Questão de TI - Gestão e Governança de TI — IN SGD/ME nº 06/2023 - Regulamenta os Requisitos e Procedimentos para Aprovação de Contratações ou de Formação de Atas de Registro de Preços Relativos a Bens e Serviços de TIC — CESPE / CEBRASPE 2023

Tratamento de informação classificada em nuvem: requisito de hospedagem em território brasileiro

Gabarito: ERRADO. A afirmação está incorreta: a Instrução Normativa SGD/ME nº 5/2021 não exige que a informação classificada em grau de sigilo, ao ser transferida para o provedor de serviço de nuvem, esteja hospedada em território brasileiro. A norma estabelece requisitos de segurança e controle, mas não impõe, de forma absoluta, a localização física dos dados no Brasil como condição para o tratamento em nuvem.

A Instrução Normativa SGD/ME nº 5/2021 dispõe sobre os requisitos e procedimentos para a contratação de serviços de computação em nuvem pela Administração Pública Federal. O ponto central é que a norma não determina, de maneira categórica, que a informação classificada deva estar hospedada em território brasileiro. Em vez disso, ela estabelece uma série de requisitos de segurança da informação, como a necessidade de o provedor de serviços de nuvem atender a controles específicos, a obrigatoriedade de o órgão ou entidade realizar a gestão de riscos e a definição de responsabilidades contratuais. A localização dos dados é um fator a ser considerado, mas não é uma exigência absoluta e incondicional.

A banca explora uma confusão comum: o candidato pode associar a necessidade de soberania e segurança dos dados à exigência de hospedagem local. No entanto, a norma permite que a informação classificada seja tratada em nuvem, desde que o provedor atenda aos requisitos de segurança estabelecidos, que podem incluir a possibilidade de replicação de dados em diferentes localidades, inclusive fora do Brasil, desde que haja garantias contratuais e técnicas adequadas. A decisão sobre a localização dos dados deve ser baseada em uma análise de risco e nas necessidades específicas do órgão, não em uma proibição ou obrigação genérica.

Para entender a questão, é importante distinguir entre a exigência de controle e segurança da informação e a exigência de localização física dos dados. A norma foca no primeiro aspecto, estabelecendo que o órgão deve garantir a confidencialidade, integridade e disponibilidade da informação, independentemente de onde ela esteja armazenada. A localização é um dos fatores a serem considerados na gestão de riscos, mas não é o único nem o determinante. Assim, a afirmação de que a informação "deve estar hospedada em território brasileiro" é uma generalização indevida, pois a norma não impõe essa obrigação de forma absoluta.

A pegadinha da questão está em transformar uma possibilidade (a consideração da localização como fator de risco) em uma obrigação (a exigência de hospedagem no Brasil). O candidato que conhece a norma sabe que ela não estabelece essa obrigação, mas sim requisitos de segurança e gestão de riscos. Portanto, a afirmação está errada.

Item — ❌ ERRADO

A afirmação está incorreta porque a Instrução Normativa SGD/ME nº 5/2021 não exige, de forma absoluta, que a informação classificada em grau de sigilo esteja hospedada em território brasileiro ao ser transferida para o provedor de serviço de nuvem. A norma estabelece requisitos de segurança da informação e gestão de riscos, mas não impõe a localização física dos dados no Brasil como condição obrigatória. A localização é um fator a ser considerado na análise de riscos, mas não é uma exigência categórica. Portanto, a afirmação de que a informação "deve estar hospedada em território brasileiro" é uma generalização indevida, pois a norma não estabelece essa obrigação.

Gabarito: ERRADO.