que as ações corretivas sejam executadas dentro do prazo.
10. Planejar a Auditoria para o Próximo Ciclo
Finalmente, ao terminar a auditoria anual, inicie o planejamento para o próximo ciclo de auditoria, levando em consideração as lições aprendidas e os novos riscos ou requisitos que possam ter surgido.
Dentro do exposto anteriormente, procurei ser o mais abrangente possível, uma vez que existem muitas especificidades em cada tipo de auditoria (interna ou externa), metodologias e frameworks, cada um seguindo um raciocínio distinto. A seleção do tipo de auditoria de TI será determinada pelos objetivos particulares da empresa, pelos riscos ligados à tecnologia e pelas exigências regulatórias.
Em diversas situações, pode ser necessária a combinação de diversas dessas auditorias para assegurar que a TI esteja adequadamente administrada, segura e eficaz, além de estar em conformidade com as normas e regulamentos pertinentes.
Siga o Itshow no LinkedIn e assine a nossa News para ficar por dentro de todas as notícias do setor de TI e Telecom!
