Questão de Segurança da Informação — Controles de segurança — CESPE / CEBRASPE 2026
Segurança da Informação›Controles de segurança
Código
ce225553
Banca
CESPE / CEBRASPE
Órgão
IPAAM
Ano
2026
Nível
Superior
Cargo
Analista Ambiental – Especialidade: Análise de Sistemas
A ISO 27001 estabelece que a segurança da informação deve ser considerada desde o ingresso de um colaborador na organização. De acordo com essa norma, assinale a opção que representa uma medida alinhada aos controles de segurança da informação no processo de admissão de colaboradores em uma organização.
Aconceder acessos apenas após o primeiro mês de trabalho
Bformalizar responsabilidades de segurança antes do início das atividades
Crestringir treinamentos de segurança a cargos de liderança
Dpermitir acessos amplos durante o período de experiência
Eavaliar requisitos de segurança somente se acontecerem incidentes
Revelar gabarito e comentário▾
GabaritoB — formalizar responsabilidades de segurança antes do início das atividades
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Controles de Segurança da Informação na Admissão de Colaboradores (ISO 27001)
Gabarito: letra B. A ISO 27001 determina que as responsabilidades de segurança da informação sejam formalizadas e comunicadas antes do início das atividades do colaborador, alinhando-se ao controle de pessoas (Anexo A, seção 6). Essa medida garante que o novo integrante saiba de suas obrigações desde o primeiro momento, integrando a segurança ao processo de admissão.
A banca testa o entendimento de que a segurança deve ser proativa e incorporada desde o ingresso. As alternativas incorretas violam princípios fundamentais como menor privilégio, necessidade de saber e conscientização universal.
Segurança na admissão (ISO 27001): Antes do início das atividades (Formalizar responsabilidades, Comunicar obrigações, Atribuir papéis (item 5.2)); Princípios violados pelas incorretas (Menor privilégio (acessos amplos), Necessidade de saber, Conscientização universal, Abordagem proativa); Requisitos da norma (Competência (seção 7.2), Conscientização (seção 7.3), Gestão de riscos (seção 6.1))
Alternativa A — ❌ Incorreta
Conceder acessos apenas após o primeiro mês não está alinhado à norma, pois a segurança deve ser considerada desde o início. Atrasar o acesso pode comprometer a produtividade sem justificativa de segurança baseada em risco.
Alternativa B — ✅ Correta ⟵ GABARITO
Formalizar responsabilidades de segurança antes do início das atividades é prática recomendada pela ISO 27001, que exige que papéis e responsabilidades sejam atribuídos e comunicados (item 5.2 da norma). Isso assegura que o colaborador conheça suas obrigações e contribua para a proteção da informação.
Alternativa C — ❌ Incorreta
Restringir treinamentos a cargos de liderança contraria a necessidade de conscientização em todos os níveis. A ISO 27001 determina que todos os colaboradores que realizam trabalho sob o controle da organização devem ser competentes e conscientes (seção 7.2 e 7.3).
Alternativa D — ❌ Incorreta
Permitir acessos amplos durante o período de experiência fere o princípio do menor privilégio. O acesso deve ser concedido com base nas funções e necessidades específicas, independentemente do vínculo temporário. A norma preza por controles de acesso baseados em risco.
Alternativa E — ❌ Incorreta
Avaliar requisitos de segurança somente após incidentes é reativa, enquanto a ISO 27001 exige uma abordagem proativa de gestão de riscos, com avaliações contínuas e antes de mudanças significativas (seção 6.1 e 8.2).
PEGA ESSA DICA!
Para questões sobre admissão na ISO 27001, lembre-se dos controles de pessoas: formalização de responsabilidades, triagem (background check), termos e condições de contratação, e conscientização. O princípio do menor privilégio e a necessidade de saber são centrais.
MNEMÔNICO
CID
CConfidencialidade (dados acessíveis só a quem é autorizado)IIntegridade (dados exatos, consistentes e não alterados indevidamente)DDisponibilidade (informação/sistemas acessíveis quando necessário)