GabaritoB — estabelecer
Gabarito: letra B. Na ISO/IEC 27001, o escopo do Sistema de Gestão de Segurança da Informação (SGSI) é definido durante a fase de estabelecer (establish), que é a etapa inicial de planejamento e definição do sistema. As fases seguintes (implementar, manter, melhorar) ocorrem após o escopo já ter sido determinado.
A norma ISO 27001 fornece requisitos para "estabelecer, implementar, manter e melhorar continuamente" um SGSI. A definição do escopo faz parte do estabelecimento: é nessa fase que a organização determina os limites e a abrangência do SGSI, considerando o contexto interno e externo, as partes interessadas e os requisitos de segurança.
O texto da ISO 27001 destaca que o escopo deve ser definido antes da implementação e operação. A frase “estabelecer, implementar, manter e melhorar” é um mnemônico clássico (sigla EIMM) para as fases principais.
“Analisar” não é uma fase distinta na ISO 27001; a análise (como análise crítica) ocorre dentro das fases de monitoramento e melhoria, mas não é onde se define o escopo. O escopo é definido antes de qualquer análise.
“Estabelecer” é a fase correta. A ISO 27001 estabelece que o escopo deve ser definido no planejamento (estabelecimento) do SGSI. O texto da norma afirma que o SGSI é estabelecido com base em requisitos, e o escopo é parte desse processo.
“Implementar” é a fase posterior ao estabelecimento. Após definir o escopo e planejar, a organização implementa os controles e processos. O escopo já foi definido antes.
“Manter” refere-se à operação e conservação contínua do SGSI. O escopo não é definido nessa fase; ele já foi estabelecido e pode ser revisado, mas a definição inicial ocorre no estabelecimento.
“Melhorar” é a fase de melhoria contínua (PDCA). O escopo não é definido aqui; melhorias podem ajustar o escopo, mas a definição inicial é na fase de estabelecer.
Gabarito: letra B (fase estabelecer).
Link permanente: /questoes/ce107041