Questão de Segurança da Informação — Norma ISO 27001 — CESPE / CEBRASPE 2024
Segurança da Informação›Norma ISO 27001
Código
ce173507
Banca
CESPE / CEBRASPE
Órgão
FINEP
Ano
2024
Nível
Superior
Cargo
Analista - Tecnologia da Informação - Infraestrutura
Com base na norma ISO/IEC 27001:2022, julgue os itens a seguir.I As organizações devem estabelecer e manter critérios de risco de segurança da informação que incluam critérios de aceitação de risco.II As organizações, qualquer que seja seu tamanho, devem utilizar um processo de avaliação de risco.III O processo de identificar os proprietários de um risco deve ser separado do processo de avaliação de risco, com a finalidade de simplificar o entendimento do risco.Assinale a opção correta.
AApenas o item I está certo.
BApenas o item III está certo.
CApenas os itens I e II estão certos.
DApenas os itens II e III estão certos.
ETodos os itens estão certos.
Revelar gabarito e comentário▾
GabaritoC — Apenas os itens I e II estão certos.
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
ISO/IEC 27001:2022 – Requisitos de avaliação de riscos
Gabarito: letra C. Apenas os itens I e II estão corretos. A norma (item 6.1.2) exige que os critérios de risco incluam critérios de aceitação de risco (I) e que o processo de avaliação de risco se aplique a toda organização, independentemente do porte (II). Já o item III erra ao afirmar que a identificação dos proprietários do risco deve ser separada – na verdade, ela é uma etapa dentro do próprio processo de avaliação (6.1.2 c) 2).
A banca cobra o conhecimento literal do item 6.1.2 da ISO 27001:2022. Vejamos cada item.
Item
Afirmação
Conformidade com a ISO 27001:2022
Justificativa
I
Estabelecer critérios de risco que incluam critérios de aceitação de risco.
✅ Correto
Exigido pelo item 6.1.2 a) 1).
II
Organizações de qualquer porte devem utilizar processo de avaliação de risco.
✅ Correto
O caput do item 6.1.2 aplica-se a todas as organizações, sem exceção de porte.
III
Identificação dos proprietários do risco deve ser separada do processo de avaliação.
❌ Incorreto
A identificação dos proprietários é uma etapa dentro do processo de avaliação (item 6.1.2 c) 2).
Item I — ✅ Correto
O item está correto. O subitem 6.1.2 a) determina que a organização deve estabelecer e manter critérios de risco que incluam, entre outros, critérios de aceitação de risco:
ABNT-NBR-ISO/IEC-27001-6.1.2
"a) estabeleça e mantenha critérios de riscos de segurança da informação que incluam:
Assim, a afirmação do item I está em plena conformidade.
Item II — ✅ Correto
O item está correto. A norma não faz distinção quanto ao tamanho da organização. O caput do item 6.1.2 estabelece que "A organização deve estabelecer e aplicar um processo de avaliação de riscos de segurança da informação", sem qualquer ressalva. Além disso, conforme o contexto de apoio, os requisitos da ISO 27001 são genéricos e aplicáveis a todas as organizações, independentemente de tipo, tamanho ou natureza. Portanto, o item II está correto.
Item III — ❌ Incorreto
O item está incorreto. A norma não separa a identificação dos proprietários do risco do processo de avaliação; pelo contrário, ela a inclui como uma atividade dentro da identificação de riscos, que é parte da avaliação. Veja a redação do subitem 6.1.2 c):
ABNT-NBR-ISO/IEC-27001-6.1.2
"c) identifique os riscos de segurança da informação:
A identificação dos proprietários é, portanto, uma etapa interna ao processo de avaliação, e não separada. O item III erra ao afirmar o contrário.
Conclusão: Estão corretos apenas os itens I e II. Logo, a alternativa correta é a letra C (Apenas os itens I e II estão certos).
PEGA ESSA DICA!
Decore a estrutura do item 6.1.2 da ISO 27001: ele descreve as etapas da avaliação de riscos. Lembre-se de que "identificar proprietários dos riscos" aparece dentro de "c) identifique os riscos", mostrando que é parte integrante.