O auditor deve ter profundo conhecimento a respeito da área auditoria. Ou seja, no caso da auditoria de sistemas, o profissional deve ter algum tipo de formação em tecnologia, como segurança da informação, por exemplo.

Mas não apenas isso, para ser um auditor é preciso ser treinado para tal. No caso dos auditores internos, é comum que a própria organização tenha um departamento de treinamento. Uma auditoria completa pode ser resumida em quatro passos básicos que são o planejamento, Execução, Relatório de resultados, e o Plano de ação.

Isso porque esses três termos (confidencialidade, integridade e disponibilidade) são fundamentais em qualquer política interna de TI, uma vez que garantem que seus processos internos funcionem adequadamente. A confidencialidade, integridade e disponibilidade, termos conhecidos pela sigla CID, são considerados os três pilares do modelo clássico de segurança da informação, onde o objetivo final é a proteção de dados. Esses três pilares nada mais são que os objetivos a serem atingidos por meio da segurança da informação, onde cada um aborda um aspecto diferente no tocante a essa proteção. Esses três pilares da segurança da informação, portanto, constituem um conjunto de ações que procuram prevenir problemas relacionados à área, como o vazamento de dados, por exemplo. Isso porque a constante evolução da tecnologia tem deixado clara a importância dos dados e informações que circulam no ambiente digital e fora dele.

Isso significa dizer que, literalmente, determinadas informações são confidenciais e só dispõe de seu acesso aqueles que possuem autorização para tal.

Assim, esse pilar tem como principal objetivo assegurar a proteção dos sistemas de cunho confidencial e sigiloso.

Para cumprir com seu objetivo, esse aspecto da segurança da informação é implementado por diversos mecanismos, como logins, senhas, tokens, criptografia, entre outros.

Para exemplificar esse conceito, pense nos seus dados bancários. Os únicos que possuem acesso a essas informações são você e determinados responsáveis pelo banco de dados.

Portanto, essas são informações confidenciais, de forma que o simples acesso a esses dados, por si só, já retrata um quadro danoso.

Essa falha de confidencialidade, seja intencional ou acidental, não pode ser remediada, uma vez que esses dados foram revelados. Ou seja, quem teve acesso a eles não pode simplesmente esquecê-los.

Atualmente, grande parte dos casos dos incidentes de segurança se referem à quebra de confidencialidade.

Dentro da segurança da informação é comum que os dados confidenciais sejam categorizados conforme o seu nível de criticidade.

Isso quer dizer que aqueles dados que possuem maior extensão de danos, caso expostos, e os que necessitam de maiores ou mais complexas medidas de segurança, conforme essa característica, são priorizados.

Fora isso, a confidencialidade de dados também está relacionada ao princípio de hierarquização.

Esse princípio determina o acesso às informações somente às pessoas em que realmente há a necessidade de acesso e de acordo com o nível de responsabilidade por ele instituído.

Por fim, outro princípio que garante a confidencialidade das informações é o seu descarte adequado.

Esse princípio está diretamente relacionado à eficácia do sistema e do funcionamento da rede para que, consequentemente, a informação possa ser acessada quando for necessário.

Assim, notamos que esse pilar está muito associado à parte operacional da organização. Portanto, para garantir a disponibilidade da informação é preciso que a organização tenha uma estrutura adequada.

Mecanismos usados para isso são a realização periódica de backups em nuvem, atualizações necessárias dos sistemas e o uso de banda compatível com as necessidades da empresa, a fim de evitar quedas na navegação.

Fora isso, outra ação importante para evitar as falhas de disponibilidades é a realização de um plano de recuperação de desastres.

Nesse plano devem constar, em detalhes, diretrizes cabíveis para administrar possíveis crises, recuperar dados e diminuir os riscos relacionados à falhas de disponibilidade.

Assim, a organização terá um plano de ação para o pior cenário possível e será capaz de prosseguir com seus processos.

Vale mencionar que a falha de disponibilidade também está relacionada a fatores naturais, como ameaças de desastres. Dentro de seu plano de recuperação, a organização deve levar esse fator em consideração.

Ou seja, em síntese, a segurança da informação impede que determinados dados que precisam ser mantidos seguros caiam nas mãos de pessoas não autorizadas.

Além disso, os processos de Segurança da Informação também são responsáveis por impedir que tais dados sejam destruídos acidentalmente, perdidos, roubados ou danificados

Quando nos referimos a dados, estamos falando de qualquer informação, documento ou testemunho que permita chegar ao conhecimento ou dedução de algo.

Os dados pessoais, por exemplo, são o conjunto de informações distintas que permitem a identificação de determinada pessoa.

A gestão da segurança da informação pode incluir, por exemplo, o uso de controles físicos, a fim de impedir que determinados dados sejam acessados indevidamente por meio da infraestrutura.

Portanto, os controles físicos podem incluir, entre outros: blindagens, CFTV, profissionais da segurança, sistemas de registro de pessoas ou veículos que acessam determinada área restrita.