Questão de Segurança da Informação — ISO 27002 — CESPE / CEBRASPE 2024

Seleção de controles na ISO 27001/27002

❌ ERRADO. O item afirma que os controles e objetivos de controle para mitigar riscos devem ser adotados em alinhamento aos termos da subseção avaliação de riscos de segurança da informação. Na realidade, a seleção de controles ocorre na etapa de tratamento de riscos (após a avaliação), e não em alinhamento direto com os termos da subseção de avaliação – que define o método de identificação e análise. O processo de estabelecimento do SGSI (Sistema de Gestão da Segurança da Informação) prevê:

ABNT NBR ISO/IEC 27001:2013 (estabelecimento do SGSI):

1. Definir o escopo do SGSI.

2. Definir uma política do SGSI.

3. Definir a abordagem de avaliação de riscos.

4. Identificar os riscos.

5. Analisar e avaliar os riscos.

6. Identificar e avaliar as opções para o tratamento dos riscos. 7. Selecionar os objetivos de controles e os controles para o tratamento dos riscos.

1. Obter aprovação gerencial para os riscos residuais.

2. Obter autorização gerencial para implementar e operar o SGSI.

3. Preparar a declaração de aplicabilidade.

A subseção de avaliação de riscos (passos 3 a 5) estabelece a metodologia, identifica e avalia os riscos. Já a seleção de controles (passo 7) é parte do tratamento de riscos, que deve ser feita com base nas opções identificadas no passo 6 – e não necessariamente alinhada aos termos da subseção de avaliação. A avaliação de riscos alimenta o tratamento, mas a escolha dos controles é orientada pelas necessidades de mitigação e pelos objetivos de controle, conforme a política de segurança e a declaração de aplicabilidade. Portanto, a afirmação é incorreta.

❌ ERRADO.