# data[].attributes.attachment_link.readable_text
A preocupação em sobreviver frente um mercado cada vez mais competitivo e a busca pela melhoria contínua é o que vêm estimulando empresas a investir na auditoria de sistema da informação, ou seja, uma solução encontrada por gestores para problemas em potencial, como no caso da segurança dos dados manipulados através dos computadores na organização. Foi inevitável que as atividades realizadas manualmente se tornassem automatizadas, decorrentes principalmente do crescimento que as organizações vêm tendo, em paralelo com a evolução acelerada da tecnologia.

O ambiente empresarial foi se tornando cada vez mais complexo e gestores precisaram adequar às áreas administrativas e produtivas com sistemas e ambientes de tecnologia da informação (TI). Embora o processamento e armazenamento das informações tenha facilitado os negócios e a tomada de decisão, muitos riscos com a segurança dos dados também passaram a existir, e é neste ponto que a Auditoria de Sistemas se torna vital, garantindo a integridade das informações e evitando eventuais erros e falhas. Vejamos com mais detalhes para que serve, como funciona e o que a Auditoria de Sistemas pode verificar em uma empresa. Acompanhe!
O que é e para que serve a Auditoria de Sistemas?
A Auditoria de Sistemas é o ramo da auditoria que se tornou um importante aliado no planejamento e tomada de decisão das organizações. Entre os objetivos estão o gerenciamento do risco operacional, a proteção dos ativos da organização, a segurança e integridade na autenticidade dos dados e o atendimento eficaz e eficiente dos objetivos da instituição. A Auditoria de Sistemas engloba a avaliação dos processos, operações, sistemas e atividades gerenciais da organização, verificando se a realização das funções rotineiras está em conformidade com os objetivos, políticas institucionais, legislação, normas e padrões exigidos.

É por meio dela que gestores podem visualizar o uso dos recursos e dos fluxos de informação, determinando quais dados são críticos para o cumprimento dos objetivos e da missão a ser seguida, além de identificar e barrar processos repetidos, despesas e custos adicionais, valores e obstáculos que impactam diretamente o fluxo e o bom andamento de informações eficientes e necessárias.
Como funciona o processo de Auditoria de Sistemas?
A busca por transparência na área da TI é o que vem tornando a Auditoria de Sistemas uma das áreas mais procuradas e que exigem um maior investimento em TI. Para alcançar o tão sonhado sucesso empresarial, em primeiro lugar, gestores devem se preocupar em manter um bom controle interno dos dados através do investimento em bons sistemas. O fluxo diário de dados é cada vez maior e nada mais seguro que mantê-los informatizados. As informações são processadas eletronicamente e todos os dados manipulados ficam armazenados em ambientes virtuais, seguros de erros ou qualquer outro problema com os computadores, em caso de perda ou mesmo furto.
O que a Auditoria de Sistemas pode verificar numa empresa
Uma pergunta que sempre surge e que deixa muitos empreendedores inseguros na hora de optar por um Sistema de Informação é: a Auditoria de Sistemas é segura? E a resposta é simples: Sim.

A Auditoria de Sistemas não é apenas uma ferramenta para a segurança dos dados contábeis, ela possibilita que empresas tenham um maior controle das ações de rotina, inovando e gerindo processos, produtos e sistemas de forma contínua e eficiente, objetivando o destaque frente um mercado cada vez mais concorrente.

São papéis do Auditor de Sistemas:

Avaliar o suporte do sistema de informação, objetivando a verificação da capacidade do sistema em adequar-se as necessidades da empresa;

Análise e elaboração das metas e seu posterior monitoramento;

Verificação do cumprimento dos regulamentos e legislações estabelecidas pelo serviço de TI;

Detecção dos pontos críticos e que possam se tornar riscos no cumprimento das atividades;

Redução dos riscos e fraudes, além da identificação de necessidades e de processos que se tornem dispendiosos na eficiência do fluxo de dados.

# data[].attributes.attachment_link.title
Para que serve e como funciona a auditoria de sistemas? - Synchro

# data[].attributes.attachment_link.description
A preocupação em sobreviver frente um mercado cada vez mais competitivo e a busca pela melhoria contínua é o que vêm estimulando empresas a investir na auditoria de sistema da informação, ou seja, uma solução encontrada por gestores para problemas em potencial, como no caso da segurança dos dados manipulados através dos computadores na organização.

# data[].attributes.attachment_link.readable_text
Episode Description

Você trata a cibersegurança como um assunto diário na sua vida? Não? Deveria!
O Tecnologicamente Falando conversou com Letícia Gammill, Security Channels Leader da Cisco, que falou sobre a importância da segurança da informação nos dias de hoje.
Pr

See all episodes

# data[].attributes.attachment_link.title
#5. Tudo sobre Cibersegurança, Cyber Security, Segurança da Informação e Proteção de Dados

# data[].attributes.attachment_link.description
Listen to this episode from Tecnologicamente Falando on Spotify. Você trata a cibersegurança como um assunto diário na sua vida? Não? Deveria! O Tecnologicamente Falando conversou com Letícia Gammill, Security Channels Leader da Cisco, que falou sobre a importância da segurança da informação nos dias de hoje.

# data[].attributes.attachment_link.readable_text
Why do I have to complete a CAPTCHA?

Completing the CAPTCHA proves you are a human and gives you temporary access to the web property.

What can I do to prevent this in the future?

If you are on a personal connection, like at home, you can run an anti-virus scan on your device to make sure it is not infected with malware.

If you are at an office or shared network, you can ask the network administrator to run a scan across the network looking for misconfigured or infected devices.

Another way to prevent getting this page in the future is to use Privacy Pass. You may need to download version 2.0 now from the Chrome Web Store.

# data[].attributes.attachment_link.readable_text
A Segurança Cibernética é um conjunto de ações planejadas sobre pessoas, tecnologias e processos para prevenir, detectar e responder a ataques cibernéticos. É uma ramificação dentro da Segurança da Informação responsável pela Segurança no Espaço Cibernético.

Ela visa proteger as pessoas e empresas contra os ataques cibernéticos, que se aproveitam das vulnerabilidades das redes digitais para invadir, roubar e manipular dados e informações.

Tem como objetivo dissuadir, prevenir, detectar e responder a ataques cibernéticos, realizados por ações maliciosos que se aproveitam de falhas e vulnerabilidades sistêmicas para invadir o espaço cibernético.

Por José Sérgio Marcondes - CES
Especialista e Consultor em Segurança Privada
CEO/Diretor do IBRASEP
Postado 02/02/2021
Índice do Conteúdo
O que é Segurança Cibernética?
Quais os Objetivos da Segurança Cibernética?
O que são Espaços Cibernéticos?
O que são Ataques Cibernéticos?
Formas de Ataque Cibernéticos
Crime Cibernético
Qual a Importância da Segurança Cibernética?
Diferença entre Segurança da Informação e Segurança Cibernética?
Principais Ameaças a Segurança Cibernética
Medidas de Segurança Cibernética
Defesa Cibernética ou Segurança Cibernética
Indicação de Artigos Complementares
Dados para Citação Artigo
Referencias Bibliográficas

Voltar para o Índice
O que é Segurança Cibernética?

A Segurança Cibernética é um conjunto de ações planejadas sobre pessoas, tecnologias e processos para prevenir, detectar e responder a ataques cibernéticos. É uma ramificação dentro da Segurança da Informação responsável pela Segurança no Espaço Cibernético.

Espaço Cibernético refere-se ao espaço digital constituído basicamente pela rede mundial de computadores (Internet), onde os dados e informações transitam, são armazenados e manipulados.

O ciberespaço aborda mais que a Internet, inclui não somente o hardware, software e sistemas de informação, mas também as pessoas e a interação social no âmbito dessas redes.

A Segurança cibernética envolve a prevenção e proteção de dados e informações no espaço cibernético, ou seja, aquele conectado à internet ou às redes que ligam um computador (e demais dispositivos) a outro.

Ela visa proteger as pessoas e empresas contra os ataques cibernéticos, que se aproveitam das vulnerabilidades das redes digitais para invadir, roubar e manipular dados e informações.

Com o surgimento da Industria 4.0 e da Internet das coisas, somados a constantes evoluções dos dispositivos de Tecnologias Da Informação, a segurança cibernética torna-se fundamental para garantia da confidencialidade, integridade e disponibilidade dos dados e informações que transitam, são armazenadas ou manipuladas no espaço cibernético.
Voltar para o Índice
Quais os Objetivos da Segurança Cibernética?

A segurança cibernética tem como objetivo dissuadir, prevenir, detectar e responder a ataques cibernéticos, realizados por ações maliciosos que se aproveitam de falhas e vulnerabilidades sistêmicas para invadir o espaço cibernético, para roubar, manipular e tornar indisponível uma série de dados, informações, programações ou sistemas.
Voltar para o Índice
O que são Espaços Cibernéticos?

Para conseguir entender melhor o que é e qual a importância da segurança cibernética, é necessário primeiramente entender o que é o Espaço Cibernético.

O Espaço Cibernético ou ciberespaço, é considerado como a metáfora que descreve o espaço não físico criado por redes de computador, notadamente a internet, onde as pessoas podem se comunicar de diferentes maneiras, como mensagens eletrônicas, salas de bate-papo, grupos de discussão, dentre outros. O termo foi criado por Willian Gibson em seu romance "Neuromancer". (APDSI, 2005)

O Ciberespaço ou Espaço Cibernético acontece nos programas no qual se é possível navegar pela rede. Os softwares.

Este software, a grosso modo, se constitui a partir das instruções direcionadas à máquina, e traduzidas para uma outra linguagem (código de máquina), para que as operações instruídas sejam executadas corretamente, a partir dos inputs de dados pelos usuários dos programas.

O Ciberespaço é o ambiente constituído com base em uma comunicação, em linguagens e diálogos homem-máquina, máquina-máquina.

No campo científico, Wiener (1968) apresenta cibernética como o estudo da comunicação e controle das máquinas, seres vivos e grupos sociais; considerando que, do ponto de vista da transmissão da informação, não há distinção entre máquinas e seres humanos.

O espaço cibernético descreve o terreno não físico criado pelos sistemas computacionais e pelas redes de comunicações.

Tal termo foi criado por Willian Gibson, em Neuro romancer (1984), para relacionar o mundo e a sociedade que se reúnem ao redor do computador.

Para Gibson, o ciberespaço seria uma rede futurística de computadores (atual Internet) que as pessoas usariam, conectando seus cérebros à mesma (CAVALCANTI; CUNHA, 2008).

Um mundo virtual de redes de computadores

Peter Singer conceitua o Ciberespaço como um domínio das redes de computadores nas quais as informações são armazenadas, compartilhadas e comunicadas on-line.

Neste contexto percebe-se que este fenômeno não é algo físico, sendo difícil determinar sua dimensão e dar uma explicação pontual. Mas isso não significa que o ciberespaço é somente virtual, ele também compreende os computadores que armazenam os dados, bem como os múltiplos sistemas que o permitam fluir, ou seja, a internet, as tecnologias dos celulares, computadores, e todos os tipos de comunicações baseadas no espaço, como
por exemplo, os satélites.

O mundo está dividido em nações e nacionalidades e o ciberespaço é diferente, ele não tem as noções de soberania, nacionalidade e propriedade, não tem uma divisão visível, mas certamente existe a divisão entre o virtual e físico.

O ciberespaço é uma fusão de todas as redes de comunicação, bancos de dados e fontes de informação, em um vasto e diverso emaranhado intercâmbio eletrônico.

Assim, um ecossistema de rede é criado, um lugar que não faz parte do mundo físico normal. É virtual e imaterial, um ambiente bioeletrônico que é literalmente universal e que existe em toda parte onde há fios telefônicos, cabos coaxiais, linhas de fibra ótica ou ondas eletromagnéticas.
Voltar para o Índice
O que são Ataques Cibernéticos?

Os ataques cibernéticos são ações executadas por criminosos a conteúdos e infraestrutura ligadas ao Espaço Cibernético. É qualquer tentativa de manobra ofensiva com objetivo de expor, alterar, desativar, destruir, roubar ou obter acesso não autorizado ou fazer uso não autorizado de dados, informações, programas ou sistemas.

Um invasor é uma pessoa ou processo que tenta acessar sem autorização um determinado espaço cibernético, possivelmente com intenção maliciosa.

O ataque cibernético pode ser empregado por estados, indivíduos, grupos, e organizações, podendo ter origem de uma fonte anônima. Não é como qualquer ataque convencional, são usados meios digitais e ações de diferentes de computadores.

O ataque no Ciberespaço não tem limites territoriais nem constrangimentos nacionais, é muito mais rápido e pode ter múltiplos alvos, sempre atingindo um computador/servidor e as informações nele contidas.

Ataques cibernéticos podem ser realizados de formas diferentes e para alvos variados, gerando roubos de dados, uso de credenciais de forma inadequada e roubo de recursos importantes.

Dados roubados podem revelar os planos estratégicos de um país ou minar a competitividade de toda uma empresa.

As credenciais roubadas podem dar a capacidade de alterar ou destruir códigos e dados, alterar informações e muito mais.

Os roubos de recursos, podem impedir que uma empresa execute um operação crítica.
Voltar para o Índice
Formas de Ataque Cibernéticos

Segundo WALLIER VIANNA, 2013b, um ataque cibernético pode ocorrer sob diversas formas, sendo as mais comuns:

Instalação de um programa ilícito como vírus, cavalos de troia ou spywares;

Negação de serviço disponibilizado (Denial-of-Service(DoS));

Introdução de funcionalidades não autorizadas nos sistemas operacionais (de forma que estes passem a reconhecer o acesso do atacante, privilegiando-o com permissões especiais, ao garantir que seu trânsito no sistema seja absolutamente livre, inclusive não rastreáveis pelas rotinas de auditoria) de amplo emprego;

Inserção de vulnerabilidades em sistemas estratégicos, como a referente a comandos não documentados que tornariam possível a terceiros (mais exatamente, a seus próprios programadores) desabilitar ou alterar a operacionalidade desse sistema crítico;

Hacking: exploração das vulnerabilidades que inevitavelmente se manifestam em qualquer arcabouço de controles e sistemas integrados numa rede;

Infiltração de pessoas com objetivos diversos, tais como: disponibilização de senhas que permitam o acesso externo de terceiros não autorizados e instalação prévia de programas hostis que produzam ou facilitem o ataque e modificações de hardware.

Voltar para o Índice
Crime Cibernético

Crime cibernético ou Crime informático são termos aplicáveis a toda a atividade criminosa em que se utiliza um computador ou uma rede de computadores como instrumento ou base de ataque.

O Crime cibernético pode ser perpetrado de diversas maneiras, tais como disseminação de vírus, distribuição de material pornográfico, fraudes, violação de propriedade intelectual e direitos conexos ou mera invasão de sites para deixar mensagens difamatórias ou insultos dirigidos a instituições, empresas ou pessoas.

O termo "cibercrime" surgiu em Lyon, na França, depois da reunião de um subgrupo das nações do G8 que analisou e discutiu os crimes promovidos via aparelhos eletrônicos ou mediante a disseminação de informações pela internet.

Isso aconteceu no final da década de 1990, período em que Internet se expandia pelos países da América do Norte. O subgrupo, chamado "Grupo de Lyon", usou o termo para descrever, de forma muito extensa, todos os tipos de crime praticados na Internet ou nas novas redes de telecomunicações, que se tornavam cada vez mais acessíveis a um grande número de usuários.

Apesar de não serem regidos por legislação específica, no Brasil, é possível estabelecer a correspondência entre os crimes cibernéticos e delitos já previstos no código penal ordinário.
Voltar para o Índice
Qual a Importância da Segurança Cibernética?

Qual a importância da segurança cibernética para a nossa empresa? É uma pergunta muito comum, principalmente, em empresas de pequeno e médio porte.

A segurança cibernética tem grande importância para as empresas e para o seu desempenho, uma vez que evita a ocorrência de incidentes variados que resultam no vazamento de dados e informações, e a paralisação ou perda de rendimentos das suas atividades.

A importância da segurança cibernética está diretamente relacionada aos possíveis danos operacionais, financeiros e de imagem decorrentes de ataques cibernéticos.

Apesar de todas as evidências relacionadas a ocorrências regulares de ataques cibernéticos e roubo de dados, a segurança cibernética ainda não recebe a atenção devida.

Apesar da existência de certa verba destinada à segurança cibernética, muitos profissionais da área de Tecnologia da Informação, "Especialistas em Segurança Cibernética", consideram que o valor investido atualmente não é suficiente. Principalmente nas pequenas e médias empresas, onde o valor dos investimentos são muito baixos.

Uma das principais causas deste baixo investimento em segurança preventiva é uma questão cultural, muitos empresas carecem de uma Cultura de Segurança adequada.

"Cultura de segurança refere-se a um conjunto de atitudes e costumes compartilhados e praticados por uma empresa para diminuir e evitar determinados riscos inerentes ao seu ramo de atuação".

Atualmente a importância da segurança cibernética é reforçada por numa questão legal.

De acordo com as novas regras da Lei Geral de Proteção de Dados (LGPD), qualquer informação que possa identificar uma pessoa será considerada como dado pessoal, e deverá receber tratamento de segurança adequado, sob pela de responsabilização judicial.

Importância da Segurança Cibernética

Protege a empresa de ameaças maliciosas e possíveis violações de segurança da informação que possam gerar grandes impactos na organização;

Auxilia a empresa no cumprimento das suas obrigações legais previstas na LGPD;

Promove a disseminação da cultura de segurança da informação nas diversas áreas da organização;

Contribui para garantir a confidencialidade, disponibilidade e integridade dos dados e informações da organização;

Reduz os riscos aos quais a organização pode estar exposta;

Com mais segurança para operar no mercado, é possível estabelecer parcerias comerciais ainda mais saudáveis para atingir os objetivos estratégicos da organização.

Voltar para o Índice
Qual a diferença entre Segurança da Informação e Segurança Cibernética?

A Segurança da Informação tem como objetivo tratar e proteger os dados e informações considerados sensíveis pela organização, sejam eles físicos ou digitais.

A princípio, pode-se supor que segurança cibernética é uma evolução da segurança da informação. Porém ela não!

A segurança da informação tem um conotação mais ampla, ela envolve a proteção de dados e informações em todos as sua formações possíveis, que podem estar contidas em meios eletrônicos, em papéis, em áreas e layouts, em produtos, equipamentos ou processos empresariais.

A segurança da informação tem como propósito proteger as informações, sem importar se onde estejam situadas: impressas em papel, armazenadas em computadores/servidores ou até mesmo na memória das pessoas que as conhecem.

A norma ISO/IEC 27032- Guidelines for cybersecurity, define segurança cibernética como preservação da confidencialidade, da integridade e da disponibilidade da informação no espaço cibernético.

A diferença entre segurança da informação e segurança cibernética pode ser identificada através do objetivo e espaço de atuação de cada uma delas.

Enquanto que a segurança da informação tem o objetivo de preservar a informação em todas as sua formas e localizações, a segurança cibernética tem o objetivo de preservar os dados no formato digital e no espaço cibernético.

Podemos dizer que a segurança cibernética está incutida dentro da segurança da informação.

A Figura abaixo, extraída da norma ISO/IEC 27032, exemplifica uma forma de inserção da segurança cibernética no campo da segurança da informação.

Percebe-se que a segurança cibernética, além de achar-se inserida no escopo da segurança da informação e da proteção das infraestruturas críticas de informação, permeia a segurança das redes, da Internet e das aplicações (sistemas).

Segurança cibernética envolve um conjunto de ações para proteção de pessoas, sistemas e dispositivos contra ataques maliciosos no espaço cibernético. É uma ramificação da segurança da informação.

Segurança da informação: envolve a prevenção e proteção contra todo tipo de risco, seja físico ou digital, controlando acessos de pessoas a locais, permissões para acessos de arquivos, entre outros.
Voltar para o Índice
Principais Ameaças da Segurança Cibernética

As ameaças mais comuns a Segurança Cibernética são:

Vírus - são programa que, quando executados, são capazes de infectar os computadores conectados em uma mesma rede, roubando dados, corrompendo arquivos e enviando spams para contatos de e-mail (ampliando o ataque), chegando até a controlar o computador por completo;

Worms - chegam como anexos de um e-mail. Diferente do vírus, não precisa nenhuma ação do usuário (exceto a abertura do e-mail) para começarem a agir;

Adware - são malware disfarçados de propaganda para buscar o seu clique, pedindo para instalar algum tipo de programa por exemplo;

Ransomware - é um sequestrador de dados. Ele invade o sistema, rouba dados e pede um valor (em criptomoedas) como resgate.

Voltar para o Índice
Medidas de Segurança Cibernética

Dentre ss principais diretrizes da segurança cibernética para combater os ataques cibernéticos estão:

Desenvolvimento e implementação de uma Politica de Segurança da Informação adequada as necessidades da organização;

Investimento em pessoal especializado e recursos relacionados a segurança cibernética;

Elaboração de um Plane de Gestão da Segurança Cibernética adequado as necessidades da empresa;

Investimento em um programa de educação e conscientização dos colaboradores sobre boas práticas de segurança cibernética;

Estabelecimento de boas práticas na gestão dos ativos de informações da empresa.

Previsão orçamentária adequada as necessidades de segurança da organização, que deve ser dimensionadas mediantes análise de risos adequadas.

Voltar para o Índice
Defesa Cibernética ou Segurança Cibernética

Para Mandarino Junior e Canongia (2010), a diferença entre segurança e defesa cibernética é que o primeiro termo compreende aspectos e atitudes, tanto de prevenção quanto de repressão, e o segundo termo abrange ações operacionais de combates ofensivos.

Conforme Campen (1996), seguranca cibernética é o uso ofensivo e defensivo de informações e de sistemas de informações para negar, explorar, corromper ou destruir valores do adversário, baseado em informações, sistemas de informações e redes de computadores.

De acordo com o Glossário das Forças Armadas (BRASIL, 2007): Defesa Cibernética é o conjunto de ações defensivas, exploratórias e ofensivas, no contexto de um planejamento militar, realizadas no espaço cibernético, com as finalidades de proteger os nossos sistemas de informação, obter dados para a produção de conhecimento de inteligência e causar prejuízos aos sistemas de informação do oponente.

Guerra cibernética é o conjunto de ações para uso ofensivo e defensivo de informações e sistemas de informações para negar, explorar, corromper ou destruir valores do adversário, baseados em informações, sistemas de informação e redes de computadores. Estas ações são elaboradas para obtenção de vantagens tanto na área militar quanto na área civil.

Se você gostou do artigo, e/ou quer acrescentar algo, deixe seu comentário logo abaixo, ele é muito importante para mim.

Aqui no Blog publico frequentemente artigos relacionados a segurança privada e gestão organizacional, visando sempre agregar conhecimento para os leitores, visando seu desenvolvimento profissional e pessoal.

Registre seu e-mail logo abaixo e receba avisos sobre novas publicações, é grátis e seguro, não envio Spam ou disponibilizo seu e-mail para terceiros.

Forte abraço e sucesso!

Autor: José Sérgio Marcondes - CES
Especialista e Consultor em Segurança Privada
CEO/Diretor IBRASEP
Voltar para o Índice
Indicação de Artigos Complementares

Sugiro a leitura dos artigos a seguir como forma de complementar o aprendizado desse artigo.
Segurança da Informação: O que é? O que Faz? Conceitos e Definições Lei Geral de Proteção de Dados Pessoais (LGPD Informação: O que é? Significado, Conceitos, para Que Serve Tecnologia da Informação (TI): O que é? O que faz? Importância Gestão de Segurança da Informação: O que é, O que faz, Processos Voltar para o Índice
Dados para Citação Artigo

MARCONDES, José Sérgio (02 de fevereiro de 2021). Segurança Cibernética: O que é, Objetivos, Importância, Medidas. Disponível em Blog Gestão de Segurança Privada: https://gestaodesegurancaprivada.com.br/seguranca-cibernetica-o-que-e-objetivos-importancia-medidas/ - Acessado em (inserir data do acesso).
Voltar para o Índice
Referências Bibliográficas

ASSOCIAÇÃO PARA A PROMOÇÃO E DESENVOLVIMENTO DA SOCIEDADE DA INFORMAÇÃO. Glossário da Sociedade da Informação. Portugal: APDSI. 2005.

MARQUES, Anna. Maria de O.; WALLIER VIANNA, Eduardo. Identificação das necessidades de informação dos profissionais de segurança da informação. Revista Tecnologias em Projeção, v. 4, n. 2, dez., 2013.

ISO/IEC. ISO/IEC 27032- Information technology - Security Techniques - Guidelines for cybersecurity. 2012.

BRASIL. Ministério da Defesa. Glossário das Forças Armadas - MD35-G-01. Apresenta definições de termos comuns às Forças Armadas. Brasília, 2007.

CAVALCANTI,C. R. de O. CUNHA, M. B. da. Dicionário de biblioteconomia e arquivologia. Brasília: Briquet de Lemos, 2008.

# data[].attributes.attachment_link.title
Segurança Cibernética: O que é, Objetivos, Importância, Medidas

# data[].attributes.attachment_link.description
A Segurança Cibernética é um conjunto de ações planejadas sobre pessoas, tecnologias e processos para prevenir, detectar e responder a ataques cibernéticos. É uma ramificação dentro da Segurança da Informação responsável pela Segurança no Espaço Cibernético. Ela visa proteger as pessoas e empresas contra os ataques cibernéticos, que se aproveitam das vulnerabilidades das redes digitais para invadir, roubar e manipular dados e informações.

# data[].attributes.attachment_link.readable_text
Os tipos de auditorias de sistema de gestão são importantes para as empresas já certificadas ou que ainda buscam a certificação nas normas ISO, pois é através da auditoria que as empresas obterão ou manterão o selo de certificação.

Apesar dessa importância, ainda, é um dos momentos que mais causam ansiedade e dúvidas em relação à condução, ao processo de auditoria, aos objetivos, abordagem e a forma de atuação da equipe auditora.

As auditorias induzem a melhoria continua dentro de uma organização, pois através das não conformidades, observações e oportunidades são aperfeiçoados os processos para a melhoria do sistema de gestão.

Todos os sistemas de gestão são auditados: da qualidade, de responsabilidade social, ambiental, de segurança e saúde no trabalho, de energia e gestão integrada.

É importante que as organizações entendam os tipos de auditorias e para que servem. Vamos entender mais a respeito?

As diretrizes das auditorias são definidas em norma

A norma ISO 19011 é a norma da qual são determinadas diretrizes para as auditorias de sistema de gestão. Essas diretrizes definem como deverão ser realizados os processos de auditoria, a postura dos auditores e as qualificações exigidas.

A ISO 19011 pode ser aplicada a diferentes sistemas de gestão e organizações (das indústrias as prestadoras de serviço). Dentre os sistemas temos: ISO 9001, ISO 14001 e ISO 45001.

Saiba mais: Consultoria para pequenas empresas na implantação das principais normas de gestão

Você sabia que existem 3 tipos de auditorias?

As auditorias são divididas em três tipos. São elas:

Auditoria Interna – ou chamada de auditoria de primeira parte;

Auditoria no fornecedor – ou chamada de auditoria de segunda parte;

Auditoria externa – ou auditoria de terceira parte. Para fins de certificação para propósitos legais, regulamentares e similares.

Consoante a Consultoria Online Verde Ghaia, vamos explicar cada uma delas de forma mais detalhada:

1. Auditoria Interna ou de Primeira Parte

A auditoria interna é realizada pelas próprias empresas para auditar seus próprios sistemas, processos e procedimentos assegurando que os parâmetros do sistema de gestão estão sendo seguidos à risca e os resultados esperados estão sendo alcançados.

Através da auditoria serão obtidas informações para a melhoria continua do sistema de gestão, seja através de não conformidades, observações ou oportunidades de melhoria.

Para realizar a auditoria é necessário ter colaboradores devidamente treinados na ISO 19011 e no sistema de gestão ao qual será auditado. Outra opção é a contratação de uma empresa para realizar a auditoria interna.

O auditor interno deve ser competente para executar as auditorias, ou seja, deve ter escolaridade, experiência, habilidades e conhecimentos necessários para atender aos resultados pretendidos das auditorias que irão realizar.

Geralmente, as auditorias internas são vistas como uma preparação para a auditoria de certificação (ou recertificação). No entanto, elas devem ser vistas como uma oportunidade da empresa como um todo melhorar seus processos e aumentar a satisfação de seus clientes.

Intervalos das auditorias internas

A norma ISO 19011 não impõe uma periodicidade especifica para as auditorias serem realizadas, pois cada processo e empresa têm suas particularidades.

Cabe à empresa determinar os intervalos entre as auditorias internas, considerando o seu tipo de processo, ramo de atuação, a cultura organizacional, a política e o contexto da organização.

Algumas empresas, normalmente, realizam duas auditorias internas no ano.

Como realizar uma auditoria interna?

Para executar a auditoria interna há algumas etapas das quais devemos seguir. As etapas são as seguintes:

1. Preparação: nesta etapa será analisada toda a documentação do sistema de gestão, desenvolvido o programa de avaliação e o planejamento detalhado, todas as partes interessadas serão comunicados sobre a realização da auditoria (data e escopo).

2. Reunião de abertura: reunião onde o auditor explica quais os objetivos da auditoria;

3. Auditoria: avaliação no local, através de entrevistas com os colaboradores e coleta de evidências.

4. Reunião de encerramento: os resultados da auditoria serão apresentados à empresa.

5. Elaboração do relatório de auditoria interna, acompanhamento das ações corretivas e manutenção das avaliações

2. Auditoria no Fornecedor ou de Segunda parte

A auditoria no fornecedor é realizada pela empresa ou por outras pessoas em seu nome com o objetivo de avaliar a conformidade do sistema, requisitos legais e/ou contratuais.

Através dessa auditoria é desenvolvida uma relação de maior confiança com os fornecedores, além de potencializar os produtos com uma maior qualidade, minimizando os riscos e diminuindo as não conformidades.

Essas auditorias são partes integrantes de qualquer sistema de gestão e ferramenta essencial para a qualificação de fornecedores.

São avaliadas nas auditorias de segunda parte: organização e qualificação dos recursos humanos; cumprimento da legislação; gestão e controle da qualidade; política ambiental; localização e acessos ás instalações; concepção e desenvolvimento do produto; compras; recebimento de matérias-primas; produção e acondicionamento do produto final; condições do trabalho (segurança, higiene, limpeza); expedição e tratamento de reclamações.

Ser negligente com os fornecedores pode gerar muitos prejuízos, como por exemplo, negligenciar o fornecedor que trata seu resíduo uma vez que a responsabilidade é compartilhada. Se ele não cumprir a Política Nacional de Resíduos Sólidos ou legislações especificas sua empresa terá um grande problema. A plataforma VG Resíduos permite que sua empresa faça uma gestão de seus fornecedores.

3. Auditoria externa ou de terceira parte

A auditoria externa é realizada por um auditor independente (designado pelo órgão certificador credenciado pelo INMETRO) para fins de certificação do sistema de gestão do qual a empresa deseja.

O objetivo é verificar se o sistema de gestão de uma organização foi estabelecido, documentado, implementado e mantido de acordo com uma norma específica. A auditoria externa é a ultima fase do processo de certificação.

Certificação nos Sistemas de Gestão

A certificação nos sistema de gestão da ISO possibilita que a empresa possua reconhecimento internacional. As pequenas empresas quando decidem se certificarem buscam crescimento e reconhecimento. Enquanto que as grandes empresas necessitam da certificação para se manterem no mercado que está cada vez mais competitivo e os clientes mais exigentes.

É importante lembrar que obter certificações em normas como ISO 9001, ISO 14001, ISO 45001 e outras, é uma opção da organização, ou seja, a empresa é quem decide fazer. É uma decisão estratégica na qual a empresa conquista mais clientes e amplia seu mercado se tornando mais competitivo.

A consultoria para implementação das principais normas de gestão da Verde Ghaia fornece todo o suporte para que sua empresa estabeleça, documente e implemente um sistema de acordo com a norma da qual sua empresa deseja certificar-se.

Gostou desse assunto ou acha ele relevante? Compartilhe ou deixe seu comentário abaixo.

Mas quer se aprofundar um pouco mais a respeito? Leia outro artigo do nosso blog  sobre  15 perguntas e respostas sobre auditoria de Sistema de Gestão.

# data[].attributes.attachment_link.title
Conheça os tipos de auditorias de sistema de gestão e para que servem - Consultoria On-line

# data[].attributes.attachment_link.description
As auditorias de sistema de gestão são importantes para as empresas já certificadas ou que ainda buscam a certificação nas normas ISO. Saiba mais!

# data[].attributes.attachment_link.readable_text
No decorrer dos anos, o mundo empresarial cresceu de forma significativa, integrando universos diversos, compostos por organizações de vários segmentos de mercado, e oferecendo um leque amplo de produtos, com variedade de formatos referentes à aquisição e utilização. A competitividade no mercado globalizado está mais voraz. Fatores como a interação das economias (ex: MERCOSUL, Europa e NAFTA), as constantes alterações geopolíticas e sociais, em conjunto com a evolução tecnológica, reforçam a competitividade. As organizações que fazem parte dessa nova realidade estão cada vez mais vulneráveis perante esse mercado, pois necessitam manter uma constante atualização em relação às diversas demandas emergentes. Uma solução para esse problema é juntar esforços.

Em virtude disto, as organizações se unem, de forma cooperativa, com o objetivo de atender uma determinada demanda de negócio. Com isso, novas estruturas interorganizacionais, criadas e distribuídas com base na ajuda mútua, são, atualmente, uma realidade e uma solução cabível ante as obrigatoriedades estabelecidas por um novo mercado.

A busca constante por novas soluções e produtos deve-se a essa crescente evolução do mercado, cada vez mais competitivo e volátil, que, junto à globalização da tecnologia e da economia, é fator influente na busca de soluções mais eficientes, com custos mais acessíveis. As empresas que estão vivenciando esta realidade vêm buscando unir forças para minimizar custos e obter soluções que atendam de forma objetiva os seus clientes.

Nesse contexto, vem crescendo a utilização de organizações virtuais como solução, em conjunto com o conceito de Cloud Computing, pois asssegura uma saída para esta questão, possibilitando:

coordenar recursos compartilhados de forma descentralizada (sem controle centralizado);

fazer uso de protocolos e interfaces padrões, de propósito geral e aberta; e

proporcionar qualidades de serviços não triviais.

Organizações Visuais: Um estilo de computação escalável de recursos de TI é identificado como um fornecimento de "serviço" para clientes externos, por meio da tecnologia da internet. Os consumidores desses serviços visualizam-nos apenas para utilização, sem se preocupar com a arquitetura de implementação ou programação desses. Saiba mais em: <http://www.gartner.com>.

Cloud Computing: É a designação aceita para redes independentes, formadas dinamicamente por meio de empresas e organizações convencionais de um modo geral, distribuídas geograficamente, com objetivos comuns, compartilhando tecnologia de informação e comunicação, trabalhando de forma cooperativa, de modo a possibilitar uma melhor qualidade de serviço e competências na solução de problemas comuns. (ZHANG; GU, 2003).

Em paralelo, novas vulnerabilidades e ameaças foram criadas, tornando os negócios das organizações mais suscetíveis a ataques. Tal possibilidade forçou os administradores, em conjunto com a sua equipe de Tecnologia da Informação, a buscar alternativas de proteção com a finalidade de mitigar essas vulnerabilidades e, assim, reduzir a chance de ocorrer ataques ao seu negócio.

Dessa forma, conforme citado em Sêmola (2010), a importância da Gestão da Segurança da Informação é hoje um fator fundamental para o sucesso do negócio de qualquer organização, independente de seu tamanho ou área de atuação. A implantação de um Sistema de Gestão de Segurança da Informação (SGSI), em conformidade com os requisitos descritos na norma ISO 27001, é fator estratégico e de sucesso para o negócio da organização. Em paralelo, a aplicação de boas práticas de segurança da informação, conforme citadas na ISO 27002, também deve ser adotada no projeto de segurança de informação da organização.

A norma ISO 27001, responsável em estabelecer os requisitos do SGSI de uma organização, baseia-se no modelo de processo PDCA (Plan - Do - Check - Act), conforme pode ser visualizado na figura abaixo.

Como pode ser visto, o ciclo PDCA é representado por quatro fases:

Planejamento: nesta, de forma geral, são planejadas e projetadas as atividades referentes ao SGSI, como por exemplo, políticas e procedimentos de segurança;

Execução: aqui, são implantadas e operacionalizadas as políticas, controles, processos e procedimentos do SGSI;

Verificação: de uma forma geral, nessa etapa audita-se o SGSI, analisando e avaliando a eficiência, por exemplo, de suas políticas, procedimentos e controles;

Ações corretivas: com base na etapa de verificação, são tomadas ações que previnam ou que venham a corrigir as atividades referentes ao SGSI, especificadas na fase de planejamento e implantadas na fase de execução.

O sucesso da implantação e manutenção do SGSI está baseado na verificação constante das suas atividades. A auditoria dos seus componentes possibilita que o SGSI esteja sempre alinhado às necessidades de segurança da informação do negócio da organização. Esse fato torna a auditoria, de forma ampla, uma ferramenta fundamental à manutenção e adequação do SGSI à estratégia do negócio.

Conceituar auditoria pode ser considerado um tanto quanto fácil, pois existem algumas definições em torno desse assunto. Todavia a NBR ISO 19011 define auditoria como um processo sistemático, documentado e independente para obter evidências de auditoria e avaliá-las objetivamente de modo a determinar a extensão na qual os critérios de auditoria são atendidos.

Evidências de auditoria: são registros, apresentação de fatos ou outras informações, pertinentes aos critérios de auditoria. A auditoria pode ser quantitativa ou qualitativa.

Critérios de auditoria: consiste em um conjunto de políticas, procedimentos ou requisitos. Os critérios de auditoria são usados como uma referência contra a qual a evidência da auditoria é comparada.

Outra definição interessante de auditoria está em UFERSA (2010): são exames, análises, avaliações, levantamento e comprovações, metodologicamente estruturados para a avaliação da integridade, adequação, eficiência, eficácia e economicidade dos processos, dos sistemas de informações e de controles internos integrados da organização, visando a atingir o cumprimento de seus objetivos.

Segundo Mello (2005), a auditoria pode ser definida como uma atividade que engloba o exame das operações, processos, sistemas e responsabilidades gerenciais de uma determinada entidade, com o intuito de verificar a sua conformidade com certos objetivos e políticas institucionais, orçamentos, regras, normas ou padrões. Poderiam ser mencionadas, ainda, algumas definições mais: acredita-se, entretanto, que essas duas atendam às expectativas deste estudo.

Ressalta-se que uma auditoria caracteriza-se pela confiança e princípios, tornando- se ferramenta eficiente e confiável. Dessa forma, contribui para as políticas de gestão e controle, provendo as organizações de informações que possibilitem melhorar os seus processos de negócio.

A NBR ISO 19011 apresenta alguns desses princípios, relacionados aos auditores, possibilitando que sejam fornecidas conclusões de auditoria relevantes e suficientes e permitindo que auditores trabalhem de forma independente e cheguem a conclusões semelhantes em situações semelhantes. Veja na sequência.

Conduta ética: consiste na alma do profissional, confiança, integridade, confidencialidade e discrição. A ética consiste em uma característica inerente às ações do ser humano, tornando-se um componente fundamental à sociedade.

Obrigação: existe a obrigação de reportar com veracidade e exatidão todas as informações pertinentes à auditoria, relacionadas com as constatações e as conclusões da auditoria e seus respectivos relatórios.

Consciência profissional: os auditores devem ter a preocupação de realizar as tarefas da forma mais profissional, de acordo com a importância e a confiança depositada em uma auditoria.

Independência: é a base para a imparcialidade e objetividade das conclusões de uma auditoria, porque os auditores são independentes em relação ao que será auditado, assim como não se ligam aos interesses e às tendências apresentadas.

Evidência: a evidência de auditoria pode ser verificada, pois ela é realizada com base em amostras de informações que se encontram disponíveis.

Sendo assim, pode-se dizer que a auditoria é talvez um mal/bem necessário a qualquer organização. Saber até quanto o seu processo de negócio é eficiente, ou mesmo, até quanto o seu sistema de informações é seguro, é uma necessidade estratégica para o negócio. Logo, se for perguntado por que auditar, a resposta pode ser imediata: é uma necessidade estratégica para o negócio da organização, o qual pode ser validado pela auditoria.

As auditorias podem estar em conformidade com diversos critérios, como por exemplo, o objetivo, a periodicidade e o posicionamento do auditor/órgão fiscalizador. O objetivo de uma auditoria pode estar relacionado à necessidade de se verificarem falhas em um processo e, assim, poder corrigi-lo. A periodicidade de uma auditoria pode estar relacionada à necessidade ou ao tipo de negócio.

Sendo assim, Neto e Solonca (2007) apresentam um quadro com os tipos de auditoria, separando-os em 3 classes abrangentes: forma de abordagem; órgão fiscalizador e área envolvida. Com isso, oferecem uma ampla visão dos diversos tipos de auditoria que podem existir.
QUANTO A FORMA DE ABORDAGEM

1. Auditoria Horizontal - Auditoria com tema específico, realizada em várias entidades ou serviços, paralelamente.

2. Auditoria Orientada - Foca em uma atividade específica qualquer ou atividades com fortes indícios de fraudes ou erros.

QUANTO AO ÓRGÃO FISCALIZADOR:

1. Auditoria Interna - Auditoria realizada por um departamento interno, responsável pela verificação e avaliação dos sistemas e procedimentos internos de uma entidade. Um de seus objetivos é reduzir a probabilidade de fraudes, erros, práticas ineficientes ou ineficazes. Esse serviço deve ser independente e prestar contas diretamente à classe executiva da corporação.

2. Auditoria Externa - Auditoria realizada por uma empresa externa e independente da entidade que está sendo fiscalizada, com o objetivo de emitir um parecer sobre a gestão de recursos da entidade, sua situação financeira, a legalidade e regularidade de suas operações.

3. Auditoria Articulada - Trabalho conjunto de auditorias internas e externas, devido à superposição de responsabilidades dos órgãos fiscalizadores, caracterizado pelo uso comum de recursos e comunicação recíproca dos resultados.

QUANTO A ÁREA ENVOLVIDA:

1. Auditoria de programas de governo - Acompanhamento, exame e avaliação da execução de programas e projetos governamentais. Auditoria do planejamento estratégico - verifica se os principais objetivos da entidade são atingidos e se as políticas e estratégias são respeitadas.

2. Auditoria Administrativa - Engloba o plano da organização, seus procedimentos, diretrizes e documentos de suporte à tomada de decisão.

3. Auditoria Contábil - É relativa à fidedignidade das contas da instituição. Essa auditoria, consequentemente, tem como finalidade fornecer alguma garantia de que as operações e o acesso aos ativos se efetuem de acordo com as devidas autorizações.

4. Auditoria Financeira - Conhecida também como auditoria das contas. Consiste na análise das contas, da situação financeira, da legalidade e regularidade das operações e aspectos contábeis, financeiros, orçamentários e patrimoniais, verificando se todas as operações foram corretamente autorizadas, liquidadas, ordenadas, pagas e registradas. Auditoria de legalidade - conhecida como auditoria de conformidade. Consiste na análise da legalidade e regularidade das atividades, funções, operações ou gestão de recursos, verificando se estão em conformidade com a legislação em vigor.

5. Auditoria Operacional - Incide em todos os níveis de gestão, nas fases de programação, execução e supervisão, sob a ótica da economia, eficiência e eficácia. Analisa também a execução das decisões tomadas e aprecia até que ponto os resultados pretendidos foram atingidos.

6. Auditoria da Tecnologia da Informação - Tipo de auditoria essencialmente operacional, por meio da qual os auditores analisam os sistemas de informática, o ambiente computacional, a segurança de informações e o controle interno da entidade fiscalizada, identificando seus pontos fortes e deficiências.

A classificação quanto ao órgão fiscalizador/posicionamento do auditor destaca 2 tipos de auditoria aplicados, em sua maioria, nas organizações, independente da área de atuação ou forma de abordagem. Essa terminologia é utilizada pela grande maioria dos auditores para classificar um processo de auditoria. Desta forma, este item busca um maior detalhamento das características das auditorias internas e externas, dando maior atenção à auditoria interna, tendo em vista a sua aplicabilidade dentro das organizações.

Segundo CONAB e COAUD (2008, p. 5), a auditoria interna é

o conjunto de técnicas que visa avaliar, de forma amostral, a gestão da companhia, pelos processos e resultados gerenciais, mediante a confrontação entre uma situação encontrada com um determinado critério técnico, operacional ou normativo. Trata-se de um importante componente de controle das corporações na busca da melhor alocação dos recursos do contribuinte, não só atuando para corrigir os desperdícios, as impropriedades/ disfunções, a negligência e a omissão, mas, principalmente, antecipando- se a essas ocorrências, buscando garantir os resultados pretendidos, além de destacar os impactos e benefícios sociais advindos, em especial sob a dimensão da equidade, intimamente ligada ao imperativo de justiça social.

A necessidade de realizar auditorias internas vai de encontro com os objetivos de controle, controle de processos, processos e procedimentos do sistema de gestão. Logo, qualquer organização deverá garantir que as auditorias sejam realizadas em intervalos de tempo planejados, de acordo com os elementos citados.

Quanto à auditoria externa, são encontradas algumas definições, principalmente relacionadas à questão financeira/contábil da organização, como a citada no portal da auditoria, que a trata como o exame das demonstrações financeiras feitas, com o propósito de expressar uma opinião sobre a propriedade com que estas apresentam a situação patrimonial e financeira da empresa e o resultado das operações no período do exame. Entretanto uma definição mais genérica

de auditoria externa ocorreria quando se audita um fornecedor ou quando se é auditado por um cliente, por exemplo. Um exemplo simples é quando uma organização sofre uma auditoria de segurança da informação com base na norma ISO 27001. O auditor externo, de forma macro, verifica se todos os controles de segurança da informação necessários estão implantados.

Para que uma auditoria seja iniciada, os seus objetivos globais devem estar alinhados aos objetivos do programa de auditoria, bem como o escopo de abrangência e os seus critérios.

Objetivos

determinar a extensão da conformidade dos documentos da organização contra os critérios de auditoria;

avaliar a capacidade da documentação da organização de garantir conformidade com requisitos legais, contratuais e regulamentares;

determinar a eficácia da documentação da organização em atender os objetivos especificados;

identificar as possíveis melhorias da documentação.

Escopo

O escopo de uma auditoria está relacionado à descrição da extensão e limites da auditoria em termos de localização física, unidades organizacionais, atividades, processos, ativos de informação, avaliações de risco.

Critérios

Os critérios podem incluir políticas e procedimentos aplicáveis à organização, normas, requisitos legais (leis), regulamentos, requisitos contratuais, sistema de gestão, e práticas, entre outros.

Atributos e responsabilidades de um auditor

Um auditor deve possuir alguns atributos, como:

possuir capacidade de decisão;

ser rígido e possuir autoconfiança;

ser ético, educado e instruído;

ser versátil, ter a mente aberta, ser diplomático, perceptivo e observador (BSI, 2008);

estar sempre em conformidade com os requisitos da organização;

participar na confecção da agenda da auditoria, bem como conduzi-la de forma adequada;

registrar e relatar as constatações;

manter a independência e confidencialidade, bem como manter os registros de auditoria.

Boas práticas de uma auditoria
Conforme citado em BSI 2008, Curso Auditor Interno, algumas boas práticas durante uma auditoria devem ser observadas:

notifique sempre e com antecedência a realização de uma auditoria, seja ela externa ou interna, e também informe a importância dela para a organização;

faça as perguntas às pessoas responsáveis pela área que está sendo auditada. Não se esqueça de que as perguntas devem ser claras e objetivas. Evite realizar várias perguntas ao mesmo tempo;

seja imparcial durante todo o processo de auditoria, buscando sempre evidências: com isso, você evita quaisquer conclusões precipitadas;

seja sempre atencioso e educado, procure usar uma linguagem polida, não argumente com qualquer pessoa ou segmento da organização; não discuta, não faça críticas; e

procure sempre apresentar as suas constatações durante o processo da auditoria.

Terminologia adotada em uma auditoria

Este item visa a apresentar alguns conceitos, considerados como gerais, utilizados, normalmente, durante um processo de auditoria, independente de sua classificação. Conceitos como campo, âmbito e natureza são básicos para qualquer tipo de auditoria.

Campo: está relacionado ao objeto (pode ser uma instituição pública ou privada ou um determinado setor da mesma) a ser fiscalizado, período e o tipo da auditoria (operacional, financeira, etc.).

Âmbito: define o grau de abrangência e a profundidade das tarefas.

Área de verificação: delimita de modo preciso os temas da auditoria, em função da entidade a ser fiscalizada e da natureza da auditoria.

Controle: consiste na fiscalização exercida sobre as atividades das pessoas, departamentos, produtos, etc., de forma que as atividades executadas ou produtos mantenham-se dentro das normas preestabelecidas.

Três tipos de controle são exercidos:

Preventivo - previne erros e invasões, por exemplo, identificação e autenticação de usuários do sistema via a utilização de senhas;

Detector - detecta erros, tentativas de invasões, etc. (arquivos logs, realização de controle de acesso de usuários);

Corretivo - minimiza o impacto causado por falhas ou erros, corrigindo-os (política de segurança, plano de contingência).

Objetivos de controle: são metas de controle a serem alcançadas, ou aspectos negativos a ser evitados em cada transação, atividade ou função fiscalizada.

Procedimentos de auditoria: é um conjunto de verificações e averiguações que permite obter e analisar as informações necessárias ao parecer do auditor. Esses procedimentos devem ser de conhecimentos dos auditores antes do início da auditoria.

Achados de auditoria: são fatos a ser considerados como importantes para o auditor. Para que esses dados constem no relatório, eles devem estar baseados em fatos e evidências.

Papéis de trabalho: são registros que evidenciam atos e fatos observados pelo auditor (planilhas, documentos, etc.).

Recomendações de auditoria: realizada na fase de relatório, isto é, são medidas corretivas exequíveis, sugeridas para corrigir as falhas detectadas (DIAS, 2000).

Um programa de auditoria, segundo a NBR ISO 19011, consiste em uma ou um conjunto de auditorias planejado para um determinado período de tempo e com um propósito específico. A quantidade de auditorias que irão compor um programa de auditoria está diretamente relacionada ao escopo de abrangência, à natureza (ex.: corretiva ou punitiva) e ao tipo de negócio da organização, o nível de complexidade da organização que será auditada.

O programa de auditoria é responsável, também, por estabelecer todas as atividades que possibilitam o planejamento e organização, execução e manutenção de todas as auditorias que fazem parte do programa, independente do tipo, fornecendo todos os recursos necessários para que sejam executadas de forma eficiente, em um determinado período de tempo (NBR, 2002).

Desta forma, pode-se dizer que o programa de auditoria é um plano de ação, detalhado, com o objetivo de dar ao auditor as diretivas necessárias à realização de seu trabalho. Possui objetivos, escopo de abrangência, um conjunto de procedimentos necessários à equipe de auditoria na realização de seu trabalho.

O programa de auditoria deverá ser estruturado, com base em um padrão, e poderá conter elementos como:

características do sistema organizacional a ser auditado;

áreas/segmentos de negócio envolvidos;

período de realização da auditoria;

objetivos da auditoria;

cronograma dos trabalhos;

equipe de auditores;

custos envolvidos para a realização da auditoria;

procedimentos para a realização da auditoria;

questionários de coleta de informações;

campo para observações dos auditores;

orientações gerais (CONAB; COAUD, 2008).

Vale a pena ressaltar que o programa de auditoria deve ser flexível o suficiente para sofrer alterações, no caso de situações não previstas ou intempestivas durante o processo de auditoria. Ele também deve apoiar-se no processo de decisão da equipe de auditoria, caso exista a necessidade de ampliar a coleta de informações, análises e/ou realizações de teste de auditoria.

O modelo de gerência do programa de auditoria segue as prerrogativas descritas pelo modelo de processos do ciclo PDCA, conforme pode ser visualizado na figura abaixo. Normalmente, em uma auditoria interna, a autoridade da gerência do programa de auditoria é delegada pela alta direção da organização ao seu respectivo responsável, o gerente do programa. Esse gerente é responsável em estabelecer, implantar, monitorar, analisar e melhorar o programa de auditoria, além de identificar e garantir que todos os recursos necessários a sua execução sejam providos (NBR, 2002). No caso de uma auditoria externa, o auditor chefe será o responsável em conduzir todo o processo que está relacionado a ela, do início ao final das atividades.

AUDITORIA externa ou auditoria independente. Portal da auditoria. nov. 2011. Disponível em: <http://www.portaldeauditoria.com.br/sobreauditoria/o-que-e-Auditoria-Externa.asp>. Acesso em: 14 dez. 2011.

ÀVILA, Rafael. Imagem de lupa sobre gráficos financeiros: auditoria. Blog luz loja de consultoria. 2 nov. 2011. Disponível em: <http://blog.lojadeconsultoria.com.br/inspiracao/ conheca-as-10-empresas-mais-sustentaveis-do-mundo-sera-mesmo/attachment/imagem- de-lupa-sobre-graficos-financeiros-auditoria-luz-loja-de-consultoria/>. Acesso em: 7 dez. 2011.

BRITISH STANDARDS INSTITUTE (BSI). Auditor Interno ISO/IEC 27001:2005 Sistema de Gestão de Segurança da Informação - BSI Learning, 2008.

BRITISH STANDARDS INSTITUTE (BSI). Curso Auditor Interno ISO/IEC 27001: 2005 SGSI, BSI Learning, 2008.

DIAS, Cláudia. Segurança e auditoria da tecnologia da informação. Rio de Janeiro: Excel Books, 2000.

ISO/IEC 27001. Tecnologia da Informação, Técnicas de Segurança, Sistemas de Gerenciamento de Segurança da Informação, Necessidades ISO/IEC, 2005.

ISO/IEC 27002. Information technology, Security techniques, Code of practice for information security management, Redesignation of ISO/IEC 17799: 2005.

MANUAL de auditoria interna. 2a versão. Companhia Nacional de Abastecimento - CONAB; Coordenadoria de Auditoria Interna (COAUD), 2008. Disponível em: <http://www.conab.gov.br/downloads/regulamentos/ManualdeAuditoriaInterna.pdf>. Acesso em: 9 dez. 2011.

MELLO, Agostinho de Oliveira. Instituto dos auditores internos do Brasil. Organização básica da auditoria interna. Biblioteca Técnica de Auditoria Interna, 2005.

NBR ISO 19011. Diretrizes para auditorias de sistema de gestão da qualidade, NBR. 2002.

NETO, Abílio Bueno; SOLONCA, Davi. Auditoria de sistemas informatizados. Palhoça: UnisulVirtual, 2007.

SÊMOLA, Marcos. A importância da gestão da segurança da informação. 2010. Disponível em: <http://www.lyfreitas.com/artigos_mba/GestaoSegurancaInformacao.pdf>. Acesso em: 9 dez. 2011.

SHAO-HUA Zhang, NING Gu. Research on Workflow of Virtual Organization, The Eighth International Conference on Computer Supported Cooperative Work in Design, Xiamen, China, 2003.

UNIDADE de auditoria interna. Definições de auditoria interna. Universidade Federal Rural do Semi-Árido (UFERSA), 05 mar. 2009. Disponível em: <http://www2.ufersa.edu.br/portal/divisoes/audint/1315>. Acesso em: 9 dez. 2011.

Autor: Prof. MSc. Luiz Otávio Botelho Lento

# data[].attributes.attachment_link.title
Conceito, Tipos e Características de Auditoria de Segurança da Informação

# data[].attributes.attachment_link.description
No decorrer dos anos, o mundo empresarial cresceu de forma significativa, integrando universos diversos, compostos por organizações de vários segmentos de mercado, e oferecendo um leque amplo de produtos, com variedade de formatos referentes à aquisição e utilização. A competitividade no mercado globalizado está mais voraz.