Questão 205510

• Banca: FEPESE
• Órgão: SEFAZ-SC
• Ano: 2010
• Provas: FEPESE - 2010 - SEFAZ-SC - Auditor Fiscal da Receita Estadual - Parte III - Tecnologia da Informação
• Disciplina: Segurança da Informação
• Assuntos: Auditoria de Sistemas

Com relação à auditoria de segurança de sistemas, assinale a alternativa correta.

• A. Em um processo de auditoria de sistema, o auditor deve necessariamente ser um colaborador da organização auditada, preferencialmente, deve pertencer ao setor analisado na auditoria.
• B. Achados de auditoria são fatos significativos observados pelo auditor durante a execução da auditoria. Geralmente, são associados a falhas e irregularidades, porém podem também indicar pontos fortes da instituição auditada. O achado deve ser relevante e baseado em fatos e evidências irrefutáveis.
• C. A auditoria da segurança de informação tem como principal objetivo implantar a política de segurança e o plano de continuidade de negócios (PCN) de uma organização.
• D. O processo de auditoria está divido em três fases: planejamento, execução e relatório. Na fase de planejamento, todas as evidências das falhas e irregularidades encontradas devem ser coletadas para que durante a fase de execução as devidas correções nos controles sejam realizadas.
• E. Devido à falta de confiabilidade dos dados processados por computador, ferramentas computacionais de apoio, tais como mapping, tracing e snapshot, não podem ser empregadas em auditorias de segurança.

Gabarito: B

Comentários

• B)
  Achados de Auditoria: É toda prova obtida pelo auditor, obtidos com a aplicação dos procedimentos de auditoria, para avaliar se os critérios estabelecidos estão sendo ou não atendidos. Ou seja, são fatos resultantes dos programas de auditoria que remetem a deficiências encontradas na entidade auditada.
  Seus requisitos básicos são:
   
  • mostrar a relevância do fato;
  • ser respaldado nos papéis de trabalho;
  • ser objetivo;
  • amparar as conclusões e recomendações;
  • ser convincente a uma pessoa estranha ao processo.
   
  fonte: http://pt.wikipedia.org/wiki/Auditoria
   
  Abraço e bons estudos.
  Marcelo

• Minhas considerações, bem rápidas:
  

  A -> Incorreta, pois não necessariamente deve ser um colaborador interno, muitas orientações dizem até que ele deve ser de fora da organização, sem contato nenhum com ninguém de dentro da organização nem com os sistemas.

  B -> Correta, o auditor vai para "achar" alguma coisa. Ela pode ser boa ou ruim para a organização, por isso deve ser um fato que tenha relevância para a organização.

  C -> Incorreta, a auditoria não vai "implantar" nada e sim medir e verificar os controles que já deveriam estar implantados.
  

  D -> Incorreta, Todas as evidência das falhas e irregularidades devem ser encontradas na fase de execução e auditoria não corrige nada, ela "sugere" a correção.
  

  E -> Incorreta, estas são verdadeiramente técnicas que devem ser empregadas, de acordo com a necessidade, em ambientes que deve ser auditados.

  
  

  Espero ter ajudado!
  

• Prezados,
  
  A alternativa A está errada pois o auditor pode ser externo a organização.
  A alternativa C está errada pois a auditoria de segurança da informação tem por objetivo auditar o cumprimento da política de segurança , e não a implantação dela.
  A alternativa D está errada pois as evidências das falhas são obtidas na fase de execução.
  A alternativa E está errada pois ferramentas computacionais de apoios são amplamente empregadas em auditoria de segurança.
  
  Portanto a alternativa correta é a letra B