Questão de Segurança da Informação — ISO 27002 — CESPE / CEBRASPE 2021
Segurança da Informação›ISO 27002
Código
ce119508
Banca
CESPE / CEBRASPE
Órgão
CODEVASF
Ano
2021
Nível
Superior
Cargo
Analista em Desenvolvimento Regional - Tecnologia da Informação
Considerando as disposições das normas ISO 27001, ISO 27002 e NBR ISO/IEC 27005, julgue o item a seguir.No processo de tratamento de riscos de segurança da informação, a organização deve assegurar que as contínuas avaliações de riscos de segurança da informação produzam resultados comparáveis e válidos.
CCerto
EErrado
Revelar gabarito e comentário▾
GabaritoE — Errado
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Processo de tratamento de riscos na ISO 27001
Gabarito: Errado. A afirmativa está incorreta porque atribui ao processo de tratamento de riscos a responsabilidade de assegurar que as contínuas avaliações de riscos produzam resultados comparáveis e válidos. Essa exigência concerne ao próprio processo de avaliação de riscos (item 8.2 da ISO 27001), não ao tratamento (item 8.3). O tratamento de riscos consiste em implementar o plano de tratamento; a garantia de comparabilidade e validade dos resultados das avaliações cabe à etapa que as realiza.
Vejamos o que diz a norma:
ABNT-NBR-ISO/IEC-27001-8.2
A organização deve realizar avaliações de riscos da segurança da informação a intervalos planejados, ou quando mudanças significativas forem propostas ou ocorrerem, levando em conta os critérios estabelecidos em 6.1.2 a). A organização deve reter informação documentada dos resultados das avaliações de riscos da segurança da informação.
ABNT-NBR-ISO/IEC-27001-8.3
A organização deve implementar o plano de tratamento de riscos da segurança da informação. A organização deve reter informação documentada dos resultados do tratamento de riscos da segurança da informação.
Perceba que o item 8.2 determina que as avaliações devem ser realizadas continuamente (a intervalos planejados), e naturalmente seus resultados precisam ser comparáveis e válidos para dar suporte à tomada de decisão. Já o item 8.3 trata exclusivamente da implementação do plano. Ao localizar a exigência no tratamento, a banca inverte os papéis – uma pegadinha clássica de troca de conceitos.
1Avaliação de riscos (8.2)
2Resultados comparáveis e válidos
3Tratamento de riscos (8.3)
4Implementa o plano
LEVEL · soulevel.com.br
NÃO CAIA NESSA!
O enunciado desloca uma responsabilidade que é inerente à avaliação de riscos (produzir resultados comparáveis e válidos) para o tratamento de riscos. O candidato desatento pode aceitar a frase como correta por ela fazer sentido no contexto geral da gestão de riscos, mas o texto literal da norma mostra que a obrigação está em seções distintas.
Processo
Objetivo principal
Exigência de comparabilidade/validade
Avaliação de riscos (8.2)
Identificar, analisar e avaliar riscos
Sim – os resultados devem ser comparáveis e válidos para priorização
Tratamento de riscos (8.3)
Implementar o plano de tratamento
Não – foca na execução das ações planejadas
Portanto, a afirmativa está errada.
Gabarito: ❌ ERRADO.
MNEMÔNICO
CID
CConfidencialidade (dados acessíveis só a quem é autorizado)IIntegridade (dados exatos, consistentes e não alterados indevidamente)DDisponibilidade (informação/sistemas acessíveis quando necessário)