Metodologia GAIT-R: Auditoria de TI com Abordagem Top-Down
Com o aumento da dependência de sistemas de informação e tecnologias para processar, armazenar e transmitir dados, aumenta-se também o risco de falhas de segurança e violações de dados.
O GAIT-R é uma metodologia de auditoria de Tecnologia da Informação (TI), sendo "GAIT" o acrônimo para "Guidance for the Audit of Information Technology" e a letra "R" referindo-se à versão "Revised" (revisada) da metodologia.
Tal metodologia ajuda a garantir que as organizações estejam cientes dos riscos de TI e tenham controles efetivos em vigor para minimizar esses riscos. Isso é crucial para a proteção da confidencialidade, integridade e disponibilidade dos dados, bem como para a continuidade dos negócios.
Desenvolvida pelo IIA (Institute of Internal Auditors), a metodologia foi desenvolvida visando fornecer orientações para os auditores internos em relação aos riscos de TI e como avaliar o ambiente de controle de TI de uma organização e identificar possíveis riscos e vulnerabilidades. O GAIT-R abrange uma ampla gama de áreas de TI, incluindo, mas não se limitando à governança, gerenciamento de projetos, gerenciamento de mudanças, segurança da informação, continuidade dos negócios, entre outras.
Como avaliar o risco de TI é apenas uma parte da revisão e avaliação holística dos riscos para o alcance dos objetivos de negócio, os passos discutidos a seguir cobrem todo o processo de identificação de riscos e controles.
A metodologia consiste em oito etapas, começando com a compreensão do objetivo da revisão (ou avaliação de controles) e terminando com um escopo de trabalho definido. Vejamos:
- Identificar os objetivos de negócio para os quais os controles devem ser avaliados. .
- Identificar os principais controles nos processos de negócios necessários para fornecer uma garantia razoável de que os objetivos de negócios serão alcançados. .
- Identificar as funções críticas de TI utilizadas, a partir dos principais controles de negócio. .
- Identificar as aplicações relevantes em que os ITGC's (IT General Controls) precisam ser testados. .
- Identificar os riscos do processo de ITGC e os objetivos de controle relacionados. .
- Identificar os ITGC's para testar se atendem aos objetivos de controle. .
- Realizar uma revisão holística de todos os principais controles. .
- Determinar o escopo da revisão e construir um programa adequado de teste de desenho e efetividade.
Quer saber mais?
Explore o professional guidance "GAIT For Business and IT Risk" do IIA.
Foto do post: rawpixel.com no Freepik