Questão de Segurança da Informação — ISO 27002 — CESPE / CEBRASPE 2022

Sistema de Gestão de Segurança da Informação (SGSI)

Gabarito: letra D. De acordo com a norma ISO/IEC 27001, ao adotar um SGSI, a organização tem a responsabilidade inicial de determinar o limite e a aplicabilidade (escopo) do sistema. As demais alternativas referem-se a etapas posteriores ou a aspectos que não constituem a determinação primária exigida pela norma.

Alternativa A — ❌ Incorreta

Avaliar quais riscos serão tratados é parte do processo de gestão de riscos, que ocorre após a definição do escopo. A responsabilidade primária não é essa.

Alternativa B — ❌ Incorreta

Definir a forma de implementação dos controles de sigilo é uma atividade operacional do SGSI, posterior à determinação do escopo. Além disso, a redação apresenta erro gramatical ("deverão serem implementados").

Alternativa C — ❌ Incorreta

Embora o comprometimento da direção seja essencial, a organização não "determina quem deve se comprometer"; isso decorre da política e da liderança. Não é a responsabilidade inicial citada na questão.

Alternativa D — ✅ Correta ⟵ GABARITO

Conforme a ISO/IEC 27001, a organização deve definir o escopo do SGSI, estabelecendo seus limites e aplicabilidade com base nas características internas e externas, partes interessadas e requisitos. Essa é a determinação fundamental para viabilizar o sistema.

Alternativa E — ❌ Incorreta

A escolha de tecnologias para implementação é uma decisão posterior, ligada ao projeto e à operação do SGSI, e não à determinação inicial prevista na norma.

Gabarito: letra D.