# data[].attributes.body
1.O que é lógica?
A lógica surge como parte da filosofia, estudando o formato do pensamento. Ela analisa o modo como relacionamos as informações e se concluímos de forma correta. Ela serve como ferramenta para pensar a verdade.

2.O que é Proposição?

Uma proposição é uma sentença declarativa que admite um e somente um dos dois valores lógicos – V ou F.

3.O que são Premissas?
As premissas são sentenças consideradas como verdades que não podemos necessariamente comprovar, pois elas dependem de fatores externos. Podemos, por exemplo, considerar como premissa do projeto Construção de um prédio a seguinte frase: “Não irá faltar operário durante a obra”.

4.O que são Argumentos?
Argumentos são ideias lógicas relacionadas entre si e com o propósito de esclarecer e resolver determinada situação ou dúvida, por exemplo.

5.O que é Silogismo?
É constituído de três termos que compõem 3 proposições distintas: uma premissa maior, uma menor e uma conclusão – essencial para estabelecer a relação lógica entre as premissas anteriores.

6.O que é Falácia?
Por definição, a falácia se refere a qualquer ideia equivocada ou falsa crença em algo.

7.O que é inferência? Quais os tipos?

Designa-se por inferência a operação mental pela qual obtemos de uma ou mais proposições outra ou outras que nela(s) estava(m) já implicitamente contida(s).

As inferências podem ser divididas em dois tipos: imediatas e mediatas. ...

O termo inferência usa-se por vezes como sinónimo de raciocínio.

# data[].attributes.body
Como funciona uma auditoria de segurança?

Recomenda-se que esse processo seja realizado com determinada frequência, que pode ser até mensal. Minimamente, a verificação semestral é aconselhada. Uma equipe ou uma empresa especializada deverá verificar pontos centrais de segurança e emitir um relatório analítico sobre o panorama atual da empresa.

É preciso identificar as principais áreas que precisam de atenção e os processos mais vulneráveis. Além disso, deve-se observar o potencial impacto financeiro que seria causado em um eventual ataque, mensurando o prejuízo da falta de proteção.

Especificamente em relação à LGPD, por meio de uma auditoria é possível garantir a proteção de dados de usuários, impedindo que a empresa tenha problemas com informações de terceiros e sofra passivos ou outros problemas graves de vazamento de dados.

Por que a auditoria de segurança é importante?

A auditoria, como discorremos anteriormente, precisa ser efetuada com frequência. De nada adianta um sistema de boa qualidade e velocidade, se não há uma proteção eficaz por trás. Desse modo, destacamos os principais motivos para você não negligenciar essa medida e implementá-la imediatamente. Confira.

Identificação de riscos

Sobretudo quando compartilhamos dados na Internet, há um risco muito grande de ataques e roubos de dados. Às vezes, a falha pode estar na proteção de informações de registros financeiros. Em todos os casos, o especialista fará uma varredura em busca desses problemas e procurará as possíveis brechas que sistemas maliciosos poderão se aproveitar.

Análise da vulnerabilidade do sistema

A inexistência de uma política de proteção de sistema abre chance para invasões ou erros de execução. A frequência dessa auditoria é fundamental para combater também a falta de atualizações e inadequações para novos padrões de segurança.

Há uma previsibilidade de que até agosto de 2021 as diretrizes da LGPD sejam obedecidas na totalidade pelas empresas brasileiras, sob pena de multas e sanções pela irresponsabilidade no uso de dados de clientes e usuários de um site. Dessa maneira, qualquer vulnerabilidade é combatida nessa análise.

Prevenção de futuros problemas

Mais do que nunca, a velha máxima de que “é melhor prevenir do que remediar” se aplica em tal situação. Nesse sentido, a prevenção se apresenta como medida muito mais barata, se comparada com a solução de um problema mais grave como um ataque hacker, infecção por vírus ou vazamento de informações estratégicas da empresa.

Proteção contra ataques

Em uma auditoria de segurança, são estabelecidas as diretrizes para proteção de ataques, como novas camadas de proteção com criptografia de dados, sistema de gerenciamento de acesso com segurança de senha e restrição a grupos ou usuários, entre outras medidas importantes.

Um gestor de segurança deverá ter a competência de identificar com precisão em que parte do sistema um invasor encontraria mais facilidade em acessar os dados confidenciais.

Otimização dos processos de segurança

Cuidados com a segurança de um sistema não devem ser pontuais, mas precisam contemplar uma área focada e dedicada por parte da empresa para evitar as vulnerabilidades.

Portanto, recomenda-se fortemente que isso seja de responsabilidade de uma equipe, um gestor de segurança ou uma empresa especializada em proteção de sistemas. Dessa forma, garante-se a otimização dos processos de segurança e permite-se um sistema mais robusto, fluído e livre de ameaças.

Redução de gastos

Centralizar todo o processo de segurança em vez de contratar utilitários de modo pontual ou realizar ações remediadoras é mais econômico e eficiente. No cômputo geral, a empresa terá um impacto mais otimizado nos custos com a infraestrutura da plataforma digital.

Aumento da competitividade

A segurança também deve ser uma base central na consideração da competitividade da organização. Isso porque um sistema bem-protegido privilegia o desempenho e a performance do trabalho, impedindo interrupções ou até mesmo longas paradas por problemas de segurança.

Nesse sentido, a auditoria de segurança ainda garante a continuidade do funcionamento dos processos e do fluxo de trabalho com medidas diretas e indiretas na plataforma de trabalho.

# data[].attributes.attachment_link.readable_text
No decorrer dos anos, o mundo empresarial cresceu de forma significativa, integrando universos diversos, compostos por organizações de vários segmentos de mercado, e oferecendo um leque amplo de produtos, com variedade de formatos referentes à aquisição e utilização. A competitividade no mercado globalizado está mais voraz. Fatores como a interação das economias (ex: MERCOSUL, Europa e NAFTA), as constantes alterações geopolíticas e sociais, em conjunto com a evolução tecnológica, reforçam a competitividade. As organizações que fazem parte dessa nova realidade estão cada vez mais vulneráveis perante esse mercado, pois necessitam manter uma constante atualização em relação às diversas demandas emergentes. Uma solução para esse problema é juntar esforços.

Em virtude disto, as organizações se unem, de forma cooperativa, com o objetivo de atender uma determinada demanda de negócio. Com isso, novas estruturas interorganizacionais, criadas e distribuídas com base na ajuda mútua, são, atualmente, uma realidade e uma solução cabível ante as obrigatoriedades estabelecidas por um novo mercado.

A busca constante por novas soluções e produtos deve-se a essa crescente evolução do mercado, cada vez mais competitivo e volátil, que, junto à globalização da tecnologia e da economia, é fator influente na busca de soluções mais eficientes, com custos mais acessíveis. As empresas que estão vivenciando esta realidade vêm buscando unir forças para minimizar custos e obter soluções que atendam de forma objetiva os seus clientes.

Nesse contexto, vem crescendo a utilização de organizações virtuais como solução, em conjunto com o conceito de Cloud Computing, pois asssegura uma saída para esta questão, possibilitando:

coordenar recursos compartilhados de forma descentralizada (sem controle centralizado);

fazer uso de protocolos e interfaces padrões, de propósito geral e aberta; e

proporcionar qualidades de serviços não triviais.

Organizações Visuais: Um estilo de computação escalável de recursos de TI é identificado como um fornecimento de "serviço" para clientes externos, por meio da tecnologia da internet. Os consumidores desses serviços visualizam-nos apenas para utilização, sem se preocupar com a arquitetura de implementação ou programação desses. Saiba mais em: <http://www.gartner.com>.

Cloud Computing: É a designação aceita para redes independentes, formadas dinamicamente por meio de empresas e organizações convencionais de um modo geral, distribuídas geograficamente, com objetivos comuns, compartilhando tecnologia de informação e comunicação, trabalhando de forma cooperativa, de modo a possibilitar uma melhor qualidade de serviço e competências na solução de problemas comuns. (ZHANG; GU, 2003).

Em paralelo, novas vulnerabilidades e ameaças foram criadas, tornando os negócios das organizações mais suscetíveis a ataques. Tal possibilidade forçou os administradores, em conjunto com a sua equipe de Tecnologia da Informação, a buscar alternativas de proteção com a finalidade de mitigar essas vulnerabilidades e, assim, reduzir a chance de ocorrer ataques ao seu negócio.

Dessa forma, conforme citado em Sêmola (2010), a importância da Gestão da Segurança da Informação é hoje um fator fundamental para o sucesso do negócio de qualquer organização, independente de seu tamanho ou área de atuação. A implantação de um Sistema de Gestão de Segurança da Informação (SGSI), em conformidade com os requisitos descritos na norma ISO 27001, é fator estratégico e de sucesso para o negócio da organização. Em paralelo, a aplicação de boas práticas de segurança da informação, conforme citadas na ISO 27002, também deve ser adotada no projeto de segurança de informação da organização.

A norma ISO 27001, responsável em estabelecer os requisitos do SGSI de uma organização, baseia-se no modelo de processo PDCA (Plan - Do - Check - Act), conforme pode ser visualizado na figura abaixo.

Como pode ser visto, o ciclo PDCA é representado por quatro fases:

Planejamento: nesta, de forma geral, são planejadas e projetadas as atividades referentes ao SGSI, como por exemplo, políticas e procedimentos de segurança;

Execução: aqui, são implantadas e operacionalizadas as políticas, controles, processos e procedimentos do SGSI;

Verificação: de uma forma geral, nessa etapa audita-se o SGSI, analisando e avaliando a eficiência, por exemplo, de suas políticas, procedimentos e controles;

Ações corretivas: com base na etapa de verificação, são tomadas ações que previnam ou que venham a corrigir as atividades referentes ao SGSI, especificadas na fase de planejamento e implantadas na fase de execução.

O sucesso da implantação e manutenção do SGSI está baseado na verificação constante das suas atividades. A auditoria dos seus componentes possibilita que o SGSI esteja sempre alinhado às necessidades de segurança da informação do negócio da organização. Esse fato torna a auditoria, de forma ampla, uma ferramenta fundamental à manutenção e adequação do SGSI à estratégia do negócio.

Conceituar auditoria pode ser considerado um tanto quanto fácil, pois existem algumas definições em torno desse assunto. Todavia a NBR ISO 19011 define auditoria como um processo sistemático, documentado e independente para obter evidências de auditoria e avaliá-las objetivamente de modo a determinar a extensão na qual os critérios de auditoria são atendidos.

Evidências de auditoria: são registros, apresentação de fatos ou outras informações, pertinentes aos critérios de auditoria. A auditoria pode ser quantitativa ou qualitativa.

Critérios de auditoria: consiste em um conjunto de políticas, procedimentos ou requisitos. Os critérios de auditoria são usados como uma referência contra a qual a evidência da auditoria é comparada.

Outra definição interessante de auditoria está em UFERSA (2010): são exames, análises, avaliações, levantamento e comprovações, metodologicamente estruturados para a avaliação da integridade, adequação, eficiência, eficácia e economicidade dos processos, dos sistemas de informações e de controles internos integrados da organização, visando a atingir o cumprimento de seus objetivos.

Segundo Mello (2005), a auditoria pode ser definida como uma atividade que engloba o exame das operações, processos, sistemas e responsabilidades gerenciais de uma determinada entidade, com o intuito de verificar a sua conformidade com certos objetivos e políticas institucionais, orçamentos, regras, normas ou padrões. Poderiam ser mencionadas, ainda, algumas definições mais: acredita-se, entretanto, que essas duas atendam às expectativas deste estudo.

Ressalta-se que uma auditoria caracteriza-se pela confiança e princípios, tornando- se ferramenta eficiente e confiável. Dessa forma, contribui para as políticas de gestão e controle, provendo as organizações de informações que possibilitem melhorar os seus processos de negócio.

A NBR ISO 19011 apresenta alguns desses princípios, relacionados aos auditores, possibilitando que sejam fornecidas conclusões de auditoria relevantes e suficientes e permitindo que auditores trabalhem de forma independente e cheguem a conclusões semelhantes em situações semelhantes. Veja na sequência.

Conduta ética: consiste na alma do profissional, confiança, integridade, confidencialidade e discrição. A ética consiste em uma característica inerente às ações do ser humano, tornando-se um componente fundamental à sociedade.

Obrigação: existe a obrigação de reportar com veracidade e exatidão todas as informações pertinentes à auditoria, relacionadas com as constatações e as conclusões da auditoria e seus respectivos relatórios.

Consciência profissional: os auditores devem ter a preocupação de realizar as tarefas da forma mais profissional, de acordo com a importância e a confiança depositada em uma auditoria.

Independência: é a base para a imparcialidade e objetividade das conclusões de uma auditoria, porque os auditores são independentes em relação ao que será auditado, assim como não se ligam aos interesses e às tendências apresentadas.

Evidência: a evidência de auditoria pode ser verificada, pois ela é realizada com base em amostras de informações que se encontram disponíveis.

Sendo assim, pode-se dizer que a auditoria é talvez um mal/bem necessário a qualquer organização. Saber até quanto o seu processo de negócio é eficiente, ou mesmo, até quanto o seu sistema de informações é seguro, é uma necessidade estratégica para o negócio. Logo, se for perguntado por que auditar, a resposta pode ser imediata: é uma necessidade estratégica para o negócio da organização, o qual pode ser validado pela auditoria.

As auditorias podem estar em conformidade com diversos critérios, como por exemplo, o objetivo, a periodicidade e o posicionamento do auditor/órgão fiscalizador. O objetivo de uma auditoria pode estar relacionado à necessidade de se verificarem falhas em um processo e, assim, poder corrigi-lo. A periodicidade de uma auditoria pode estar relacionada à necessidade ou ao tipo de negócio.

Sendo assim, Neto e Solonca (2007) apresentam um quadro com os tipos de auditoria, separando-os em 3 classes abrangentes: forma de abordagem; órgão fiscalizador e área envolvida. Com isso, oferecem uma ampla visão dos diversos tipos de auditoria que podem existir.
QUANTO A FORMA DE ABORDAGEM

1. Auditoria Horizontal - Auditoria com tema específico, realizada em várias entidades ou serviços, paralelamente.

2. Auditoria Orientada - Foca em uma atividade específica qualquer ou atividades com fortes indícios de fraudes ou erros.

QUANTO AO ÓRGÃO FISCALIZADOR:

1. Auditoria Interna - Auditoria realizada por um departamento interno, responsável pela verificação e avaliação dos sistemas e procedimentos internos de uma entidade. Um de seus objetivos é reduzir a probabilidade de fraudes, erros, práticas ineficientes ou ineficazes. Esse serviço deve ser independente e prestar contas diretamente à classe executiva da corporação.

2. Auditoria Externa - Auditoria realizada por uma empresa externa e independente da entidade que está sendo fiscalizada, com o objetivo de emitir um parecer sobre a gestão de recursos da entidade, sua situação financeira, a legalidade e regularidade de suas operações.

3. Auditoria Articulada - Trabalho conjunto de auditorias internas e externas, devido à superposição de responsabilidades dos órgãos fiscalizadores, caracterizado pelo uso comum de recursos e comunicação recíproca dos resultados.

QUANTO A ÁREA ENVOLVIDA:

1. Auditoria de programas de governo - Acompanhamento, exame e avaliação da execução de programas e projetos governamentais. Auditoria do planejamento estratégico - verifica se os principais objetivos da entidade são atingidos e se as políticas e estratégias são respeitadas.

2. Auditoria Administrativa - Engloba o plano da organização, seus procedimentos, diretrizes e documentos de suporte à tomada de decisão.

3. Auditoria Contábil - É relativa à fidedignidade das contas da instituição. Essa auditoria, consequentemente, tem como finalidade fornecer alguma garantia de que as operações e o acesso aos ativos se efetuem de acordo com as devidas autorizações.

4. Auditoria Financeira - Conhecida também como auditoria das contas. Consiste na análise das contas, da situação financeira, da legalidade e regularidade das operações e aspectos contábeis, financeiros, orçamentários e patrimoniais, verificando se todas as operações foram corretamente autorizadas, liquidadas, ordenadas, pagas e registradas. Auditoria de legalidade - conhecida como auditoria de conformidade. Consiste na análise da legalidade e regularidade das atividades, funções, operações ou gestão de recursos, verificando se estão em conformidade com a legislação em vigor.

5. Auditoria Operacional - Incide em todos os níveis de gestão, nas fases de programação, execução e supervisão, sob a ótica da economia, eficiência e eficácia. Analisa também a execução das decisões tomadas e aprecia até que ponto os resultados pretendidos foram atingidos.

6. Auditoria da Tecnologia da Informação - Tipo de auditoria essencialmente operacional, por meio da qual os auditores analisam os sistemas de informática, o ambiente computacional, a segurança de informações e o controle interno da entidade fiscalizada, identificando seus pontos fortes e deficiências.

A classificação quanto ao órgão fiscalizador/posicionamento do auditor destaca 2 tipos de auditoria aplicados, em sua maioria, nas organizações, independente da área de atuação ou forma de abordagem. Essa terminologia é utilizada pela grande maioria dos auditores para classificar um processo de auditoria. Desta forma, este item busca um maior detalhamento das características das auditorias internas e externas, dando maior atenção à auditoria interna, tendo em vista a sua aplicabilidade dentro das organizações.

Segundo CONAB e COAUD (2008, p. 5), a auditoria interna é

o conjunto de técnicas que visa avaliar, de forma amostral, a gestão da companhia, pelos processos e resultados gerenciais, mediante a confrontação entre uma situação encontrada com um determinado critério técnico, operacional ou normativo. Trata-se de um importante componente de controle das corporações na busca da melhor alocação dos recursos do contribuinte, não só atuando para corrigir os desperdícios, as impropriedades/ disfunções, a negligência e a omissão, mas, principalmente, antecipando- se a essas ocorrências, buscando garantir os resultados pretendidos, além de destacar os impactos e benefícios sociais advindos, em especial sob a dimensão da equidade, intimamente ligada ao imperativo de justiça social.

A necessidade de realizar auditorias internas vai de encontro com os objetivos de controle, controle de processos, processos e procedimentos do sistema de gestão. Logo, qualquer organização deverá garantir que as auditorias sejam realizadas em intervalos de tempo planejados, de acordo com os elementos citados.

Quanto à auditoria externa, são encontradas algumas definições, principalmente relacionadas à questão financeira/contábil da organização, como a citada no portal da auditoria, que a trata como o exame das demonstrações financeiras feitas, com o propósito de expressar uma opinião sobre a propriedade com que estas apresentam a situação patrimonial e financeira da empresa e o resultado das operações no período do exame. Entretanto uma definição mais genérica

de auditoria externa ocorreria quando se audita um fornecedor ou quando se é auditado por um cliente, por exemplo. Um exemplo simples é quando uma organização sofre uma auditoria de segurança da informação com base na norma ISO 27001. O auditor externo, de forma macro, verifica se todos os controles de segurança da informação necessários estão implantados.

Para que uma auditoria seja iniciada, os seus objetivos globais devem estar alinhados aos objetivos do programa de auditoria, bem como o escopo de abrangência e os seus critérios.

Objetivos

determinar a extensão da conformidade dos documentos da organização contra os critérios de auditoria;

avaliar a capacidade da documentação da organização de garantir conformidade com requisitos legais, contratuais e regulamentares;

determinar a eficácia da documentação da organização em atender os objetivos especificados;

identificar as possíveis melhorias da documentação.

Escopo

O escopo de uma auditoria está relacionado à descrição da extensão e limites da auditoria em termos de localização física, unidades organizacionais, atividades, processos, ativos de informação, avaliações de risco.

Critérios

Os critérios podem incluir políticas e procedimentos aplicáveis à organização, normas, requisitos legais (leis), regulamentos, requisitos contratuais, sistema de gestão, e práticas, entre outros.

Atributos e responsabilidades de um auditor

Um auditor deve possuir alguns atributos, como:

possuir capacidade de decisão;

ser rígido e possuir autoconfiança;

ser ético, educado e instruído;

ser versátil, ter a mente aberta, ser diplomático, perceptivo e observador (BSI, 2008);

estar sempre em conformidade com os requisitos da organização;

participar na confecção da agenda da auditoria, bem como conduzi-la de forma adequada;

registrar e relatar as constatações;

manter a independência e confidencialidade, bem como manter os registros de auditoria.

Boas práticas de uma auditoria
Conforme citado em BSI 2008, Curso Auditor Interno, algumas boas práticas durante uma auditoria devem ser observadas:

notifique sempre e com antecedência a realização de uma auditoria, seja ela externa ou interna, e também informe a importância dela para a organização;

faça as perguntas às pessoas responsáveis pela área que está sendo auditada. Não se esqueça de que as perguntas devem ser claras e objetivas. Evite realizar várias perguntas ao mesmo tempo;

seja imparcial durante todo o processo de auditoria, buscando sempre evidências: com isso, você evita quaisquer conclusões precipitadas;

seja sempre atencioso e educado, procure usar uma linguagem polida, não argumente com qualquer pessoa ou segmento da organização; não discuta, não faça críticas; e

procure sempre apresentar as suas constatações durante o processo da auditoria.

Terminologia adotada em uma auditoria

Este item visa a apresentar alguns conceitos, considerados como gerais, utilizados, normalmente, durante um processo de auditoria, independente de sua classificação. Conceitos como campo, âmbito e natureza são básicos para qualquer tipo de auditoria.

Campo: está relacionado ao objeto (pode ser uma instituição pública ou privada ou um determinado setor da mesma) a ser fiscalizado, período e o tipo da auditoria (operacional, financeira, etc.).

Âmbito: define o grau de abrangência e a profundidade das tarefas.

Área de verificação: delimita de modo preciso os temas da auditoria, em função da entidade a ser fiscalizada e da natureza da auditoria.

Controle: consiste na fiscalização exercida sobre as atividades das pessoas, departamentos, produtos, etc., de forma que as atividades executadas ou produtos mantenham-se dentro das normas preestabelecidas.

Três tipos de controle são exercidos:

Preventivo - previne erros e invasões, por exemplo, identificação e autenticação de usuários do sistema via a utilização de senhas;

Detector - detecta erros, tentativas de invasões, etc. (arquivos logs, realização de controle de acesso de usuários);

Corretivo - minimiza o impacto causado por falhas ou erros, corrigindo-os (política de segurança, plano de contingência).

Objetivos de controle: são metas de controle a serem alcançadas, ou aspectos negativos a ser evitados em cada transação, atividade ou função fiscalizada.

Procedimentos de auditoria: é um conjunto de verificações e averiguações que permite obter e analisar as informações necessárias ao parecer do auditor. Esses procedimentos devem ser de conhecimentos dos auditores antes do início da auditoria.

Achados de auditoria: são fatos a ser considerados como importantes para o auditor. Para que esses dados constem no relatório, eles devem estar baseados em fatos e evidências.

Papéis de trabalho: são registros que evidenciam atos e fatos observados pelo auditor (planilhas, documentos, etc.).

Recomendações de auditoria: realizada na fase de relatório, isto é, são medidas corretivas exequíveis, sugeridas para corrigir as falhas detectadas (DIAS, 2000).

Um programa de auditoria, segundo a NBR ISO 19011, consiste em uma ou um conjunto de auditorias planejado para um determinado período de tempo e com um propósito específico. A quantidade de auditorias que irão compor um programa de auditoria está diretamente relacionada ao escopo de abrangência, à natureza (ex.: corretiva ou punitiva) e ao tipo de negócio da organização, o nível de complexidade da organização que será auditada.

O programa de auditoria é responsável, também, por estabelecer todas as atividades que possibilitam o planejamento e organização, execução e manutenção de todas as auditorias que fazem parte do programa, independente do tipo, fornecendo todos os recursos necessários para que sejam executadas de forma eficiente, em um determinado período de tempo (NBR, 2002).

Desta forma, pode-se dizer que o programa de auditoria é um plano de ação, detalhado, com o objetivo de dar ao auditor as diretivas necessárias à realização de seu trabalho. Possui objetivos, escopo de abrangência, um conjunto de procedimentos necessários à equipe de auditoria na realização de seu trabalho.

O programa de auditoria deverá ser estruturado, com base em um padrão, e poderá conter elementos como:

características do sistema organizacional a ser auditado;

áreas/segmentos de negócio envolvidos;

período de realização da auditoria;

objetivos da auditoria;

cronograma dos trabalhos;

equipe de auditores;

custos envolvidos para a realização da auditoria;

procedimentos para a realização da auditoria;

questionários de coleta de informações;

campo para observações dos auditores;

orientações gerais (CONAB; COAUD, 2008).

Vale a pena ressaltar que o programa de auditoria deve ser flexível o suficiente para sofrer alterações, no caso de situações não previstas ou intempestivas durante o processo de auditoria. Ele também deve apoiar-se no processo de decisão da equipe de auditoria, caso exista a necessidade de ampliar a coleta de informações, análises e/ou realizações de teste de auditoria.

O modelo de gerência do programa de auditoria segue as prerrogativas descritas pelo modelo de processos do ciclo PDCA, conforme pode ser visualizado na figura abaixo. Normalmente, em uma auditoria interna, a autoridade da gerência do programa de auditoria é delegada pela alta direção da organização ao seu respectivo responsável, o gerente do programa. Esse gerente é responsável em estabelecer, implantar, monitorar, analisar e melhorar o programa de auditoria, além de identificar e garantir que todos os recursos necessários a sua execução sejam providos (NBR, 2002). No caso de uma auditoria externa, o auditor chefe será o responsável em conduzir todo o processo que está relacionado a ela, do início ao final das atividades.

AUDITORIA externa ou auditoria independente. Portal da auditoria. nov. 2011. Disponível em: <http://www.portaldeauditoria.com.br/sobreauditoria/o-que-e-Auditoria-Externa.asp>. Acesso em: 14 dez. 2011.

ÀVILA, Rafael. Imagem de lupa sobre gráficos financeiros: auditoria. Blog luz loja de consultoria. 2 nov. 2011. Disponível em: <http://blog.lojadeconsultoria.com.br/inspiracao/ conheca-as-10-empresas-mais-sustentaveis-do-mundo-sera-mesmo/attachment/imagem- de-lupa-sobre-graficos-financeiros-auditoria-luz-loja-de-consultoria/>. Acesso em: 7 dez. 2011.

BRITISH STANDARDS INSTITUTE (BSI). Auditor Interno ISO/IEC 27001:2005 Sistema de Gestão de Segurança da Informação - BSI Learning, 2008.

BRITISH STANDARDS INSTITUTE (BSI). Curso Auditor Interno ISO/IEC 27001: 2005 SGSI, BSI Learning, 2008.

DIAS, Cláudia. Segurança e auditoria da tecnologia da informação. Rio de Janeiro: Excel Books, 2000.

ISO/IEC 27001. Tecnologia da Informação, Técnicas de Segurança, Sistemas de Gerenciamento de Segurança da Informação, Necessidades ISO/IEC, 2005.

ISO/IEC 27002. Information technology, Security techniques, Code of practice for information security management, Redesignation of ISO/IEC 17799: 2005.

MANUAL de auditoria interna. 2a versão. Companhia Nacional de Abastecimento - CONAB; Coordenadoria de Auditoria Interna (COAUD), 2008. Disponível em: <http://www.conab.gov.br/downloads/regulamentos/ManualdeAuditoriaInterna.pdf>. Acesso em: 9 dez. 2011.

MELLO, Agostinho de Oliveira. Instituto dos auditores internos do Brasil. Organização básica da auditoria interna. Biblioteca Técnica de Auditoria Interna, 2005.

NBR ISO 19011. Diretrizes para auditorias de sistema de gestão da qualidade, NBR. 2002.

NETO, Abílio Bueno; SOLONCA, Davi. Auditoria de sistemas informatizados. Palhoça: UnisulVirtual, 2007.

SÊMOLA, Marcos. A importância da gestão da segurança da informação. 2010. Disponível em: <http://www.lyfreitas.com/artigos_mba/GestaoSegurancaInformacao.pdf>. Acesso em: 9 dez. 2011.

SHAO-HUA Zhang, NING Gu. Research on Workflow of Virtual Organization, The Eighth International Conference on Computer Supported Cooperative Work in Design, Xiamen, China, 2003.

UNIDADE de auditoria interna. Definições de auditoria interna. Universidade Federal Rural do Semi-Árido (UFERSA), 05 mar. 2009. Disponível em: <http://www2.ufersa.edu.br/portal/divisoes/audint/1315>. Acesso em: 9 dez. 2011.

Autor: Prof. MSc. Luiz Otávio Botelho Lento

# data[].attributes.attachment_link.title
Conceito, Tipos e Características de Auditoria de Segurança da Informação

# data[].attributes.attachment_link.description
No decorrer dos anos, o mundo empresarial cresceu de forma significativa, integrando universos diversos, compostos por organizações de vários segmentos de mercado, e oferecendo um leque amplo de produtos, com variedade de formatos referentes à aquisição e utilização. A competitividade no mercado globalizado está mais voraz.

# data[].attributes.body
Para que haja uma boa auditoria é preciso que haja uma análise da integridade de dados, visto que esta integridade é um dos três pilares da segurança da informação ela é ligada aos outros dois pilares que são disponibilidade e confidencialidade.

Na auditoria é preciso adequar, revisar, avaliar e recomendar para aprimorar os controles internos dentro da empresa.

Visto que os dados podem ser armazenados em pen-drives, hds externos, e-mails, nuvem, CDs, Dvds, Disquetes, Discos Rígidos, Fita Magnéticas, entre outros. É preciso saber onde ficam armazenados estes dados, quem está acessando, por onde ele percorre, etc. afim de que possa ser feito um controle e manter a integridade destes dados.

Manter um dado integro não é tarefa fácil, porque muitas pessoas podem acessar estes arquivos ou ocorrer alguma ameaça como: um vírus, um worms, um acesso remoto.

Alguns aspectos que devemos considerar:

– Causas Naturais, como tempestades, furacões, enchentes, terremotos, entre ontros.

– Causas Voluntaria – Contato com pessoas mal intencionada; Furto e perda de dados; Códigos maliciodos (malwares) (vírus, worms, Bot e Botnet, Spyware, Backdoor, Cavalo de    🤬, Root kit.

– Causas Involuntárias – Falha de software, arquivo corrompido, desligamento inadequado, queda de energia, entre outros.

Para que possa manter a integridade destes dados precisa-se usar mecanismos de segurança, para obter uma maior segurança e consequentemente manter os dados intactos sem alterações a medida que o tempo vai passando. Estes mecanismos são:

–      Política de segurança;

A política de segurança define os direitos e as responsabilidades de cada um em relação à segurança dos recursos computacionais que utiliza e as penalidades às quais está sujeito, caso não a cumpra.

É considerada como um importante mecanismo de segurança, tanto para as instituições como para os usuários, pois com ela é possível deixar claro o comportamento esperado de cada um. Desta forma, casos de mau comportamento, que estejam previstos na política, podem ser tratados de forma adequada pelas partes envolvidas.

A política de segurança pode conter outras políticas específicas, como:

Política de senhas: define as regras sobre o uso de senhas nos recursos computacionais, como tamanho mínimo e máximo, regra de formação e periodicidade de troca.

Política de backup: define as regras sobre a realização de cópias de segurança, como tipo de mídia utilizada, período de retenção e frequência de execução.

Política de privacidade: define como são tratadas as informações pessoais, sejam elas de clientes, usuários ou funcionários.

Política de confidencialidade: define como são tratadas as informações institucionais, ou seja, se elas podem ser repassadas a terceiros.

Política de uso aceitável (PUA) ou Acceptable Use Policy (AUP): também chamada de “Termo de Uso” ou “Termo de Serviço”, define as regras de uso dos recursos computacionais, os direitos e as responsabilidades de quem os utiliza e as situações que são consideradas abusivas.

A política de uso aceitável costuma ser disponibilizada na página Web e/ou ser apresentada no momento em que a pessoa passa a ter acesso aos recursos. Talvez você já tenha se deparado com estas políticas, por exemplo, ao ser admitido em uma empresa, ao contratar um provedor de acesso e ao utilizar serviços disponibilizados por meio da Internet, como redes sociais e Webmail.

Algumas situações que geralmente são consideradas de uso abusivo (não aceitável) são:

compartilhamento de senhas;

divulgação de informações confidenciais;

envio de boatos e mensagens contendo spam e códigos maliciosos;

envio de mensagens com objetivo de difamar, caluniar ou ameaçar alguém;

cópia e distribuição não autorizada de material protegido por direitos autorais;

ataques a outros computadores;

comprometimento de computadores ou redes.

O desrespeito à política de segurança ou à política de uso aceitável de uma instituição pode ser considerado como um incidente de segurança e, dependendo das circunstâncias, ser motivo para encerramento de contrato (de trabalho, de prestação de serviços, etc.).

Cuidados a serem tomados:

procure estar ciente da política de segurança da empresa onde você trabalha e dos serviços que você utiliza (como Webmail e redes sociais);

fique atento às mudanças que possam ocorrer nas políticas de uso e de privacidade dos serviços que você utiliza, principalmente aquelas relacionadas ao tratamento de dados pessoais, para não ser surpreendido com alterações que possam comprometer a sua privacidade;

fique atento à política de confidencialidade da empresa onde você trabalha e seja cuidadoso ao divulgar informações profissionais, principalmente em blogs e redes sociais (mais detalhes na Seção 11.1 do CapítuloPrivacidade);

notifique sempre que se deparar com uma atitude considerada abusiva (mais detalhes na Seção 7.2).

–      Notificação de incidentes e abusos;

Um incidente de segurança pode ser definido como qualquer evento adverso, confirmado ou sob suspeita, relacionado à segurança de sistemas de computação ou de redes de computadores.

Alguns exemplos de incidentes de segurança são: tentativa de uso ou acesso não autorizado a sistemas ou dados, tentativa de tornar serviços indisponíveis, modificação em sistemas (sem o conhecimento ou consentimento prévio dos donos) e o desrespeito à política de segurança ou à política de uso aceitável de uma instituição.

É muito importante que você notifique sempre que se deparar com uma atitude que considere abusiva ou com um incidente de segurança. De modo geral, a lista de pessoas/entidades a serem notificadas inclui: os responsáveis pelo computador que originou a atividade, os responsáveis pela rede que originou o incidente (incluindo o grupo de segurança e abusos, se existir um para aquela rede) e o grupo de segurança e abusos da rede a qual você está conectado (seja um provedor, empresa, universidade ou outro tipo de instituição).

Ao notificar um incidente, além de se proteger e contribuir para a segurança global da Internet, também ajudará outras pessoas a detectarem problemas, como computadores infectados, falhas de configuração e violações em políticas de segurança ou de uso aceitável de recursos.

Para encontrar os responsáveis por uma rede você deve consultar um “servidor de WHOIS”, onde são mantidas as bases de dados sobre os responsáveis por cada bloco de números IP existentes. Para IPs alocados ao Brasil você pode consultar o servidor em http://registro.br/cgi-bin/whois/, para os demais países você pode acessar o site http://www.geektools.com/whois.php que aceita consultas referentes a qualquer número IP e as redireciona para os servidores apropriados².

É importante que você mantenha o CERT.br na cópia das suas notificações³, pois isto contribuirá para as atividades deste grupo e permitirá que:

os dados relativos a vários incidentes sejam correlacionados, ataques coordenados sejam identificados e novos tipos de ataques sejam descobertos;

ações corretivas possam ser organizadas em cooperação com outras instituições;

sejam geradas estatísticas que reflitam os incidentes ocorridos na Internet brasileira;

sejam geradas estatísticas sobre a incidência e origem de spams no Brasil;

sejam escritos documentos, como recomendações e manuais, direcionados às necessidades dos usuários da Internet no Brasil.

A notificação deve incluir a maior quantidade de informações possível, tais como:

logs completos;

data, horário e fuso horário (time zone) dos logs ou da atividade que está sendo notificada;

o e-mail completo, incluindo cabeçalhos e conteúdo (no caso de notificação de spam, trojan, phishing ou outras atividades maliciosas recebidas por e-mail);

dados completos do incidente ou qualquer outra informação que tenha sido utilizada para identificar a atividade.

Outras informações e respostas para as dúvidas mais comuns referentes ao processo de notificação de incidentes podem ser encontradas na lista de questões mais frequentes (FAQ) mantida pelo CERT.br e disponível emhttp://www.cert.br/docs/faq1.html.

[2] Os e-mails encontrados nestas consultas não são necessariamente da pessoa que praticou o ataque, mas sim dos responsáveis pela rede à qual o computador está conectado, ou seja, podem ser os administradores da rede, sócios da empresa, ou qualquer outra pessoa que foi designada para cuidar da conexão da instituição com a Internet. voltar
[3] Os endereços de e-mail usados pelo CERT.br para o tratamento de incidentes de segurança são: cert@cert.br (para notificações gerais) e mail-abuse@cert.br (específico para reclamações de spam).

–      Contas e senhas;

–      Contas e senhas são atualmente o mecanismo de autenticação mais usado para o controle de acesso a sites e serviços oferecidos pela Internet.

–      É por meio das suas contas e senhas que os sistemas conseguem saber quem você é e definir as ações que você pode realizar.

–      Dicas de elaboração, alteração e gerenciamento, assim como os cuidados que você deve ter ao usar suas contas e senhas, são apresentados no CapítuloContas e senhas.

–      Criptografia;

–      Usando criptografia você pode proteger seus dados contra acessos indevidos, tanto os que trafegam pela Internet como os já gravados em seu computador.

–      Detalhes sobre como a criptografia pode contribuir para manter a segurança dos seus dados e os conceitos de certificados e assinaturas digitais são apresentados no Capítulo Criptografia.

–      Detalhes sobre como a criptografia pode ser usada para garantir a conexão segura aos sites na Internet são apresentados na Seção 10.1 do Capítulo Uso seguro da Internet.

–      Cópias de segurança (Backups);

Você já imaginou o que aconteceria se, de uma hora para outra, perdesse alguns ou até mesmo todos os dados armazenados em seu computador? E se fossem todas as suas fotos ou os dados armazenados em seus dispositivos móveis? E se, ao enviar seu computador para manutenção, você o recebesse de volta com o disco rígido formatado? Para evitar que estas situações aconteçam, é necessário que você aja de forma preventiva e realize cópias de segurança (backups).

Muitas pessoas, infelizmente, só percebem a importância de ter backups quando já é tarde demais, ou seja, quando os dados já foram perdidos e não se pode fazer mais nada para recuperá-los. Backups são extremamente importantes, pois permitem:

Proteção de dados: você pode preservar seus dados para que sejam recuperados em situações como falha de disco rígido, atualização mal-sucedida do sistema operacional, exclusão ou substituição acidental de arquivos, ação de códigos maliciosos/atacantes e furto/perda de dispositivos.

Recuperação de versões: você pode recuperar uma versão antiga de um arquivo alterado, como uma parte excluída de um texto editado ou a imagem original de uma foto manipulada.

Arquivamento: você pode copiar ou mover dados que deseja ou que precisa guardar, mas que não são necessários no seu dia a dia e que raramente são alterados.

Muitos sistemas operacionais já possuem ferramentas de backup e recuperação integradas e também há a opção de instalar programas externos. Na maioria dos casos, ao usar estas ferramentas, basta que você tome algumas decisões, como:

Onde gravar os backups: você pode usar mídias (como CD, DVD, pen-drive, disco de Blu-ray e disco rígido interno ou externo) ou armazená-los remotamente (online ou off-site). A escolha depende do programa debackup que está sendo usado e de questões como capacidade de armazenamento, custo e confiabilidade. Um CD, DVD ou Blu-ray pode bastar para pequenas quantidades de dados, um pen-drive pode ser indicado para dados constantemente modificados, ao passo que um disco rígido pode ser usado para grandes volumes que devam perdurar.

Quais arquivos copiar: apenas arquivos confiáveis⁴ e que tenham importância para você devem ser copiados. Arquivos de programas que podem ser reinstalados, geralmente, não precisam ser copiados. Fazer cópia de arquivos desnecessários pode ocupar espaço inutilmente e dificultar a localização dos demais dados. Muitos programas de backup já possuem listas de arquivos e diretórios recomendados, você pode optar por aceitá-las ou criar suas próprias listas.

Com que periodicidade devo realizá-los: depende da frequência com que você cria ou modifica arquivos. Arquivos frequentemente modificados podem ser copiados diariamente ao passo que aqueles pouco alterados podem ser copiados semanalmente ou mensalmente.

Cuidados a serem tomados:

mantenha seus backups atualizados, de acordo com a frequência de alteração dos dados;

mantenha seus backups em locais seguros, bem condicionados (longe de poeira, muito calor ou umidade) e com acesso restrito (apenas de pessoas autorizadas);

configure para que seus backups sejam realizados automaticamente e certifique-se de que eles estejam realmente sendo feitos (backups manuais estão mais propensos a erros e esquecimento);

além dos backups periódicos, sempre faça backups antes de efetuar grandes alterações no sistema (adição dehardware, atualização do sistema operacional, etc.) e de enviar o computador para manutenção;

armazene dados sensíveis em formato criptografado (mais detalhes no Capítulo Criptografia);

mantenha backups redundantes, ou seja, várias cópias, para evitar perder seus dados em um incêndio, inundação, furto ou pelo uso de mídias defeituosas (você pode escolher pelo menos duas das seguintes possibilidades: sua casa, seu escritório e um repositório remoto);

cuidado com mídias obsoletas (disquetes já foram muito usados para backups, porém, atualmente, acessá-los têm-se se tornado cada vez mais complicado pela dificuldade em encontrar computadores com leitores deste tipo de mídia e pela degradação natural do material);

assegure-se de conseguir recuperar seus backups (a realização de 🤬 periódicos pode evitar a péssima surpresa de descobrir que os dados estão corrompidos, em formato obsoleto ou que você não possui mais o programa de recuperação);

mantenha seus backups organizados e identificados (você pode etiquetá-los ou nomeá-los com informações que facilitem a localização, como tipo do dado armazenado e data de gravação);

copie dados que você considere importantes e evite aqueles que podem ser obtidos de fontes externas confiáveis, como os referentes ao sistema operacional ou aos programas instalados;

nunca recupere um backup se desconfiar que ele contém dados não confiáveis.

Ao utilizar serviços de backup online há alguns cuidados adicionais que você deve tomar, como:

observe a disponibilidade do serviço e procure escolher um com poucas interrupções (alta disponibilidade);

observe o tempo estimado de transmissão de dados (tanto para realização do backup quanto para recuperação dos dados). Dependendo da banda disponível e da quantidade de dados a ser copiada (ou recuperada), obackup online pode se tornar impraticável;

seja seletivo ao escolher o serviço. Observe critérios como suporte, tempo no mercado (há quanto tempo o serviço é oferecido), a opinião dos demais usuários e outras referências que você possa ter;

leve em consideração o tempo que seus arquivos são mantidos, o espaço de armazenagem e a política de privacidade e de segurança;

procure aqueles nos quais seus dados trafeguem pela rede de forma criptografada (caso não haja esta possibilidade, procure você mesmo criptografar os dados antes de enviá-los).

[4] Arquivos que possam conter códigos maliciosos ou ter sido modificados/substituídos por invasores não devem ser copiados.voltar

–      Registro de eventos (Logs);

Log ⁵ é o registro de atividade gerado por programas e serviços de um computador. Ele pode ficar armazenado em arquivos, na memória do computador ou em bases de dados. A partir da análise desta informação você pode ser capaz de:

detectar o uso indevido do seu computador, como um usuário tentando acessar arquivos de outros usuários, ou alterar arquivos do sistema;

detectar um ataque, como de força bruta ou a exploração de alguma vulnerabilidade;

rastrear (auditar) as ações executadas por um usuário no seu computador, como programas utilizados, comandos executados e tempo de uso do sistema;

detectar problemas de hardware ou nos programas e serviços instalados no computador.

Baseado nisto, você pode tomar medidas preventivas para tentar evitar que um problema maior ocorra ou, caso não seja possível, tentar reduzir os danos. Alguns exemplos são:

se o disco rígido do seu computador estiver apresentando mensagens de erro, você pode se antecipar, fazerbackup dos dados nele contidos e no momento oportuno enviá-lo para manutenção;

se um atacante estiver tentando explorar uma vulnerabilidade em seu computador, você pode verificar se as medidas preventivas já foram aplicadas e tentar evitar que o ataque ocorra;

se não for possível evitar um ataque, os logs podem permitir que as ações executadas pelo atacante sejam rastreadas, como arquivos alterados e as informações acessadas.

Logs são essenciais para notificação de incidentes, pois permitem que diversas informações importantes sejam detectadas, como por exemplo: a data e o horário em que uma determinada atividade ocorreu, o fuso horário do log, o endereço IP de origem da atividade, as portas envolvidas e o protocolo utilizado no ataque (TCP, UDP, ICMP, etc.), os dados completos que foram enviados para o computador ou rede e o resultado da atividade (se ela ocorreu com sucesso ou não).

Cuidados a serem tomados:

mantenha o seu computador com o horário correto (o horário em que o log é registrado é usado na correlação de incidentes de segurança e, por este motivo, deve estar sincronizado⁶);

verifique o espaço em disco livre em seu computador (logs podem ocupar bastante espaço em disco, dependendo das configurações feitas);

evite registrar dados desnecessários, pois isto, além de poder ocupar espaço excessivo no disco, também pode degradar o desempenho do computador, comprometer a execução de tarefas básicas e dificultar a localização de informações de interesse;

fique atento e desconfie caso perceba que os logs do seu computador foram apagados ou que deixaram de ser gerados por um período (muitos atacantes, na tentativa de esconder as ações executadas, desabilitam os serviços de logs e apagam os registros relacionados ao ataque ou, até mesmo, os próprios arquivos de logs);

restrinja o acesso aos arquivos de logs. Não é necessário que todos os usuários tenham acesso às informações contidas nos logs. Por isto, sempre que possível, permita que apenas o usuário administrador tenha acesso a estes dados.

[5] Log é um termo técnico que se refere ao registro de atividades de diversos tipos como, por exemplo, de conexão (informações sobre a conexão de um computador à Internet) e de acesso a aplicações (informações de acesso de um computador a uma aplicação de Internet). Na Cartilha este termo é usado para se referir ao registro das atividades que ocorrem no computador do usuário.voltar
[6] Informações sobre como manter o horário do seu computador sincronizado podem ser obtidas em http://ntp.br/.

–      Ferramentas antimalware;

Ferramentas antimalware são aquelas que procuram detectar e, então, anular ou remover os códigos maliciosos de um computador. Antivírus, antispyware,antirootkit e antitrojan são exemplos de ferramentas deste tipo.

Ainda que existam ferramentas específicas para os diferentes tipos de códigos maliciosos, muitas vezes é difícil delimitar a área de atuação de cada uma delas, pois a definição do tipo de código malicioso depende de cada fabricante e muitos códigos mesclam as características dos demais tipos (mais detalhes no Capítulo Códigos Maliciosos (Malware)).

Entre as diferentes ferramentas existentes, a que engloba a maior quantidade de funcionalidades é o antivírus. Apesar de inicialmente eles terem sido criados para atuar especificamente sobre vírus, com o passar do tempo, passaram também a englobar as funcionalidades dos demais programas, fazendo com que alguns deles caíssem em desuso.

Há diversos tipos de programas antimalware que diferem entre si das seguintes formas:

Método de detecção: assinatura (uma lista de assinaturas⁷ é usada à procura de padrões), heurística (baseia-se nas estruturas, instruções e características que o código malicioso possui) e comportamento (baseia-se no comportamento apresentado pelo código malicioso quando executado) são alguns dos métodos mais comuns.

Forma de obtenção: podem ser gratuitos (quando livremente obtidos na Internet e usados por prazo indeterminado), experimentais (trial, usados livremente por um prazo predeterminado) e pagos (exigem que uma licença seja adquirida). Um mesmo fabricante pode disponibilizar mais de um tipo de programa, sendo que a versão gratuita costuma possuir funcionalidades básicas ao passo que a versão paga possui funcionalidades extras, além de poder contar com suporte.

Execução: podem ser localmente instalados no computador ou executados sob demanda por intermédio do navegador Web. Também podem ser online, quando enviados para serem executados em servidores remotos, por um ou mais programas.

Funcionalidades apresentadas: além das funções básicas (detectar, anular e remover códigos maliciosos) também podem apresentar outras funcionalidade integradas, como a possibilidade de geração de discos de emergência e firewall pessoal (mais detalhes na Seção 7.8).

Alguns exemplos de antimalware online são:

Anubis – Analyzing Unknown Binaries
http://anubis.iseclab.org/

Norman Sandbox – SandBox Information Center
http://www.norman.com/security_center/security_tools/

ThreatExpert – Automated Threat Analysis
http://www.threatexpert.com/

VirusTotal – Free Online Virus, Malware and URL Scanner
https://www.virustotal.com/

Para escolher o antimalware que melhor se adapta à sua necessidade é importante levar em conta o uso que você faz e as características de cada versão. Observe que não há relação entre o custo e a eficiência de um programa, pois há versões gratuitas que apresentam mais funcionalidades que versões pagas de outros fabricantes. Alguns sitesapresentam comparativos entre os programas de diferentes fabricantes que podem guiá-lo na escolha do qual melhor lhe atende, tais como:

AV-Comparatives – Independent Tests of Anti-Virus Software
http://www.av-comparatives.org/

Virus Bulletin – Independent Malware Advice
http://www.virusbtn.com/

Cuidados a serem tomados:

tenha um antimalware instalado em seu computador (programas online, apesar de bastante úteis, exigem que seu computador esteja conectado à Internet para que funcionem corretamente e podem conter funcionalidades reduzidas);

utilize programas online quando suspeitar que o antimalware local esteja desabilitado/comprometido ou quando necessitar de uma segunda opinião (quiser confirmar o estado de um arquivo que já foi verificado peloantimalware local);

configure o antimalware para verificar toda e qualquer extensão de arquivo;

configure o antimalware para verificar automaticamente arquivos anexados aos e-mails e obtidos pela Internet;

configure o antimalware para verificar automaticamente os discos rígidos e as unidades removíveis (como pen-drives, CDs, DVDs e discos externos);

mantenha o arquivo de assinaturas sempre atualizado (configure o antimalware para atualizá-lo automaticamente pela rede, de preferência diariamente);

mantenha o antimalware sempre atualizado, com a versão mais recente e com todas as atualizações existentes aplicadas;

evite executar simultaneamente diferentes programas antimalware (eles podem entrar em conflito, afetar o desempenho do computador e interferir na capacidade de detecção um do outro);

crie um disco de emergência e o utilize-o quando desconfiar que o antimalware instalado está desabilitado/comprometido ou que o comportamento do computador está estranho (mais lento, gravando ou lendo o disco rígido com muita frequência, etc.).

[7] A assinatura de um código malicioso corresponde a características específicas nele contidas e que permitem que seja identificado unicamente. Um arquivo de assinaturas corresponde ao conjunto de assinaturas definidas pelo fabricante para os códigos maliciosos já detectados. voltar

–      Firewall pessoal.

Firewall pessoal é um tipo específico de firewall que é utilizado para proteger um computador contra acessos não autorizados vindos da Internet.

Os programas antimalware, apesar da grande quantidade de funcionalidades, não são capazes de impedir que um atacante tente explorar, via rede, alguma vulnerabilidade existente em seu computador e nem de evitar o acesso não autorizado, caso haja algum backdoor nele instalado⁸. Devido a isto, além da instalação do antimalware, é necessário que você utilize um firewall pessoal.

Quando bem configurado, o firewall pessoal pode ser capaz de:

registrar as tentativas de acesso aos serviços habilitados no seu computador;

bloquear o envio para terceiros de informações coletadas por invasores e códigos maliciosos;

bloquear as tentativas de invasão e de exploração de vulnerabilidades do seu computador e possibilitar a identificação das origens destas tentativas;

analisar continuamente o conteúdo das conexões, filtrando diversos tipos de códigos maliciosos e barrando a comunicação entre um invasor e um código malicioso já instalado;

evitar que um código malicioso já instalado seja capaz de se propagar, impedindo que vulnerabilidades em outros computadores sejam exploradas.

Alguns sistemas operacionais possuem firewall pessoal integrado. Caso o sistema instalado em seu computador não possua um ou você não queira usá-lo, há diversas opções disponíveis (pagas ou gratuitas). Você também pode optar por um antimalware com funcionalidades de firewall pessoal integradas.

Cuidados a serem tomados:

antes de obter um firewall pessoal, verifique a procedência e certifique-se de que o fabricante é confiável;

certifique-se de que o firewall instalado esteja ativo (estado: ativado);

configure seu firewall para registrar a maior quantidade de informações possíveis (desta forma, é possível detectar tentativas de invasão ou rastrear as conexões de um invasor).

As configurações do firewall dependem de cada fabricante. De forma geral, a mais indicada é:

liberar todo tráfego de saída do seu computador (ou seja, permitir que seu computador acesse outros computadores e serviços) e;

bloquear todo tráfego de entrada ao seu computador (ou seja, impedir que seu computador seja acessado por outros computadores e serviços) e liberar as conexões conforme necessário, de acordo com os programas usados.

[8] Exceto aqueles que possuem firewall pessoal integrado.

–      Filtro antispam.

–      Os filtros antispam já vem integrado à maioria dos Webmails e programas leitores de e-mailse permite separar os e-mails desejados dos indesejados (spams). A maioria dos filtros passa por um período inicial de treinamento, no qual o usuário seleciona manualmente as mensagens consideradas spam e, com base nas classificações, o filtro vai “aprendendo” a distinguir as mensagens.

–      Mais informações sobre filtros antispam e cuidados a serem tomados podem ser encontradas em http://antispam.br/. Mais detalhes sobre outras formas de prevenção contra spam são apresentadas no Capítulo Spam.

– Outros mecanismos.

Filtro antiphishing: já vem integrado à maioria dos navegadores Web e serve para alertar os usuários quando uma página suspeita de ser falsa é acessada. O usuário pode então decidir se quer acessá-la mesmo assim ou navegar para outra página.

Filtro de janelas de pop-up: já vem integrado à maioria dos navegadores Web e permite que você controle a exibição de janelas de pop-up. Você pode optar por bloquear, liberar totalmente ou permitir apenas para sitesespecíficos.

Filtro de códigos móveis: filtros, como o NoScript, permitem que você controle a execução de códigos Java eJavaScript. Você pode decidir quando permitir a execução destes códigos e se eles serão executados temporariamente ou permanentemente – http://noscript.net/

Filtro de bloqueio de propagandas: filtros, como o Adblock, permitem o bloqueio de sites conhecidos por apresentarem propagandas – http://adblockplus.org/

Teste de reputação de site: complementos, como o WOT (Web of Trust), permitem determinar a reputação dossites que você acessa. Por meio de um esquema de cores, ele indica a reputação do site, como: verde escuro (excelente), verde claro (boa), amarelo (insatisfatória), vermelho claro (má) e vermelho escuro (péssima) –http://www.mywot.com/

Programa para verificação de vulnerabilidades: programas, como o PSI (Secunia Personal Software Inspector), permitem verificar vulnerabilidades nos programas instalados em seu computador e determinar quais devem ser atualizados –
http://secunia.com/vulnerability_scanning/personal/

Sites e complementos para expansão de links curtos: complementos ou sites específicos, como o LongURL, permitem verificar qual é o link de destino de um link curto. Desta forma, você pode verificar a URL de destino, sem que para isto necessite acessar o link curto –
http://longurl.org/

Anonymizer: sites para navegação anônima, conhecidos como anonymizers, intermediam o envio e recebimento de informações entre o seu navegador Web e o site que você deseja visitar. Desta forma, o seu navegador não recebe cookies e as informações por ele fornecidas não são repassadas para o site visitado –http://www.anonymizer.com/

Conclusão:

Depois de revisado, avaliado e recomendado é importante que faça a adequação com a empresa onde está fazendo a auditoria a fim de que no final a auditoria de integridade de dados tenha resultado e seus dados sejam íntegros.

# data[].attributes.attachment_link.readable_text
Introdução

Os requisitos de integridade de dados foram abordados no CFR Título 21 Parte 11 da FDA e no GMP Eudralex Volume 4, Capítulo 4 e no Anexo 11 da UE. Isto permanece inalterado. No entanto, com o aumento da automação com base em sistemas informatizados, bem como a globalização das operações e o aumento do custo de produção de produtos, foram necessárias novas orientações para esclarecer expectativas regulatórias em questão de criação, manuseio e armazenamento de dados. As seguintes oito recomendações fornecem uma visão geral de como manter a integridade dos dados de sistemas informatizados:

1. Realize uma validação baseada em risco

Valide apenas os sistemas que fazem parte da conformidade do Guia de boas práticas. Garanta que os protocolos abordem a qualidade e a confiabilidade dos dados.

Em alguns casos, é mais econômico que o fornecedor do sistema realize a qualificação e a validação dos sistemas. Para ajudar a decidir entre o serviço de validação interno ou adquirido, use as categorizações de GAMP5 (Boas práticas de fabricação automatizada) da ISPE para determinar a complexidade de validação do seu sistema.

Contabilize todos os locais de armazenamento de dados eletrônicos, incluindo impressões e relatórios em PDF durante a validação.

Garanta que seu sistema de gerenciamento de qualidade defina a frequência, as funções e as responsabilidades na validação do sistema.

O seu plano mestre de validação deve descrever a abordagem que você usará para revisar metadados significativos, incluindo pistas de auditoria, etc.

Planeje avaliações periódicas após a validação inicial.

2. Selecione o sistema e os fornecedores de serviços adequados

Garanta que seus fornecedores conheçam todos os regulamentos relevantes.*

Os sistemas devem ser adequados. Obtenha prova da eficácia de um software para a aplicação em que será usado.

Saiba mais sobre a cultura organizacional de seus fornecedores e a maturidade relacionada ao gerenciamento de dados. Pergunte a eles quais são os sistemas para garantir a integridade dos dados, e verifique esses sistemas, se possível.

* Veja o Anexo 15 Eudralex de GMP da UE: "Onde os protocolos de validação e outra documentação são fornecidos por um terceiro que presta serviços de validação, o pessoal certo no local de fabricação deve confirmar a adequação e a conformidade dos procedimentos internos antes da aprovação."

3. Verifique suas pistas de auditoria

Uma pista de auditoria deve ser uma gravação, que não possa ser apagada, de todos os dados em um sistema, incluindo quaisquer alterações que forem feitas em um banco de dados ou arquivo. Para ser útil na conformidade do Guia de boas práticas, uma pista de auditoria deve responder: Quem? O que? Quando? E por quê?

Defina os dados relevantes para o Guia de boas práticas e garanta que estejam incluídos em uma pista de auditoria.

Atribua funções e horários para testar a funcionalidade da pista de auditoria.

O detalhamento de uma revisão de pista de auditoria deve ser baseado na complexidade do sistema e no uso pretendido.

Aprenda que as pistas de auditoria são compostas de: registros de eventos reservados, arquivos de histórico, consultas de banco de dados, relatórios ou outros mecanismos que exibem eventos relacionados ao sistema, registros eletrônicos ou dados não processados contidos no registro.

4. Controle de alterações

Garanta que as atualizações de software do sistema sejam feitas para cumprir os regulamentos em constante mudança, especialmente na implementação de novos recursos.

Colabore com os fornecedores para se manter informado sobre as mudanças e atualizar seus sistemas de acordo.

Selecione sistemas que sejam fáceis de atualizar após a adição de um novo hardware ou outras entradas do sistema.

5. TI de qualidade & Sistemas de validação

Os sistemas validados requerem um ambiente de TI totalmente qualificado.

6. Planeje a continuidade de negócios

Garanta que o planejamento de recuperação de desastres esteja em vigor.

Seu plano deve indicar a rapidez com que as funções podem ser restauradas, bem como o impacto provável de qualquer perda de dados.

Procure software e sistemas que possam gravar e armazenar dados de forma redundante para protegê-los durante quedas de energia ou tempo de inatividade da rede.

Utilize soluções como UPS (Fonte de energia ininterrupta), gravadores autônomos com bateria ou dispositivos que possam alternar para uma fonte de energia alternativa quando necessário. Por exemplo, registradores de dados que também possam ser alimentados por bateria

7. Seja preciso

Verifique as entradas do sistema. Por exemplo, um sistema de monitoramento ambiental requer sensores regularmente calibrados.

Para sistemas em rede, teste para confirmar se os dados estão vindo do local certo.

Selecione os sistemas que fornecem mensagens de alarme em caso de falha na comunicação, problemas do dispositivo ou adulteração de dados.

8. Arquive regularmente

Faça backup e salve dados eletrônicos em uma programação predefinida e em um local seguro, incluindo os metadados.

Verifique a recuperação de todos os dados durante auditorias internas.

Os arquivos eletrônicos devem ser validados, protegidos e mantidos em um estado de controle ao longo do ciclo de vida dos dados.

Baixe o artigo técnico completo

Biografia do autor: Piritta Maunu

Piritta Maunu tem 15 anos de experiência em biotecnologia, tendo trabalhado em vários cargos de gestão da qualidade para a FIT Biotech. Maunu possui um diploma de mestrado em (biologia celular) e é certificado para ensinar com especialidade em Biologia Geral, ambos os diplomas da Universidade de Jyväskylä, na Finlândia. Em seu papel na Vaisala, ela apoia o departamento de vendas, auxilia o departamento de qualidade com auditorias, cria conteúdo educacional para clientes de ciências biológicas e fornece suporte a aplicativos para equipes de P&D, criando soluções para monitorar ambientes críticos.

# data[].attributes.attachment_link.title
8 maneiras de garantir a integridade dos dados

# data[].attributes.attachment_link.description
Os requisitos de integridade de dados foram abordados no CFR Título 21 Parte 11 da FDA e no GMP Eudralex Volume 4, Capítulo 4 e no Anexo 11 da UE. Isto permanece inalterado.

# data[].attributes.body
LEI GERAL DE PROTEÇÃO DE DADOS

Finalidade

O princípio da finalidade determina que o tratamento de dados pessoais poderá ser realizado apenas quando for realmente necessário para propósitos legítimos, específicos, explícitos e informados ao titular.

Diante disso, em momento algum, será possível utilizar os dados coletados de modo divergente das finalidades pré-estabelecidas junto aos titulares.

Adequação

Na mesma linha da premissa anterior, o princípio da adequação reforça que o processamento de informações pessoais precisa estar alinhado ao uso que foi inicialmente informado ao titular do dado.

Necessidade

Deve haver a limitação do tratamento dos dados ao mínimo necessário para a realização de suas finalidades. É isso que o princípio da necessidade determina.

Sendo assim, a coleta de informações pessoais precisa ser executada de maneira delimitada, focada nos dados imprescindíveis para a finalidade estabelecida previamente.

Livre acesso

O objetivo deste princípio é garantir, aos titulares, o livre acesso para consultar, de modo simples e gratuito, o tratamento de seus dados pela empresa que os coletou, assim como a integralidade destas informações.

A disponibilização poderá ser realizada de forma física ou eletrônica, sempre que houver a requisição do titular.

Qualidade dos dados

O princípio da qualidade dos dados assegura que os titulares tenham as suas informações pessoais armazenadas com exatidão, clareza e que se mantenham atualizadas.

A LGPD resguarda o direito de correção de dados incompletos, inexatos ou desatualizados. Também leva a empresa detentora dos dados a prestar esclarecimentos sobre as entidades públicas e privadas com as quais os compartilhou.

Transparência

Todas as informações dos titulares devem ser claras, precisas e de fácil acesso, segundo o princípio da transparência.

Eles devem saber como os seus dados pessoais serão tratados e os respectivos agentes de tratamento.

Ou seja, é necessário sinalizar os titulares a respeito de como as informações serão processadas, por quanto tempo ficarão retidas e com quem serão compartilhadas.

Segurança

O princípio da segurança, assim como a criptografia de dados, compreende as medidas técnicas e administrativas que as empresas deverão adotar, a fim de proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de perda, alteração, destruição, comunicação ou difusão.

Prevenção

Por sua vez, o princípio da prevenção indica a necessidade de adoção de medidas para prevenir a ocorrência de danos durante o tratamento de dados pessoais.

Neste caso, é importante que as organizações, além de investirem em tecnologia para garantir a segurança das informações, também promovam um alinhamento de processos organizacionais e criem uma cultura de conscientização dos colaboradores, quanto ao trato de informações pessoais de consumidores ou cidadãos.

A finalidade deste tipo de posicionamento é antecipar possíveis riscos e trabalhar para mitigá-los ao máximo.

Não discriminação

O princípio da não discriminação aborda a impossibilidade do tratamento de dados pessoais para fins discriminatórios ilícitos ou abusivos.

A LGPD, inclusive, conta com regras específicas para o processamento de informações que costumam ser utilizadas de forma discriminatória, classificadas como dados sensíveis, sobre os quais falaremos mais adiante.

Responsabilização e prestação de contas

Entre os princípios da LGPD, está ainda o da responsabilização e prestação de contas. Abordando a necessidade de demonstração pelo agente que captou os dados e adoção de medidas eficazes que comprovem o cumprimento das normas. Inclusive, deve-se demonstrar a eficácia destas medidas.

Isso quer dizer que as empresas precisam prestar contas de que estão alinhadas com todas as diretrizes apresentadas pela LGPD.