Questão de Segurança da Informação — Política de Segurança da Informação (NBR ISO/IEC 27001, 27002, etc.) — CESPE / CEBRASPE 2023

Política de Segurança da Informação (POSIN) e conformidade

✅ CERTO. A afirmação está correta: uma Política de Segurança da Informação (POSIN) deve, de fato, estar em conformidade com a legislação vigente, normas pertinentes, requisitos regulamentares e contratuais, e melhores práticas de segurança da informação. Esse é um requisito fundamental da norma ABNT NBR ISO/IEC 27001, que estabelece o Sistema de Gestão de Segurança da Informação (SGSI).

A POSIN é o documento mais importante da segurança da informação em uma organização. Ela define as diretrizes, responsabilidades e regras para proteger os ativos de informação, garantindo os princípios de confidencialidade, integridade e disponibilidade. Para ser eficaz, a política não pode ser um documento isolado; ela deve estar alinhada com o ambiente externo e interno da organização, o que inclui obrigatoriamente o cumprimento de leis, regulamentos, contratos e padrões de mercado.

A norma ABNT NBR ISO/IEC 27001, em seu item 5.2, estabelece que a Alta Direção deve definir uma política de segurança da informação que inclua o comprometimento de satisfazer os requisitos aplicáveis relacionados com a segurança da informação. Esses requisitos abrangem justamente os aspectos legais, regulamentares e contratuais mencionados na questão. Além disso, o item 5.31 da mesma norma trata especificamente da identificação e documentação dos requisitos legais, estatutários, regulamentares e contratuais pertinentes à segurança da informação.

Na prática, a conformidade da POSIN significa que a organização deve:

• Conhecer e cumprir as leis aplicáveis ao seu setor e às suas operações (ex.: LGPD, Marco Civil da Internet, legislação específica de cada setor).

• Seguir as normas técnicas relevantes, como as da família ISO/IEC 27000, que são referências de boas práticas.

• Atender aos requisitos regulamentares impostos por órgãos reguladores (ex.: Bacen, Anatel, ANPD).

• Cumprir as obrigações contratuais assumidas com clientes, fornecedores e parceiros.

• Adotar as melhores práticas de segurança da informação, que vão além do mínimo legal e buscam a excelência na proteção dos ativos.

A banca explora aqui um conceito central da segurança da informação: a política não é um documento teórico, mas um instrumento de gestão que deve refletir e garantir a conformidade da organização com todas as suas obrigações. A afirmação do enunciado é uma síntese perfeita desse princípio.

✅ CERTO. A POSIN deve estar em conformidade com a legislação, normas, requisitos regulamentares e contratuais, e melhores práticas, conforme exige a ABNT NBR ISO/IEC 27001.