Questão de Segurança da Informação — Norma ISO 27001 — CESPE / CEBRASPE 2022
Segurança da Informação›Norma ISO 27001
Código
ce134628
Banca
CESPE / CEBRASPE
Órgão
DPE-RO
Ano
2022
Nível
Superior
Cargo
Analista da Defensoria Pública - Redes e Comunicação de Dados
À luz da NBR n.° ISO/IEC 27001:2013, os objetivos de segurança da informação de uma organização devem ser
Amensuráveis, quando aplicável.
Batualizados somente a cada novo mandato da alta direção do organização.
Cprecários em relação à política de segurança da informação.
Dcompatíveis com os requisitos de segurança da informação aplicáveis, mas sem relação com os resultados do tratamento dos riscos.
Eprivados e secretos.
Revelar gabarito e comentário▾
GabaritoA — mensuráveis, quando aplicável.
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Objetivos de Segurança da Informação na ISO/IEC 27001:2013
Gabarito: Letra A. A NBR ISO/IEC 27001:2013 determina que os objetivos de segurança da informação devem ser mensuráveis, quando aplicável, e coerentes com a política de segurança. As demais alternativas ou contradizem a norma ou introduzem elementos estranhos ao padrão.
A norma ISO 27001 exige que a organização estabeleça objetivos de segurança da informação em funções e níveis pertinentes, e que esses objetivos sejam mensuráveis (ou passíveis de verificação) e compatíveis com os resultados da avaliação e tratamento de riscos. É o que consta no requisito 6.2 da norma.
Alternativa A — ✅ Correta ⟵ GABARITO
A alternativa reproduz corretamente o requisito da ISO 27001: os objetivos devem ser "mensuráveis, quando aplicável". Isso permite que a organização avalie o cumprimento e a eficácia do SGSI.
Alternativa B — ❌ Incorreta
Afirma que os objetivos devem ser "atualizados somente a cada novo mandato da alta direção". A norma não impõe periodicidade vinculada a mandatos; os objetivos devem ser revisados e atualizados sempre que necessário, como parte do processo de melhoria contínua e da análise crítica pela direção.
Alternativa C — ❌ Incorreta
Diz que os objetivos devem ser "precários em relação à política de segurança da informação". O termo "precários" não é utilizado na norma. Os objetivos devem ser coerentes com a política, não precários.
Alternativa D — ❌ Incorreta
Afirma que os objetivos devem ser "compatíveis com os requisitos de segurança da informação aplicáveis, mas sem relação com os resultados do tratamento dos riscos". A ISO 27001 exige exatamente o oposto: os objetivos devem levar em conta os resultados da avaliação e do tratamento de riscos. A expressão "sem relação" torna a alternativa errada.
Alternativa E — ❌ Incorreta
Declara que os objetivos devem ser "privados e secretos". A norma não estabelece sigilo sobre os objetivos; pelo contrário, eles devem ser comunicados internamente e estar disponíveis para as partes interessadas, conforme aplicável.
NÃO CAIA NESSA!
A banca explorou a inversão de sentido na alternativa D: trocou "com relação" por "sem relação" com o tratamento de riscos. O candidato desatento pode marcar essa opção por achar que a primeira parte está correta, mas a segunda parte a invalida.
MNEMÔNICO
CID
CConfidencialidade (dados acessíveis só a quem é autorizado)IIntegridade (dados exatos, consistentes e não alterados indevidamente)DDisponibilidade (informação/sistemas acessíveis quando necessário)