Aprendizado com incidentes e análise crítica de políticas
✅ CERTO. A afirmação está correta. A informação resultante da análise de incidentes de segurança da informação deve ser usada para fortalecer controles e identificar padrões, além de subsidiar a análise crítica da política de segurança da informação. Esse entendimento está amparado nas normas ABNT NBR ISO/IEC 27001, itens 5.27 e 5.36.
A ABNT NBR ISO/IEC 27001 estabelece os seguintes controles:
ABNT NBR ISO/IEC 27001 item 5.27 — Aprendizado com incidentes de segurança da informação:
O conhecimento adquirido com incidentes de segurança da informação deve ser usado para fortalecer e melhorar os controles da segurança da informação.
ABNT-NBR-ISO/IEC-27001-5.36
O compliance com a política de segurança da informação da organização, políticas específicas por tema, regras e normas deve ser analisado criticamente a intervalos regulares.
O item 5.27 determina que o conhecimento obtido a partir de incidentes seja empregado no aperfeiçoamento dos controles, o que naturalmente inclui a identificação de incidentes recorrentes, de alto custo e impacto. Já o item 5.36 impõe a análise crítica periódica da política de segurança da informação, e a utilização das informações de incidentes nesse processo é uma prática alinhada com a melhoria contínua preconizada pelo SGSI. Portanto, a afirmativa está em conformidade com as disposições das normas ISO 27001, ISO 27002 e ISO 27005.
MNEMÔNICOCID
CConfidencialidade (dados acessíveis só a quem é autorizado)IIntegridade (dados exatos, consistentes e não alterados indevidamente)DDisponibilidade (informação/sistemas acessíveis quando necessário)
✅ CERTO.