A Auditoria de Sistemas é o ramo da auditoria que se tornou um importante aliado no planejamento e tomada de decisão das organizações. Entre os objetivos estão a segurança e integridade na autenticidade dos dados e o atendimento eficaz e eficiente dos objetivos da instituição, o gerenciamento do risco operacional e a proteção dos ativos da organização.

A Auditoria de Sistemas envolve a avaliação dos sistemas e atividades gerenciais da organização, operações, processos, verificando se a realização das funções rotineiras está em conformidade com os objetivos, normas e padrões exigidos, políticas institucionais, legislação.

É por meio dela que gestores podem visualizar o uso dos recursos e dos fluxos de informação, determinando quais dados são críticos para o cumprimento dos objetivos e da missão a ser seguida, além de identificar e barrar processos repetidos, despesas e custos adicionais, valores e obstáculos que impactam diretamente o fluxo e o bom andamento de informações eficientes e necessárias.

Uma pergunta que sempre surge e que deixa muitos empreendedores inseguros na hora de optar por um Sistema de Informação é: a Auditoria de Sistemas é segura? E a resposta é simples: Sim.

A Auditoria de Sistemas não é apenas uma ferramenta para a segurança dos dados contábeis, ela possibilita que empresas tenham um maior controle das ações de rotina, inovando e gerindo processos, produtos e sistemas de forma contínua e eficiente, objetivando o destaque frente um mercado cada vez mais concorrente.

Visibilidade, exploração e correção, é para isso que o Pentest serve. A documentação de erros e falhas encontradas em um ambiente pode ser extensa. Sem o direcionamento da análise de vulnerabilidades e a exploração dos pontos críticos encontrados através dessa análise, a correção pode ser muito onerosa além de haver desperdício de recursos.

Por isso um Pentest é de extrema importância para o ambiente de tecnologia da empresa, medindo a maturidade não somente através das ferramentas de segurança implementadas contra intrusão, vazamento e perda de dados, mas de todos os endpoints a servidores e aplicações que estão implantadas no ambiente.

Caixa Branca

O Pentester ou desenvolvedor recebe algumas informações do ambiente, ferramentas de armazenamento de dados, redes e até as aplicações de segurança. Além disso, pode ter conhecimento de toda a topologia da rede, IPs, senhas, níveis de usuários e logins. Por ser um teste amplo e com mais chances de encontrar falhas e brechas, é o mais requisitado entre as empresas, inclusive pelos clientes atendidos pela Softwall.

Caixa Preta

Nessa modalidade, o Pentester ou desenvolvedor não recebe nenhum tipo de informação do ambiente ou ferramentas aplicadas, aqui, tudo é obtido “na raça”, é um modelo de teste de intrusão que se aproxima de uma situação real, mas pode deixar algumas ferramentas críticas fora da análise.

Aqui as empresas, tanto a contratante quanto a contratada, fazem o acordo do que será testado, por quais meios, qual modalidade da análise e teste e quais serão os objetivos que deverão ser alcançados. Aqui também é feito o termo de confidencialidade, respaldando as empresas envolvidas.

2 – Reconhecimento e Assessment

Nessa etapa se obtém mais dados sobre o ambiente da empresa a ser analisada, bem como o assessment/scan completo do ambiente para saber o que está presente. Por exemplo os servidores, IPs, servidores, SOs, portas, aplicações de segurança e dados e tudo que compõe o ambiente físico e digital da empresa.

3 – Pentests/ Tes de Intrusão

A partir dos pontos identificados e a classificação da criticidade de cada indicador, é possível então fazer um pentest mais direcionado e assertivo com o respaldo do assessment do ambiente – item 2. É possível explorar cada item de forma isolada, seja por um “exploit” conhecido na ferramenta ou até um “brute force”, dependendo do ativo ou aplicação que está sendo analisada ou explorada.

4 – Análise de Código e Aplicações

Aplicações, sejam elas de algum sistema de uso diário ou algum software de manipulação de dados e informações vitais de uma empresa, podem ser analisadas até mesmo em tempo real para verificar as possíveis falhas de segurança que podem conter nessas aplicações, sejam elas sistemas financeiros, e-commerces, aplicações de produtividade, colaboração ou qualquer outra usada na organização.

5 – Documentação e reporte

Após identificar e explorar falhas e brechas, classificar os pontos críticos, realizar os 🤬 pertinentes, coletar evidências dessas falhas encontradas, a equipe deve gerar um relatório reportando os itens encontrados na rede da empresa e aplicações, apontando erros como má configuração, aplicações conflitantes, problemas com autenticação insegura, mesa e tela limpa, ambiente de rede, atualizações de sistemas e versões, falhas na rede e tudo que for crucial para a melhoria na segurança da rede através da documentação técnica final.

Esse reteste geralmente é feito após um período acordado entre as empresas, que varia em torno de 2-6 meses, dependendo das falhas e brechas encontradas.