Questão de Segurança da Informação — Norma ISO 27001 — CESPE / CEBRASPE 2023
Segurança da Informação›Norma ISO 27001
Código
ce163580
Banca
CESPE / CEBRASPE
Órgão
TC-DF
Ano
2023
Nível
Superior
Cargo
Auditor de Controle Externo – Área Especializada – Especialidade Tecnologia da Informação – Orientação Sistemas de TI
Acerca de gestão de segurança da informação, julgue o item a seguir, com base na NBR ISO/IEC 27001:2013.A organização deverá realizar avaliações de riscos de segurança da informação somente quando alterações significativas ocorrerem.
CCerto
EErrado
Revelar gabarito e comentário▾
GabaritoE — Errado
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Gestão de riscos na ISO/IEC 27001
Gabarito: Errado (E). A afirmativa diz que a organização deve realizar avaliações de riscos de segurança da informação somente quando alterações significativas ocorrerem. Isso é falso, pois a ISO 27001 exige que as avaliações de risco sejam realizadas em intervalos planejados e também quando ocorrerem alterações significativas. O termo "somente" restringe indevidamente a frequência.
A NBR ISO/IEC 27001:2013 estabelece que a organização deve:
Definir e aplicar um processo de avaliação de riscos de segurança da informação;
Realizar avaliações de riscos em intervalos planejados ou quando alterações significativas forem propostas ou ocorrerem (seção 8.2, 8.3 e 9.1 da norma).
Portanto, a avaliação não é feita apenas nas mudanças, mas também periodicamente, como parte do ciclo PDCA do SGSI.
1Intervalos planejados
2Alterações significativas
LEVEL · soulevel.com.br
NÃO CAIA NESSA!
A palavra "somente" é a chave. O candidato pode saber que a avaliação de riscos é feita quando há mudanças, mas esquecer que também há a exigência de intervalos planejados. A banca explora essa omissão para tornar a afirmação errada.
MNEMÔNICO
CID
CConfidencialidade (dados acessíveis só a quem é autorizado)IIntegridade (dados exatos, consistentes e não alterados indevidamente)DDisponibilidade (informação/sistemas acessíveis quando necessário)