Sistemas de informação integram operações empresariais, infraestruturas críticas, processos decisórios e relações com clientes, fornecedores e demais partes interessadas. À medida que esses ambientes se tornam mais complexos, cresce a necessidade de examinar, de maneira estruturada, como componentes tecnológicos foram projetados, configurados, operados e registrados.
A auditoria de sistemas reúne métodos destinados à obtenção e à análise de evidências sobre ambientes tecnológicos. Seu resultado depende da definição prévia do objeto, dos critérios adotados, das fontes acessíveis e das limitações encontradas durante o trabalho.
Delimitação do objeto examinado
O planejamento começa pela transformação da demanda apresentada em questões tecnicamente examináveis. O objeto pode abranger um sistema específico, uma infraestrutura, determinado processo tecnológico, um conjunto de controles ou um intervalo temporal delimitado.
Entre as questões que podem orientar o exame estão:
- quais componentes integravam o ambiente no período analisado;
- como usuários, perfis e privilégios estavam configurados;
- quais registros foram produzidos pelas aplicações e pela infraestrutura;
- como alterações de software eram solicitadas, desenvolvidas, testadas e implantadas;
- quais controles estavam previstos e quais evidências documentam sua execução;
- como eventos, falhas ou mudanças se relacionam temporalmente;
- quais diferenças existem entre requisitos documentados e características observadas;
- quais limitações afetam a interpretação dos registros disponíveis.
A delimitação evita conclusões mais abrangentes do que aquelas efetivamente sustentadas pelas evidências.
Definição dos critérios técnicos
Os critérios representam as referências utilizadas para comparar as características observadas. Eles podem decorrer de diferentes fontes, conforme o objeto do trabalho:
- requisitos funcionais e não funcionais;
- especificações de arquitetura;
- políticas e procedimentos internos;
- contratos e documentos técnicos;
- manuais e orientações dos fabricantes;
- níveis de serviço estabelecidos;
- modelos de controle;
- normas e referências técnicas aplicáveis;
- configurações aprovadas;
- registros históricos do próprio ambiente.
A existência de um critério não determina, isoladamente, a conclusão. É necessário examinar sua aplicabilidade, sua vigência no período analisado e sua relação com o componente tecnológico avaliado.
Identificação e preservação das fontes
A confiabilidade do exame depende da compreensão da origem, do contexto e das limitações das informações utilizadas. As fontes podem incluir:
- registros de eventos e logs;
- bancos de dados;
- arquivos de configuração;
- repositórios de código;
- documentação de projetos;
- registros de mudanças;
- chamados e ordens de serviço;
- inventários de ativos;
- diagramas de arquitetura;
- imagens de sistemas e dispositivos;
- relatórios produzidos por ferramentas técnicas;
- mensagens e documentos relacionados ao objeto;
- informações prestadas por profissionais que participaram das operações.
Quando a natureza do trabalho exigir, podem ser registrados os procedimentos de coleta, preservação, identificação e verificação de integridade dos arquivos examinados. Também devem ser documentadas eventuais lacunas, indisponibilidades ou diferenças entre as fontes.
Métodos aplicáveis à auditoria de sistemas
A combinação de métodos varia conforme a questão técnica. Nenhum procedimento, isoladamente, é apropriado para todos os ambientes.
Exame documental
O exame documental permite compreender o funcionamento previsto do sistema, sua arquitetura, seus requisitos e os procedimentos estabelecidos. Os documentos também podem ser comparados com configurações, registros operacionais e demais evidências observadas.
Inspeção de configurações
A inspeção pode abranger sistemas operacionais, aplicações, bancos de dados, equipamentos de rede, serviços em nuvem e mecanismos de segurança. O objetivo é registrar características relevantes e compará-las com os critérios selecionados para o trabalho.
Análise de registros de eventos
Logs e trilhas de auditoria podem contribuir para a reconstrução de sequências, identificação de alterações, correlação de atividades e exame do comportamento de componentes tecnológicos.
A interpretação desses registros deve considerar sincronização de horários, políticas de retenção, formatos, possibilidades de sobrescrita, cobertura do monitoramento e eventuais lacunas de coleta.
Testes técnicos
Testes podem ser empregados para observar funcionalidades, controles, desempenho, tratamento de erros ou respostas do sistema a condições determinadas. O planejamento deve registrar o ambiente utilizado, as variáveis controladas, as condições de execução e os limites de generalização dos resultados.
Amostragem
Quando o volume de dados inviabiliza o exame integral, podem ser adotados procedimentos de amostragem. A população considerada, a forma de seleção, o tamanho da amostra e as limitações decorrentes devem ser explicitados.
A amostragem pode ser estatística ou baseada em critérios técnicos relacionados ao objeto. Cada abordagem produz possibilidades e limitações próprias de interpretação.
Entrevistas técnicas
Entrevistas podem auxiliar na compreensão do ambiente, dos procedimentos e do contexto operacional. As informações obtidas, entretanto, devem ser diferenciadas das evidências diretamente observadas e, quando possível, confrontadas com registros independentes.
Correlação entre fontes
A correlação permite comparar informações provenientes de sistemas, documentos e registros distintos. Divergências temporais, diferenças de identificação, alterações de formato e ausência de chaves comuns precisam ser consideradas antes de associar eventos.
Áreas que podem ser examinadas
Conforme o escopo, a auditoria de sistemas pode abranger diferentes dimensões do ambiente tecnológico.
Identidades e acessos
Podem ser examinados processos de criação e encerramento de contas, atribuição de privilégios, autenticação, segregação de funções, revisões de acesso e registros de utilização.
Desenvolvimento e mudanças
O exame pode considerar requisitos, versionamento, testes, aprovações técnicas, implantação, documentação, correções e rastreabilidade das alterações realizadas.
Operação e monitoramento
Rotinas de processamento, agendamentos, tratamento de incidentes, monitoramento, gestão de capacidade, registros operacionais e mecanismos de recuperação podem integrar o objeto.
Integridade e rastreabilidade dos dados
Podem ser avaliados fluxos de entrada, transformação, armazenamento, transmissão e saída de dados, bem como os registros que permitem acompanhar essas operações.
Segurança tecnológica
O trabalho pode abranger configurações de proteção, segmentação de redes, gestão de vulnerabilidades, registros de segurança, proteção de credenciais e resposta técnica a eventos.
Continuidade e recuperação
Podem ser examinados procedimentos de cópia, replicação, recuperação, redundância, testes de contingência e dependências entre sistemas e serviços.
Desempenho e capacidade
Métricas de utilização, tempos de resposta, volumes processados, filas, gargalos e comportamento sob diferentes condições podem ser analisados conforme critérios previamente definidos.
Ativos e licenciamento de software
Inventários, instalações, versões, métricas técnicas de utilização, mecanismos de descoberta e documentos de licenciamento podem ser correlacionados para descrever o ambiente observado.
Serviços contratados e terceiros
O exame pode considerar requisitos técnicos, níveis de serviço, evidências de entrega, integrações, dependências, registros de execução e mecanismos de acompanhamento.
Achados, causas e efeitos técnicos
Um achado decorre da comparação entre evidências observadas e critérios definidos. Sua formulação pode apresentar:
- o componente ou processo examinado;
- a condição observada;
- o critério utilizado;
- as evidências que sustentam a constatação;
- as possíveis explicações técnicas;
- os efeitos tecnicamente verificáveis;
- as limitações da análise.
Nem toda divergência demonstra falha, e nem toda falha permite identificar uma causa única. Ambientes tecnológicos frequentemente apresentam múltiplas dependências e fatores concorrentes. Por isso, hipóteses, constatações e inferências devem ser claramente diferenciadas.
Reprodutibilidade e documentação
A documentação dos procedimentos contribui para a rastreabilidade do trabalho. Sempre que compatível com o objeto, o registro pode incluir:
- identificação das fontes;
- datas e condições de coleta;
- ferramentas e respectivas versões;
- parâmetros empregados;
- filtros e consultas executados;
- transformações realizadas nos dados;
- resultados intermediários;
- limitações encontradas.
A reprodutibilidade não significa necessariamente que outro examinador obterá arquivos idênticos em ambientes que continuam em operação. Significa que os procedimentos, critérios e fundamentos utilizados podem ser compreendidos e tecnicamente avaliados.
Limitações e incerteza
Sistemas mudam continuamente. Registros podem ter períodos distintos de retenção, relógios podem estar dessincronizados e determinados componentes podem não produzir trilhas suficientes. Também podem existir restrições de acesso, indisponibilidade de versões históricas ou documentação incompleta.
Essas condições não devem ser omitidas. O relatório precisa indicar como cada limitação influencia o alcance e o grau de sustentação dos resultados.
Comunicação dos resultados
O produto do trabalho pode assumir diferentes formatos, de acordo com sua finalidade: relatório técnico, parecer, nota técnica, apresentação executiva ou documentação de testes.
Independentemente do formato, a comunicação deve distinguir:
- fatos diretamente observados;
- critérios empregados;
- resultados dos testes;
- hipóteses técnicas;
- inferências derivadas da correlação das evidências;
- limitações do exame.
Essa separação permite que gestores, equipes técnicas e demais destinatários compreendam o alcance efetivo dos achados sem atribuir às conclusões significado mais amplo do que aquele sustentado pelo trabalho.
Abordagem multidisciplinar
Determinados objetos podem exigir a integração de conhecimentos em ciência da computação, segurança cibernética, engenharia, estatística, economia e outras áreas. A participação de diferentes especialidades deve ser definida conforme a natureza de cada questão e as competências profissionais aplicáveis.
A abordagem multidisciplinar não elimina a necessidade de delimitação. Cada análise deve indicar seus métodos, fontes, pressupostos e limites.
Auditoria de sistemas como exame baseado em evidências
A auditoria de sistemas não se resume à aplicação de listas de verificação. Trata-se de um processo estruturado de formulação de questões, seleção de critérios, coleta de dados, execução de testes e avaliação técnica das evidências.
Seu valor está na capacidade de tornar características de ambientes tecnológicos complexos observáveis, documentadas e tecnicamente discutíveis. A qualidade do resultado depende da correspondência entre o objeto, os métodos empregados e as evidências efetivamente disponíveis.
Nota editorial: Este artigo possui caráter técnico e informativo. Os métodos descritos devem ser selecionados e adaptados conforme o objeto, os critérios estabelecidos, as fontes disponíveis e as competências profissionais aplicáveis.