FABRÍCIO ABRÃO COSTA MODERNIZAÇÃO DOS PROCESSOS DE AUDITORIA E FISCALIZAÇÃO DA ICP BRASIL FLORIANÓPOLIS SC

Transcrição

1 FABRÍCIO ABRÃO COSTA MODERNIZAÇÃO DOS PROCESSOS DE AUDITORIA E FISCALIZAÇÃO DA ICP BRASIL FLORIANÓPOLIS SC 2010

2 UNIVERSIDADE DO ESTADO DE SANTA CATARINA UDESC PROGRAMA DE PÓS-GRADUAÇÃO EM ADMINISTRAÇÃO MESTRADO PROFISSIONAL EM ADMINISTRAÇÃO FABRÍCIO ABRÃO COSTA MODERNIZAÇÃO DOS PROCESSOS DE AUDITORIA E FISCALIZAÇÃO DA ICP BRASIL Dissertação apresentada à Universidade do Estado de Santa Catarina como requisito para a obtenção do título de Mestre em Administração. Orientador: Carlos Roberto De Rolt FLORIANÓPOLIS SC 2010

3 FABRÍCIO ABRÃO COSTA MODERNIZAÇÃO DOS PROCESSOS DE AUDITORIA E FISCALIZAÇÃO DA ICP BRASIL Dissertação aprovada como requisito parcial para a obtenção do grau de Mestre em Administração, no curso de Mestrado Profissional em Administração, do Programa de Pós-Graduação em Administração da Universidade do Estado de Santa Catarina. Banca Examinadora: Orientador: Prof. Dr. Carlos Roberto De Rolt Universidade do Estado de Santa Catarina Membro: Prof. Dr. Julio da Silva Dias Universidade do Estado de Santa Catarina Membro Externo: Prof. Dr. Ricardo Felipe Custódio Universidade Federal de Santa Catarina Florianópolis - SC, / /

4 À minha namorada, família, amigos e colegas de trabalho, pelo incentivo, paciência e compreensão que tornaram possível este trabalho.

5 AGRADECIMENTOS A Deus, pela vida. Em especial a meus pais, Regina e Luiz (in memorian), por todos os esforços realizados pela minha educação e formação como pessoa e como profissional. A toda minha família, pilar de minha vida, meus avós, pais, irmãs, tios, tias, primos e primas, pelo apoio dado sempre que necessário. A minha namorada Francine, por todo o seu apoio, compreensão, paciência, estímulo e amor. Ao meu orientador Carlos Roberto De Rolt, pela confiança depositada em minha capacidade em realizar este trabalho. Aos professores Julio da Silva Dias, Nério Amboni e Mário César Barreto Morais, pelas valiosas sugestões dadas no desenvolvimento da pesquisa. A meus colegas de trabalho, pela compreensão e apoio sem as quais a execução deste trabalho seria mais difícil. Aos meus colegas de mestrado, pela troca de experiências e amizade. A ESAG e seus professores, pela oportunidade dada, pelo conhecimento compartilhado e pelo tempo despendido pela minha formação. E finalmente a todos meus amigos, pelas risadas que tornaram o mestrado uma experiência mais leve de ser realizada.

6 Estamos nos anos inicias de um tempo que chamo de "década digital" - uma era em que computadores deixarão de ser meramente úteis para se tornar uma parte significativa e indispensável de nossa vida diária. BILL GATES

7 RESUMO A Infraestrutura de Chaves Públicas Brasileira é um conjunto de técnicas, arquiteturas, organização, práticas e procedimentos, definidos pelas organizações governamentais e privadas brasileiras que suportam, em conjunto, a implementação e a operação de um sistema de certificação. O produto das organizações que formam essa estrutura é o certificado digital, um documento eletrônico particular de uma pessoa física ou jurídica que garante a autenticidade, integridade e validade jurídica de documentos em forma eletrônica e possibilita as transações eletrônicas seguras. As entidades que fazem parte da Infraestrutura de Chaves Públicas Brasileira recebem auditorias constantes a fim de verificar e controlar o perfeito seguimento de todas as normas a que estão submetidas, de modo a garantir a qualidade e confiabilidade dos serviços oferecidos. Apesar das entidades da estrutura existirem em função da certificação digital e da confiança nos documentos e nas transações eletrônicas, seus processos de auditoria e fiscalização não utilizam plenamente todas as vantagens e facilidades que o certificado digital, o documento eletrônico e a tecnologia da informação e comunicação proporcionam. O presente trabalho foca na modernização e automação destes processos. Na pesquisa foi utilizada uma abordagem teórico-empírica, utilizando a revisão da literatura sobre o assunto e a pesquisa nos documentos de normatização da Infraestrutura de Chaves Públicas Brasileira para entender a atual situação dos seus processos de auditoria e poder desenvolver e propor uma nova metodologia para a realização automatizada da auditoria e fiscalização das entidades da estrutura, utilizando a certificação digital e o documento eletrônico nas transações entre o sistema e seus usuários. A pesquisa mostra que a nova metodologia proposta é viável e possível de ser implementada, porém necessita de mais estudos para ser possível implantá-la. PALAVRAS-CHAVE: Infraestrutura de Chaves Públicas. Auditoria. Gestão de processos.

8 ABSTRACT The Brazilian Public Key Infrastructure is a set of techniques, architectures, organization, practices and procedures defined by brazilian government and private organizations that support, in overall, the implementation and operation of a certification system. The product of the organizations that form this structure is the digital certificate, a particular electronic document of a person or organization which guarantees the authenticity, integrity and legal validity of documents in electronic form and enables safes electronic transactions. The entities that are part of Brazilian Public Key Infrastructure receive constant audits to verify and control the perfect follow all the rules that are submitted in order to ensure quality and reliability of services offered. Although the structure of entities exist on the basis of digital certification and trust in the electronic documents and digital transactions, their process of auditing and supervision are not using and enjoying fully all the advantages and facilities that the digital certificate, electronic document and information technology and communication provides. This work focuses on the modernization and automation of these processes. In the survey was used a theoretical-empirical approach using the literature review on the subject and research in normative documents of Brazilian Public Key Infrastructure to understand the current status of their audit procedures and be able to develop and propose a new methodology to achieve automated auditing and supervision of entities of the structure, using digital certification and electronic document transactions between the system and its users. Research shows that the new methodology proposal is feasible and can be implemented, but needs more studies to be able to deploy it. KEYWORDS: Brazilian Public Key Infrastructure. Auditing. Process Management.

9 LISTA DE ILUSTRAÇÕES Ilustração 1 Esquema de criptografia simétrica Ilustração 2 Esquema de criptografia assimétrica com sigilo de informação Ilustração 3 - Esquema de criptografia assimétrica com autenticidade de informação Ilustração 4 Analogia entre o documento de identificação digital e o de papel Ilustração 5 Visão geral da ICP-Brasil Ilustração 6 Entidades que podem realizar auditoria Ilustração 7 Entidades da estrutura física da ICP-Brasil Ilustração 8 A Organização virtual em rede Ilustração 9 Eventos do BPMN Ilustração 10 Atividades do BPMN Ilustração 11 Portais do BPMN Ilustração 12 Conexões do BPMN Ilustração 13 Raias do BPMN Ilustração 14 Artefatos do BPMN Ilustração 15 Procedimentos metodológicos adotados Ilustração 16 Macroprocesso do fluxo de auditoria Ilustração 17 Início de auditoria por um PLAAO Ilustração 18 Início de pré-auditoria por credenciamento Ilustração 19 Início de processos de auditoria e pré-auditoria Ilustração 20 Processo de auditoria por entidade auditora Ilustração 21 Verificação de irregularidade encontrada na auditoria por entidade auditora

10 Ilustração 22 Processo de auditoria realizada pela AC Raiz Ilustração 23 Verificação de irregularidades encontradas na auditoria pela AC Raiz Ilustração 24 Processo de auditoria pré-operacional realizada pela AC Raiz Ilustração 25 Verificação de irregularidades encontradas na auditoria préoperacional realizada pela AC Raiz Ilustração 26 Verificação de auditoria pré-operacional pela AC Raiz Ilustração 27 Análise do relatório final de auditoria Ilustração 28 Emissão de parecer sobre o relatório de auditoria Ilustração 29 - Emissão de parecer sobre o relatório de auditoria continuação Ilustração 30 Processo de fiscalização Ilustração 31 Execução de ato de fiscalização de certificação Ilustração 32 Verificação de irregularidades Ilustração 33 Verificação de irregularidades continuação Ilustração 34 Auditoria pré-operacional de AC e ACT Ilustração 35 Auditoria pré-operacional de AC e ACT continuação Ilustração 36 Parecer sobre o relatório de auditoria Ilustração 37 Auditoria pré-operacional de AR e PSS de AR Ilustração 38 Auditoria pré-operacional de AR e PSS de AR - continuação Ilustração 39 Verificação de auditoria pré-operacional pela AC Raiz Ilustração 40 Verificação de auditoria pré-operacional pela AC Raiz - continuação Ilustração 41 Parecer sobre o relatório de auditoria Ilustração 42 Auditoria operacional de AC e ACT Ilustração 43 Auditoria operacional de AC e ACT - continuação Ilustração 44 Parecer sobre o relatório de auditoria Ilustração 45 Parecer sobre o relatório de auditoria - continuação Ilustração 46 Auditoria operacional de AR e PSS de AR Ilustração 47 Auditoria operacional de AR e PSS de AR continuação Ilustração 48 Análise do relatório final Ilustração 49 Análise do relatório final - continuação

11 Ilustração 50 Emissão do parecer sobre o relatório de auditoria Ilustração 51 Emissão do parecer sobre o relatório de auditoria - continuação Ilustração 52 Processo de fiscalização Ilustração 53 Execução de ato de fiscalização de certificação Ilustração 54 Correção de irregularidades Ilustração 55 Correção de irregularidades - continuação

12 LISTA DE ABREVIATURAS AC Autoridade Certificadora AC Raiz Autoridade Certificadora Raiz ACT Autoridade de Carimbo de Tempo AR Autoridade Registradora BPM - Business Process Modeling BPMN - Business Process Modeling Notation CG Comitê Gestor CNPJ - Cadastro Nacional de Pessoas Jurídicas DAFN - Diretoria de Auditoria, Fiscalização de Normalização DES - Data Encryption Standard DPC - Declarações de Práticas de Certificação FGTS - Fundo de Garantia por Tempo de Serviço HSM - Hardware Security Model ICP - Infraestrutura de Chaves Públicas ICP Brasil - Infraestrutura de Chaves Públicas Brasileira ITI Instituto de Tecnologia da Informação ITU - International Telecommunication Union

13 ITU-T - International Telecommunication Union Standardization Sector PC - Políticas de Certificado PLAAO Plano Anual de Auditoria Operacional PS - Políticas de Segurança PSC Prestador de Serviço de Certificação PSS Prestador de Serviços de Suporte SCT - Sistema de Carimbo do Tempo SIGE Sistema Integrado de Gestão Empresarial

14 SUMARIO 1 INTRODUÇÃO TEMA E PROBLEMA DE PESQUISA OBJETIVOS Objetivo Geral Objetivos Específicos JUSTIFICATIVA DA PESQUISA ESTRUTURA DA DISSERTAÇÃO FUNDAMENTAÇÃO TEÓRICA TECNOLOGIA DA INFORMAÇÃO A Sociedade da Informação DOCUMENTO ELETRÔNICO Criptografia INFRAESTRUTURA DE CHAVES PÚBLICAS Certificado Digital Lista de Certificados Revogados Políticas de Certificação Autoridade Certificadora Autoridade Registradora Repositório de Certificados Digitais Arquivo de Certificados Digitais Módulo Público Entidades Finais ICP BRASIL Comitê Gestor Comitê Técnico Autoridade Certificadora Raiz Autoridade Certificadora Autoridade de Carimbo de Tempo Autoridade Registradora Prestador de Serviços de Suporte Auditor Independente Entidade Final Cadeia de Certificação Normativo... 48

15 Auditorias Etapas da Auditoria Análise de Documentos Obrigatórios Análise de Documentos Complementares Planejamento dos Testes Auditoria de Campo Encerramento Auditoria Pré-Operacional de Autoridade Certificadora Segurança de Pessoal Segurança Física Segurança Lógica Segurança de Rede Segurança da Informação Gerenciamento de Chaves Criptográficas e do Certificado da Autoridade Certificadora Gerenciamento do Ciclo de Vida dos Certificados Emitidos Procedimentos Finais Auditoria Pré-Operacional de Autoridade de Carimbo de Tempo Auditoria Pré-Operacional de Autoridade Registradora Auditoria Pré-Operacional de Prestador de Serviços de Suporte Auditoria Operacional de Autoridade Certificadora Auditoria Operacional de Autoridade de Carimbo do Tempo Auditoria Operacional de Autoridade Registradora Auditoria Operacional de Prestador de Serviços de Suporte Auditorias Operacionais Realizadas por Empresas de Auditoria Independentes Importância das Auditorias ORGANIZAÇÃO VIRTUAL Serviços compartilhados MAPEAMENTO DE PROCESSOS BPMN (BUSINESS PROCESS MODELING NOTATION) Noções básicas sobre BPMN Objetos de Fluxo (Flow Objects) Evento (Event) Atividade (Activity) Portal (Gateway) Objetos de conexão (Connecting Objects) Fluxo de Sequencia (Sequence Flow) Fluxo de Mensagem (Message Flow) Associação (Association) Raias (Swimlanes) Piscina (Pool) Pista (Lane) Artefatos (Artifacts) Objeto de dado (Data Object) Grupo (Group) Anotação (Annotation) PROCEDIMENTOS METODOLÓGICOS CARACTERIZAÇÃO DA PESQUISA... 87

16 3.2 TÉCNICAS DE COLETA E ANÁLISE DOS DADOS LIMITAÇÕES DA PESQUISA APRESENTAÇÃO, ANÁLISE E INTERPRETAÇÃO DOS DADOS PROCESSOS DE REALIZAÇÃO DE AUDITORIA PROCESSOS DE FISCALIZAÇÃO APRESENTAÇÃO DO MODELO DE AUTOMAÇÃO PROPOSTO PROCESSOS AUTOMATIZADOS PARA REALIZAÇÃO DE AUDITORIAS Auditoria Pré-Operacional de AC e ACT Auditoria Pré-Operacional de AR e PSS de AR Auditoria Operacional de AC e ACT Auditoria Operacional de AR, ACs subsequentes e PSS de AR PROCESSOS AUTOMATIZADOS PARA REALIZAÇÃO DE FISCALIZAÇÕES CONCLUSÕES E RECOMENDAÇÕES TRABALHOS FUTUROS REFERÊNCIAS ANEXOS ANEXO A - CRITÉRIOS E PROCEDIMENTOS PARA CREDENCIAMENTO DAS ENTIDADES INTEGRANTES DA ICP-BRASIL ANEXO B - CRITÉRIOS E PROCEDIMENTOS PARA REALIZAÇÃO DE AUDITORIAS NAS ENTIDADES DA ICP-BRASIL ANEXO C - CRITÉRIOS E PROCEDIMENTOS PARA FISCALIZAÇÃO DAS ENTIDADES INTEGRANTES DA ICP-BRASIL ANEXO D - FORMULÁRIO DE REQUERIMENTO DE AUDITORIA PARA AUTORIDADES CERTIFICADORAS DA INFRA-ESTRUTURA DE CHAVES PÚBLICAS BRASILEIRA ANEXO E - PLANO ANUAL DE AUDITORIA OPERACIONAL ANEXO F - MODELO DE COMUNICANDO INÍCIO DE TRABALHOS DE AUDITORIA ANEXO G - MAPA DE PROCESSOS IDENTIFICADOS NA ICP-BRASIL ANEXO H - CRITÉRIOS PARA EMISSÃO DE PARECER DE AUDITORIA CREDENCIADAS NA ICP-BRASIL ANEXO J - PROCEDIMENTOS PARA TROCA DE CORRESPONDÊNCIAS ENTRE AS ENTIDADES DE AUDITORIA E O ITI ANEXO K REQUISIÇÃO DE TERMOS COMPLEMENTARES ANEXO L AUTO DE INFRAÇÃO ANEXO M TERMO DE FISCALIZAÇÃO ANEXO N - NOTIFICAÇÃO ANEXO O RELATÓRIO DE FISCALIZAÇÃO