Trilhas de Auditoria

Ontem comentei sobre o tempo de 15 dias para saber quem acessou informações de uma conta.
Na nota anterior fiz referência ao Globo Online.

Agora acabo de ler uma reportagem (O PAÍS Rio, 23 de março de 2006 - Versão impressa -À prova de desculpas - Regina Alvarez) que fala das trilhas mencionadas ontem.

Veja o que diz:
" No início de qualquer operação nos computadores da Caixa, o sistema de segurança registra a identificação do funcionário (login e senha para acessar a rede). Esses dados e a matrícula ficam gravados no sistema, junto com o número da máquina, o tempo de uso e quais operações foram realizadas pelo funcionário.
Todas as informações armazenadas nesse arquivo de logins, um sistema de segurança automático, não podem ser alteradas nem apagadas. Esse sistema só é acessado por um pequeno grupo de funcionários das áreas de auditoria e tecnologia, exatamente para garantir a segurança dos arquivos e preservar o que os técnicos chamam de trilha de auditoria, ..."

A reporter procurou funcionários da Caixa, que foram as fontes de informação para o texto acima.

Ótimo exemplo de reportagem!

Será?

Veja o que acabo de ler no Globo Online:

"A Caixa informou aos senadores da CPI que abriu sindicância com prazo de 15 dias para apurar o caso, mas ressalvou que, sem o original do extrato ou a cópia enviada à revista "Época", será difícil identificar o funcionário que violou o sigilo bancário do caseiro." (21/03/2006 - 21h14mMattoso admite que extrato pode ter saído de dentro da Caixa, diz senadorAlan Gripp - O GloboTV Globo)

O que isso tem a ver com Sistemas de Informação? Um bom exemplo de trilhas de auditoria.

Ou seja, qualquer acesso a uma conta tem que ser registrado em um arquivo de acessos. Veja que quando você pede um extrato ou o seu saldo no banco, este é impresso e além das informações de conta, você tem o terminal e a data/hora da emissão do extrato. Isto é um exemplo de marcas que ficam na trilha. Apesar de não conhecer se existe, ou não, uma norma do Banco Central, assumo, por bom senso, que isso é prática comum a qualquer banco. Se não é, deveria ser.

Claro que todo auditor sabe que trilhas podem ser apagadas, mas isso já é outra coisa.

Ainda sobre Definição de Sistemas de Informação

Descobri esse artigo do Prof. Hoppen que faz um levantamento sobre artigos científicos na década de 90 na área de SI. O artigo apresenta uma análise crítica, sob a ótica do Professor, da situação da pesquisa no país na década passada. Sem entrar no mérito da discussão sobre as críticas ou o processo de análise, o que considero importante é que o artigo ajuda a entender o que vem a ser essa área de estudo. Em particular, chamo a atenção para o Quadro 1 do artigo. Claro, também, é uma fonte de referência bibliográfica.

Afinal, o que vem a ser um Sistema de Informação?

Longe de mim, querer, com uma nota, esclarecer essa questão.

Ao longo do tempo tenho visto uma grande confusão, principalmente no meio acadêmico, sobre o conceito de sistemas de informação.

Minha visão é fruto de uma série de influências, mas poderia dizer que Gordon Davis (citado aqui ao lado) e o Donaldo Souza Dias (Professor da Coppead) foram importantes fontes de informação para a formação de meu ponto de vista sobre a disciplina, enquanto área de estudo. Cabe aqui também fazer menção ao Luiz Carlos Sá Carvalho e ao Sergio Rodrigues Bio autores dos livros que durante muitos anos utilizei como base para meu curso de Sistemas de Informação na Universidade do Estado do Rio de Janeiro.

O ponto fundamental é que, no meu entender, a idéia de sistemas de informação está intimamente ligada a visão de administração e ao papel que estes desempenham numa organização. Portanto "um" sistema de informação é um artefato que serve um determinado propósito dentro de uma organização. Essa é a visão do artefato SI e não da disciplina SI. Veja que para construir um artefato de SI, são várias as especialidades necessárias, inclusive a engenharia de software, mas creio que o foco principal deva ser o ponto de vista organizacional.

Acabo de recuperar um arquivo de 1991 ( Anais do XXIV Congresso Nacional de Informática, Sucesu, 1991, pags. 98-106. Sistemas de Informação e Engenharia de Software, o Elo Gerencial) onde escrevi que a maneira de fazer o diálogo entre SI e a Engenharia de Software eraatravés de um elo gerencial. De certa maneira ainda creio que estava certo, mas claro que, se escrevesse o artigo, hoje, faria alguns ajustes.

Resumindo, o ponto que gosto de salientar, pode ser, acredito eu, resumido na Figura abaixo.

Bem-vindos

"Se você acredita que sistemas de informação custam muito caro, pense no custo de tomar decisões sem informação"

p.s.: a frase é uma adaptação de um ditado popular nos EUA sobre educação

“If you think education is expensive, try ignorance”