I.     Introdução

            Com o surgimento dos sistemas computacionais as empresas passaram a confiar seus dados à área de tecnologia da informação. Ela se tornou responsável pela proteção e garantia da consistência dos dados.

            Como essas informações ficam armazenadas no banco de dados, ele é o ponto de partida para iniciar uma auditoria ou conferência, nos dados recebidos e enviados pelas aplicações e sistemas corporativos.

A. Metodologias para auditoria em bases de dados

            Uma das funções da auditoria é monitorar quando e como o dado foi inserido, a fim de prevenir e detectar problemas no cumprimento das regras de negócio. Pode-se definir tabelas para armazenar logs com informações a respeito da utilização das bases de dados. Isso vai crescer à medida que o banco for sendo utilizado e os auditores poderão definir quais tabelas, colunas, etc, valem a pena ser revisados, de acordo com as necessidades da empresa. As metodologias para auditar bases de dados podem ser desenvolvidas pela própria empresa. De acordo com suas características, elas se dividem em dois grupos: tradicional e exclusão de riscos.

            Metodologia tradicional

            Com o auxílio de uma lista de conferência (checklist) o auditor obtém informações a respeito da política de bancos de dados, no que diz respeito aos usuários de acesso, permissões, autorizações etc, permitindo a identificação de falhas. Exemplo de itens que podem fazer parte de um checklist de auditoria: 

            As responsabilidades de administração das bases de dados estão definidas e documentadas?
            São utilizados dispositivos de segurança e procedimentos de autorização de acesso aos dados da base?

            Existe um controle sobre as mudanças realizadas na base de dados?

            O desempenho do banco de dados é analisado?

            O sistema é monitorado?

            As atividades são armazenadas em log para análise?

            O processo de instalação e configuração do Sistema   Gerenciador de Banco de Dados (SGBD) foi feito de acordo com as normas de segurança conhecidas?

            Existem procedimentos de backup e restore das bases de dados?

            Enfim, o checklist deve conter questões relacionadas às atividades que devem ser desempenhadas para garantir a segurança e consistência dos dados. É uma conferência dos procedimentos que estão ou não sendo feitos.

            Exclusão de riscos

            Essa metodologia tem a característica principal de identificar os riscos que correm uma base de dados, a fim de eliminá-los ou diminuí-los. Consiste em identificar o objetivo do controle e definir técnicas para que seja alcançado. Por exemplo, no caso de o objetivo ser a preservação da confiabilidade dos dados, as técnicas para alcançar esse objetivo poderiam ser descritas com base no estabelecimento de perfis de tipos de usuários e privilégios necessários para controlar o acesso as bases de dados.

            Cada objetivo pode ter várias formas de ser alcançados, ou seja, podemos definir várias técnicas para alcançar um objetivo. Essas técnicas podem ser preventivas ou corretivas.

            A partir dos objetivos identificados e das técnicas descritas para cada um, é possível verificar se realmente funcionam através das provas de cumprimento. Dependendo do resultado, pode ser necessária a comprovação de outros pontos através de outras provas, como a prova substantiva.

            Todos os responsáveis e envolvidos das áreas afetadas pela avaliação de riscos devem conhecer o resultado e conclusões das provas, do resultado da auditoria. O auditor é o responsável por documentar as situações, os riscos e os problemas que identificou nos processos descritos.