Sistemas de informação sustentam operações empresariais, processos decisórios, comunicações, infraestrutura e serviços essenciais. A crescente integração entre aplicações, equipamentos, redes, plataformas em nuvem e fornecedores torna esses ambientes mais complexos e amplia a necessidade de exames técnicos estruturados.
A auditoria técnica de sistemas e tecnologia aplica métodos destinados a identificar, coletar, correlacionar e interpretar evidências relacionadas ao funcionamento de ambientes tecnológicos. Cada trabalho é delimitado conforme a questão examinada, os critérios selecionados, as fontes disponíveis e as competências profissionais aplicáveis.
Exames orientados por questões técnicas
O planejamento parte da definição do objeto e da formulação de questões tecnicamente examináveis. O trabalho pode abranger um sistema específico, determinado processo, uma infraestrutura, um conjunto de controles ou eventos ocorridos durante um período delimitado.
Entre outros aspectos, os exames podem considerar:
- arquitetura e configuração de sistemas;
- identidades, acessos e privilégios;
- desenvolvimento e implantação de software;
- gestão de mudanças;
- integridade e rastreabilidade de registros;
- funcionamento de controles tecnológicos;
- segurança de sistemas e redes;
- processamento, armazenamento e transmissão de dados;
- desempenho, disponibilidade e capacidade;
- continuidade e recuperação;
- inventários e utilização de ativos tecnológicos;
- serviços prestados por fornecedores;
- requisitos e entregas de projetos de tecnologia.
A seleção dos procedimentos depende da natureza do objeto. Não existe um conjunto único de testes aplicável indistintamente a todos os ambientes.
Critérios previamente definidos
As características observadas são examinadas em relação a critérios identificados no planejamento. Esses critérios podem decorrer de especificações técnicas, requisitos de sistemas, documentos de arquitetura, políticas internas, contratos, níveis de serviço, manuais, configurações aprovadas e referências técnicas aplicáveis.
Antes da comparação, é necessário verificar se o critério estava vigente, se abrangia o componente analisado e se pode ser relacionado às evidências disponíveis.
O resultado do trabalho não decorre apenas da existência de uma regra ou requisito. Ele depende da correspondência demonstrável entre o critério, o objeto e as condições efetivamente observadas.
Fontes e evidências tecnológicas
As evidências podem ser obtidas de diferentes fontes, entre elas:
- logs e trilhas de eventos;
- bancos de dados;
- arquivos de configuração;
- repositórios de código;
- registros de alterações;
- chamados e ordens de serviço;
- inventários;
- documentos técnicos;
- registros de monitoramento;
- relatórios produzidos por ferramentas especializadas;
- imagens de sistemas e dispositivos;
- informações fornecidas pelas equipes responsáveis.
Cada fonte possui características e limitações próprias. Logs podem ter períodos distintos de retenção, relógios podem estar dessincronizados e determinados componentes podem não registrar todos os eventos relevantes.
Por isso, a origem, a integridade, o contexto e o alcance das evidências devem ser considerados antes de sua interpretação.
Procedimentos técnicos
Conforme o objeto, podem ser empregados exame documental, inspeção de configurações, análise de registros, correlação temporal, testes funcionais, avaliação de controles, amostragem e reprodução controlada de determinados comportamentos.
Entrevistas técnicas também podem contribuir para compreender procedimentos e condições operacionais. As informações obtidas por esse meio, entretanto, devem ser diferenciadas dos fatos diretamente observados e, quando possível, confrontadas com registros independentes.
Os procedimentos, ferramentas, parâmetros, consultas e transformações aplicados aos dados devem ser documentados de maneira compatível com a finalidade do trabalho.
Constatações, hipóteses e limitações
A comunicação dos resultados deve diferenciar:
- fatos diretamente observados;
- critérios utilizados;
- resultados dos testes;
- correlações identificadas;
- hipóteses técnicas consideradas;
- inferências sustentadas pelas evidências;
- limitações do exame.
Uma divergência não demonstra necessariamente a existência de falha, assim como uma falha pode decorrer de múltiplos fatores. A análise deve considerar explicações concorrentes e evitar conclusões mais abrangentes do que aquelas sustentadas pelas fontes examinadas.
Restrições de acesso, ausência de registros históricos, alterações posteriores do ambiente, indisponibilidade de versões e documentação incompleta também podem limitar o alcance do trabalho. Essas condições devem integrar a apresentação dos resultados.
Contextos de aplicação
A auditoria técnica de sistemas pode ser aplicada a diferentes contextos empresariais, como:
- avaliação de ambientes tecnológicos;
- implantação ou substituição de sistemas;
- projetos de transformação digital;
- análise de falhas e indisponibilidades;
- exame de controles e registros;
- divergências sobre projetos e serviços tecnológicos;
- operações societárias e avaliações técnicas;
- incidentes envolvendo sistemas ou dados;
- assistência técnica em controvérsias;
- ambientes regulados ou de infraestrutura crítica.
A finalidade do trabalho e os destinatários dos resultados influenciam o nível de detalhamento, os procedimentos e o formato da documentação produzida.
Integração de especialidades
Questões tecnológicas complexas podem exigir conhecimentos provenientes de ciência da computação, segurança cibernética, engenharia, estatística, economia e outras áreas.
A integração dessas especialidades permite examinar diferentes dimensões do objeto sem eliminar a necessidade de delimitar as atribuições, os métodos e os fundamentos de cada análise.
Resultados tecnicamente documentados
O produto do trabalho pode assumir a forma de relatório técnico, parecer, nota técnica, documentação de testes ou apresentação executiva. Independentemente do formato, deve permitir a compreensão:
- do objeto examinado;
- das questões formuladas;
- dos critérios selecionados;
- das fontes utilizadas;
- dos procedimentos executados;
- dos resultados encontrados;
- das limitações identificadas.
A auditoria técnica de sistemas transforma características de ambientes tecnológicos complexos em constatações documentadas e tecnicamente discutíveis. Seu alcance decorre da relação entre o objeto definido, os métodos empregados e as evidências efetivamente disponíveis.
Nota editorial: Este conteúdo possui caráter técnico e informativo. Os métodos e procedimentos devem ser selecionados conforme o objeto, os critérios estabelecidos, as evidências acessíveis e as competências profissionais aplicáveis.