Upload
truongtu
View
215
Download
0
Embed Size (px)
Citation preview
AUDITORIA DE SISTEMASAUDITORIA DE SISTEMAS
Uma forma de mitigar riscoUma forma de mitigar risco
Pedro Cupertino de Miranda, CISM, CISA
Criação da função de Auditoria de Sistemas de Informação2 Criação da função de Auditoria de Sistemas de Informação2
2001‐...
PROJECTO • Consultor Arthur AndersenPROJECTO • Desenho da função• Elaboração do Organigramaç g g• Modelo de Reporting• Competências e responsabilidades
11
CONHECER OCONHECER O NEGÓCIO DONEGÓCIO DORETALHOO
A aproximação4
Realização de
A aproximação4
Realização de t i tentrevistas
k he workshopscom as várias DIRECÇÕES
A metodologia5 A metodologia5
Levantamentodos principais
Organigrama, funções e
Aplicações fluxos de
Arquitectura sistemas dedos principais
processos de negócio
funções e responsabilidades
fluxos de dados
sistemas de informação
negócio
6
ANÁLISE
6
ANÁLISE ISCODE RISCO
Riscos Informáticos7 Riscos Informáticos7
ConfidencialidadeRisco da informação
i il i d d
DisponibilidadeRisco de
i di ibilid d dprivilegiada poder ser acedida por pessoas
não autorizadas.
indisponibilidade de informação importante ou relevante quando
necessárianecessária.
I t id dIntegridadeRisco de existência de
informação inadequada ou processamento incompleto ou
incorrecto
Processo de avaliação do Risco8 Processo de avaliação do Risco8
BIA Processo Activos Valor(Impacto)
AmeaçasP b bilid
Nível de Risco
Vulnerabilidades
Probabilidade
dades
9 Principais Riscos Informáticos9
• Cultura de segurança pouco enraizada • Classificação e dados não encriptados
Principais Riscos Informáticos
Classificação e dados não encriptados• Configurações por defeito• Incumprimento de requisitos legais e das normas internas
• Bugs Aplicacionais • Passwords triviais
f / f á• Perfis de acesso excessivos e/ou deficitários • Nível de patching desactualizado• Inexistência de audit trails • Inconsistência de dados
• Redes Wired/Wireless sem protecçãoRedes Wired/Wireless sem protecção• Acessos remotos • Regras de firewall desajustadas• Antivírus inexistente ou desactualizado• Antivírus inexistente ou desactualizado
• Inexistência de redundância de equipamentosi ê i d b k• Inexistência de backups
• Inexistência de um BCP e DRP
10
AO LONGO DO TEMPO
10
QUAL O CONTRIBUTO DO
AO LONGO DO TEMPO
QUAL O CONTRIBUTO DOAUDITORAUDITORDE SISTEMAS DEDE SISTEMAS DE INFORMAÇÃOINFORMAÇÃO
Funções e responsabilidades11 Funções e responsabilidades11
Suporte
AuditoriaSistemas deSistemas de Informação
AuditorConsultor
12 Mitigação do Risco12
SENSIBILIZAÇÃO GESTÃO DE RISCO
Mitigação do Risco
SENSIBILIZAÇÃO GESTÃO DE RISCO
IDENTIFICAÇÃO FALHAS RECOMENDAÇÃO DE CONTROLOS
MONITORIZAÇÃOMONITORIZAÇÃO DE INDICADORES
FERRAMENTAS AUTOMÁTICAS
13 Ferramentas13 Ferramentas
Ferramentas de suporte à actividade14 Ferramentas de suporte à actividade14
SIGA
Auto Audit
ASATablet
SIGAAI
ASA
SIGAGR
Gestão de
ASI
Gestão deRisco
CRSA
ASI
DAGRRegisto
Incidentes
Gestão Procedim.
IntelliQACL
Computer Aided Automated Tools (CAATs)15 Computer Aided Automated Tools (CAATs)15
Arquitectura Aplicacional16 Arquitectura Aplicacional16
ASA
Extractos
Procediment.
Findings Std.
440
60
450
Hierarquia ComercialSIGA
AI
g
Extractos
Procediment.
79
311
I t t
Hierarquia Operacional
e Locais
AIFindings Std. 645
Extractos 55
Intranet
Legislação
SIGAGR
Procediment.
Findings Std.
n/a
196
ASI
ISO 17799
Cobit V4.0
Findings Std.
144
215
449
Mapa de Riscos
CRSA
Extractos
Perguntas
50
50
Findings Std. 50
Fluxo do processo de auditoria17 Fluxo do processo de auditoria17
ASI InsiteASA/SIGA/CRSA/ASI Intranet
AuditoriasTrabalho de
Campo
AuditoriasTrabalho de
Campo
AuditoriasTrabalho de
Campo
AuditoriasTrabalho de
Campo
ISO 27001ISO 27001 RelatórioWord
RelatórioWordISO 27001Legislação RelatórioWord
RelatórioWord
Cobit V4.0Cobit V4.0 Findings/Recom. Standard
Findings/Recom. Standard
Mapa de Findings
Mapa de FindingsAuditoriasAuditoriasCobit V4.0
StandardsInternacionais
Findings/Recom. Standard
Findings/Recom. Standard
Mapa de Findings
Mapa de FindingsAuditoriasAuditorias
LegislaçãoPortuguesaLegislaçãoPortuguesa
Standard
Mapa de Acções
Mapa de Acções
LegislaçãoPortuguesa
ProcedimentosInternos
Standard
Mapa de Acções
Mapa de Acções
StatusAcçãoData Impl.Resp.Rec. 2Find 2
StatusAcçãoData Impl.Resp.Rec. 1Find 1
StatusAcçãoData Impl.Resp.Rec. 2Find 2
StatusAcçãoData Impl.Resp.Rec. 1Find 1
Acção do Auditado
Standards Internacionais1818
/ISO/IEC 27001 COBIT V4.1
Foco na Segurança da Informação Foco nos Controlos de IT
Standard ISO /IEC 270011919 Standard ISO /IEC 270011919
Política de Segurança
Organização de Segurança
Organizacional
Organização de Segurança da Informação
Gestão de ActivosControlo de A
Conformidade
Acessos
Segurança dos Recursos Humanos
Aquisição Gestão da
Segurança FísicaOperacional
Aquisição, Desenvolvimento e
Manutenção de Sistemas
Operações e Comunicações
Gestão de Incidentes de Segurança
Gestão da Continuidade do
Negócio
Técnica Gestão Física
Legenda
Standard COBIT V4.1 do ISACA2020 Standard COBIT V4.1 do ISACA2020
2121
NOVASNOVASOPORTUNIDADESOPORTUNIDADESE DESAFIOSE DESAFIOS