Ficha de Unidade Curricular (FUC) de Auditoria Informática

Transcrição

1 INSTITUTO POLITÉCNICO DE COIMBRA INSTITUTO SUPERIOR DE CONTABILIDADE E ADMINISTRAÇÂO DE COIMBRA Aprovação do Conselho Pedagógico 26/3/2014 Aprovação do Conselho Técnico-Científico 21/5/2014 Ficha de Unidade Curricular (FUC) de Auditoria Informática Curso(s): Licenciatura em Informática de Gestão Ano Curricular: 3ºano Semestre curricular: 2º Semestre Ano lectivo: Docente Responsável: Isabel Maria Mendes Pedrosa Im

2 Unidade Curricular Designação: Auditoria Informática Curso(s): Licenciatura em Informática de Gestão Ano curricular: 1ºano Semestre curricular: 2º Semestre Número de ECTS: 4 Horas de contacto: 45 1.Corpo Docente ***Replicar pelo nº de docentes, sendo que o primeiro deverá ser o responsável da UC. Nome: Isabel Maria Mendes Pedrosa Gabinete: Gabinete ipedrosa@iscac.pt Im

3 2.Funcionamento a) Objectivos: Ano letivo de 2013/2014 A unidade curricular de Auditoria Informática tem como principais objetivos a aquisição de competências e conhecimentos elementares de Auditoria Informática nomeadamente ao nível das suas normas mais relevantes: princípios gerais de auditoria, tipos de auditorias, standards e guidelines técnicos, códigos de conduta e frameworks de suporte à auditoria de sistemas de informação. Adicionalmente pretende-se que os alunos adquiram conhecimentos dos métodos e instrumentos adequados à elaboração do diagnóstico e recomendações relativas ao sistema informático de uma organização o que se traduz pela aquisição de competências para a elaboração de um relatório de Auditoria de Sistemas de Informação de uma organização. O posicionamento desta unidade curricular na Licenciatura em Informática de Gestão e a inexistência de qualquer preparação anterior, ainda que de carácter geral, em Auditoria, torna imperativo que sejam transmitidos conhecimentos elementares de Auditoria e controlo interno bem como da condução e planificação dos processos de auditoria, e do perfil, competências e comportamento do auditor em contexto de recolha de dados. Conhecer os organismos internacionais de referência na área de Auditoria (ISACA e The Institute of Internal Auditors, IIA - EUA) bem como boas práticas internacionais a adotar: Internal Control Frameworks (COSO, CoCo, Cadburry, SAC e esac, SAS 55/78/94) e Frameworks para IT Governace (COBIT 5.0). A abordagem de Computer Assisted Audit Tools, CAATs, permite que os alunos tomem consciência dos procedimentos complementares disponíveis em termos informáticos. Esta Unidade Curricular pretende, na sequência dos conhecimentos já adquiridos nas cadeiras de Sistemas de Informação I e Sistemas de Informação II, dar aos alunos as competências complementares orientadas para a Auditoria de um Sistema de Informação. A parceria entre o ISCAC e o ISACA ( através do Programa Academic Advocates do ISACA, assume particular importância no âmbito desta Unidade Curricular facilitando o acesso a documentação atualizada e revelante na área de Auditoria de Sistemas de Informação (ISACA Journal), promovendo a discussão de temáticas emergentes a nível mundial e potenciando o envolvimento dos alunos no ISACA Students Group do ISCAC (constituído em maio de 2013). Finalmente, espera-se que os alunos estejam aptos a intervir nesta na área de Auditoria de Sistemas de Informação através da promoção de eventos destinados ao público em geral, nomeadamente, através da realização do Seminário \"Catch me if you can\" (em parceria com a UC de Direito Informático). No final do semestre, o aluno de Auditoria Informática deverá: Dominar os conhecimentos elementares de Auditoria, nomeadamente os procedimentos a observar num processo genérico de auditoria; Identificar o perfil adequado e as normas de conduta para o exercício da Profissão de Auditor e de Auditor de Sistemas de Informação; Conhecer as normas mais relevantes no âmbito de Auditoria de Sistemas de Informação; Conhecer as certificações na área de Auditoria de Sistemas de Informação e Auditoria Interna; Conhecer métodos, paradigmas e instrumentos adequados à elaboração do diagnóstico, recomendações relativas ao sistema informático de uma organização. Adquirir competências para a elaboração de relatórios de Auditoria de Sistemas de Informação. Nestas competências incluem-se as da escrita em Português com a máxima correção, bem como o estudo de bibliografia em Inglês, e a atualização permanente de conhecimentos. Conhecer o enquadramento da Política de Segurança de um Sistema de Informação e estar apto para desenvolver uma auditoria às políticas de Segurança dos Sistemas e da Informação de uma organização; Analisar procedimentos ao nível de políticas da qualidade em processos de Auditoria de Sistemas de Informação: analisar um Procedimento, Instruções de Trabalho e Impressos, detetar não-conformidades, proceder a recomendações e analisar follow-up; Conhecer o conceito de CAAT e dominar uma ferramenta de análise de dados: o IDEA. b) Regime de frequencia e metodologia de avaliação: Im

4 Regime de frequência e metodologia de avaliação: Os conhecimentos dos alunos serão certificados através:opção A: 1 Frequência + 1 Relatório de Auditoria Os alunos serão avaliados através de 1 frequência e um relatório de auditoria. Frequência: 15 valores em 20. Prova escrita de avaliação de conhecimentos com ênfase em situações práticas. Duração da Prova de Frequência: 120 minutos Relatório de Auditoria de Sistemas de Informação: 5 valores em 20. O objetivo último da unidade curricular é a elaboração correta de um relatório de Auditoria de Sistemas de Informação. Sempre que possível, este será indexado à atividade que o aluno realiza no seu dia-a-dia ou àquela que considera como podendo ser uma área importante de atuação futura. Pretende-se que os alunos adquiram competências fundamentais ao nível da escrita de relatórios, quer respeitando as normas vigentes, quer ao nível do português correto. Para tal, serão propostas algumas leituras interessantes ao longo do semestre, extra-livros técnicos. O relatório é: - realizado em grupo de 2 pessoas; - Obrigatório; - Tem o peso de 5 valores na nota final; - Imprescindível: sem relatório o aluno não poderá obter aprovação; - Indexado à época de avaliação: o aluno poderá entregar em qualquer época de exame. O relatório é apresentado em contexto de aula. Os relatórios são objeto de duplo peer-review. Assim, cada aluno fará revisão de 2 relatórios dos colegas da turma e colocará questões durante a apresentação do mesmo. A nota do relatório contempla: Nota do relatório= trabalho_escrito*0,6+apresentação*0,2+peer_review*0,2 Caso o aluno opte pela realização de avaliação por frequência, a nota final será obtida da seguinte forma: Nota Final = nota_frequência*0,75 + nota_relatório*0,25. Opção B: Exame + Relatório de Auditoria A nota final (na escala de 0 a 20 valores) da Unidade Curricular será obtida da seguinte forma: Nota Final = nota_exame*0,75 + nota_relatório*0,25. Onde nota_exame é a nota do exame realizado em qualquer época. Ambas as notas se encontram na escala de 0 a 20 valores Duração da Prova de Exame: 120 minutos Regras da Consulta de Elementos durante a prova: Nos momentos de avaliação escrita (frequência ou exame) os alunos poderão consultar uma página A4 manuscrita e não fotocopiada. Na presente disciplina não está prevista a realização de provas orais. Regime de Frequência: As aulas são de presença facultativa. Os alunos são avaliados com recurso a uma frequência (regime de avaliação contínua) ou um exame (Época de exames) e a um trabalho que corresponde a um relatório de auditoria de sistemas de Informação. c) Programa: Im

5 Ano letivo de 2013/2014 PARTE 1. CONCEITOS 1. Conceitos Genéricos de Auditoria i. Conceito de Auditoria e necessidade de Auditoria ii. Necessidade de Auditoria Informática iii. Aspetos históricos iv. Tipos de Auditoria v. Fases de um processo de Auditoria vi. Metodologia de Auditoria vii. Competências e Comportamentos de um Auditor viii. Recolha de dados: Entrevistas e questionários ix. Relatórios de Auditoria 2. Conceitos de Auditoria Informática i. Aspetos históricos ii. Características e objetivos iii. Perfil do Auditor Informático iv. Classificação da Auditoria Informática v. Desafios da Auditoria Informática vi. Certificação Internacional em Auditoria vii. Normas Internacionais de Auditoria: ISACA viii. Frameworks em IT Governance: COBIT 5.0 PARTE II. HANDS ON Standard Information Systems Audit Approach (J. Champlain, Parte 2) 3. Programação/Planificação da Auditoria de Sistemas de Informação (J. Champlain, cap. 3) ii. Vantagens dos Programas de Auditoria de SI iii. Procedimentos fundamentais na planificação da Auditoria de SI 4. Politicas de Segurança, Standards e Guidelines em Sistemas de Informação (J. Champlain, cap. 4) i. Politicas de Segurança em Sistemas de Informação ii. Standards em Sistemas de Informação iii. Guidelines em Sistemas de Informação 5. Auditoria às Aplicações (J. Champlain, cap. 5) ii. Relatórios do Auditor iii. Utilização dos Relatórios para Auditoria Interna iv. Relatórios de Auditorias Independentes v. Descrição de políticas e procedimentos relevantes vi. Objetivos de controlo e gestão da organização vii. Considerações sobre controlo de cliente viii. Alternativas ao modelo convencional de auditoria ix. Estudo de Casos 6. Aspetos Financeiros, equipamentos e software (J. Champlain, cap. 6) i. Contratos sobre serviços de software ii. Análise de contratos de equipamentos iii. Análise do tratamento contabilístico do SW e HW 7. Controlos Físicos (J. Champlain, cap. 7) ii. Fechaduras iii. Seguranças iv. Videovigilância v. Controlos de emergência vi. Ventilação, aquecimento vii. Cobertura de Seguros viii. Backups ix. UPS x. Disaster recovery programs xi. Administrador de Segurança do Sistema de Backups xii. Estudo de Casos 8. Controlos Lógicos (J. Champlain, cap. 8) i. Projeto de um sistema de segurança ii. Autenticação de utilizadores e passwords iii. Controlo de acesso remoto iv. Administrador de Segurança do Sistema v. Deteção de Fraude vi. Estudo de Casos PARTE III. Desafios da Auditoria de Sistemas de Informação 9. \"Control Self-Assessment\" e aplicação em ambiente de sistemas de informação (J. Champlain, cap. 10) i. Definição e enquadramento ii. Contexto histórico iii. Regras para definir um programa bem-sucedido iv. Internal Control Frameworks: a. COSO b. CoCo c. Cadburry d. COBIT e. SAC e esac f. SAS 55/78/94 v. Aspetos adicionais para o sucesso vi. Abordagens 10. Encriptação e criptografia (J. Champlain, cap. 11) i. Terminologia ii. Objetivo da Encriptação e da Criptografia iii. Encriptação iv. Hashing v. Assinaturas e Certificados digitais vi. Gestão de acessos vii. Aspetos políticos da criptografia viii. Estudo de Casos 11. Auditoria Forense (J. Champlain, cap. 12, e Seminário) ii. Investigação iii. Estudo de casos 12. Ferramentas de Auditoria para Auditores não Informáticos (J. Champlain, cap. 13 e outros livros) i. Ferramentas de Auditoria Assistida por Computador: IDEA e ACL, Working Papers ii. Curso Prático de IDEA iii. Estudo de Casos Im

6 d) Bibliografia: Cascarino, Richard - Auditor\'s guide to information systems auditing, John Wiley & Sons, 2007, ISBN: Champlain, Jack J. - Auditing Information Systems: A Comprehensive Reference Guide, John Wiley & Sons; 2nd Edition (25 Mar 2003), ISBN-10: Cannon, David L., Bergmann, Timothy S., Pamplin, Brady - CISA: Certified Information Systems Auditor Study Guide, Publisher: John Wiley & Sons; Pap/Cdr St edition (12 May 2006), ISBN-10: Carneiro, Alberto - Auditoria e Controlo de Sistemas de Informação, FCA, ISBN: ISACA Journal, acesso a papers através do ISACA Academic Advocate Program Im