Questão de Segurança da Informação — Norma ISO 27001 — CESPE / CEBRASPE 2024

Gestão da Segurança da Informação – ISO 27001

Gabarito: ✅ Certo. A afirmação está plenamente de acordo com os requisitos da NBR ISO/IEC 27001:2022. A norma exige que a organização realize avaliações de riscos da segurança da informação, implemente um plano de tratamento de riscos e mantenha informação documentada como evidência dos resultados. Esse é um dos pilares do Sistema de Gestão de Segurança da Informação (SGSI), conforme descrito no ciclo PDCA (Plan-Do-Check-Act) adotado pela norma.

A ISO 27001 estabelece, em sua seção de planejamento, que a organização deve:

• Definir e aplicar um processo de avaliação de riscos;

• Identificar os riscos e suas causas;

• Analisar e avaliar os riscos;

• Tratar os riscos por meio de controles apropriados;

• Reter informação documentada como prova da execução dessas atividades.

No contexto do SGSI, a avaliação de riscos é o ponto de partida para a definição dos controles (Anexo A) e o plano de tratamento de riscos é o documento que formaliza as decisões sobre como lidar com cada risco identificado. A retenção de informação documentada é obrigatória para demonstrar conformidade com a norma, conforme item 7.5 (Informação documentada).

Portanto, o item está Certo.