Questão de Segurança da Informação — Políticas de Segurança de Informação — CESPE / CEBRASPE 2021
Segurança da Informação›Políticas de Segurança de Informação
Código
ce119488
Banca
CESPE / CEBRASPE
Órgão
CODEVASF
Ano
2021
Nível
Superior
Cargo
Analista em Desenvolvimento Regional - Tecnologia da Informação
A respeito de processos de definição, implantação e gestão de políticas de segurança e auditoria, julgue o item subsequente.Em uma organização, a alta direção deve estabelecer uma política de segurança da informação, independentemente de esta ser apropriada ou não ao propósito da organização, para que existam controles e ações que diminuam os riscos de segurança da informação.
CCerto
EErrado
Revelar gabarito e comentário▾
GabaritoE — Errado
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Política de Segurança da Informação
❌ ERRADO. A política de segurança da informação deve ser apropriada ao propósito da organização, conforme requisitos da ISO 27001 e demais normas de gestão. A alta direção não deve estabelecer uma política independentemente de sua adequação ao contexto organizacional.
A banca inverte o requisito. Segundo a ISO 27001:2013, a alta direção deve estabelecer uma política de segurança da informação que seja apropriada ao propósito da organização, e não algo genérico e descolado da realidade. Veja o texto extraído da norma:
ISO 27001:2013
A Alta Direção deve estabelecer uma política de segurança da informação que seja apropriada ao propósito da organização, inclua os objetivos de segurança da informação ou forneça a estrutura para estabelecer os objetivos de segurança da informação, inclua um comprometimento para satisfazer os requisitos aplicáveis relacionados com segurança da informação e inclua um comprometimento para a melhoria contínua do SGSI.
Portanto, a afirmativa de que a política deve ser estabelecida "independentemente de esta ser apropriada ou não ao propósito da organização" está em desacordo com a norma. A política deve ser alinhada ao negócio, aos riscos e ao contexto da organização, garantindo que os controles e ações sejam eficazes e pertinentes.
NÃO CAIA NESSA!
A banca tenta confundir ao apresentar a política como algo que pode ser imposto independentemente de adequação. A pegadinha está em inverter o requisito: a norma exige que a política seja apropriada ao propósito, mas a afirmativa diz o contrário. Lembre-se: a política de segurança deve refletir a realidade da organização e ser apoiada pela alta direção.
MNEMÔNICO
CID
CConfidencialidade (dados acessíveis só a quem é autorizado)IIntegridade (dados exatos, consistentes e não alterados indevidamente)DDisponibilidade (informação/sistemas acessíveis quando necessário)