Data : 22 de setembro de 2009 sala : 1
Modulo : Compliance, Auditoria de TI e Forensics
Horário: 8h30 às 11h00 - duração : 2h30minutos
Título: Combate a Fraudes Corporativas - uma abordagem prática
Ricardo Mathias Castro - Vice Presidente - ISACA

Currículo :

Auditor Interno no grupo Hamburg-Süd de Logística e Navegação e Vice-Presidente da ISACA SP.

Tópicos dos Assuntos abordados:

o Investigação de Fraudes Corporativas;
o Ameaças, Vulnerabilidades e Controles;
o Diagnóstico de exposição a Fraudes;
o Apresentação de Pesquisas;
o Apresentação de Casos Reais;
o Panorama Mundial e Brasileiro.
Conteúdo:

Pesquisas nacionais e internacionais apontam que as fraudes corporativas têm crescido juntamente com a dependência de sistemas informatizados. Seria essa uma verdade ou apenas um reflexo no aprimoramento dos controles internos, governança e requisitos legais?
Ainda assim, como se justificam casos como o do Banco Societé Generale, CISCO e outras empresas envolvidas nos mais recentes escândalos corporativos?
A apresentação visa mostrar as principais ameaças presentes na maioria das indústrias e métodos práticos para que a Auditoria antecipe-se e avalie seu grau de exposição a diversos tipos de fraudes envolvendo sistemas informatizados.

Data : 22 de setembro de 2009 sala : 2
Horário: 8h30 às 11h00 - duração : 2h30minutos
Título: Auditoria por indicadores de riscos
LUIZ CLAUDIO DIOGO REIS - AUDITOR PLENO - CAIXA ECONÔMICA FEDERAL

Currículo :

Nome: Luiz Claudio Diogo Reis
Cargo: Auditor interno da CAIXA ECONÔMICA FEDERAL com 10 anos de experiência em auditoria operacional, de sistemas e de TI.
Formação: Matemática, Pós-graduação em Auditoria Interna e de Sistemas Informatizados e MBA em Gestão de TI e Negócios Virtuais.
Certificação: CISA - Certified Information System Auditor e MCSO - Modulo Certified Security Officer.

Tópicos dos Assuntos abordados:

o Diretrizes dos padrões internacionais de auditoria com abordagem em risco;
o Elementos norteadores da Auditoria Baseada em Riscos (ABR);
o Principais técnicas de análise e avaliação de riscos;
o Framework para a auditoria de TI;
o Mapeamento e identificação de atividades críticas;
o Estabelecendo indicadores de riscos;
o Matriz de Indicadores de Riscos (MIR) para sistemas de informação: Um caso prático.
Conteúdo:

As organizações estão vivenciando um ambiente de mercado dinâmico, competitivo e globalizado, no qual se torna imprescindível a adoção de medidas capazes de mitigar os riscos dos negócios. Assim, a alta administração deve estabelecer um processo de gerenciamento de riscos corporativo eficaz que seja capaz de identificar, analisar, avaliar e controlar os diferentes eventos que podem impactar a realização de seus negócios e o atingimento de seus objetivos estratégicos e, consequentemente, a sua sustentabilidade.
A auditoria, atuando de forma independente, deve ser capaz de avaliar as diversas etapas do processo de gerenciamento de riscos em função das necessidades de negócios requeridas. Nesse contexto, apresentamos um framework de auditoria por indicadores de risco que tem como embasamento teórico-conceitual os principais padrões internacionais de auditoria, os elementos norteadores da Auditoria Baseada em Riscos (ABR) e a utilização de técnicas de análise e avaliação de riscos que tem o objetivo de identificar as unidades críticas auditáveis (projetos, sistemas, produtos, serviços, processos e infraestrutura), tendo como parâmetros fatores de risco previamente estabelecidos em função da criticidade dos negócios.
Dessa forma, a auditoria, a partir de uma abordagem inovadora, pode auxiliar a organização no cumprimento da sua missão, priorizando a sua atuação em atividades críticas.

Data : 22 de setembro de 2009 sala : 3
Modulo : ERM (Enterprise Risk Management)
Horário: 8h30 às 11h00 - duração : 2h30minutos
Título: A Nova Polêmica da Era Digital: Como aplicar o Direito à Tecnologia?
Camilla do Vale Jimene - advogada - Opice Blum Advogados Associados

Currículo :

Advogada Associada à Opice Blum Advogados, atuante na área cível, criminal e trabalhista, com enfoque nos meios eletrônicos e Internet. Pós-graduada em Processo Civil pela PUC/SP. Professora de Pós-Gradução da Unigran e de graduação da UNIP. Desenvolveu estudos acerca das normas técnicas ISO.

Tópicos dos Assuntos abordados:

o Legislação aplicável em âmbito cível e criminal;
o Impacto do Direito do Trabalho nas políticas de segurança;
o Há privacidade nos meios eletrônicos?;
o Validade jurídica do monitoramento dos sistemas eletrônicos: quando o fraudador é o empregado;
o Como coletar a prova digital sem afetar sua integridade?;
o A validade jurídica dos contratos eletrônicos;
o Tendências Jurisprudenciais Nacionais e Internacionais.
Conteúdo:

Apresentação tem por finalidade esclarecer os aspectos jurídicos aplicáveis às questões tecnológicas, de forma abrangente, clara e precisa, com enfoque na legislação cível, criminal e trabalhista, especialmente, os reflexos jurídicos gerados por condutas cotidianas.
Orientações acerca de coleta e produção de prova eletrônica, buscando proteger a companhia em caso de demandas judiciais, e até mesmo, gerar indícios de investigação para fraudes internas e externas.
Discussão acerca dos aspectos mais polêmicos do Direito Eletrônico, com exemplos práticos, faz com que o profissional ao final da apresentação tenha condições de formar suas próprias convicções.

Data : 22 de setembro de 2009 sala : 4
Modulo: Governança
Horário: 8h30 às 11h00 - duração : 2h30minutos
Título: Elaboração de Plano Estratégico de TI
Laurence Liu - Gerente Senior - Deloitte

Currículo :

Laurence Liu
Gerente Consultoria Empresarial
Experiência Profissional
Dezoito anos de experiência na área de estratégia, tecnologia da informação, e processos, nos quais vêm executando trabalhos voltados à implementação de melhores práticas de gestão de desempenho, riscos e governança de TI.
• Atuação em empresas de serviços, software e consultoria de TI como XCorp, Tivit, EDS e Teletech.
• Condução de projetos de Balance Scorecard, Gestão de Desempenho, Continuidade de Negócios, Segurança da Informação, Gestão de Infra Estrutura (ITIL), Sarbanes Oxley, Certificação ISO 9001:2000, diagnóstico COBIT, Centro de Serviços Compartilhados e Merge & Acquisition.
Alguns Clientes Atendidos
Petrobrás, Energias do Brasil, Grupo Abril, Baxter, Syngenta, Pepsico do Brasil, CVRD, Tivit, Votorantim, Banco do Brasil, Unibanco, AES, Grupo Accor.
Formação Profissional
Graduação: Administração de Empresas Fundação Getúlio Vargas – Bacharel em Administração Publica – 1985
Pós-Graduação: Fundação Getúlio Vargas – Mestrado Stritus Sensus – 1998
Associações Profissionais e Órgãos de Classe
Membro do ISACA-SP
Conselho Regional dos Adminstradores de SP

Tópicos dos Assuntos abordados:

o Desafios do CIO;
o Abordagem Metodologica;
o Governança;
o Gestão de Portfólio;
o Arquitetura;
o Processos;
o Estrutura Organizacional.
Conteúdo:
Esta atividade tem o objetivo de descrever uma abordagem pragmática das atividades para a elaboração de um plano estratégico de TI que permita ao CIO um maior alinhamento com o comite executivo e as área de negócios. Esta abordagem analisa cinco dimensões: o posicionamento da TI e o modelo de governaça; a análise do portfólio atual e futuro dos projetos de TI; a adequação da arquitetura tecnológica como fator viabilizador do posicionamento da TI; a análise das capacitações (processos) de entrega e suporte da TI; e a importância de uma estrutura organizacional alinhado ao novo posicionamento estratégico da TI.

Data : 23 de setembro de 2009 sala : 1
Modulo : Compliance, Auditoria de TI e Forensics
Horário: 8h30 às 11h00 - duração : 2h30minutos
Título: Melhores Práticas para uso de Provas Eletrônicas e tendências da Justiça Brasileira

Patricia Peck - Sócia-Adogada - PPP Advogados

Currículo :

A Dra. Patrícia Peck é advogada especialista em Direito Digital, formada pela Universidade de São Paulo, com especialização pela Harvard Business School e MBA em marketing pela Madia Marketing School. É autora a do "Direito Digital" pela Editora Saraiva, além de participação nos livros e-Dicas e Internet Legal. É colunista do IDG Now e articulista da Gazeta Mercantil, Valor Econômico, DCI, O Globo, Revista Executivos Financeiros, Info Exame, Info Corporate, About, Revista do Anunciante, outros.
Iniciou sua carreira como programadora aos 13 anos, possui experiência internacional nos EUA, Portugal e Coréia com Direito e Tecnologia. É professora da pós-graduação da FAAP, já participou da implementação de Políticas de Segurança da Informação em diversas empresas.

Conteúdo:

Somos dependentes de ENERGIA, TELCOMUNICAÇÕES E TECNOLOGIA?
Precisamos estar online, conectados, na Internet?
Precisamos de sistemas e softwares para realizar nossas atividades?
Fazemos uso de email, celular, pendrive, computador?
Nosso patrimônio está em dados (dinheiro é um dado eletrônico)?
Nossa reputação já é digital (está na web em redes sociais)?
Contratamos serviços e compramos produtos por vias eletrônicas?
Temos as senhas como identidades (autenticação não presencial)?

Data : 23 de setembro de 2009 sala : 2
Módulo : ERM (Enterprise Risk Management)
Horário: 8h30 às 11h00 - duração : 2h30minutos
Título: Segurança em Desenvolvimento de Sistemas
Alfred John Bacon - Consultor Sênior - Controles Internos de TI - Petrobras - Petroleo Brasileiro SA

Currículo :

Consultor Sênior em Controles Internos de TI e Segurança da Informação na Petrobras, onde trabalha há mais de 14 anos
Engenheiro Eletrônico pela UFRJ, com MBA em Gestão de e-Business pela FGV
Possui as certificações profissionais CISA e CISM, pela ISACA, e CISSP, pela ISC2
Presidente da ISACA-RJ (ISACA - Capítulo Rio de Janeiro)

Tópicos dos Assuntos abordados:

o Normas e Metodologias aplicáveis;
o SDLC e etapas em que a Segurança precisa ser contemplada;
o Análise de Riscos em Sistemas;
o Autenticação e Autorização em Sistemas;
o Algumas recomendações práticas para evitar falhas comuns em sistemas;
o Ferramentas de Análise de Código;
o As origens da Norma ISO15.408 e sua aplicabilidade geral.

Conteúdo:

Trata-se de curso que já foi dado internamento à Petrobras e externamente em ambiente acadêmico, sendo que em ambos os casos com duração de 8 horas.
A proposta é dar o curso em duas partes de 3 horas, resumindo o contéudo, conforme a grade de horários do CNASI.
O Curso apresenta o problema da gestão de segurança no desenvolvimento de sistemas de informação, apresentando recomendações sobre o ambiente de desenvolvimento e práticas de desenvolvimento seguro. O SDLC (Software Developmente Life Cycle) é apresentado, com indicações da interação entre as áreas de desenvolvimento e segurança da informação. A questão de autenticação e autorização em sistemas de informação é abordada, com indicação de melhores práticas que devem ser seguidas. Uma metodologia para a análise de riscos no desenvolvimento de sistemas é apresentada, assim como recomendações práticas para evitar os problemas mais comuns encontrados em sistemas de informação. A Norma ISO 15.408 e sua terminologia específica é explicada, assim como sua aplicabilidade geral no Brasil.

Data : 23 de setembro de 2009 sala : 3
Horário: 8h30 às 11h00 - duração : 2h30minutos
Módulo : ERM (Enterprise Risk Management)
Título: Metodologia OCTAVE no suporte à Gestão de Riscos
Andre Pitkowski - Consultor Governança, Riscos e Compliance - APIT Consultoria de Informatica Ltda

Currículo :

Engenheiro Civil pela Universidade Gama Filho, com MBA em Governança de TI pelo IPT - USP. Certificado BS-7799 Lead Auditor, Londres, 2001; CobiT Foundation; ITIL Foundations; OCTAVE pela Software Engineering Institute - Carnegie Mellon University; Gestão de Riscos ISO27000 pela BSI. Diretor da ISACA; Professor titular das cadeiras de BS7799, Gov TI, no MBA e Pós do Instituto Mauá de Tecnologia.

Tópicos dos Assuntos abordados:

o Conceito de Riscos em negócios.;
o Metodologia OCTAVE;
o Avaliação de Riscos e Ativos Operacionalmente Críticos;
o Implementação de Metodologia de Avaliação de Riscos;

Conteúdo:

As atividades de avaliação e de gestão dos riscos do negócio somados à publicação da lei Sarbanes-Oxley em 2002 ganharam a importância depois que o COSO baseou seu trabalho numa estrutura de ERM. O ISACA/ITGI, com o CobiT, apresentaram esta estrutura de ERM. Este mini curso oferece ao mercado uma metodologia para o desenvolvimento da estrutura ERM para a empresa. A metodologia OCTAVE (Avaliação de Vulnerabilidades e Ameaças em Ativos Operacionalmente Críticos,) foi desenvolvida em 2003 pelo SEI (Software Engineering Institute) do CERT (Computer Emergence response Team) que pertence à Carnegie-Mellon University de Pittsburg dos Estados Unidos, e aceitado como o padrão para a avaliação e a gestão dos riscos do negócio em 2005.

Data : 23 de setembro de 2009 sala : 4
Módulo : Governança
Título: TI falando a linguagem de Negócios (Indicadores que fazem sentido aos Executivos)
Alberto Fávero - Partner - Ernst & Young

Currículo :

Alberto Fávero, CISSP, CISM, CISA
Matemático pela FSA-SP e Pós-graduado em Administração de Empresas e Marketing pela FGV-SP. Profissional de Segurança da Informação certificado pelos institutos (ISC)2 e ISACA® como CISSP, CISM e CISA. Possui certificação em ITIL Foundations pelo Instituto Exin e Cobit Foundations pela ISACA ®. Sócio da Ernst & Young no Brasil.

Tópicos dos Assuntos abordados:

o Alinhamento de TI ao negócio da empresa;
o Gestão de serviços TI e de qualidade entregue por TI ao negócio da empresa;
o Governança de TI;
o KGI e KPI de TI;
o Otimização de custos de TI;

Conteúdo:

Os homens de negócios não entendem porque TI tem tanta dificuldade em atender às suas demandas. Os homens de TI não conseguem entender porque a gestão da organização não aprova os seus projetos. Cada um de seu lado critica e desaprova a atuação da outra parte. Uma boa governança de TI tem que resolver esse problema através do alinhamento das expectativas de cada parte e prover a comunicação bi-direcional para que as demandas sejam claramente compreendidas, apoiadas e entregues num nível superior de realização, promovendo uma vantagem competitiva para a organização através do serviço prestado por TI.

Data : 24 de setembro de 2009 sala : 1
Módulo : ERM ( Enterprise Risk Management)
Horário: 8h30 às 11h00 - duração : 2h30minutos
Título: Visão Geral na Norma ISO 27001
Eliana (Ellie) Borges - Diretora Presidente - GlobalStand Sistemas de Gestão e Tecnologia da Inf

Currículo :

Foi a fundadora e Diretora Presidente da BSi Brasil (BSI) de 01/1999 a 12/2004. Tem uma sólida experiência nacional e internacional executiva, nos últimos doze anos, na área de Certificação de Sistemas de Gestão. Antes de unir-se à BSi, foi Diretora Presidente da Filial da GlobalStand Corporation, na California, USA. Possue dois MBAs: Gestão -Golden Gate University USA e FGV Gestão Estrat Tec Info

Tópicos dos Assuntos abordados:

o Histórico da Norma;
o Requisitos da Norma;
o Processo de Implementação;

Conteúdo:

o O que é Segurança da Informação
o Introdução a ABNT NBR ISO/IEC 27002:2008 (17799:2005) - Histórico
o Benefícios da implementação de um Sistema de Segurança da Informação
o Custos e Recursos necessários para a Implementação de um SGSI
o Controles de Segurança da Informação
o O Processo de Implementação e Certificação

Data : 24 de setembro de 2009 sala : 2
Modulo : ERM (Enterprise Risk Management)
Horário: 8h30 às 11h00 - duração : 2h30minutos
Título: Gestão de Riscos Operacioanis e de Segurança da Informação nos serviços de Terceirização em TI
Mário Sérgio Ribeiro - Diretor - Enigma Security

Currículo :

Mário Sérgio Ribeiro, 49 anos, engenheiro, especialista em Segurança da Informação e Governança de TI, tendo 24 anos de experiência na área. Foi CSO do Grupo Pão de Açucar e teve passagens pela ITAU SA, Alpargatas e CPM Braxis.
É professor do MBA da FIA/USP. Foi um dos idealizadores e docente da pós graduação em segurança da informação do IPEN/USP. Foi diretor de educação da ISACA por 3 anos.

Conteúdo:

o Definir Terceirização
o Razões para se terceirizar
o O que pode ser terceirizado
o Modelos de entrega
o Porque muitas terceirizações falham
o A implementação da gestão de riscos (antes e durante o contrato)
o Conclusões finais.