CONTROLUL APLICATIILOR

Controlul general asigura integritatea sistemului vazut ca un intreg, inclusiv executia aplicatiilor si controlul fisierelor exploatate.

Controlul aplicatiilor asigura acuratetea, integritatea si completitudinea tranzactiilor.

Controlul aplicatiilor

• obiectivele controlului raman aceleasi;
• controalele derulate pot fi manuale sau automate.

1. TIPURI DE CONTROALE

• controlul datelor de intrare;
• controlul prelucrarilor;
• controlul integritatii fisierelor;
• controlul securitatii aplicatiei;
• controlul iesirilor;
• controlul fisierelor principale (MASTER FILES).

2. UTILIZATORII APLICATIEI
   1. proprietarul;
   2. administratorul;
   3. utilizatori curenti.

1. PROPRIETARUL

• este utilizator principal;
• are responsabilitatea aplicatiei;
• nu este implicat in executarea aplicatiei;
• deleaga sarcini.

1. ADMINISTRATORUL are urmatoarele sarcini:
   • sa sigure functionarea controlului logic asa cum s-a prevazut;
   • sa asigure actualizarea controlului logic;
   • sa verifice existenta backup-ului aplicatiei;
   • sa rezolve cerintele utilizatorilor;
   • sa asigure identificarea, monitorizarea si raportarea problemelor;
   • pastrarea si distributia documentatiei;
   • asigura legatura intre departementul IT, utilizatorii sistemului si firma software furnizoare.

1. UTILIZATORII CURENTI

• aplicatia reprezinta un instrument de lucru pentru realizarea sarcinilor lor;
• sunt instruiti cum sa foloseasca aplicatia pentru a-si realiza sarcinile de serviciu.

3. CLASIFICAREA APLICATIILOR

• sisteme cu intrari de tip batch (loturi);
• sisteme cu intrari de tip batch si consultare online;
• sisteme cu procesare pe loturi si consultare online.

4. AUDITOR – CONTROLUL APLICATIEI

• auditorul trebuie sa dopte o abordare eficienta si eficace a auditului;
• auditorul trebuie sa cunoasca si sa inteleaga sistemul si controalele interne;
• daca controalele acopera obiectivele auditului si par a fi robuste auditorul poate selecta testele considerate ca necesare.

5. PLANUL DE AUDIT contine:

• obiectivele fixate;
• probele pe care auditorul se asteapta sa le obtina in urma auditului;
• amploarea (intinderea) testelor programate;
• ce se va considera ca esec al controlului;
• cate astfel de esecuri pot fi tolerate.

6. PROBELE pot fi sub forma :

• listelor de control al accesului;
• limitelor autorizarilor automate ale utilizatorilor;
• jurnalelor de securitate;
• cererilor de modificari si modul de solutionare a acestora etc. care se obtin prin combinarea:
  1. observarii;
  2. chestionarii;
  3. examinarii;
  4. esantionare (folosind tehnici asistate de calculator).

7. CAT DE DEPARTE SA SE MEARGA CU TESTELE

            Rationamentul auditorului ia in considerare:

• frecventa controlului;
• gradul de incredere prezentat de controalele aplicatiei;
• natura probelor pe care auditorul urmareste sa le obtina;
• continuitatea controlului;
• importanta controlului si a tranzactiilor.

Controlul intrarilor, prelucrarilor si iesirilor. La ce folosesc controalele aplicatiei

• asigura completitudinea, acuratetea si validitatea inregistrarilor;
• controalele vizeaza : intrarile, prelucrarile, iesirile.

RESPONSABILITATI

• cine are responsabilitatea acestor controale;
• daca sunt cele mai adecvate controale ;
• ce rol are auditorul IT.

CONTROLUL EXISTENTEI DATELOR

Testul se refera in principal la validarea datelor de intrare reprezentand coduri. Este  suficient sa introduci codul unul client si pe ecran sa se afiseze numele acestuia sau un mesaj de eroare atentionand asupra introducerii unui cod incorect.

Controlul prelucrarilor

Auditorul tine seama de tipologia sistemului informaticadica de:

• sisteme de procesare a tranzactiilor (TPS – Transaction Processing Systems);
• sisteme destinate conducerii curente (MIS – Management Information Systems);
• sisteme suport de decizie (DSS – Decision Support Systems);
• sisteme destinate conducerii strategice (EIS – Executive Support Systems);
• sisteme pentru automatizarea lucrarilor de birou (OAS – Office Automation Systems).

Controlul fisierelor si al bazei de date

Se verifica:

• continuitatea acestora;
• versiunea – daca este ultima versiune si daca cuprinde toate corectiile;
• transferul fisierelor in momentul trecerii la exploatarea unui nou system informatic. Se verifica masura in care au fost autorizate procedurile de transfer al fisierelor din vechiul in noul sistem. De asemenea se verifica daca au fost aceste proceduri realizate de persoanele imputernicite; se verifica completitudinea si corectitudinea transferului.
• solutia aleasa pentru arhitectura bazei de date este cea mai buna (varianta baza de date centralizata sau baza de date distribuita);
• daca in cazul bazelor de date distribuite s-a realizat o corecta si eficienta distribuire a datelor in nodurile retelei si in ce masura s-a tinut seama de respectarea urmatoarelor cerinte:
  1. nevoile de informare a utilizatorilor locali;
  2. asigurarea unui transfer minim al datelor prin retea;
  3. necesitatea protectiei datelor transferate prin retea.
     • care au fost criteriile pentru alegerea SGBD-ului; daca ofera SGBD-ul toate facilitatile privind implementarea controalelor automate, al controlului accesului la baza de date, tabelele bazei de date etc.

Disponibilitatea datelor

Datele, in procesul prelucrarii, datorita reprezentarii binare sunt inaccesibile auditorului in aceasta forma. Mai mult, unele date sunt temporar stocate in memoria calculatorului (datele intermediare de lucru).

Controlul prelucrarilor declansate automat se realizeaza astfel:

• auditorul trebuie sa verifice care sunt evenimentele care declanseaza aceste relucrari;
• controlul tranzactiilor generate automat.

Functionalitatea aplicatiei

Se pune problema in acest caz daca exista anumite prelucrari pe care aplicatia trebuie sa le execute, dar nu le realizeaza sau le realizeaza greoi; de asemenea se mai urmareste daca:

• sunt functionalitati care lipsesc;
• in ce masura aplicatia raspunde stilului si metodei de lucru specifice utilizatorului;
• daca determina aplicatia un mod de lucru ineficient, o gandire rigida, nenaturala.

Controlul fluxului prelucrarilor

Presupune sa verificam ce prelucrari urmeaza sa se declanseze in anumite circumstante. De asemenea se realizeaza testul load conditions care urmareste daca un program  poate functiona nesatisfacator cand este suprasolicitat (volum mare de date de prelucrat intr-un interval scurt de timp sau incarcare maxima intr-un anumit moment).

Comunicarea sistemului cu utilizatorul

In acest caz se pun cateva probleme, si anume daca:

• este usor “sa te pierzi” in program;
• daca exista optiuni de lucru care pot fi confundate cu altele;
• care sunt mesajele de eroare si daca acestea sunt utile, explicite;
• ce informatie este disponibila pe ecran si daca este suficienta, clara;
• calitatea asistentei oferite utilizatorului (informatia returnata de tasta HELP de exemplu).

Performante

In cazul sistemelor in timp real este foarte important timpul de raspuns.

Controlul datelor de iesire urmareste:

• completitudinea si acuratetea iesirilor;
• respectarea termenelor prevazute pentru obtinerea iesirilor;
• masura in care iesirile, la cererea utilizatorilor, pot fi dirijate catre imprimanta,
• monitor sau un fisier;
• distribuirea iesirilor catre persoanele autorizate punandu-se problema:
  • cine primeste situatiile si daca exista persoane imputernicite in acest sens;
  • daca situatiile continand date sensibile sunt preluate pe baza de semnatura;
  • cum este asigurata protectia informatiilor confidentiale;
  • daca iesirile catre alte aplicatii se realizeaza in formatul pe care acestea il necesita;
  • masura in care se realizeaza inregistrarea, raportarea si corectarea erorilor identificate;
  • in ce masura exista din partea managementului un control asupra acuratetei iesirilor si modului de distribuire a lor.

Controlul securitatii aplicatiei

Controalele securitatii aplicatiei sunt folosite pentru asigurarea :

• integritatii tranzactiilor si fisierelor;
• acuratetei prelucrarilor;
• separarii sarcinilor incompatibile intre persoanele implicate in procesarea datelor;
• controlul utilizatorilor.

Modalitati de realizare a controlului securitatii aplicatiei

1. Identificarea si autorizarea utilizatorilor;
2. Controlul accesului;
3. Monitorizarea activitatii utilizatorilor.

1. Identificarea si autorizarea utilizatorilor

Se realizeaza prin controlul jurnalelor aplicatiei. Auditorul trebuie sa evalueze politicile de securitate ale aplicatiei si procedurilor din cadrul acesteia  

Controalele jurnalelor variaza de la o aplicatie la alta (nu sunt aceleasi in toate

aplicatiile).

1. Controlul accesului

Se verifica:

• controlul accesului la aplicatie prin log-are;
• restrictionarea accesului la modulele aplicatiei;
• restrictionarea accesului la anumite functii ale aplicatiei;
• existenta listelor de control al accesului.

1. Monitorizarea activitatii utilizatorilor

Utilizatorii trebuie urmariti (controlati) cu privire la actiunile pe care le desfasoara prin monitorizarea actiunilor utilizatorilor care asigura:

• limitarea erorilor si fraudelor;
• identificarea utilizatorilor si actiunilor lor;
• responsabilitatea utilizatorilor pentru rezultatele obtinute.

Monitorizarea actiunilor utilizatorilor se realizeaza prin intermediul jurnalelor.

Auditorul poate culege probe deosebit de utile prin verificarea jurnalelor realizate de aplicatie. Auditorul are obligatia sa verifice modul in care este asigurata protectia acestor jurnale pentru ca probele obtinute pe baza lor sa fie credibile.