Questão de Segurança da Informação — Política de Segurança da Informação (NBR ISO/IEC 27001, 27002, etc.) — CESPE / CEBRASPE 2023

Política de Segurança da Informação (POSIN) e a definição de competências

❌ ERRADO. A afirmação está incorreta: competências e responsabilidades devem constar da Política de Segurança da Informação (POSIN), e sua definição não é restrita à alta administração, embora esta tenha papel fundamental na aprovação e no patrocínio da política. A norma ABNT NBR ISO/IEC 27001, que especifica os requisitos para um Sistema de Gestão de Segurança da Informação (SGSI), exige que a alta direção assegure que as responsabilidades e autoridades pelos papéis relevantes para a segurança da informação sejam atribuídas e comunicadas.

A Política de Segurança da Informação é o documento mais importante do SGSI, funcionando como a declaração formal do comprometimento da direção com a segurança da informação. Ela estabelece as diretrizes, os objetivos e os princípios que orientam toda a organização. A norma ISO/IEC 27001, em sua seção sobre Liderança, determina que a alta direção deve demonstrar liderança e comprometimento com o SGSI, o que inclui estabelecer a política e assegurar que os papéis e responsabilidades sejam definidos e comunicados. Isso não significa que a definição de todas as competências seja uma atribuição exclusiva da alta administração; na prática, a alta direção aprova a política e o modelo de governança, mas a definição detalhada de papéis e responsabilidades é um processo que envolve diversos níveis da organização, incluindo gestores de áreas e o comitê de segurança da informação.

A norma também estabelece que a política deve ser comunicada e estar disponível para as partes interessadas, o que reforça a importância de que as responsabilidades sejam claramente definidas e difundidas, e não restritas a um pequeno grupo. A definição de competências e responsabilidades é um elemento central para a implementação eficaz de qualquer controle de segurança, pois garante que cada pessoa saiba exatamente o que deve fazer para proteger os ativos de informação. Sem essa definição, a política seria um documento vago, sem aplicabilidade prática.

Um exemplo prático: em uma organização, a POSIN deve definir que o gestor de cada área é responsável por classificar a informação sob sua custódia, que o administrador de rede é responsável por configurar as regras de firewall, e que todos os colaboradores são responsáveis por seguir a política de senhas. Essas definições são essenciais para que a política funcione. A banca explora a confusão entre o papel de aprovação da política pela alta direção (que é obrigatório) e a definição de todas as competências (que é um processo mais amplo). A pegadinha está em afirmar que a definição é "restrita" à alta administração, quando na verdade a norma exige que as responsabilidades sejam atribuídas e comunicadas em toda a organização.

Guarde a distinção: a alta direção aprova e patrocina a POSIN, mas as competências e responsabilidades devem ser definidas e comunicadas para todos os níveis relevantes da organização. É exatamente essa fronteira que a questão testa.

Alternativa E — ❌ Incorreta ⟵ GABARITO

A alternativa está incorreta porque afirma que competências e responsabilidades não devem constar da POSIN, o que contraria diretamente os requisitos da norma ABNT NBR ISO/IEC 27001. A norma, em sua seção de Liderança, exige que a alta direção assegure que as responsabilidades e autoridades pelos papéis relevantes para a segurança da informação sejam atribuídas e comunicadas na organização. Além disso, a definição de competências não é restrita à alta administração; ela envolve a organização como um todo, com a alta direção atuando na aprovação e no patrocínio da política, mas não na definição exclusiva de todos os papéis.

O erro específico da alternativa está em dois pontos: (1) dizer que competências e responsabilidades "não devem constar" da POSIN, quando na verdade são elementos essenciais para a sua eficácia; e (2) afirmar que sua definição é "restrita à alta administração", quando a norma exige que sejam atribuídas e comunicadas em toda a organização. A banca inverte a lógica: em vez de a POSIN ser um documento que define e comunica responsabilidades, a alternativa a trata como um documento que as exclui, limitando a definição a um único nível hierárquico.

Gabarito: letra E — a afirmação está errada.