NBC-TA-315 - RISCOS DE DISTORÇÃO RELEVANTE - APÊNDICE 6 - CONTROLES GERAIS DE TI

NBC - NORMAS BRASILEIRAS DE CONTABILIDADE

NBC-T - NORMAS TÉCNICAS

NBC-TA - NORMAS TÉCNICAS DE AUDITORIA INDEPENDENTE

NBC-TA-315 - IDENTIFICAÇÃO E AVALIAÇÃO DOS RISCOS DE DISTORÇÃO RELEVANTE POR MEIO DO ENTENDIMENTO DA ENTIDADE E DO SEU AMBIENTE

APÊNDICE 6 (ver item 25(c)(ii) e itens A173 e A174)

Considerações para entendimento dos controles gerais de TI

Este Apêndice fornece assuntos adicionais que o auditor pode considerar para entender os controles gerais de TI.

1. A natureza dos controles gerais de TI normalmente implementados para cada um dos aspectos do ambiente de TI:

• (a) Aplicativos
  • Os controles gerais de TI no nível de aplicativos de TI estão relacionados com a natureza e a extensão da funcionalidade do aplicativo e com as rotas de acesso permitidas pela tecnologia. Por exemplo, mais controles são relevantes para aplicativos de TI altamente integrados com opções de segurança complexas do que para aplicativo de TI legado que suporta uma quantidade pequena de saldos contábeis com métodos de acesso somente por meio de transações.
• (b) Base de dados
  • Os controles gerais no nível de base de dados normalmente tratam dos riscos decorrentes do uso de TI relacionados com atualizações não autorizadas para informações de relatórios financeiros na base de dados por meio de acesso direto à base de dados ou execução de script ou programa.
• (c) Sistema operacional
  • Os controles gerais de TI no nível do sistema operacional normalmente tratam dos riscos decorrentes do uso de TI relacionados com acesso administrativo, que podem facilitar a transgressão de outros controles. Isso inclui ações como comprometer as credenciais de outros usuários, adicionar usuários novos não autorizados, carregar malware, executar scripts ou outros programas não autorizados.
• (d) Rede
  • Os controles gerais de TI no nível de rede normalmente tratam dos riscos decorrentes do uso de TI relacionados com segmentação, acesso remoto e autenticação de rede. Os controles de rede podem ser relevantes quando a entidade tem aplicativos baseados na internet utilizados em relatórios financeiros. Os controles de rede também podem ser relevantes quando a entidade tem relações com parceiros de negócios ou terceirizações significativas, que podem aumentar as transmissões de dados e a necessidade de acesso remoto.

2. Exemplos de controles gerais de TI que podem existir, organizados por processo de TI, incluem:

• (a) Processo para gerenciamento de acesso:
  •  
  • Autenticação
    Controles que asseguram que o usuário que está acessando o aplicativo de TI ou outro aspecto do ambiente de TI está usando suas próprias credenciais de login (isto é, o usuário não está usando as credenciais de outro usuário).
  •  
  •  Autorização
    Controles que permitem que os usuários acessem as informações necessárias para as responsabilidades do seu trabalho e nada além, que facilitam a apropriada segregação de funções.
  •  
  • Provisionamento
    Controles para autorizar novos usuários e modificações em privilégios de acesso a usuários existentes.
  •  
  • Desprovisionamento
    Controles para remover o acesso de usuários no final ou transferência.
  •  
  • Acesso privilegiado
    Controles de acesso administrativo ou de usuários com amplo acesso.
  •  
  • Revisões de acesso ao usuário
    Controles para recertificar ou avaliar o acesso a usuário para autorização contínua ao longo do tempo.
  •  
  • Controles de configuração de segurança
    Cada tecnologia geralmente tem definições de configuração-chave que auxiliam a restringir o acesso ao ambiente.
  •  
  •  Acesso físico
    Controles do acesso físico ao centro de dados e hardware, uma vez que esse acesso pode ser usado para transgredir outros controles.
  •  
•  (b) Processo para gerenciamento de programa ou outras alterações no ambiente de TI:
  •  
  • Processo de gerenciamento de alterações
    Controles do processo de planejamento, programação, teste e migração de alterações para ambiente de produção (isto é, usuário final).
  •  
  • Segregação de funções durante migração de alterações
    Controles que segregam o acesso para fazer e migrar alterações para ambiente de produção.
  •  
  • Desenvolvimento, aquisição ou implementação de sistemas
    Controles do desenvolvimento ou da implementação de aplicativo de TI inicial (ou em relação a outros aspectos do ambiente de TI).
  •  
  • Conversão de dados
    Controles da conversão de dados durante o desenvolvimento, a implementação ou atualizações do ambiente de TI.
  •  
• (c) Processo de gerenciamento de operações de TI
  •  
  • Programação de tarefas
    Controles do acesso a programação e iniciação de tarefas ou programas que podem afetar os relatórios financeiros.
  •  
  • Monitoramento de tarefas
    Controles para monitorar tarefas ou programas relacionados com relatórios financeiros para uma execução bem sucedida.
  •  
  • Backup e recuperação
    Controles para assegurar que os backups de dados de relatórios financeiros ocorram conforme planejado, que esses dados estejam disponíveis e que possam ser acessados para a recuperação tempestiva no caso de interrupção ou ataque.
  •  
  • Detecção de intrusão
    Controles para monitorar vulnerabilidades e/ou intrusões no ambiente de TI.

A tabela a seguir apresenta exemplos de controles gerais de TI para tratar de exemplos de riscos decorrentes do uso de TI, incluindo para diferentes aplicativos de TI com base em sua natureza.