Controle de acesso na ISO 27001
Gabarito: ❌ ERRADO. A afirmação contraria a NBR ISO/IEC 27001:2013, que exige que o acesso a informações e serviços de rede seja especificamente autorizado de acordo com a política de controle de acesso da empresa. A norma não admite exceções baseadas apenas no conhecimento do time de TI.
A banca testa o princípio de que o controle de acesso deve ser formal e documentado. O item 5.10 da norma (Uso aceitável de informações e outros ativos associados) determina:
ABNT NBR ISO/IEC 27001:2013, item 5.10:
Controle: Regras para o uso aceitável e procedimentos para o manuseio de informações e outros ativos associados devem ser identificados, documentados e implementados.
Isso significa que o uso de informações e serviços de rede deve seguir regras pré-estabelecidas, e não pode ser flexibilizado pelo simples conhecimento do time de TI. Além disso, os itens 8.20 (Segurança de redes) e 8.21 (Segurança dos serviços de rede) reforçam a necessidade de identificação, implementação e monitoramento de mecanismos de segurança. A permissão de acesso não autorizado, mesmo que com ciência da equipe de TI, viola esses controles e compromete a segurança da informação.
Portanto, a afirmativa está ERRADA.
MNEMÔNICOCID
CConfidencialidade (dados acessíveis só a quem é autorizado)IIntegridade (dados exatos, consistentes e não alterados indevidamente)DDisponibilidade (informação/sistemas acessíveis quando necessário)