f/Mz7Laboratrio de Sistemas Integrveis TecnolgicoPROJETO SREISistema de Registro Eletrnico ImobilirioPA 1.10.2 - Processo de Auditoria Operacional de TICTtulo PROJETOSREI: PA 1.10.2- Processo de AuditoriaOperacional de TICVerso Verso 1.0 release9Data da liberao 06/11/2011Classificao LSITEC:RestritoAutores MatteoNava, VolnysBernalPropriedade LSI-TECRestries de acesso LSI-TEC, CNJ eARISPlaboratrio de Sistemas Integrveis TecnolgicoSumrio1 INTRODUO 31.1 Objetivo deste documento 41.2 Objetivo DAAUDITORIA OPERACIONALde TIC 41.3 DESCRIODA AUDITORIA OPERACIONAL DE TIC 41.4 Comit Gestor do SREI 52 OPROCESSODE AUDITORIA OPERACIONAL DE TICDO SREI 62.1 tipos de auditoria operacional de tic 62.2 objeto da auditoria operacional de tic 62.3 escopo da auditoria operacional de tic 72.4 obrigatoriedade do atendimento aos requisitos operacionais 82.5 nvel de conformidade operacional 92.6 etapas da execuo da auditoria operacional de tic 92.7 restries do processo de auditoria 102.8 Estimativa de esforo 103 CREDENCIAMENTO DEENTIDADES AUDITORASEDE AUDITORES 123.1 Requisitos para credenciamento de entidade auditora 123.2 Requisitos para credenciamento de auditor 133.3 Processo de credenciamento 133.3.7 Elegibilidade para credenciamento da entidade auditora 133.3.2 Elegibilidade para credenciamento de auditor 143.3.3 Capacitao do auditor 143.3.4 Estgio 143.3.5 Credenciamento do auditor 143.3.6 Credenciamento deentidade auditora 154 FISCALIZAO ECONTROLEDA QUALIDADEDA AUDITORIA 165 PRTICASDE CONDUTA DO AUDITOR 175.1 cdigo de tica profissional de auditoria 175.2 Prticas de confidencialidade 185.3 Prticas de independncia do auditor 186 PRTICASDE CONDUTA DA ENTIDADE AUDITORA 206.1 Prticas de confidencialidade 206.2 prticas de independncia da entidade auditora 21Ttulo Verso Classificao PginaPROJETOSREI: PA 1.10.2 - Processo de AuditoriaOperacional deTICv1.0.r.9 LSITEC:Restrito 2/21Processo: W3-fff/ __MamFunc:Laborcirio de Sistemas Integrveis Tecnolgicowv/.v.lsilec.oig.b1 IntroduoALei n11.977/2009institui aobrigatoriedade doSistemade RegistroEletrnico(SRE) para os servios de registros pblicos (registro civil de pessoas naturais,registro civil de pessoasjurdicas, registrodettulos e documentos e registrodeimveis) e tambm estabeleceu que "os servios de registros pblicosdisponibilizaro servios de recepo de ttulos edefornecimento de informaes ecertides em meio eletrnico".Segundoa Lei, "os documentoseletrnicos apresentados aos servios deregistrospblicos ou por elesexpedidosdeveroatender aos requisitos daInfraestruturadeChaves Pblicas Brasileira - ICP e arquitetura e-PING (Padres deInteroperabilidade de Governo Eletrnico), conforme regulamento". Alm disso,"serodefinidos emregulamentoosrequisitos quantoa cpias de segurana dedocumentos e de livros escriturados de formaeletrnica".Nota-se, portanto, anecessidadederegulamentaoacercadosistemaderegistroeletrnico edos documentosrecebidos eemitidos pelos registros pblicos.EmrelaoaoRegistrodeImveis, oSistemadeRegistroEletrnicoImobilirio(SREI) possibilita ao Cartrio de Registro de Imveis a gerao dos livros decontrole em formatoeletrnico, arecepo de documentos eaemisso decertidesnoformatoeletrnico. Issopossibilita aumentar onvel de automao dos processosdo cartrioe, tambm, melhorar a trocadeinformaesdoscartrioscomoutrasentidades da sociedade como, por exemplo, Poder Judicirioeprefeituras.Assim, torna-se importantea normalizaoda utilizaodoSistemade RegistroEletrnico Imobilirio (SREI) para propiciar a segurana, interoperabilidade eaderncialegal da suautilizao.Neste contexto, um dos temas que devemser regulamentados a forma deoperao do Sistema de RegistroEletrnicoImobilirio.Ttulo Verso Classificao PginaPROJETO SREI: PA 1.10.2 - Processo de AuditoriaOperacional de TICv1.0.r.9 LSITEC:Restrito 3/21{MDlaborateno de Sistemas Integrveis Tecnolgico-V.V.. |; ' :1.1 Objetivo deste documentoEste documento descreve a proposta de processo de auditoria operacional deTecnologia da Informao e de Comunicao (TIC) da operaode Sistema deRegistroEletrnicoImobilirio (SREI).1.2 Objetivo da auditoria operacional de TICOobjetivo daauditoriaoperacional de tecnologia dainformao ecomunicao(TIC)verificar sea infraestruturaeasoperaes tcnicasrelacionadas aos sistemas deinformao ecomunicao (TIC) doSistema deRegistroEletrnicoImobilirio (SREI)esto conformes aos requisitos operacionais estabelecidos.Os requisitos operacionais tratamda gesto, da infraestrutura e das operaestcnicas relacionadas ao sistema de informao do SREI e tema finalidade deminimizar riscos emrelaointegridade dosregistros eletrnicos, integridadedosistema, disponibilidade dos dados e propiciar a continuidade das atividades,mesmo em situaes catastrficas.No foco da auditoria operacional a auditoria ou fiscalizao dos servios deRegistro Imobilirio. Ofoco da auditoria operacional na rea deTecnologiadeInformao e comunicao (TIC).1.3 Descrio daauditoria operacional de TICA auditoria operacional de TIC doSREI descrita emtrs documentos:a) Processodeauditoriaoperacional deTIC(estedocumento): Descreveavisogeral do processo, como a qualificaodeentidades auditoras, oscritrios para aprovao ea durao da auditoria;b) Requisitos para ambiente operacional de TIC do SREI: Descreve osrequisitos para oambiente operacional de TICdo SREI, que devemseratendidospelos Cartrios nas suas operaes. Estesrequisitos soutilizadosna auditoria operacional de TIC doSREI;Ttulo Verso Classificao PginaPROJETOSREI: PA 1.10.2 - Processo de AuditoriaOperacional deTICv1.0.r.9 LSITEC:Restrito 4/21Masnlaboratrio de Sistemas IntegrveisTecnolgicoProcesso:Folha:??Kl8?/30OFunc:hiwww.isltec.ag.brc) Procedimento de auditoria operacional de TIC do SREI: Descreve osprocedimentosutilizadospelosauditoresparaavaliaodaconformidadedoambiente operacional de TIC do SREI aos requisitos operacionaisestabelecidos.1.4 Comit Gestor do SREIO "Comit Gestor doSREI" o rgo responsvelpela gesto dos processos de: Regulamentao(normalizao) doSREI; Auditoria operacional de TICdoSREI; Certificao de software SREI.Ttulo Verso Classificao PginaPROJETO SREI: PA 1.10.2-Processo de AuditoriaOperacional deTICv1.0.r.9 LSITEC:Restrito 5/21Laboratrio de Sistemas Integrveis TecnolgicoV.V.. !. ' . 2 Oprocesso de auditoria operacional de TIC do SREIEsta seoapresentaumavisogeral doprocessodeauditoriaoperacional deTICdoSREI, incluindo: Tipos de auditoria; Objeto da auditoria; Escopo daauditoria; Etapas da execuo da auditoria;2.1 Tiposdeauditoria operacional de TICQuanto aomomento, aauditoria operacional de TICpode ser classificada em:Foram definidos trs tipos de auditoria operacional de TIC: Auditoria pr-operacional: Auditoria realizadaantesdo inciodaoperaodoSREI. ParaqueoSREI entre emoperao necessriaa comprovao,pela auditoriaoperacional de TIC, do atendimento dosrequisitos operacionaisdefinidos. Aauditoria pr-operacional baseada nos resultados dostestespr-operacionais da infraestrutura eSREIdoCartrio; Auditoria operacional ps-mudana: Auditoria realizada, no mximo, umms aps uma mudana substancial dos sistemas TICou das instalaesfsicas doSREI; Auditoriaoperacional peridica: Auditoriarealizadaperiodicamente, antesdecompletar doisanosdaauditoriaoperacional anterior (pr-operacional, demudanaouperidica).2.2 Objeto daauditoria operacional de TICO Cartrio pode manter seu prprio ambiente operacional SREI ou pode,eventualmente, contratar de umterceiro (provedor de servio de infraestrutura)servio para hospedagemdoambiente operacional SREI, notodoou parte. PorTtulo Verso Classificao PginaPROJETO SREI:PA 1.10.2 - Processo de AuditoriaOperacional deTICv1.0.r.9 LSITEC:Restrito 6/21(basnlaboratrio de Sistemas IntegrveisTecnolgicoProcesso:^*/ ? ffffy'Folha: *JoA^ JstL*.v.v.vlsilsc.oia.b;exemplo, oprovedor deserviopodeserutilizadoparahospedar todooparquedeservidores ou ser utilizado para manter somente umarplica dos dados.Oprovedor de serviode infraestrutura pode ser umDataCentercomercial, umaassociaode classe ou mesmo uma entidade criada pela parceria entrealgunsCartrios.Caso o provedor de servio de infraestrutura oferea um servio uniforme parasuporte operao SREI, esta infraestrutura de suporte pode ser auditada umanica vez, aoinvs de ser auditadoa cada auditoria dos Cartrios clientes doservio.Por estemotivo, foramdefinidos dois tipos de objeto da auditoria operacional de TIC: Operao SREI: Provedor de servio de infraestrutura SREI: Direcionadas s entidades quefornecemservios de infraestrutura para suporte aoSREI.Aaprovao deconformidade deumSREI queestejahospedadoemumprovedorde servio de infraestrutura est condicionada aprovao da conformidade daoperao SREI e da aprovao de conformidade do provedor de servio deinfraestrutura.2.3 Escopo da auditoria operacional de TICA auditoriaoperacional de TIC doSREIabrangeaavaliaodainfraestrutura fsica,ossistemasdeTIC, osprocessose osprocedimentosenvolvidosnaoperaodoSREI, conforme apresentadonoQuadro1.Quadro1 - Escopo da auditoria operacional de TICdo SREI.rea IncluiInfraestrutura fsica Segurana fsica;Sistemas de monitorao econtrole de acesso;Sistema de alarme contraintruso;Sistema de alarme contraincndio;Sistema de climatizao.Sistemas de TIC Servidorese sistemasSistemas satlite (computadores, impressoaras,scanners)Sistemas de banco de dadosTtulo Verso Classificao PginaPROJETO SREI: PA 1.10.2 - Processo de AuditoriaOperacional de TICv1.0.r.9 LSITEC:Restrito 7/21BSlaboratriode Sistemas Integrveis Tecnolgicolatec.org.brBases de autenticao de usurio (ActiveDirectory, LDAP, ...)Sistemas de armazenamento de dados;Sistemas de salvaguarda de dados;Sistemas de comunicao;Sistemas de proteo de permetro.Procedimentos Procedimento de backupProcessos Gestodo ambiente computacional (gesto de usurios dosistema, gesto de mudanas, ...)Gesto da segurana da informao;Gesto de contratos;Gesto de eventos;Gesto da continuidade de negcios;Gesto de incidentes;Gesto de contratos com fornecedores.2.4 Obrigatoriedade do atendimento aos requisitos operacionaisOs requisitos operacionais de TICque devemser atendidos pelos Cartrios eProvedoresdeServioestodescritos nodocumento Requisitos paraCertificaode Ambiente Operacional de TI do SREI.O Quadro 2 apresenta a classificao da obrigatoriedade do atendimento dosrequisitos operacionais de TIC para oSREI.Quadro 2 - Classificao da obrigatoriedade doatendimento dos requisitos.Obrigatoriedade doatendimento dorequisitoDescrio0 Obrigatrio 0 requisito deve atendido de forma integralOC Obrigatrio condicional 0 atendimento integral ao requisito obrigatriosomente quando for satisfeita uma determinadacondio.R Recomendado 0 atendimento integral ao requisito facultativo,opcional, porm sendo fortemente recomendada suaadoo.F Facultativo O atendimento ao requisito facultativo, opcional.Ttulo Verso Classificao PginaPROJETOSREI: PA 1.10.2 - Processo de AuditoriaOperacional de TICv1.0.r.9 LSITEC: Restrito 8/21QMDLaboratrio de Sistemas Integrveis Tecnolgico2.5 Nvelde conformidade operacionalProcesso: 3^1 g^iFolha: 5'^^Func: ty\