Auditoria de Sistemas: Fraudes, Controles e Segurança

Auditor vs. Perito em Fraudes

Analise a seguinte afirmação:

"Auditoria de sistemas é uma atividade voltada à avaliação dos procedimentos de controle e segurança vinculados ao processamento das informações. Logo, ela deve ser capaz de determinar os autores de uma fraude e como ela foi realizada."

Essa afirmação está correta? Explique:

R: Não. A atividade de descoberta das causas e da autoria de atividades ilegais no sistema cabe ao perito, e não ao auditor. O auditor avalia se os processos estão ocorrendo de acordo com a política da empresa, focando na conformidade e na eficácia dos controles.

Objetivos da Auditoria de Sistemas

Analise a seguinte afirmação:

"A auditoria de sistemas visa certificar se:

• As informações são corretas e oportunas;
• Existe um processamento adequado das operações;
• As informações estão protegidas contra fraudes;
• Existe proteção das instalações e equipamentos;
• Existe proteção contra situações de emergência (paralisação de processamento, perda de arquivos, inundações, incêndios, etc.), ou seja, avaliar a eficiência e a existência de um plano de continuidade de negócios."

Essa afirmação está correta? Explique:

R: Sim. A afirmação está correta porque todos os pontos listados envolvem a análise de processos e a verificação de sua conformidade com as políticas e boas práticas aplicadas pela organização, que são o escopo central da auditoria de sistemas.

Indícios de Fraude para Auditores

Toda ação deixa rastros. Uma fraude também, e há indícios, durante a verificação dos processos, aos quais o auditor deve estar atento para detectá-las. Cite alguns deles:

R:

• Erros sistemáticos no processamento;
• Omissão de verificação de controles;
• Descumprimento de normas;
• Totais de controle que não fecham;
• Não cumprimento de padrões operacionais;
• Uso excessivo de procedimentos de exceção;
• Existência de transações integradas não correspondidas.

Vantagens do Uso de Hash em Senhas

Um sistema de login possui a seguinte tela e estrutura em seu banco de dados:

Nota-se que o campo "password" possui registros gravados que são hashes. Esses hashes são calculados previamente pelo código da página de acesso quando o usuário digita sua senha e clica no botão “Submit”. O acesso é liberado caso o hash gerado a partir da senha digitada seja igual ao hash armazenado no banco de dados.

Quais as vantagens desse artifício usado pelo analista nesse sistema?

R: A principal vantagem é a segurança. No caso de uma invasão do banco de dados, o atacante não saberá quais são as senhas dos usuários, pois o hash é uma função de mão única, ou seja, não é computacionalmente viável revertê-lo para descobrir a que string original ele se refere.