Questão de Segurança da Informação — Riscos em Segurança da Informação (NBR ISO/IEC 27001, 27002 e 27005) — CESPE / CEBRASPE 2023

Avaliação de desempenho na NBR ISO 22301: não conformidades, quase acidentes e alarmes falsos

❌ ERRADO. A afirmação está incorreta: na avaliação de desempenho, em caso de desempenho deficitário, devem ser incluídas as não conformidades, os quase acidentes e os alarmes falsos. A NBR ISO 22301, norma de sistema de gestão de continuidade de negócios, exige que a organização avalie o desempenho da continuidade de negócios e, quando houver desempenho deficitário, identifique e trate as não conformidades, incluindo justamente esses indicadores — eles são fontes valiosas de aprendizado e melhoria contínua.

A avaliação de desempenho é uma etapa essencial de qualquer sistema de gestão baseado no ciclo PDCA (Plan-Do-Check-Act). No contexto da continuidade de negócios, a NBR ISO 22301 estabelece que a organização deve avaliar o desempenho da continuidade de negócios e a eficácia do sistema de gestão. Quando essa avaliação revela um desempenho deficitário, a norma determina que a organização deve tomar ações corretivas. Para isso, é fundamental identificar as causas do problema, e é exatamente aí que entram as não conformidades, os quase acidentes e os alarmes falsos.

Não conformidades são desvios dos requisitos estabelecidos — por exemplo, um procedimento de backup que não foi executado conforme o planejado. Quase acidentes (near misses) são eventos que poderiam ter causado um incidente, mas não causaram — como uma falha de energia que foi contornada antes de derrubar o sistema. Alarmes falsos são alertas disparados sem que houvesse um incidente real — como um sensor de intrusão ativado por um animal. Longe de serem ignorados, esses três elementos são indicadores precoces de fragilidade no sistema: eles revelam vulnerabilidades antes que se transformem em incidentes graves.

A lógica da norma é clara: se a organização excluísse esses eventos da avaliação de desempenho deficitário, estaria perdendo a oportunidade de identificar e corrigir falhas latentes. Um quase acidente ignorado hoje pode ser um incidente real amanhã. Um alarme falso recorrente pode indicar um problema de configuração que, se não corrigido, pode mascarar um alarme verdadeiro. Por isso, a NBR ISO 22301 determina que, ao lidar com desempenho deficitário, a organização deve investigar e tratar todas as não conformidades, incluindo aquelas identificadas por meio de quase acidentes e alarmes falsos.

A pegadinha da banca está em inverter a lógica: em vez de incluir esses elementos como fontes de melhoria, a afirmação diz que eles não devem ser incluídos. É uma armadilha clássica de troca de sentido — o candidato que não conhece o conteúdo da norma pode ser induzido a acreditar que "desempenho deficitário" é algo a ser escondido, quando na verdade é algo a ser investigado e tratado. A norma não apenas permite, como exige que esses eventos sejam considerados na avaliação, pois são exatamente eles que apontam onde o sistema precisa de correção.

Guarde este critério: na gestão de continuidade de negócios (e em qualquer sistema de gestão ISO), não conformidade, quase acidente e alarme falso são insumos para a melhoria, não itens a serem descartados. É nessa fronteira que a questão se decide — a banca trocou o "devem ser incluídos" pelo "não devem ser incluídos", invertendo completamente o sentido da norma.

Item — ❌ Errado

A afirmação está errada porque contraria o princípio da melhoria contínua da NBR ISO 22301. A avaliação de desempenho, quando identifica desempenho deficitário, deve incluir a análise de não conformidades, quase acidentes e alarmes falsos — eles são exatamente os indicadores que revelam as fragilidades do sistema de continuidade de negócios. Excluí-los seria um contrassenso: a organização estaria ignorando as evidências mais valiosas para a correção de falhas e a prevenção de incidentes futuros.

A banca explora a confusão entre "desempenho deficitário" (que deve ser tratado) e "desempenho adequado" (que apenas é monitorado). No desempenho deficitário, a norma exige ação corretiva, e a ação corretiva começa justamente pela identificação e análise das não conformidades — incluindo quase acidentes e alarmes falsos, que são formas de não conformidade latente. Portanto, a afirmação está errada.

Gabarito: ❌ ERRADO.