Questão de Segurança da Informação — Norma ISO 27001 — CESPE / CEBRASPE 2022
Segurança da Informação›Norma ISO 27001
Código
ce141569
Banca
CESPE / CEBRASPE
Órgão
POLITEC-RO
Ano
2022
Nível
Superior
Cargo
POLITEC - RO - Perito Criminal - Área 6 (Ciências da Computação/Informática/Análise de Sistemas)
Na abordagem de processo para a gestão da segurança da informação apresentada na NBR ISO/IEC n.º 27001:2006, é enfatizada a seus usuários a importância de
Aidentificar e tratar todos os riscos dos projetos da organização.
Bimplementar a melhoria contínua baseada não somente em resultados financeiros, mas também em medições subjetivas.
Crealizar a modelagem de dados de todos os processos em cuja organização seja utilizada tecnologia da informação.
Dimplementar e operar controles para gerenciar os riscos de segurança da informação no contexto dos riscos de negócio globais da organização.
Edesenvolver princípios éticos e respeitar a opinião dos colaboradores da organização quando o assunto for segurança da informação.
Revelar gabarito e comentário▾
GabaritoD — implementar e operar controles para gerenciar os riscos de segurança da informação no contexto dos riscos de negócio globais da organização.
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
ISO 27001 e abordagem de processos
Gabarito: letra D. A NBR ISO/IEC 27001:2006 adota uma abordagem de processos para estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um Sistema de Gestão da Segurança da Informação (SGSI). O padrão enfatiza que os controles de segurança da informação devem ser implementados e operados no contexto dos riscos de negócio globais da organização, e não de forma isolada. Isso está explicitamente refletido na alternativa D.
A norma foi projetada para integrar a gestão de riscos de segurança da informação com a estratégia de negócios, reduzindo a probabilidade e o impacto de incidentes. As demais opções ou extrapolam o escopo, ou tratam de aspectos não centrais do padrão.
Alternativa A — ❌ Incorreta
Afirma que a ISO 27001 enfatiza identificar e tratar todos os riscos dos projetos da organização. A norma foca exclusivamente nos riscos de segurança da informação, não abrangendo todos os riscos de projetos (riscos financeiros, operacionais gerais, etc.). Trata-se de um escopo mais restrito e específico.
Alternativa B — ❌ Incorreta
Sugere melhoria contínua baseada em resultados financeiros e medições subjetivas. Embora a melhoria contínua seja um princípio do SGSI (ciclo PDCA), a norma não enfatiza medições subjetivas; ela requer critérios objetivos e mensuráveis, alinhados aos objetivos de segurança da informação.
Alternativa C — ❌ Incorreta
Propõe a modelagem de dados de todos os processos com uso de TI. A ISO 27001 não aborda modelagem de dados; seu foco é a gestão da segurança da informação por meio de políticas, processos e controles, não a modelagem de dados em si.
Alternativa D — ✅ Correta ⟵ GABARITO
Descreve exatamente o que a ISO 27001 preconiza: implementar e operar controles para gerenciar os riscos de segurança da informação no contexto dos riscos de negócio globais da organização. A norma estabelece que o SGSI deve considerar o ambiente de negócios, os requisitos legais e as obrigações contratuais, garantindo que a segurança da informação esteja alinhada à estratégia organizacional.
Fonte: O conteúdo de apoio (Wikipédia) confirma que a ISO 27001 "prover um modelo para estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um SGSI" e que a implementação é influenciada pelas necessidades e objetivos da organização, o que implica a integração com os riscos de negócio.
Alternativa E — ❌ Incorreta
Menciona o desenvolvimento de princípios éticos e respeito à opinião dos colaboradores. Embora a cultura organizacional seja importante, a ISO 27001 não enfatiza explicitamente princípios éticos ou opiniões de colaboradores como parte central da norma. O foco está em requisitos técnicos e de gestão para segurança da informação.
PEGA ESSA DICA!
Em questões sobre ISO 27001, lembre-se de que a palavra-chave é "riscos de segurança da informação" e "contexto de negócio". A norma não trata de todos os riscos da organização, mas sim daqueles que afetam a confidencialidade, integridade e disponibilidade da informação, sempre alinhados aos objetivos estratégicos.
MNEMÔNICO
CID
CConfidencialidade (dados acessíveis só a quem é autorizado)IIntegridade (dados exatos, consistentes e não alterados indevidamente)DDisponibilidade (informação/sistemas acessíveis quando necessário)