GabaritoE — Errado
Gabarito: E (Errado). A política de segurança da informação, embora deva ser comunicada a todas as partes interessadas, não é um documento de consulta pública e irrestrita; seu acesso é controlado e restrito a quem necessita para o exercício de suas funções, conforme os requisitos de confidencialidade da norma.
A NBR ISO/IEC 27001:2013 estabelece que a política de segurança da informação deve ser aprovada pela alta direção, publicada e comunicada, mas tal comunicação não equivale a disponibilizá-la como "referência aberta para consulta fora da organização". O termo "aberta" sugere acesso irrestrito, o que conflita com a natureza controlada da política, que contém diretrizes estratégicas e, muitas vezes, informações sensíveis sobre a gestão de riscos e controles da organização. Além disso, a política é um documento interno, cuja divulgação externa deve ser feita apenas quando necessário (por exemplo, para parceiros ou clientes) e sempre de forma controlada.
A pegadinha da questão está em trocar a ideia de "comunicação e conscientização" (que a norma exige) por "disponível como referência aberta para consulta fora da organização". Enquanto a norma determina que a política seja comunicada a todos os funcionários e partes interessadas internas, a disponibilização externa irrestrita não é um requisito e, na prática, poderia comprometer a segurança.
A banca troca "comunicada internamente" por "aberta ao público externo". Lembre-se: a política de segurança da informação é um documento de gestão, de acesso controlado, e não um material de referência pública.
Portanto, a afirmação está ERRADA.
Link permanente: /questoes/ce161077